كيفية تحقيق نتائج أمن إلكترونية حقيقية مع تقييم المخاطر IEC 62443

ملخص: تجاوز مجرد الالتزام الشكلي للوصول إلى الامتثال الحقيقي لـ IEC 62443. تعلم كيف يمكن استخدام تقييم المخاطر IEC 62443 لتحديد مستويات الأمان القابلة للاختبار (SLs) لبيئة OT/ICS الخاصة بك. هذا دليل عملي.

قبل أن نبدأ، لا تنس إلقاء نظرة على منشورنا السابق حول "لماذا لا يمكن لأمن تكنولوجيا العمليات الانتظار أكثر: نداء عمل CISO" هنا. أنا متأكد أنك ستجد هذا المنشور مفيداً.  

لنبدأ بفهم سبب عدم وصول تقييمات أمن تكنولوجيا العمليات إلى التوقعات أو تحولها إلى ممارسة جيدة على الورق فقط. 

لماذا يفشل تقييم المخاطر لتكنولوجيا العمليات الخاصة بك

قبل أسبوع أخبرك شخص ما أنك بحاجة إلى تقييم مخاطر التكنولوجيا التشغيلية (OT). لذلك، تستأجر مورد تقييم المخاطر، أو تتوجه إلى جهة تصنيع أصلية. يمضون أسابيع في مقابلة الناس، ودراسة الرسوم البيانية للشبكات، وفحص تطبيقات سطح المكتب، وإجراء عمليات بحث على جوجل حول "كيف يتم إجراء تقييم أمن تكنولوجيا العمليات".

تعود بتقرير من 18 صفحة مليء بالمخاطر "عالية"، "متوسطة"، و"منخفضة"، وقائمة بالفجوات العشوائية مع توصيات غامضة ل"تصحيح الأنظمة" و"تحسين التقسيم". يشمل التقرير تفاصيل واسعة عن جانب تكنولوجيا المعلومات ولكن لسبب ما، لا تتفق التوصيات والاستنتاجات مع جانب تكنولوجيا العمليات.

ثم تتوجه إلى بائع حقيقي لتقييم أمن تكنولوجيا العمليات مثل Shieldworkz وتطلب منهم مراجعة التقرير فماذا نجد؟

· التقرير مجرد قالب أضيفت إليه حشوات غامضة لجعل المحتوى كبيرًا وشاملًا

· عند الدراسة المتعمقة، نرى الأصول والعمليات المدرجة التي لا تنتمي حتى إلى العميل

· بينما يدعي المقيم أنه أجرى تقريراً يعتمد على IEC 62443، لا يوجد دليل على ذلك

· التقرير في الأساس ذو فائدة قليلة جداً للعميل  

إذاً ما الذي سار بشكل خاطئ؟ لم تقم بأداء تقييم المخاطر؛ قمت بإكمال خانة الامتثال وتورطت مع بائع التقييم الخاطئ.

هذا هو السيناريو الذي نواجهه مرات عديدة.

في عالم أنظمة التحكم الصناعي (ICS)، يتمثل تمرين تقييم المخاطر كله ليس فقط تدقيقًا. إنه عملية إعادة هندسة تتم ببطء. تتحدث سلسلة IEC 62443، لا سيما IEC 62443-3-2: تقييم مخاطر الأمن لتصميم النظام عن فهم المخاطر الناشئة عن الأنظمة ومقاومتها من خلال تصميم قوي للنظام والعملية والشبكة لبناء بيئة تقدم نفسها للدفاع.

القوة الخام ل IEC 62443: من "المخاطر" إلى "متطلبات قابلة للاختبار"

هذا هو بوضوح المفهوم الأكثر أهمية للاستيعاب: الهدف من تقييم المخاطر 62443 ليس إنشاء مجموعة من المخاطر ونقاط الضعف.

بدلاً من ذلك، الهدف هو تحديد مستوى الأمان الهدف (SL-T) لأجزاء مختلفة من مصنعك ومعرفة ما يعوقك عن تحقيق هذا المستوى.

فكر فيه كمثل الأمان والسلامة الأساسية مثل تدقيق الحريق لمبنى طويل مثل مركز التجارة العالمي. لا تقول فقط، "أن تصميم جانب معين هو 'مخاطر عالية'." تقول، "يجب أن يحصل هذا الجانب على مستوى سلامة متكامل (SIL) 3." يأتي تصنيف SIL-3 هذا مع مجموعة من المتطلبات الهندسية المحددة، غير القابلة للتفاوض، والقابلة للاختبار.

يطبق IEC 62443 هذا المنطق نفسه على الأمن السيبراني.

•    المستوى الأمني 1 (SL-1): يحمي ضد الاستخدام العرضي.

•    المستوى الأمني 2 (SL-2): يحمي ضد "القراصنة النشطاء" بأدوات بسيطة أو مستوى أعلى من الاستخدام الخاطئ.

•    المستوى الأمني 3 (SL-3): يحمي ضد "المهاجمين المهرة" (مثل التجسس الصناعي).

•    المستوى الأمني 4 (SL-4): يحمي ضد "الممثلين بالموارد الكبيرة" بقدرة على تنفيذ هجمات عميقة.

تقييم المخاطر الخاص بك هو التسلسل الرسمي للاختبارات التي تستخدمها لتبرير القول، "يجب أن تكون خط الإنتاج (المنطقة) بهذا المستوى الأمني SL-2، ولكن نظام السلامة الخاص بالمرجل الحرجة (المنطقة) يجب أن يكون SL-3." كل شيء يتطلب أدلة.

بمجرد أن تحصل على هذا SL-T، قمت بتحديد مخططك البنائي. لكن لدينا أشياء أكثر للقيام بها. ببساطة تقوم بالتحول إلى IEC 62443-3-3 (متطلبات أمان النظام) وتحصل على قائمة كاملة من المتطلبات (مثل "فرض كلمات مرور قوية", "استخدام بروتوكولات مشفرة", "تقييد تدفقات البيانات") التي يجب أن يحتوي عليها نظامك لتحقيق ذلك المستوى الأمني.

وها هو ذا، لم يعد التقييم الخاص بك تقريراً غامضاً أو عملية غير محددة. إنه مواصفات بناء.

تخيل، أن تصبح المركبة الفضائية 3i Atlas سفينة أم تطلق تحقيقات عدائية، هل ستجلس وتنتظر حتى تهاجم أم ستبادر بتنفيذ مجموعة من التمارين المعرفة مسبقاً لاحتواء التهديد؟ [هذا مجرد خطرت لي أثناء كتابة هذه المقالة]. الفكرة هي التأكد من تقديم الجهد للمستوى الكافي من الانتباه والتفكير.    

التقسيم القائم على العواقب

هذه الأيام كل شيء يتعلق بالعواقب.

إذن، كيف تحدد SL الهدف؟ تستخدم أقوى أداة (وأكثرها سوء في الفهم) في معيار 62443: المناطق والقنوات.

هذا هو الرؤية الفريدة: توقف عن رسم مناطقك بناءً فقط على مخطط شبكتك.

يقوم معظم الناس بهذا الخطأ. ينظرون إلى مخطط شبكة، يرون جدار ناري، ويقولون، "هذه منطقة." هذا تفكير مستند إلى الأصول، وهو ضعيف. أولاً وقبل كل شيء يمكن أن يكون مخطط الشبكة نفسه خاطئًا أو تم تحديثه آخر مرة عندما تم اكتشاف أومواموا لأول مرة.

منطقة IEC 62443 هي مجموعة من الأصول التي تشترك في عاقبة مشتركة.

بدلاً من البدء بالأصول، ابدأ بسؤال المهندسين ومديري السلامة لديك هذه الأسئلة الأساسية:

ما هو أسوأ شيء مادي يمكن أن يحدث هنا؟

· الإجابة المحتملة: "انفجار مرجل كارثي أو تسرب غاز." (عاقبة أمان)

ما هو أسوأ حادث تشغيل يمكن أن يحدث؟

· الاستجابة المحتملة: "تعطل خط إنتاج 'Batch 1' بالكامل لمدة 24 ساعة." (عاقبة توافر)

ما هو أسوأ عاقبة يمكن أن تحدث للمنتج؟

· الاستجابة المحتملة: "سرقة الصيغة السرية لمنتجنا أو معلومات عن العملية." (عاقبة سرية)

اعمل العكس من هناك.

· المنطقة 1: سلامة المرجل. اجمع كل الأصول التي يمكن أن تسبب أو تمنع ذلك الانفجار- PLC السلامة، HMI، محطة العمل الهندسية المستخدمة لبرمجتها، وشبكة المستشعرات. هذه هي "منطقة سلامة المرجل."

· المنطقة 2: إنتاج Batch 1. اجمع جميع PLCs، والروبوتات، وHMIs التي تشغل هذا الخط بالذات. هذه هي "منطقة Batch 1."

لا يهم إذا كانوا على نفس VLAN أو حتى نفس المحول الفعلي. هم الآن مجمعون بناءً بمنطق مشترك يرتبطون به. يمكنك الآن إجراء تقييم مخاطر مفصل على تلك العاقبة المحددة.

خطر فشل "منطقة سلامة المرجل" هو كارثي. من المؤكد أن تقييم المخاطر الخاص بك سيتطلب مستوى أمان هدف عالي، مثل SL-3. ربما يكون "منطقة Batch 1" فشلاً تشغيلياً مكلفًا ولكن ليس كارثيًا، لذلك قد يهتم تقييم المخاطر الخاص به بالوصل إلى SL-2.

لقد استخدمت المخاطر لإنشاء بنية أمنية عملية، قابلة للدفاع، ومقسمة.

خطة عمل من 5 خطوات لتقييم المخاطر استناداً إلى IEC 62443-3-2

هل أنت معي حتى الآن؟

مستعد للقيام بمثل هذا التقييم بالفعل على بنيتك التحتية؟ إليك عملية عملية خطوة بخطوة.

الخطوة 1: جمع "المنتقمين" الخاص بك

لا يمكنك القيام بذلك مع تكنولوجيا المعلومات فقط. تحتاج إلى فريق أساسي من:

•    OT/هندسة: الأشخاص الذين بنوا ويحافظون على العملية. يعرفون العواقب المادية.

•    تكنولوجيا المعلومات/الأمن السيبراني: الأشخاص الذين يفهمون التهديدات، ونقاط الضعف، وهندسة الشبكات.

•    السلامة: الأشخاص الذين أجروا بالفعل تقييمات المخاطر المادية (مثل HAZOP) وفهموا المخاطر الواقعية.

الخطوة 2: تقييم عالي المستوى (تعريف العواقب)

احصل على هذا الفريق في غرفة. انسى التكنولوجيا لمدة ساعة. قم بالعصف الذهني ووثق أسوأ العواقب المادية، التشغيلية، والتجارية لمنشأتك. هذه هي معايير "الأثر" الخاصة بك. هذا هو "ما" تحميه.

الخطوة 3: التقسيم (رسم مناطقك الفعلية)

الآن، قم بإخراج الرسوم البيانية للعملية (P&ID) ورسوم الشبكة. بناءً على العواقب من الخطوة 2، ابدأ في مجموعة الأصول.

•    "كل هذه الأجهزة جزء من عملية 'معالجة المياه العادمة'. إذا فشلوا، فلدينا تسرب بيئي." -> هذه منطقة.

•    "يتحدث هذان الجهازان ببروتو

•    "يتحدث هذان الجهازان ببروتوكول معين لإدارة خط 'Batch 1'." -> هذا هو القناة.

أنت تقوم ببناء نموذج لمنشأتك استنادًا إلى العواقب والاتصال.

الخطوة 4: تقييم تفصيلي (تحديد SLs الهدف)

لكل منطقة وقناة قمت بتعريفها، يمكنك الآن إجراء تقييم المخاطر "الكلاسيكي".

◦       تحديد التهديدات: من قد يهاجم هذا؟ (مثل الشخص الداخلي، النشطاء)

◦       تحديد نقاط الضعف: ما هي نقاط الضعف؟ (مثل غير مصححة، كلمات مرور افتراضية)

◦       تحديد الاحتمالية: ما مدى احتمال حدوث هذا الهجوم؟

◦       تحديد العاقبة: لقد قمت بالفعل بذلك! (مثل انفجار المرجل)

الآن، قم برسم هذا على مصفوفة المخاطر. ستخبرك قوة المخاطر لشركتك بما هو مقبول. إذا كانت المخاطر غير مقبولة، يجب عليك تخفيضها. كيف؟ من خلال تعيين مستوى أمان مستهدف (SL-T). أنت تعلن رسمياً، "لتقليل مخاطر انفجار المرجل إلى مستوى مقبول، هذه المنطقة يجب أن تصمم إلى SL-3."

الخطوة 5: تحليل الفجوة (أي خطة المشروع)

حسنًا، لقد وصلنا إلى الخطوة النهائية. لكل منطقة، لديك هدف (SL-T). الآن، تقيس ما لديك حاليًا (مستوى الأمان المحقق، أو SL-A).

•    المنطقة: RTUs

•    الهدف (SL-T): SL-3

•    المحقق (SL-A): SL-1

الفجوة المتصورة بين SL-T 3 و SL-A 1 ليست سوى خطة مشروعك. تذهب إلى IEC 62443-3-3، وتجذب جميع المتطلبات لـ SL-3، والآن لديك خارطة طريق مرتبة، مستندة إلى المخاطر، وموجهة هندسيًا لتأمين مصنعك.

إذا كنت تستطيع القيام بكل هذا، فأنت لم تعد فقط "تقوم بالتقييم." أنت فعلا تقوم بهندسة الأمان.

دعنا نناقش المزيد.

اكتشف المزيد عن حل NDR لتكنولوجيا العمليات لدينا.