В современной цифровой экономике операционные технологии (OT) являются невидимым двигателем, который обеспечивает бесперебойную работу жизненно важных отраслей — от электростанций и производственных линий до транспортных сетей и водоочистных сооружений. Но по мере развития этих систем они также сталкиваются с нарастающей угрозой: кибератаками.

В компании Eviden, бизнесе группы Atos, мы воочию убедились в том, как устаревшие среды OT, зачастую спроектированные десятилетия назад, когда главным приоритетом было время безотказной работы, а не безопасность, теперь оказались в опасности. Перенесемся в сегодняшний день, когда те же промышленные системы становятся все более взаимосвязанными и все сильнее интегрируются с IT-сетями. Это означает, что их уязвимость перед киберугрозами растет экспоненциально.

Растущая угроза для критической инфраструктуры

Мы прошли этап вопросов «а что, если?». Реальные киберинциденты уже приводили к сбоям на автомобильных заводах, отмене авиарейсов, остановке производства в горнодобывающей и пищевой промышленности и даже к физическому повреждению оборудования.

Это не единичные инциденты. Согласно последним прогнозам исследований, к 2027 году из-за кибератак на OT произойдет более 15 000 промышленных отключений. Мы ожидаем увеличения числа атак на OT на 9900% в период с 2022 по 2027 год*.

Атаки на OT: настоящее и будущее

+9900%

Темпы роста

числа атак на OT в период с 2022 по 2027 год. Согласно руководству по рынку кибербезопасности OT от Gartner.

15 000

Промышленных отключений

в результате атак на OT ожидается к 2027 году. Согласно ежегодному отчету об угрозах ICSStrive, 2023 г.

74%

Доля атак на OT

с коммерческой подоплекой. Согласно руководству по рынку кибербезопасности OT от Gartner.

Рис. 1. Прогнозы безопасности на 2027 год

Почти 3 из 4 подобных инцидентов безопасности, связанных с OT, имеют финансовую мотивацию. Будь то программы-вымогатели, саботаж или кража данных, злоумышленники также используют те же инструменты и методы, которые применяются при атаках на IT, но против инфраструктуры, где время простоя может иметь гораздо более серьезные последствия.

Соответствие нормативным требованиям

Правительства и регулирующие органы обращают на это внимание. Такие стандарты, как IEC 62443, Директива ЕС NIS2 и готовящийся к принятию Закон о киберустойчивости (CRA), теперь возлагают четкие обязательства по кибербезопасности на операторов жизненно важных услуг. К ним относятся управление рисками, отчетность об инцидентах и обеспечение безопасности систем на протяжении всего их жизненного цикла. Что общего у всех этих концепций? Фокус на идентификации, аутентификации и защищенной связи. Кратко говоря: если устройство не может доказать свою надежность, ему не место в сети.

Именно здесь в игру вступают цифровые идентификаторы.

Цифровые идентификаторы: основа безопасности OT

Каждое устройство в сети OT нуждается в цифровом идентификаторе: криптографическом сертификате, привязанном к паре открытого и закрытого ключей. Этот идентификатор обеспечивает зашифрованную связь, взаимную аутентификацию и проверку целостности данных между системами. Представьте себе цифровой паспорт. Если у вашего регулирующего клапана, ПЛК или датчика его нет, ему нельзя позволять «путешествовать» по вашей сети.

Но вот в чем проблема: развертывание и управление этими цифровыми идентификаторами в промышленных масштабах — сложная и ресурсоемкая задача.

Ручные процессы. Запутанные процессы.

В настоящее время многие среды OT по-прежнему полагаются на ручные процессы при подключении и управлении цифровыми сертификатами. Управление доставкой, регистрация устройств и установка сертификатов часто включают в себя ведение бумажных журналов и использование инженерных рабочих станций на объекте. Хуже того, когда срок действия сертификата истекает (обычно через два года), это может привести к критическим сбоям в работе сервисов из-за неудачной аутентификации.

Ограниченный удаленный доступ и необходимость физического вмешательства означают, что продление сертификатов превращается в дорогостоящий и чреватый ошибками процесс. Операционные группы и так работают на пределе возможностей, а глобальная нехватка опытных специалистов по кибербезопасности OT только усугубляет ситуацию.

Должен существовать лучший путь.

Автоматизация безопасности в масштабе

Автоматизированное подключение (Zero Touch Onboarding, ZTO) предлагает современное масштабируемое решение этих проблем. Автоматизируя процесс назначения цифровых идентификаторов и управления ими, ZTO устраняет необходимость ручного вмешательства, ускоряя развертывание и снижая риск человеческой ошибки.

С помощью ZTO новые устройства могут безопасно подключаться к сети без необходимости их ручной настройки или проверки техническим специалистом. Используя стандартизированные протоколы, такие как BRSKI, EST и FIDO Device Onboarding (FDO), устройства проходят аутентификацию и автоматически получают сертификаты. Это формирует основу для зашифрованной связи и долгосрочного управления идентификацией.

Рис. 2. Рабочий процесс устройства от производителя до целевого объекта

Преимущества для операторов и производителей

Для операторов

Резко сокращенное время подключения
Более низкий риск неправильной конфигурации или истечения срока действия сертификатов
Упрощенное соблюдение нормативных требований, таких как IEC 62443 и NIS2
Повышенное время безотказной работы и сокращение эксплуатационных расходов

Для производителей

Устройства, готовые к ZTO, что делает их более привлекательными для клиентов
Повышение удовлетворенности клиентов и лояльности к бренду
Упрощенные процессы поддержки и интеграции

Внедряя технологии ZTO, производители позиционируют себя как лидеров в области безопасных промышленных решений, готовых к будущему.

Подготовка устройств OT к работе с ZTO

К сожалению, многие существующие устройства IoT и OT пока не совместимы со стандартами ZTO. Но есть простой путь решения этой задачи: ZTO Client от Eviden.

ZTO предлагает комплексный набор продуктов и услуг ZTO:

Eviden ZTO Client — легко встраивается в устройства для обеспечения их совместимости с ZTO
Eviden Manufacturer Authorized Signing Authority (MASA) — выдает первоначальные идентификаторы на этапе производства
Eviden Domain Registrar — обеспечивает безопасную регистрацию и выдачу сертификатов на объекте

Эти инструменты созданы для работы с любой PKI, совместимой с X.509, и поддерживаются IDnomic PKI (открывается в новой вкладке), проверенной платформой Eviden для развертывания пользовательских инфраструктур открытых ключей. Обладая более чем 20-летним опытом, Eviden также предоставляет экспертные консультации, помогающие операторам и системным интеграторам масштабное внедрение решений ZTO.

Подготовьтесь к защите своей среды OT на будущее

Поскольку ландшафт киберугроз продолжает развиваться, операторы OT должны предпринять упреждающие шаги для защиты своей инфраструктуры. ZTO — это не просто техническое обновление, это стратегическое преимущество. Автоматизируя управление идентификацией, компании могут повысить устойчивость, снизить операционные расходы и обеспечить соответствие растущему набору нормативных требований в области кибербезопасности.

Независимо от того, являетесь ли вы оператором АСУ ТП, производителем устройств или системным интегратором, сейчас самое время узнать, что ZTO может сделать для вашего бизнеса.