Hệ thống điều khiển công nghiệp đang bị tấn công

Đã qua rồi cái thời của cơ sở hạ tầng và mạng lưới công nghiệp hoạt động ở những "hòn đảo tự động hóa" cô lập. Ngày nay, gần như mọi hệ thống mạng hoặc môi trường sản xuất quan trọng đều phải chịu rủi ro về an ninh mạng khi tính liên kết giữa các mạng CNTT và OT tăng lên. Vào tháng 8 năm 2018, nhà sản xuất chất bán dẫn lớn nhất thế giới, Công ty sản xuất chất bán dẫn Đài Loan (TSMC), đã buộc phải đóng cửa dây chuyền sản xuất để đối phó với cuộc tấn công bằng ransomware và thiệt hại gần 86 triệu đô la Mỹ trong 45 giờ. Vào tháng 3 năm 2019, một trong những nhà sản xuất nhôm lớn nhất thế giới, Hydro Norsk, đã trở thành mục tiêu của một cuộc tấn công bằng ransomware chuyên nghiệp và thiệt hại khoảng 35 triệu đô la Mỹ chỉ trong một tuần.

Với khả năng kết nối cao hơn, khả năng tiếp xúc nhiều hơn với các mối đe dọa mạng. Thập kỷ qua đã chứng kiến nhiều sự cố an ninh mạng về công nghệ vận hành (OT) và hệ thống điều khiển công nghiệp (ICS) hơn bao giờ hết.

Table: Một số sự cố mạng lớn trong thập kỷ qua

Chiến trường

Nếu chúng ta xem xét kỹ mục tiêu của các cuộc tấn công này, có hai loại ngành công nghiệp nổi lên: sản xuất và cơ sở hạ tầng.

Sản xuất bao gồm các công ty lớn như TSMC và Hydro Norsk, cả hai đều đóng vai trò quan trọng trong chuỗi cung ứng toàn thế giới. Hậu quả của các cuộc tấn công mạng vào ngành sản xuất quan trọng vượt xa lợi nhuận doanh nghiệp cho tổ chức đó. Trên thực tế, bản thân chuỗi cung ứng toàn cầu có thể bị phá vỡ chỉ bằng một cú nhấp chuột hoặc nhấn phím.

Cơ sở hạ tầng quan trọng bao gồm các tiện ích cho hoạt động năng lượng, nước và giao thông vận tải của toàn quốc gia. Nếu cơ sở hạ tầng của một quốc gia bị ngừng hoạt động do một cuộc tấn công mạng, có thể có tác động tàn khốc đối với cuộc sống con người và môi trường. Ví dụ, một cuộc tấn công mạng vào một trạm biến áp điện của Ukraine vào năm 2016 đã khiến hơn 200.000 người chìm trong bóng tối tới 6 giờ vào giữa mùa đông.

Giải quyết vấn đề trên tất cả các mặt trận

Khi mạng OT / ICS không còn bị cô lập khỏi các cuộc tấn công mạng, câu hỏi tiếp theo là: làm thế nào để chúng ta bảo vệ cơ sở hạ tầng quan trọng và hệ thống sản xuất khỏi mối đe dọa ngày càng tăng của các cuộc tấn công mạng? Rõ ràng là không có câu trả lời đơn giản. Thay vào đó, giải pháp này yêu cầu tất cả các bên liên quan trong khu vực công và tư nhân phải cam kết lâu dài đối với tất cả các khía cạnh của an ninh mạng.

Chúng tôi xem xét sáu cách mà khu vực công và tư nhân có thể bảo vệ các mạng công nghiệp.

Đẩy mạnh khu vực công

Các chính phủ trên thế giới đã trở thành một trong những nhân tố chính thúc đẩy cải thiện an ninh mạng trong các mạng OT / ICS trong những năm gần đây.

• Vào năm 2018, chính phủ Hoa Kỳ đã thành lập Cơ quan An ninh mạng và Cơ sở hạ tầng để bảo vệ cơ sở hạ tầng quan trọng và các nguồn lực thiết yếu của quốc gia2.
• Vào năm 2018, cơ quan lập pháp bang California đã thông qua luật mới, SB-327, luật này yêu cầu các nhà sản xuất thiết bị IoT cung cấp các tính năng bảo mật phù hợp để bảo vệ quyền riêng tư của người dùng và dữ liệu của người dùng được lưu trữ và thu thập trên thiết bị của họ3.
• Năm 2018, Ủy ban Châu Âu đã thông qua Đạo luật An ninh mạng nhằm tăng cường khả năng của Cơ quan An ninh Mạng và Thông tin Liên minh Châu Âu (ENISA) 4.
• Năm 2019, Chính phủ Trung Quốc đã phát hành phiên bản mới của Đề án Bảo vệ Đa cấp, được gọi là MLPS 2.0, mở rộng phạm vi điều chỉnh của luật an ninh mạng từ hệ thống thông tin truyền thống đến hệ thống thông tin quan trọng, hệ thống kiểm soát công nghiệp và Internet of Things .

Các trình điều khiển khu vực tư nhân

Bất chấp sự cạnh tranh trong kinh doanh, người dùng OT và các nhà cung cấp giải pháp trong khu vực tư nhân cũng đã thành lập các hiệp hội và liên minh khác nhau để phát triển các phương pháp bảo mật tốt nhất.

• Vào năm 2019, Hiệp hội Tự động hóa Quốc tế (ISA) đã khởi xướng Liên minh An ninh mạng Toàn cầu (GCA) để thảo luận về cách giải quyết các mối đe dọa mạng trong bối cảnh xu hướng hội tụ CNTT / OT đang diễn ra.
• Cũng trong năm 2019, Liên minh An ninh mạng Công nghệ (OTCSA) được thành lập để cung cấp các hướng dẫn toàn diện về an ninh mạng. Các thành viên bao gồm các nhà khai thác OT, chẳng hạn như ABB và Wärtsilä, cùng với các nhà cung cấp giải pháp CNTT / OT, chẳng hạn như Check Point, Microsoft và Qualys6.

Các tiêu chuẩn và nguyên tắc mở

• IEC 62443

Cho đến gần đây, các nhà cung cấp giải pháp khu vực tư nhân đã liên kết với nhau xung quanh các tiêu chuẩn IEC 62443 về khả năng bảo mật cho các thành phần hệ thống điều khiển. Các tiêu chuẩn cung cấp một khuôn khổ linh hoạt để giải quyết các lỗ hổng an ninh mạng hiện tại và tương lai trong các hệ thống điều khiển tự động hóa công nghiệp.

• Báo cáo IISF

Hiệp hội Internet Công nghiệp (IIC) cũng xuất bản “Báo cáo Khuôn khổ An ninh Internet Công nghiệp (IISF)”, tập hợp trí tuệ chung của hơn 25 công ty và tổ chức học thuật trên khắp thế giới để cung cấp các hướng dẫn chuyên sâu về các ngành khác nhau.

An ninh mạng là tương lai của OT / ICS

Như đã đề cập, số lượng sự cố an ninh mạng ngày càng tăng liên quan đến cơ sở hạ tầng và sản xuất quan trọng trong những năm gần đây, cần có một nỗ lực phối hợp để đảm bảo an toàn ở hiện tại và trong tương lai. Xét cho cùng, nếu chúng ta không giải quyết được những lo ngại về an ninh mạng đối với các mạng OT / ICS, thì không có AI hoặc dữ liệu lớn nào có thể giúp chúng ta đạt được chuyển đổi kỹ thuật số. Các chính phủ và các nhà cung cấp giải pháp khu vực tư nhân trên toàn thế giới đã nhận ra tính cấp thiết của vấn đề này và đang làm việc cùng nhau để thúc đẩy chương trình nghị sự về an ninh mạng trong toàn bộ ngành OT / ICS. Việc thâm nhập an ninh mạng vào DNA của OT / ICS đòi hỏi nhiều hơn là áp dụng một ứng dụng phần mềm hoặc máy mới trên mạng công nghiệp của bạn. An ninh mạng cần được gắn liền với mọi khía cạnh của mỗi tổ chức.

Để tìm hiểu thêm về cách các lực lượng từ chính phủ và tư nhân có thể bảo vệ các mạng công nghiệp, vui lòng tải xuống white paper.

1 For more information, download the Moxa white paper: Industrial Network Cybersecurity: Debunking the Myths and Adopting Best Practices

2 https://www.us-cert.gov/about-us

3 https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=201720180SB327

4 https://ec.europa.eu/digital-single-market/en/news/cybersecurity-act-strengthens-europescybersecurity

5 https://isaautomation.isa.org/cybersecurity-alliance/

6 https://otcsalliance.org/

7 https://www.iiconsortium.org/IISF.htm