До началото на август атакуващите бяха засегнали водоснабдителни системи в най-малко седем американски щата. ФБР и EPA заявиха, че проникналите лица са достъпили дистанционно свързани с интернет програмируеми логически контролери – малките промишлени компютри, които управляват помпи и клапани. Операторите са загубили мониторинг или контрол, а в някои случаи работата на съоръженията се е влошила. Федералните разследващи проучват възможни връзки със подкрепяни от Иран киберпрестъпници.
Програмите за сигурност на оперативните технологии (OT) са създадени за защита на контролери като тези. Охладителите (чилъри), пожарните панели, четците за баджове, асансьорите и камерите се намират едно ниво по-нагоре. Те контролират физическите условия и достъпа, а чилър, който спре да охлажда, изважда от строя сървърите, които е поддържал работещи.
Honeywell Technologies проучи 603 ръководители в областта на сигурността, риска и операциите в критичната инфраструктура през май и юни. Повечето от техните организации не наблюдават внимателно този слой, а тези с по-слаба видимост на активите по-често съобщават за продължителни прекъсвания на работата.
Малко програми наблюдават сградния слой
Само 16% от анкетираните непрекъснато наблюдават повече от три четвърти от своите системи за сградна автоматизация – софтуера, който управлява отоплението, охлаждането и осветлението в даден обект. За свързаните IoT устройства като камери и термостати делът е 20%. Непрекъснатият мониторинг означава, че нещо наблюдава трафика и поведението на устройството през цялото време, а не само по време на одит. В повечето организации в проучването голяма част от сградния слой остава поне частично извън този изглед.
Осемдесет и осем процента описват програмите си като планирани или ръководени от проектирането. Двадесет и един процента съобщават за пълен инвентар на активите, което означава пълен списък на това, което е свързано към техните мрежи. Една програма може да има план, бюджет и работещи взаимоотношения с ИТ и все пак да пропусне контролера на чилъра, който поддържа хладен локалния център за данни.
Знанието за това какво притежавате е свързано с по-бързо възстановяване
Най-значителните инциденти на анкетираните са довели до средно 16,2 часа престой. Анкетираните, които са преживели значителен инцидент, се разделят според наличието на инвентар. Сред тези с пълен или значителен инвентар, 42% са се върнали към нормална работа в рамките на шест часа. Сред тези с умерен, ограничен или без formalen инвентар, делът е 25%.
Приемайте тази разлика от 17 процентни пункта с едно наум. По-слабата група се състои от 91 анкетирани – малка база на фона на приблизително 350 в по-силната, а проучването показва корелация, а не доказателство, че инвентаризацията съкращава престоя. Организациите с добър инвентар на активите може просто да правят и много други неща добре. Все пак логиката е лесна за проследяване. Лице, реагиращо на инцидент, което не знае, че дадено устройство съществува, не може да го изолира, а такова, което не знае какво зависи от него, не може да предвиди какво ще се счупи при изключването му. Ако трябва да запомните едно нещо от данните, то е, че екипите, които са знаели какво притежават, са имали по-голям шанс да се възстановят бързо.
Статусът от одита не прогнозира кой ще бъде засегнат
Организациите, които са преминали успешно всеки одит за съответствие, съобщават за значителни инциденти с почти същия процент като тези с неуспехи или констатации – 74% спрямо 73%. Докладът е внимателен тук: резултатът не показва, че съответствието няма превантивна стойност, а само че статусът от одита не разграничава кои организации са претърпели инцидент. Организациите с чист одит са били по-уверени, че могат да се възстановят. Тестваните резервни копия, документираните процедури за реагиране и ясната отговорност се зачитат като доказателства при одит и също така помагат на екипа да възстанови системите под натиск.
Малцина от анкетираните се определят като напълно готови. Едва 31% твърдят това, а повечето от останалите се описват като предимно готови, което означава, че някоя част от плана не е внедрена или тествана. Остарялото оборудване е най-често посочваната пречка. Много наследствени контролери са създадени да работят изолирано и използват протоколи без автентификация или криптиране. Инсталирането на корекции за сигурност при тях може да означава планиран престой или обаждане на доставчика.
