UE zdecydowała się zaostrzyć i uregulować wymogi stawianie produktom, których dotyczy CRA, z oczywistego powodu – możliwość komunikacji sprawia, że stają się one łatwym celem cyberataków. Zatem, chociaż z jednej strony łączność ze światem zewnętrznym pozwala na rozszerzenie funkcjonalności danego sprzętu, np. o zdalne sterowanie, nadzór, serwis i aktualizacje, to z drugiej, stwarza nowe zagrożenia.
CRA jest też odpowiedzią na rzeczywisty problem – wiele incydentów cyberbezpieczeństwa można powiązać z lukami w zabezpieczeniach, które istniały w produktach jeszcze przed ich wdrożeniem, tymczasem odpowiedzialność za cyberbezpieczeństwo zwykle spoczywała głównie na ich właścicielu lub użytkowniku. Rozporządzenie zmienia ten stan rzeczy i nakłada nowe obowiązki na producentów.
Zgodnie z nim także od nich oczekuje się uwzględniania cyberbezpieczeństwa od etapu projektu produktu, przez nadzorowanie jego podatności na cyberataki, po zapewnienie aktualizacji zabezpieczeń oraz zgłaszanie incydentów w czasie jego użytkowania. Luki w zabezpieczeniach muszą być zatem identyfikowane, zarządzane, komunikowane i usuwane w całym cyklu życia produktu.
UE, wprowadzając CRA, sygnalizuje ponadto, że odporność na cyberataki staje się fundamentalną cechą produktu, podobnie jak jego bezpieczeństwo, niezawodność, wydajność. Dbanie o cyberbezpieczeństwo nie kończy się wraz z dostawą produktu do odbiorcy – w praktyce pod wieloma względami to właśnie dopiero wtedy zaczyna się prawdziwa odpowiedzialność producenta.
WYZWANIA
Chociaż pozornie rozporządzenie o cyberodporności wydaje się być skierowane przede wszystkim do dostawców oprogramowania oraz producentów urządzeń konsumenckich, w rzeczywistości wytwórcy maszyn i komponentów automatyki też odczują jego wpływ. Wynika to stąd, że nie są one już izolowane od świata zewnętrznego, a coraz częściej możliwość komunikacji ma wpływ na ich funkcjonalność oraz warunkuje prawidłowe działanie – łączności z siecią wymagają m.in.: ich zdalna obsługa i nadzór, konserwacja predykcyjna, zbieranie danych o wydajności, korzystanie z usług w chmurze, zdalne pobieranie aktualizacji oprogramowania. Funkcje te zapewniają realną wartość biznesową, ale zarazem, jak się okazuje, nakładają na producentów nowe obowiązki w zakresie cyberbezpieczeństwa, wykraczające poza to, do czego dotychczas byli zobligowani.
Zadania producentów i właścicieli
Można zadać pytanie, dlaczego właściciele maszyn powinni polegać na producentach maszyn w zakresie usuwania luk w zabezpieczeniach?
Przede wszystkim zauważmy, że chociaż często właściciele zakładają, że mogą sami rozwiązać problem, w praktyce rzadko jest to proste. W przeciwieństwie bowiem do konsumenckich systemów komputerowych, maszyny przemysłowe stanowią nieporównywalnie bardziej złożone konstrukcje, pod względem zarówno sprzętowym, jak i programowym. Dlatego w zakresie określenia wpływu luk w zabezpieczeniach na cyberbezpieczeństwo urządzenia oraz odpowiedniej strategii ich usuwania lepiej zdać się na producenta, znającego dane urządzenie od podszewki. Nałożenie dodatkowych obowiązków w tym zakresie na producentów w rozporządzeniu dotyczącym cyberodporności stanowi dowód na słuszność tego założenia.
Zgodnie więc z CRA, to od producentów oczekuje się zrozumienia charakterystyki cyberbezpieczeństwa ich maszyn w całym cyklu życia, w tym oceny luk w zabezpieczeniach, opracowania środków zaradczych i udzielania wskazówek klientom. Nawet jeśli dostępna jest aktualizacja zabezpieczeń, jej wdrożenie wymaga testowania, walidacji, kontroli zgodności i planowania operacyjnego – zastosowanie poprawki bez zrozumienia jej potencjalnego wpływu na działanie maszyny może bowiem samo w sobie inicjować ryzyko.
W ten sposób zatem tworzy się model współodpowiedzialności: producenci maszyn odpowiadają za zrozumienie ich specyfiki i opracowanie odpowiednich środków zaradczych dla luk w zabezpieczeniach, a po stronie właścicieli leży odpowiedzialność za wdrażanie zalecanych działań i ich koordynację w ramach własnych możliwości operacyjnych. W miarę jak maszyny przemysłowe stają się coraz bardziej skomunikowane, ta współpraca staje się jeszcze ważniejsza.
Z faktu, że CRA wymaga od producentów dbania o cyberbezpieczeństwo w całym cyklu życia produktu, dla wytwórców maszyn wynikają praktyczne wyzwania z kilku powodów. Najważniejsze z nich to: długa żywotność maszyn, utrudnione aktualizacje, złożone łańcuchy dostaw. Jeśli chodzi o tę pierwszą, to należy się liczyć z tym, że wyposażenie hal produkcyjnych może pozostać w użyciu przez dziesięć, piętnaście, a nawet dwadzieścia lat, co oznacza że jeszcze długo po wdrożeniu producent będzie odpowiadał za jego cyberbezpieczeństwo.
W kwestii aktualizacji trzeba mieć świadomość, że w przeciwieństwie do konsumenckich systemów komputerowych, maszyny nie zawsze można natychmiast zaktualizować – dostępne okna czasowe w praktyce są zwykle ograniczone harmonogramami produkcji, względami bezpieczeństwa, lokalną specyfiką zakładu. Ponadto, maszyny zbudowane są z wielu podzespołów i mogą korzystać z różnego oprogramowania, a jedne, jak i drugie pochodzą nieraz od różnych poddostawców. Zrozumienie, w których z nich mogą wystąpić luki w zabezpieczeniach i jak będą one wpływać na pracę maszyn jako całości, staje się zatem coraz trudniejsze wraz ze wzrostem złożoności konstrukcyjnej.
STANDARDY CYBERBEZPIECZEŃSTWA
Stale też pojawiają się nowe zagrożenia i wprowadzane są nowe przepisy, więc samodzielne rozeznanie się w tych wymaganiach może być trudne. Dlatego za punkt odniesienia warto przyjąć normy międzynarodowe. Zapewniają one wspólne ramy dla projektowania, wdrażania oraz utrzymywania bezpiecznych systemów przemysłowych. Zamiast opracowywać praktyki cyberbezpieczeństwa od podstaw, producenci mogą zatem opierać się na ugruntowanych wytycznych opracowanych przez ekspertów branżowych, innych producentów i organy regulacyjne.
Przykładem jest norma IEC 62443, która dotyczy w szczególności systemów automatyki przemysłowej i sterowania, w tym takich zagadnień, jak bezpieczny rozwój produktów, architektura systemów, kontrola dostępu, zarządzanie ryzykiem oraz bezpieczeństwo w cyklu życia. O ile więc przepisy takie, jak CRA, ustanawiają obowiązki prawne, to normy, w rodzaju IEC 62443, dostarczają praktycznych wskazówek, jak je spełnić. Ponadto powoływanie się na uznane normy pomaga zachować spójność w komunikacji między producentami, właścicielami maszyn, integratorami systemów i specjalistami w zakresie bezpieczeństwa.
W rozporządzeniu CRA można się też wielokrotnie natknąć na wymóg, by producenci wdrażali „najnowocześniejsze” (state of the art) praktyki cyberbezpieczeństwa. To rodzi pytanie, co to tak naprawdę oznacza w rzeczywistości. By spróbować to wyjaśnić, na wstępie warto przypomnieć, że tradycyjnie zarządzanie lukami w zabezpieczeniach w warunkach przemysłowych często ma charakter reaktywny. Luka jest wykrywana, użytkownicy są powiadamiani i rozpoczynają się działania naprawcze. Chociaż takie podejście może być jak na razie wystarczające, w przyszłości nowoczesne maszyny, coraz bardziej zależne od podłączenia do sieci, wymagać będą bardziej ustrukturyzowanego podejścia. W związku z tym, stosując wymagane najnowocześniejsze podejście do zarządzanie lukami w zabezpieczeniach, warto respektować kilka zasad.
NAJLEPSZE PRAKTYKI
Przede wszystkim producenci muszą rozumieć, na jakim oprogramowaniu, firmware, systemach operacyjnych czy bibliotekach opierają się ich produkty. Bez tego trudno określić, czy nowo ujawniona luka w zabezpieczeniach wpływa na już wdrożone maszyny. Ponadto wymagany jest zorganizowany, powtarzalny proces monitorowania ujawnień luk w zabezpieczeniach, oceny potencjalnego wpływu i priorytetyzacji działań naprawczych. Nie każda luka w zabezpieczeniach wymaga bowiem takiej samej reakcji – niektóre mogą stanowić minimalne ryzyko w określonej architekturze maszyn, podczas gdy inne powodują konieczność natychmiastowego działania. Pozwala to na osiągnięcie kompromisu między zachowaniem ciągłości produkcji a obawami o cyberbezpieczeństwo.
Ważna jest też komunikacja – klienci oczekują od swoich dostawców przejrzystości w zakresie zagrożeń cyberbezpieczeństwa i planów naprawczych. Producenci zatem muszą wypracować sprawne mechanizmy informowania klientów o lukach w zabezpieczeniach, dostępnych sposobach ich ograniczenia i zalecanych działaniach. Istotna jest również możliwość dostarczenia poprawki bezpieczeństwa – ta, której nie można sprawnie wdrożyć, ma w praktyce ograniczoną wartość. Dlatego po stronie producenta leży zaplanowanie i zorganizowanie tego, w jaki sposób aktualizacje oprogramowania, zmiany konfiguracji i poprawki zabezpieczeń mogą być dostarczane w całym cyklu życia produktu.
UWAGA NA ZDALNY DOSTĘP
Tradycyjnie podejście, wymagające wizyty na miejscu technika, który ocenia problem, wdraża aktualizacje, weryfikuje funkcjonalność i dokumentuje wyniki, choć skuteczne, jest trudne do skalowania i niepraktyczne – w sytuacji gdy przestoje w produkcji są kosztowne, zasoby serwisowe pozostają ograniczone, a maszyny do zaktualizowania zostały rozproszone w wielu zakładach, regionach, a nawet na wielu kontynentach.
Alternatywą jest więc zdalne wdrażanie działań naprawczych, bez konieczności wizyt na miejscu. Prawidłowo zrealizowane, pozwoli producentom oceniać, rozwiązywać problemy, konfigurować i aktualizować podłączone maszyny na odległość. W ten sposób mogą oni szybciej zareagować na zagrożenia cyberbezpieczeństwa i zniwelować je bez wpływu na przebieg produkcji.
Trzeba przy tym pamiętać, że sam proces usuwania luk w zabezpieczeniach nie może stwarzać nowych zagrożeń cyberbezpieczeństwa. By to zagwarantować, w usługach zdalnych przestrzega się takich zasad, jak brak dostępu niejawnego (każde połączenie jest weryfikowane), ograniczenie dostępu do niezbędnego minimum, zapewnienie pełnej widoczności zdarzeń podczas sesji zdalnej, wreszcie wprowadzenie kontroli dostępu na poziomie maszyny, polegającej na tym, że uprawnienia są ograniczone do poszczególnych zasobów. Te mechanizmy gwarantują, że dostęp zdalny pozostaje ukierunkowany, transparentny i zgodny z wymaganiami cyberbezpieczeństwa.
Monika Jaworowska
