Aby pomóc w uzyskaniu informacji i doświadczeń, którymi dysponuje Tripwire, przeprowadzamy wywiady „jeden na jeden” z kilkoma ekspertami z firmy Tripwire. Być może widziałeś nazwiska niektórych z nich na blogu przemysłowym Belden w ciągu ostatnich kilku lat, ale w tej nowej serii chcemy zapewnić bardziej bezpośredni wgląd w zakres kompetencji każdego eksperta. Każdy z nich omówi swoje własne poglądy na temat obecnego stanu cyberbezpieczeństwa w środowisku przemysłowym. Dowiesz się więcej o tym, jak pracowali z klientami przemysłowymi Belden, aby zwiększyć bezpieczeństwo sieci i zoptymalizować czas pracy w dzisiejszym wymagającym środowisku przemysłowym.
Ostatnim razem rozmawialiśmy ze Randy’m Esserem. W dzisiejszym wywiadzie przepytujemy eksperta od cyberbezpieczeństwa – Roberta Landavazo. Zachęcamy do zadawania Robertowi pytań lub rozpoczęcia rozmowy przez wysłanie wiadomości e-mail na adres rlandavazo@tripwire.com. On i wszyscy jego współpracownicy z Tripwire i Belden są zawsze do twojej dyspozycji.
Jesteś relatywnie nowy w Tripwire; gdzie byłeś przed dołączeniem do firmy?
Ostatnio pracowałem w zakładzie elektrycznym w zachodnich Stanach Zjednoczonych, gdzie powierzono mi pomoc w optymalizacji postawy bezpieczeństwa cybernetycznego w ich obiektach. Właściwie to właśnie tam poznałem produkty Tripwire. Użyliśmy pakietu produktów Tripwire do zapewnienia bezpieczeństwa i zgodności z NERC CIP, w tym Enterprise, Log Center, IP360 oraz kilku aplikacji i rozszerzeń. Bardzo na tym skorzystaliśmy i muszę przyznać, że stałem się wielkim fanem tych narzędzi i ich możliwości. Kiedy więc miałem okazję dołączyć do Tripwire, nie wahałem się. To było dla mnie bardzo satysfakcjonujące, mieć sposobność sprawdzenia możliwości tych produktów i pomóc naszym klientom osiągnąć sukces w bardzo podobny sposób, jak moi koledzy i ja robiliśmy to na wcześniejszych stanowiskach.
Jeśli chodzi o to, co sprowadziło mnie do tego zakładu, wcześniej zajmowałem się bezpieczeństwem publicznym dla władz państwowych i samorządowych, pomagając zarządzać 911 i innymi komunikacjami w sytuacjach awaryjnych. To właśnie tam zasmakowałem popytu na bardzo wysokie poziomy uptime - 99,999999 a nawet lepiej. I właśnie to zainteresowało mnie w usługach użyteczności publicznej, ponieważ mają zapotrzebowanie na uptime na jeszcze większą skalę, więc jest to prawdziwe wyzwanie. A teraz jestem w organizacji, która może pomóc przemysłom wszelkiego rodzaju osiągnąć wysoki poziom produktywności – w produkcji, transporcie, przemyśle ropy i gazu itp. A stawka jest wysoka - wszystkie te branże mają styczność z mieszanką problemów biznesowych, problemów środowiskowych, problemów związanych z wyposażeniem, problemów związanych z bezpieczeństwem i innych, które mogą zaważyć na bezpiecznej i niezawodnej eksploatacji. Jestem tu już od ponad roku i czuję się świetnie.
Więc dołączyłeś do Tripwire po tym, jak Tripwire stał się częścią Belden?
Tak, i myślę , że to było bardzo odpowiednia pora . Nawet poza doskonałymi produktami mogłem powiedzieć, że kultura mojej nowej firmy była ekscytująca i energetyzująca. Ludzie byli bardzo entuzjastyczni. Belden, dzięki ponad 100-letniemu doświadczeniu w branży przemysłowej, umożliwił Tripwire - z 20-letnim doświadczeniem w dziedzinie bezpieczeństwa cybernetycznego - łatwy powrót do środowisk przemysłowych i dostarczenie sprawdzonych rozwiązań w zakresie bezpieczeństwa cybernetycznego na arenę, która właśnie dla nich płonęła. To był nowy rozdział dla środowiska przemysłowego i nowy rozdział dla Tripwire, a więc bardzo ekscytujący czas, aby być częścią obu.
Jak wygląda postawa bezpieczeństwa cybernetycznego w tych obiektach przemysłowych w porównaniu z zakładami użyteczności publicznej?
Cóż, zakłady użyteczności publicznej miały wiszące nad nimi agencje regulacyjne, grożące grzywną w wysokości miliona dolarów dziennie. To zmusiło ich do agresywności i proaktywności oraz poświęcenia zasobów potrzebnych do poruszania się wciąż naprzód. Organizacje przemysłowe nie mają tego "bodźca". W rzeczywistości uważam, że rozsądne jest stwierdzenie, że na wiele sposobów dzisiejsze organizacje przemysłowe stoją przed wyzwaniami podobnymi do tego, jakie zakłady użyteczności publicznej mogły napotkać 7-8 lat temu. Pod wieloma względami zaczynają od zera podróż do cyberbezpieczeństwa. A fakt, że organizacje przemysłowe nie są "zmuszane" do ochrony jak zakłady użyteczności publicznej, jest w najlepszym wypadku mieszanym błogosławieństwem. Muszą one stworzyć uzasadnienie biznesowe dla wdrażania cyberbezpieczeństwa. Mówią: „Co jest moją ROI?” I jest to trudne do oszacowania. Jednak najlepszą odpowiedzią jest sugestia, że należy patrzeć na to, co oznacza dla nich koszt przestoju, łącznie z utratą dochodu, zmarnowanymi materiałami, robocizną, nieobsłużonymi terminami i tak dalej. Wielodniowy incydent może z łatwością kosztować miliony dolarów w niektórych branżach i zawsze jest to wiele, wiele tysięcy. I szczerze mówiąc, szansa na naruszenie jest niemalże pewna w tym momencie - to zdecydowanie kwestia "nie „jeśli”, tylko „kiedy”." Więc jeśli koszt ochrony jest o wiele mniejszy niż koszt nawet jednego krótkiego przestoju, to wydaje się, że ROI może być dość atrakcyjny. Kierownictwo to widzi.
Czy ludziom w tych środowiskach przemysłowych nie wydaje się, że na pewno nie będą celami, mówiąc: "to jest problem IT, a nie problem OT?"
Nadal można to zaobserwować, ale incydenty oprogramowania typu "WannaCry" sprawiły, że większość ludzi zdaje sobie sprawę, że wszystkie sieci są podatne na zagrożenia, czy to przemysłowe OT, czy biznesowe IT. Ewolucja tego pobożnego życzenia to ludzie z OT, którzy mówią: "cóż, jesteśmy małą firmą przemysłową, nie musimy się martwić. Pewnie wybiorę duże firmy przemysłowe."Ale duże firmy przemysłowe są w większości bardzo dobrze chronione, więc wiele średnich i małych firm przemysłowych stało się łatwym celem dla hakerów. Są dla hakerów czymś w rodzaju "rozgrzewki”, kiedy mogą doskonalić swoje umiejętności przed prawdziwym wyzwaniu i siać spustoszenie w czyimś biznesie bez namysłu.
Kiedy odwiedzasz te obiekty przemysłowe, jakie luki w zabezpieczeniach cybernetycznych są największe i co mogą zrobić, aby w prosty sposób się chronić?
To naprawdę powrót do podstaw. Podobnie jak wiele razy widzimy niezabezpieczoną łączność między sieciami biznesowymi a sieciami zakładów. I oczywiście to jest ogromne NIE-NIE. Dlatego tak ważna jest segmentacja sieci. Zabezpieczanie dostępu zdalnego to kolejny typowy problem. Coraz więcej zewnętrznych dostawców otrzymuje dostęp do pracy na PLC lub innym urządzeniu za pośrednictwem oprogramowania innej firmy. To może być cenne, ale otwiera także ogromną lukę, jeśli nie zostanie zrobione bezpiecznie. Niechęć do poprawiania i aktualizowania oprogramowania może również prowadzić do problemów. W środowisku zakładowym ludzie nie chcą poświęcać czasu na zatrzymanie sprzętu działającego 24 godziny na dobę, 7 dni w tygodniu w celu aktualizacji. Powoduje to, że nawet powszechnie stosowane fragmenty oprogramowania, takie jak darmowy czytnik pdf umieszczony na interfejsie HMI, mogą powodować problemy. Widziałem ludzi z wersjami, które mogą mieć wiele lat, ponieważ nigdy ich nie poprawiali i przez to mogą być narażeni. Jeśli technik przyniesie laptopa z zainfekowaną instrukcją i otworzy go przy użyciu niechronionego, przestarzałego czytnika PDF, sieć może zostać zainfekowana. Na szczęście wszystkie te typowe sytuacje są stosunkowo łatwe do naprawienia. Na przykład, możesz utrzymywać urządzenie w ruchu 24/7 i chronić go za pomocą firewalla ograniczającego, który pomoże w znacznym stopniu, nawet jeśli nie będziesz aktualizował oprogramowania i będzie on aktualny, więc możesz mieć ciastko i zjeść ciastko.