OT vs. IT

Doteraz sme sa na blogu venovali najmä bezpečnosti bežného firemného IT — e-mailu, SharePointu, zariadení a prístupov. Existuje však ďalšia kategória technológií, ktorá funguje podľa úplne iných pravidiel: prevádzkové technológie (OT). Tento článok vysvetľuje, čím sa OT líši od IT a prečo sa v ňom aj základná bezpečnostná triáda CIA — dôvernosť, integrita, dostupnosť — obracia takmer naruby.

Čo je OT a čím sa líši od IT

OT (Operational Technology, prevádzkové technológie) je hardvér a softvér, ktorý priamo riadi alebo monitoruje fyzické zariadenia, procesy a udalosti — napríklad programovateľné logické automaty (PLC) na výrobných linkách, systémy SCADA v energetike, riadenie budov (kúrenie, výťahy, prístupové systémy) alebo zdravotnícke prístroje. Na rozdiel od IT, ktoré predovšetkým spracúva a prenáša dáta, OT priamo ovláda fyzický svet — otvára ventil, spúšťa motor, reguluje teplotu alebo tlak. Práve preto majú poruchy a útoky v OT bezprostredné fyzické, niekedy aj bezpečnostné (life-safety) dôsledky, nielen dátové — a útoky na priemyselné prostredia v posledných rokoch výrazne pribúdajú.

Triáda CIA v IT: dôvernosť, integrita, dostupnosť — v tomto poradí

Bezpečnosť IT sa tradične opiera o triádu CIA — dôvernosť (Confidentiality), integritu (Integrity) a dostupnosť (Availability), spravidla práve v tomto poradí dôležitosti. V IT je najčastejšie najvyššou prioritou ochrana dát pred neoprávneným prístupom — únik osobných údajov alebo obchodného tajomstva. Integrita, teda že dáta neboli neoprávnene zmenené, je druhou prioritou. Dostupnosť — teda že systém funguje a je prístupný — býva treťou, najnižšou prioritou: krátky výpadok e-mailového servera je nepríjemný, ale spravidla zvládnuteľný.

Prečo je poradie v OT iné: dostupnosť a integrita pred dôvernosťou

V OT sa toto poradie často úplne obracia — niekedy sa preto namiesto CIA hovorí o AIC:

• Dostupnosť je zvyčajne najvyššou prioritou — výrobná linka, elektrická rozvodňa alebo nemocničný prístroj musí bežať nepretržite; výpadok môže znamenať zastavenie výroby, výpadok elektriny pre tisíce domácností alebo priame ohrozenie zdravia a života.
• Integrita je druhou prioritou — ak riadiaci systém dostane nesprávny alebo zmanipulovaný príkaz, napríklad falošné údaje zo senzora, môže dôjsť k fyzickému poškodeniu zariadenia alebo nehode.
• Dôvernosť je v OT často najnižšou prioritou — únik technických parametrov výrobnej linky je spravidla menej kritický než jej zastavenie alebo nesprávna činnosť, hoci to neznamená, že sa dôvernosť úplne ignoruje.

Praktické dôsledky: záplaty, reštarty a zmeny

• Záplatovanie — v IT sa odporúča nasadzovať bezpečnostné záplaty čo najrýchlejšie. V OT sa záplata musí najprv dôkladne otestovať v neprodukčnom prostredí, pretože aj bezpečnostná aktualizácia môže spôsobiť neplánovaný reštart alebo nekompatibilitu so starším, špecializovaným hardvérom — a neplánovaná odstávka výroby môže napokon stáť viac, než riziko, ktoré mala záplata odstrániť.
• Reštarty — v IT je reštart servera bežná rutina. V OT môže reštart riadiaceho systému výrobnej linky alebo zdravotníckeho prístroja vyžadovať vopred naplánovanú odstávku, niekedy len raz za niekoľko mesiacov či rokov.
• Zmeny konfigurácie — v IT sa zmeny nasadzujú priebežne, v OT prechádzajú prísnym schvaľovacím procesom kvôli riziku fyzického poškodenia alebo bezpečnostného incidentu.

Životný cyklus zariadení a prostredie — ďalší rozdiel

IT systémy sa zvyčajne obmieňajú v rádoch rokov (3 až 5 rokov), zatiaľ čo OT zariadenia, napríklad riadiaci systém výrobnej linky, bývajú v prevádzke 10, 20 aj viac rokov — teda často na zastaraných, dnes už nepodporovaných operačných systémoch. Mnohé staršie OT zariadenia navyše boli navrhnuté výhradne pre spoľahlivosť a bezpečnosť prevádzky (safety), nie pre kybernetickú bezpečnosť, a pôvodne vôbec nepočítali s tým, že by boli pripojené do siete. V minulosti bývala OT sieť fyzicky oddelená od IT siete („air gap"); dnes sa čoraz viac prepája kvôli vzdialenému monitoringu a efektivite, čím sa OT vystavuje rovnakým hrozbám ako IT — bez toho, aby malo rovnaké bezpečnostné mechanizmy. Dôsledky útoku na OT môžu byť pritom fyzické a nezvratné — poškodené zariadenie, zastavená výroba, v krajnom prípade ohrozenie zdravia — zatiaľ čo dôsledky útoku na IT sú spravidla dátové a väčšinou napraviteľné, napríklad obnovou zo zálohy.

Prehľadové porovnanie: IT vs. OT

Ako pristupovať k zabezpečeniu OT v praxi

• Nekopírujte IT bezpečnostné postupy do OT bez úpravy — najprv treba pochopiť, čo dané zariadenie riadi a aké sú reálne dôsledky jeho výpadku.
• Segmentujte siete — jasne oddeľte OT sieť od IT siete, napríklad cez firewall alebo DMZ, aj keď úplný „air gap" už často nie je realistický.
• Uprednostnite monitorovanie bez zásahu — v OT sa preferujú pasívne monitorovacie nástroje, ktoré nezasahujú priamo do prevádzky a nemôžu ju narušiť.
• Dôkladne testujte zmeny v neprodukčnom prostredí ešte pred ich nasadením do OT.
• Nezabúdajte na fyzickú bezpečnosť — keďže OT ovláda fyzické zariadenia, súčasťou jeho ochrany je aj fyzický prístup k riadiacim panelom a zariadeniam.
• Zapojte do rozhodovania IT aj OT tím spoločne — keďže sa oba svety čoraz viac prelínajú, bezpečnostné rozhodnutia by sa nemali robiť oddelene.

OT a IT bezpečnosť nie sú dva rovnaké odbory s inými skratkami — riadia sa opačnou logikou priorít, pretože v OT ide v konečnom dôsledku o fyzický svet, nie len o dáta. Pochopenie tohto rozdielu je prvým krokom k tomu, aby firma pri prepájaní OT a IT prostredia nepreniesla do výroby alebo infraštruktúry bezpečnostné postupy, ktoré tam nepatria — alebo naopak, aby OT nezostalo bez ochrany len preto, že sa naň aplikovala IT logika, ktorá mu nevyhovuje.