Tietoturvan merkitys on korostunut teollisuusautomaation ylläpidossa
Teollisuusautomaation tietoturvaa on vuosien järjestelmällisellä työllä saatu huomattavasti parannettua. Nyt käytössä olevat tietoturvaratkaisut on kuitenkin useimmiten kohdennettu automaation elinkaaren alkupäähän varmistamaan, että automaatiojärjestelmän suunnittelu, toimitus ja käyttöönotto saadaan toteutettua mahdollisimman tietoturvallisesti.
Porvoon Energia, Tolkkisten Voimalaitos.
Automaatiossa elinkaaret ovat erittäin pitkiä, joten vaatimukset parempaan koko käyttöajan kattavaan tietoturvan huomioimiseen myös ylläpidon osalta ovat jatkuvasti kasvamassa. Näiden vaatimusten täyttäminen vaatii uusia innovatiivisia ratkaisuja sekä yhteistyötä useiden osapuolten kesken.
Useat teollisuuden tuotantolaitokset samoin kuin automaatiotoimittajatkin ovat jo pitkään tiedostaneet tietoturvan merkityksen yhtenä tärkeänä osana liiketoiminnan ja tuotannon varmistamista. Standardien ja tunnustettujen käytäntöjen kehitys automaation tietoturvan alueella ovat myös lisänneet vaatimuksia automaation tietoturvan nostamiseen.
Teollisuusautomaation tietoturvavaatimukset kasvussa
Koska julkisuudessa esiin tulleet vakavat tietoturvahyökkäykset ovat lisänneet edelleen yritysten johdon tietoisuutta, panostus tietoturvan kehitykseen on ollut jo pitkään kasvussa. Kansallisella tasolla varsinkin Huoltovarmuuskeskus on aktiivisesti ja pitkäjännitteisesti panostanut teollisuusautomaation tietoturvan kehitykseen liittyviin hankkeisiin sekä yhteistyön parantamiseen alan toimijoiden kesken.
Kehityksen tuloksena automaation tietoturvatasoa on saatu huomattavasti nostettua, mutta edelleen on vielä paljon tehtävää, jotta tietoturva jatkuvasti muuttuvassa maailmassa voidaan varmistaa myös tulevaisuudessa. Eräs tunnistetuista tietoturvaan liittyvistä kehityksen painopisteistä on automaatioympäristön pitkä ylläpitovaihe. Siihen vaaditaan työkaluja ja mekanismeja, joilla tietoturvan taso pystytään varmistamaan koko elinkaaren ajan nykyistä kattavammin ja kustannustehokkaammin.
Suuri osa käytössä olevista tietoturvaratkaisuista ja -mekanismeista on suunniteltu pääasiassa automaation elinkaaren alkuvaiheisiin, jolloin tyypillisesti voidaan tehdä huomattavasti syvällisempiä ja kuormittavampia tietoturvan varmistamiseen liittyviä toimenpiteitä kuin mitä tuotannon aikana on mahdollista toteuttaa. Tavoitteena onkin aikaansaada käyttökelpoisia ja kustannustehokkaita työkaluja ja mekanismeja, joilla tietoturva voidaan varmistaa tuotantovaiheen aikana vaarantamatta itse tuotantoa.
Pelkillä teknisillä ratkaisuilla näitä tavoitteita ei ole mahdollista saada aikaan, joten oleellisena osana kehitystä on huomioida myös tietoturvan ylläpitoon liittyvät erilaiset prosessit. Käytössä oleviin prosesseihin saatetaan vaatia muutoksia, joilla uudet ratkaisut otetaan käyttöön ja sovitetaan olemassaoleviin prosesseihin.
Käytännön toimenpiteet
Automaation tietoturvassa on käytössä useita hyviä ja vakiintuneita perusratkaisuja. Näistä esimerkiksi ympäristön kovennus (eli tarpeettomien ohjelmistojen ja palvelujen poisto), virustorjuntaohjelmiston käyttö ja tietoturvapäivitysten hallinta ovat edelleen tärkeitä tietoturvan varmistamisessa. Myös nykyaikaisempia ratkaisuja, kuten tunkeutumisenestojärjestelmät ja niin sanotut whitelisting-ratkaisut ( joissa on periaatteena, että ainoastaan määritellyt ohjelmistot ja palvelut sallitaan), on yhä yleisemmin käytössä. Nämä mekanismit on kuitenkin pääsääntöisesti tarkoitettu ainoastaan automaation suojaamiseen, ei antamaan käsitystä siitä, missä kunnossa automaatio ja automaation tietoturva on. Eräitä oleellisempia kehitystä vaativia alueita ovatkin tällä hetkellä automaation tietoturvatason todentaminen sekä automaation tilannetietoisuuden nostaminen.
Automaation tietoturvatason todentamisella tarkoitetaan työkaluja ja mekanismeja, joilla varmistetaan, että järjestelmän tietoturva on sillä tasolla, jolla sen tulisi olla – ja jolla sen oletetaan olevan. Tyypillisesti tämä varmistetaan järjestelmän toimitusvaiheessa, mutta koska tuotannossa mahdollisuus tehdä toimenpiteitä on huomattavasti rajatumpaa, ei kaikkia toimitusvaiheessa käytettäviä ratkaisuja enää tuotannossa voida käyttää. Tästä syystä tuotantovaiheeseen vaaditaan uudentyyppisiä ratkaisuja, joilla tietoturvatason todentaminen voidaan toteuttaa tarvittavin väliajoin tuotantoa vaarantamatta.
Tilannetietoisuus on tällä hetkellä yksi avainkäsitteistä automaation tietoturvasta keskusteltaessa. Automaatiojärjestelmä tarkkailee toki jo normaalistikin tuotantoprosessin tilaa, mutta tyypillisesti järjestelmä reagoi vain, jos määriteltyjen parametrien raja-arvot ylitetään.
Tilannetietoisuutta nostamalla pyritään saavuttamaan tilanne, jossa voidaan reaaliaikaisesti tarkastella automaation tilaa ja saada selville automaation normaalissa toiminnassa tapahtuvat poikkeamat ja muutokset, jolloin mahdollisesti tarvittavat korjaavat toimenpiteet voidaan välittömästi aloittaa. Tämän saavuttaminen vaatii sekä automaation monitoroinnin kasvattamista että parempia menetelmiä erilaisten loki- ja diagnostiikkatietojen älykkääseen yhdistelemiseen.
Tietoturvatietoisuuden nostossa voidaan mahdollisesti käyttää hyväksi myös ylemmän tason IT-järjestelmiä, esimerkiksi SIEM-järjestelmiä (tietoturvatapahtumien havannointijärjestelmä), joissa vastaavia ominaisuuksia käytetään hyväksi IT-verkon ylläpidossa. Nämä järjestelmät ovat kuitenkin raskaita ja kalliita, joten niiden käyttöönotto automaatioon vaatii sekä yrityksen johdon sitoutumista että suunnitelmallista yhteistyötä tuotantolaitoksella toimivien useiden eri osapuolten kesken.
Yhteistyön merkitys avainasemassa Teollisuuslaitoksella toimii useita eri osapuolia, joiden toiminnalla varmistetaan liiketoiminnan jatkuvuus. Laitoksen tietoturvaoperaattori, joko yrityksen oma IT-osasto tai ulkoistettu palveluntarjoaja, huolehtii laitoksen IT-ratkaisuista ja tietoliikenneverkoista tietoturva mukaan lukien. Ylemmän tason tietoturvaratkaisuja on mahdollisesti hankittu myös muilta toimittajilta, joilla on tällöin syvällisempi tietämys näistä ratkaisuista.
Teollisuuslaitoksen automaatio-osastolla on vastuu tuotannon toimimisesta, mutta tyypillisesti automaatio-osaston tietoturvatuntemus ei ole kovin syvällistä. Koska automaatio-osaston tärkein tehtävä on varmistaa tuotantoa, mahdolliset tietoturvaan liittyvät ilmoitukset eivät ole iso ongelma kunhan ne eivät vaaranna tuotantoa.
Automaatiotoimittajalla on syvällinen tietämys automaatiojärjestelmästä. Automaatiotoimittaja on pääsääntöisesti mukana myös automaation ylläpidossa ja toimii tällöin tiiviissä yhteistyössä myös laitoksen automaatio-osaston kanssa.
Teollisuuslaitosten ympäristön koostuessa useista eri toimijoista ainoastaan eri toimijoiden hyvällä ja jatkuvalla yhteistyöllä voidaan kehittää ja saavuttaa riittävän kattavat tietoturvaratkaisut ja -mekanismit automaation tietoturvaan.
