Większość obaw związanych z podatnościami automatyki przemysłowej wiąże się z ryzykiem ingerencji z zewnątrz. Jednak nasze doświadczenia z projektów wdrożeń systemów cyberbezpieczeństwa w sieciach OT, także w oparciu o ustawę o Krajowym Systemie Cyberbezpieczeństwa wskazują, że znaczna część incydentów ma źródło wewnętrzne: awarie, niezamierzone zmiany, błędy konfiguracji, nieuwaga operatora. Należy założyć, że spodziewana nowelizacja ustawy o KSC będzie odzwierciedlała te obserwacje.
Już pierwsza dyrektywa NIS zaimplementowana w Polsce poprzez ustawę KSC kładła duży nacisk na analizę ryzyk i reagowania na incydenty w tym zakresie. A zatem ważne jest, by przygotowania do implementacji nowych przepisów, inwentaryzacje, analiza ryzyka, plany reagowania oraz wdrażane narzędzia monitorowania środowiska OT pozwalały równolegle zarządzać incydentami oraz wykrywać anomalie operacyjne wynikające z awarii czy błędów ludzkich (ciągłość działania).
Rozmawiając z decydentami (także na poziomie zarządu) o planowaniu bezpieczeństwa, należy podkreślać wagę obu grup źródeł zagrożeń oraz konieczność ich monitorowania i zapobiegania.
O ile coraz silniejsze jest przekonanie decydentów o konieczności wdrożenia systemów bezpieczeństwa w sieciach OT, to jednak projekty te często wzbudzają uzasadnione obawy. W wielu firmach infrastruktura OT jest przestarzała i jej integracja z nowoczesnymi systemami IT może się wiązać z dużym ryzykiem. Jest to jednak działanie coraz bardziej pożądane. Nie tylko ze względów bezpieczeństwa, ale także z powodu dążenia do coraz dalej posuniętej automatyzacji i zdalnego dostępu do systemów OT, koniecznego do obniżenia kosztów utrzymania infrastruktury.
Inna obawa wiąże się z tym, czy specjaliści IT, którzy otrzymują zadanie wsparcia kolegów automatyków w tym nowym dla nich zadaniu, rozumieją świat automatyki.
Zmiany czekają obie strony. W IT z pewnością są duże potrzeby edukacyjne i lekcja do odrobienia na temat tego, z czym zmierzą się, wchodząc do świata OT. Zespoły OT muszą być świadome konieczności dostosowania się do wymogów IT. Dodatkowo w firmach obarczonych wymogami dostosowania się do coraz większej liczby coraz bardziej restrykcyjnych regulacji na poziomie unijnym i krajowym konieczne jest jasne komunikowanie wsparcia dla zmian z poziomu zarządów.
Warto podkreślić, że środowiska OT wymagają innego rodzaju środków bezpieczeństwa, często o niższej skali złożoności w porównaniu do nowoczesnych technologii bezpieczeństwa IT. To sprawia, że zastosowanie znajdują przede wszystkim pasywne środki wykrywania incydentów, podczas gdy w IT fundamentem jest aktywna ingerencja w ruch sieciowy. Bardzo statyczny charakter architektur OT oraz bardzo powtarzalna zawartość ruchu sieciowego wpływają na prostszy charakter incydentów, które będziemy wykrywać także w bezpośredniej konsekwencji tego, jakie ryzyka zidentyfikujemy.
