Краткий ответ: Кибербезопасность OT для промышленного оборудования должна рассматриваться на этапе закупки, а не после подключения систем управления. Покупателям необходим инвентарный список цифровых активов, интерфейсов, учетных записей, методов удаленного доступа, резервных копий, ответственности за обновления, ведения журналов и процедур восстановления.
NIST SP 800-82 Rev. 3 предоставляет актуальные рекомендации по обеспечению безопасности операционных технологий с учетом производительности, надежности и безопасности. Используйте риск-ориентированный обзор с командами ИТ, OT, инженерии, безопасности и поставщиков покупателя.
Изучите сопутствующую категорию оборудования YISEN, процесс индивидуального автоматизированного обслуживания и обзор производства перед запросом предложения, специфичного для проекта.
Вопросы кибербезопасности OT для закупки промышленного оборудования
| Фактор принятия решения | Вопрос покупателя | Запрашиваемые доказательства |
|---|---|---|
| Инвентаризация активов | Какие контроллеры, компьютеры, приводы, камеры, шлюзы и программное обеспечение включены? | Список материалов аппаратного/программного обеспечения |
| Подключение | Какие порты, протоколы, облачные сервисы, беспроводные соединения и потоки данных необходимы? | Схема сети и потоков данных |
| Идентификация | Как контролируются учетные записи по умолчанию, общие, сервисные и администраторские? | План управления учетными записями и учетными данными |
| Удаленный доступ | Как одобряется, аутентифицируется, ограничивается, контролируется и отключается доступ? | Архитектура и процедура удаленной поддержки |
| Обслуживание | Кто предоставляет обновления, информацию о уязвимостях, резервные копии и поддержку восстановления? | Матрица поддержки жизненного цикла |
| Восстановление | Можно ли восстановить принятые состояния машины после сбоя или компрометации? | Проверенная процедура резервного копирования и восстановления |
Практический процесс закупки
- Классифицируйте машину и подключения. Документируйте влияние процесса на потерю доступности, целостности или конфиденциальности. Определите зависимости безопасности и последствия несанкционированных изменений управления.
- Минимизируйте необходимое воздействие. Подключайте только те сервисы, которые необходимы для работы и поддержки. Используйте сегментацию сети, контролируемый удаленный доступ и утвержденную на сайте архитектуру безопасности вместо прямого неуправляемого доступа в интернет.
- Планируйте учетные записи и доступ поставщиков. Удалите или контролируйте учетные данные по умолчанию, назначьте ответственных лиц, определите экстренный доступ и убедитесь, что доступ поставщика может быть одобрен и отозван владельцем актива.
- Тестируйте восстановление перед производством. Соберите резервные копии контроллера, HMI, компьютера, рецепта, конфигурации и лицензии. Убедитесь, что квалифицированный персонал может восстановить принятую версию с помощью задокументированных инструментов и зависимостей.
Распространенные ошибки при покупке, которых следует избегать
- Блокировка всех обновлений без процесса оценки рисков. Неуправляемое устаревшее программное обеспечение может создать риск, но изменения также должны тестироваться на влияние на производство и безопасность.
- Отношение к удаленной поддержке как к простой опции да/нет. Архитектура, одобрение, аутентификация, ведение журналов, продолжительность, объем и возможность отключения определяют риск.
- Забывание о не PLC активах. Промышленные ПК, камеры, приводы, маршрутизаторы, инженерные инструменты и приложения поставщиков также могут требовать управления.
Практический сценарий покупки
Завод в США может разрешить удаленную диагностику только через свой утвержденный шлюз во время запланированных сеансов. Поставщик машины должен задокументировать необходимые инструменты и порты, в то время как покупатель контролирует одобрение подключения, идентичности, записи сеансов и их завершение.
Текущие ссылки из США и технические справки
Требования могут изменяться и зависеть от окончательного применения. Изучите текущие официальные рекомендации и получите квалифицированные советы, где это необходимо.
- NIST SP 800-82 Rev. 3: Руководство по безопасности операционных технологий
- NIST Cybersecurity Framework 2.0
Часто задаваемые вопросы покупателя
Должно ли промышленное оборудование подключаться напрямую к интернету?
Прямое воздействие редко необходимо. Используйте утвержденную архитектуру владельца актива и ограничьте подключение документированными бизнес-потребностями и потребностями поддержки.
Кто владеет паролями и исходными файлами?
Определите хранение учетных данных, права на программное обеспечение, резервные копии, защищенную интеллектуальную собственность и экстренный доступ в контракте и плане передачи.
Как часто следует обновлять программное обеспечение управления?
Используйте процесс обслуживания, основанный на рисках, который учитывает уязвимости, поддержку поставщика, тестирование, совместимость, безопасность, время простоя и компенсирующие меры.
Какие журналы полезны?
Учитывайте изменения учетных записей, удаленные сеансы, тревоги, изменения конфигурации, события безопасности и синхронизацию времени, в зависимости от возможностей системы и политики сайта.
Что должно произойти, когда поддержка поставщика заканчивается?
Планируйте версии программного обеспечения, резервные копии, заменяющее оборудование, лицензии, документацию, варианты миграции и право собственности на важные инженерные инструменты.
Подготовьте полезный запрос котировок
Для обзора оборудования с учетом OT отправьте тип процесса и продукта, материалы и размеры, политику сети завода, среду применения, потребности в настройке и удаленной поддержке, профиль производства, страну назначения и целевую дату ввода в эксплуатацию. Подтвердите все окончательные спецификации, обязанности по соблюдению норм, коммерческие условия и критерии приемки с поставщиком и квалифицированными специалистами из США.
Для обсуждения кибербезопасности OT для промышленного оборудования отправьте детали проекта в YISEN. Техническая команда может рассмотреть подтвержденное применение и предложить следующий инженерный шаг.
