OT-valvonta on muutakin kuin vain turvallisuutta

Useimmilla OT-ympäristöjä ylläpitävillä organisaatioilla on kyberturvallisuusohjelma, mutta vain harvoilla on valvontaa.

Kun tarkastelemme viime vuosien vakavimpia OT-tietoturvaloukkauksia, ne ovat harvoin alkaneet kehittyneistä haittaohjelmista tai edistyneistä hyökkääjistä. Useimmiten ne ovat alkaneet paljon tavallisemmista seikoista: verkkoon kytketyistä tuntemattomista laitteista, valvomatonta toimittajien pääsyoikeutta, jota kukaan ei ollut seurannut, epäselvästä vastuunjaosta IT- ja OT-toimintojen välillä tai puutteellisesta näkyvyydestä järjestelmiin, jotka olivat olleet käytössä vuosia ilman asianmukaista dokumentointia.

Teknologia ei sinänsä luo hallintaa, hallinta alkaa läpinäkyvyydestä, hallinnoinnista ja rakenteesta.

Mitä ”hallinta” oikeastaan tarkoittaa OT-ympäristössä?

Perinteisissä IT-ympäristöissä hallintaa mitataan usein pääsynhallinnan, lokitietojen keräämisen, valvonnan ja poikkeustilanteisiin reagoinnin avulla. OT-ympäristöt ovat erilaisia.

Aitoa hallintaa tarjoavalla OT-ympäristöllä on tyypillisesti neljä ominaisuutta.

Näkyvyys: Tiedät, mitä ympäristössä on, ei vain viime vuonna asennetut järjestelmät, vaan myös se ohjausyksikkö, joka otettiin käyttöön viisitoista vuotta sitten ja jota ei ole koskaan dokumentoitu kunnolla.

Rakenne: Tehtävät ja vastuut on määritelty selkeästi. Kaikki tietävät, kuka vastaa järjestelmistä, kuka hyväksyy muutokset ja kuka on vastuussa tietoturvapäätöksistä.

Hallinto: Muutokset, toimittajien pääsyoikeudet, riskienhallinta ja toimintamenettelyt hoidetaan järjestelmällisesti sen sijaan, että turvauduttaisiin epävirallisiin kiertoratkaisuihin.

Vaatimustenmukaisuus: Asiaankuuluvat standardit ja sääntelyvaatimukset ymmärretään, ne asetetaan tärkeysjärjestykseen ja otetaan huomioon päivittäisessä toiminnassa.

Monilla organisaatioilla on käytössään tehokkaita tietoturvatekniikoita, mutta niiden hallinta näillä neljällä alueella on edelleen puutteellista.

Miksi OT-valvonta eroaa IT-valvonnasta

Monet kyberturvallisuusratkaisut on alun perin suunniteltu IT-ympäristöihin. Teollisuusympäristöissä toimintaolosuhteet ovat täysin erilaiset.

Pitkät elinkaaret ja vanhat järjestelmät. Kaksikymmentä vuotta sitten asennettu ohjelmoitava logiikkayksikkö (PLC) voi edelleen olla tuotannon kannalta välttämätön. Se ei ehkä tue nykyaikaisia tunnistautumismenetelmiä. Sitä ei ehkä voi päivittää. Se ei ehkä edes näy ajantasaisessa laiteinventaariossa. Silti se on edelleen liiketoiminnan kannalta kriittinen.

Saatavuus on tärkeintä. IT-alalla palvelu voidaan usein ottaa pois käytöstä huoltotöiden ajaksi. OT-alalla käyttökatkos voi merkitä tuotannon pysähtymistä, ympäristövaikutuksia, turvallisuusriskejä tai merkittäviä taloudellisia menetyksiä. Turvallisuustoimenpiteet on siksi suunniteltava toiminnallisten vaatimusten perusteella eikä pelkästään teknisten näkökohtien pohjalta.

Toimittajariippuvuus on sisäänrakennettu ympäristöön. Monet teollisuusjärjestelmät ovat huollon, tuen ja vianmäärityksen suhteen vahvasti riippuvaisia erikoistuneista palveluntarjoajista. Ilman asianmukaista hallintaa organisaatiot voivat menettää nopeasti näkyvyyden siihen, kenellä on käyttöoikeudet, milloin käyttäjät ovat yhteydessä järjestelmään ja mitä muutoksia he tekevät.

Omistussuhteet ovat perinteisesti olleet epäselvät. Vuosikymmenten ajan OT-järjestelmiä pidettiin operatiivisen toiminnan vastuualueena. Kyberturvallisuus puolestaan kuului IT-osaston toimialaan. Tuloksena on usein hallinnollinen aukko, jossa kummallakaan osastolla ei ole täyttä vastuuta OT-turvallisuudesta – ja kun vastuu on epäselvä, valvonta puuttuu yleensä kokonaan.

Kolme yleisintä haastetta hallinnassa

Pohjoismaissa ja muuallakin teollisuudessa, energia-alalla, yleishyödyllisissä palveluissa, liikenteessä, merenkulussa ja kriittisessä infrastruktuurissa kohtaamme yhä uudelleen samoja haasteita.

1. Omaisuusluettelot, jotka eivät vastaa todellisuutta

Useimmat organisaatiot pitävät jonkinlaista omaisuusrekisteriä, mutta vain harvat pitävät yllä sellaista, joka kuvaa tarkasti nykytilannetta.

Energia- ja sähköalan yrityksissä on yleistä, että kenttälaitteita ja RTU-laitteita on ollut kytkettynä jo vuosia ilman, että ne näkyvät missään virallisessa laiteluettelossa. Valmistusympäristöissä huoltokäynnin yhteydessä tehdyt väliaikaiset kytkennät ovat usein jääneet pysyvästi paikoilleen. Arviointien yhteydessä löydämme säännöllisesti laitteita, joissa on tuntemattomia laiteohjelmistoversioita, omaisuutta, jolla ei ole nimettyä omistajaa, sekä laitteita, joissa on tuetun ohjelmiston ulkopuolella oleva ohjelmisto ja jotka ovat edelleen kytkettyinä tuotantoverkkoihin.

Passiivinen laitteiden tunnistus ja verkon valvonta paljastavat usein aivan toisenlaisen tilanteen kuin mitä virallisissa asiakirjoissa annetaan ymmärtää. Ilman tarkkaa näkyvyyttä kaikki muut tietoturvatoimenpiteet vaikeutuvat.

2. Toimittajien pääsy ilman riittävää valvontaa

Toimittajat tarvitsevat pääsyn, se itsestään ei ole ongelma, mutta ongelma syntyy, kun pääsy on pysyvä eikä väliaikainen, valvomaton, kirjaamaton, hyväksymätön tai toteutettu hallitsemattomien etäkäyttöratkaisujen kautta.

Satama- ja merenkulkualalla törmäämme säännöllisesti toimittajien yhteyksiin, jotka ovat olleet auki jo vuosia alkuperäisten huoltotöiden päättymisen jälkeen. Teollisuuslaitoksissa käyttöönoton yhteydessä huoltoteknikolle annetut VPN-käyttötunnukset ovat toisinaan edelleen voimassa jopa kymmenen vuotta myöhemmin, ilman, että kukaan niitä aktiivisesti hallinnoisi.

Siinä vaiheessa kyse ei ole enää pelkästään kyberturvallisuudesta vaan hallintaongelmasta: organisaatio ei yksinkertaisesti enää tiedä, kuka pääsee ympäristöön.

3. Epäselvä omistajuus ja vastuu

Kuka hyväksyy muutokset OT-verkostoon? Kuka hyväksyy uusien toimittajien liittymiset? Kuka hoitaa tilanteet, jotka vaikuttavat sekä IT- että OT-järjestelmiin?

Näihin kysymyksiin annetaan usein erilaisia vastauksia riippuen siitä, keneltä niitä kysytään. Monissa pohjoismaisissa teollisuusyrityksissä IT-osasto katsoo, että OT kuuluu tuotanto-osaston vastuualueeseen, kun taas tuotanto-osasto olettaa, että kyberturvallisuus kuuluu IT-osaston vastuualueeseen.

Tuloksena on hallinnon tyhjiö, joka ei yleensä pysy kauan täyttämättöminä. Riski kasvaa huomaamatta.

Ohjauksen viisi peruspilaria

Hallintaa ei luoda yhdellä ainoalla teknologiaympäristöllä, se perustuu hallintotavan, prosessien, toimintakulttuurin ja jatkuvan valvonnan yhdistelmään.

Perusosa 1: Hallintotapa

Hallinto määrittelee vastuunjaon. Se antaa vastauksen keskeisiin kysymyksiin: kuka vastaa OT-turvallisuudesta, kuka hyväksyy muutokset, miten riskit eskaloidaan ja miten vastuut jaetaan IT:n ja OT:n välillä?

Ilman selkeää hallintoa kaikkien muiden valvontatoimenpiteiden ylläpitäminen vaikeutuu. Teollisuuden tietotekniikan (OT) tietoturvaa ei pidä käsitellä erillisenä operatiivisena kysymyksenä, sen tulisi olla osa organisaation laajempaa riskienhallintastrategiaa.

Rakennuspalikka 2: Omaisuuden elinkaaren hallinta

Hallinta edellyttää läpinäkyvyyttä laitteen koko elinkaaren ajan, hankinnasta käytöstäpoistoon. Tähän sisältyy tarkkojen varastosaldojen ylläpito, laiteohjelmistojen ja ohjelmistoversioiden seuranta, omistajuuden määrittäminen sekä laitteen elinkaaren päättymisen jälkeisen korvaamisen suunnittelu.

Laitekantoja tulisi jatkuvasti tarkistaa todellisen tilanteen perusteella. Paperilla olevien tietojen tulisi vastata verkossa olevia tietoja.

Rakennuspalikka 3: Muutoksenhallinta (MOC)

OT-ympäristöissä muutokset aiheuttavat riskejä. Näennäisesti vähäinenkin konfiguraatiomuutos voi häiritä tuotantoa, luoda haavoittuvuuksia tai vaikuttaa turvallisuuden kannalta kriittisiin prosesseihin.

Tehokas muutoksenhallinta edellyttää riskien arviointia ennen käyttöönottoa, virallisia hyväksymisprosesseja, testausta mahdollisuuksien mukaan, dokumentointia sekä palautusmenettelyjä. Muutoksenhallinta on jo pitkään ollut teollisen toiminnan kulmakivi. Se on yhtä tärkeää myös kyberturvallisuuden kannalta.

Osakokonaisuus 4: Toimittajien hallinta

Toimittajien pääsyä tulisi käsitellä hallittuna liiketoimintaprosessina, ei hallinnollisena sivuseikkana. Siihen sisältyvät hyväksyntäprosessit, määräaikainen käyttöoikeus, suojatut etäkäyttöratkaisut, toimintaloki sekä toimittajien tietoturvavaatimukset.

NIS2-direktiivin ja vastaavien säädösten mukaan toimitusketjun turvallisuus ei ole enää vapaaehtoista. Organisaatioiden on kyettävä osoittamaan, että kolmansista osapuolista aiheutuvat riskit on tunnistettu, arvioitu ja hallittu.

Osakokonaisuus 5: OT-järjestelmien haavoittuvuuksien ja korjaustiedostojen hallinta

Päivitysten asentaminen tuotantoympäristössä eroaa olennaisesti päivitysten asentamisesta IT-ympäristössä. Käyttöympäristön vaatimukset estävät usein päivitysten välittömän asentamisen. Joihinkin vanhoihin järjestelmiin ei voida asentaa päivityksiä lainkaan.

Käytännönläheinen lähestymistapa sisältää:

• Tunnettujen haavoittuvuuksien tunnistaminen suhteessa todelliseen asennettuun laitteistokantaan
• Priorisointi operatiivisen riskin ja mahdollisten seurausten perusteella
• Päivitysten sovittaminen yhteen suunniteltujen huoltokatkojen kanssa
• Korvaavien valvontatoimenpiteiden käyttöönotto tilanteissa, joissa korjauspäivityksen asentaminen ei ole välittömästi mahdollista
• Virtuaalisen paikkauksen käyttö, tunnettujen haavoittuvuuksien hyväksikäytön estäminen verkkotason hallintatoiminnoilla, kuten IDS/IPS-säännöillä tai palomuurisäännöillä, ilman että itse järjestelmään puututaan

Virtuaalinen päivitys on erityisen merkityksellistä OT-ympäristöissä, joissa vanhoja järjestelmiä ei voida ottaa pois käytöstä, joissa toimittajan tukirajoitukset estävät suoran päivityksen tai joissa päivitys aiheuttaisi liian suuren toiminnallisen riskin. Se ei ole pysyvä ratkaisu, mutta se on tunnustettu ja tehokas väliaikainen toimenpide.

Tavoitteena ei ole päivitysten asennus, vaan riskien vähentäminen.

Miten standardit tukevat OT-valvontaa

Usein kysytty kysymys on: ”Mitä toimintamallia meidän pitäisi noudattaa?” Vastaus on yleensä useiden tekijöiden yhdistelmä.

Kansainvälinen sähkötekniikan komissio 62443 on johtava kansainvälinen kyberturvallisuusstandardi teollisuusympäristöille. Se tarjoaa yksityiskohtaisia teknisiä ja arkkitehtonisia ohjeita ja esittelee käsitteitä, kuten vyöhykkeet, kanavat ja turvallisuustasot.

ON104, jota käytetään laajalti Norjan energia- ja öljyalalla, tarjoaa käytännöllisen kypsyysmallin, jonka avulla organisaatiot voivat arvioida nykyisiä valmiuksiaan ja asettaa parannustoimet tärkeysjärjestykseen.

ISO 27001 tarjoaa hallintorakenteen, riskienhallinnan, dokumentoinnin, auditoinnit ja jatkuvan parantamisen. Vaikka se on alun perin kehitetty IT-ympäristöjä varten, se tarjoaa asianmukaisesti mukautettuna tärkeän hallintakehyksen myös OT-ympäristöille.

Yhdessä nämä viitekehykset tarjoavat hallinto- ja johtamisrakenteen (ISO 27001), tekniset OT-turvallisuusvaatimukset (IEC 62443) sekä kypsyystason mittaamisen ja priorisoinnin (ON104). Ne täydentävät toisiaan eivätkä kilpaile keskenään.

Miksi läpinäkyvyys ja hallinto ovat tärkeämpiä kuin SOC

Monet organisaatiot haluavat aloittaa seurannasta ja havaitsemisesta. Se on ymmärrettävää – ja nykyaikainen OT SOC voi tarjota merkittävää lisäarvoa: jatkuvaa valvontaa, poikkeamien havaitsemista sekä asiantuntija-analyysejä sekä IT- että OT-ympäristöissä.

SOC:n hyöty jää kuitenkin vähäiseksi, jos perusasiat eivät ole kunnossa. Jos omaisuusluettelot ovat puutteellisia, omistussuhteet epäselviä, toimittajien pääsyoikeuksia ei hallita ja toimintaprosessit ovat määrittelemättömiä, analyytikot käyttävät enemmän aikaa turhien hälytysten selvittämiseen kuin todellisiin uhkiin reagoimiseen.

Tehokkaan OT-seurannan toteuttaminen tapahtuu siis seuraavasti:

Näkyvyys → Hallinto → Valvonta → Havaitseminen

Kun nämä kolme ensimmäistä tekijää on saatu vakiinnutettua, SOC:n tehokkuus paranee huomattavasti. Se muuttaa tietoturvan kausittaisesta toiminnasta jatkuvaksi valmiudeksi – ja varmistaa, että investointi tuottaa sille tarkoitetun arvon.

Kolme kysymystä, jotka jokaisen organisaation tulisi esittää

• Tiedätkö, millä toimittajilla on tällä hetkellä pääsy OT-ympäristöösi – ja mihin järjestelmiin he pääsevät käsiksi?
• Onko OT-tietoturvan vastuualueet määritelty selkeästi ja ymmärretäänkö ne koko organisaatiossa?
• Tiedätkö, mitkä standardit ja lakisääteiset vaatimukset koskevat yrityksesi toimintaa – ja mitä ne tarkoittavat käytännössä?

Jos johonkin näistä kysymyksistä on vaikea vastata, et ole ainoa.

Mutta juuri siitä sinun pitäisi todennäköisesti aloittaa matkasi kohti OT-hallintaa.

Lue osa 1: Purduesta nykyaikaiseen OT-tietoturvaan | Lue osa 3: Arvioinnista vaatimustenmukaisuuteen

NetNordic auttaa organisaatioita ottamaan OT-ympäristöt aidosti hallintaan, laitteistojen näkyvyydestä ja hallinnasta SOC-integraatioon, toimittajien hallintaan ja säännösten noudattamiseen.