Thách thức bảo mật mạng trong công nghệ điều khiển công nghiệp

Bảo mật mạng trong các hệ thống công nghệ điều khiển công nghiệp (OT) là một nhiệm vụ quan trọng nhưng đầy thách thức. Khó khăn thường đến từ việc các nhà tích hợp hệ thống thiếu kinh nghiệm hoặc các nhà cung cấp giải pháp bảo mật không quen thuộc với quy trình xây dựng công nghiệp. Điều này dẫn đến việc áp dụng các biện pháp bảo mật không hiệu quả, tạo ra lỗ hổng cho các rủi ro tiềm ẩn.

Các kỹ sư đối phó như thế nào với những thách thức trong việc triển khai bảo mật mạng cho các hệ thống điều khiển công nghiệp? Bài viết này sẽ đề cập đến sự thiếu kinh nghiệm của các nhà tích hợp hệ thống và của các công ty triển khai bảo mật mạng trong thiết kế và thực hiện các dự án theo phương thức xây dựng hợp đồng.

Những hiểu biết về bảo mật mạng trong công nghệ điều khiển công nghiệp

Bảo mật mạng trong các hệ thống công nghệ điều khiển công nghiệp (OT) là một nhiệm vụ quan trọng nhưng đầy thách thức. Khó khăn thường đến từ việc các nhà tích hợp hệ thống thiếu kinh nghiệm hoặc các nhà cung cấp giải pháp bảo mật không quen thuộc với quy trình xây dựng công nghiệp. Điều này dẫn đến việc áp dụng các biện pháp bảo mật không hiệu quả, tạo ra lỗ hổng cho các rủi ro tiềm ẩn.

Để đảm bảo bảo mật mạng hiệu quả, các hệ thống OT cần sự hợp tác chặt chẽ giữa các nhà tích hợp hệ thống và các nhà cung cấp giải pháp bảo mật. Điều này bao gồm việc xây dựng tài liệu thiết kế chi tiết và áp dụng quản lý dự án chủ động để đảm bảo các cấu hình bảo mật vững chắc và đáng tin cậy.

Viện Tiêu chuẩn và Công nghệ Quốc gia (NIST) định nghĩa OT là “các hệ thống hoặc thiết bị lập trình có khả năng tương tác với môi trường vật lý”. Định nghĩa này bao trùm phần lớn các thiết bị điện tử đang được sử dụng trong ngành công nghiệp, từ các hệ thống quản lý nhà máy, cấp nước, đến các cơ sở hạ tầng quan trọng. Chúng giữ vai trò cốt lõi trong việc điều khiển và giám sát các quy trình sản xuất, đảm bảo hoạt động ổn định và hiệu quả.

Một kỹ sư hệ thống điều khiển làm việc trên giao diện người/điều khiển giám sát và máy chủ hệ thống thu thập dữ liệu

Nếu các lỗ hổng bảo mật bị bỏ qua, hậu quả có thể rất nghiêm trọng, ảnh hưởng đến uy tín, lợi nhuận và an toàn của doanh nghiệp. Một nguy cơ lớn hơn là các thiết kế không đủ chi tiết hoặc không có các yêu cầu cụ thể, thường xuất phát từ những kỹ sư thiếu kinh nghiệm.

Dù nhiều doanh nghiệp nhận thức được tầm quan trọng của bảo mật mạng, không phải ai cũng hiểu rõ việc triển khai các biện pháp bảo mật toàn diện có nghĩa là gì. Trong nhiều năm qua, tư duy thiết kế hệ thống SCADA hay PLC thường chỉ tập trung vào việc làm cho hệ thống hoạt động nhanh chóng và hiệu quả nhất có thể, mà bỏ qua các yêu cầu bảo mật.

Nhiều hệ thống OT trước đây được hỗ trợ bởi các thợ điện hoặc nhân viên chuyên trách về công cụ và điều khiển. Họ thường có kinh nghiệm hạn chế về các thành phần mạng hoặc phần mềm tiên tiến, khiến việc triển khai bảo mật trở thành một thách thức lớn. Khi bảo mật mạng được tích hợp như một dự án cải tiến vốn, thiết kế bởi một công ty kỹ thuật và lắp đặt bởi một nhà thầu, đây có thể là cách hiệu quả để triển khai một hệ thống toàn diện và an toàn.

Các kỹ sư thiết kế nhanh chóng nhận ra rằng nếu tài liệu (bản vẽ và thông số kỹ thuật) không rõ ràng, cụ thể và chi tiết, sản phẩm cuối cùng mà khách hàng nhận được sẽ không đạt chất lượng mong muốn. Sự chuyên môn của nhà thầu thường đóng vai trò quan trọng trong chất lượng của sản phẩm, điều này có thể làm phức tạp quá trình triển khai.

Khi tôi bắt đầu đưa các yêu cầu bảo mật mạng vào các dự án, tôi đã nghĩ rằng "Chỉ cần làm rõ kỳ vọng, sử dụng các tiêu chuẩn tốt nhất trong ngành và thực thi các yêu cầu, giống như cách chúng tôi áp dụng các yêu cầu đối với các nhà tích hợp hệ thống trong các dự án SCADA truyền thống."

Mặc dù việc tạo ra các yêu cầu bảo mật mạng trong giai đoạn thiết kế có thể dễ dàng, nhưng khi bắt đầu triển khai dự án, các tổ chức chịu trách nhiệm cung cấp hệ thống thường gặp phải những vấn đề sau:

.Không đủ năng lực để thực hiện yêu cầu bảo mật mạng. Điều này dẫn đến các yêu cầu cơ bản về bảo mật mạng thực hiện kém hoặc thậm chí không được thực hiện.

.Không quen thuộc với quy trình thiết kế/đấu thầu/xây dựng.: Điều này gây ra nhiều thách thức trong việc thực hiện hợp đồng, dẫn đến sự chậm trễ trong dự án và những thay đổi không mong muốn đối với yêu cầu hệ thống khi nhà thầu hoặc nhà tích hợp hệ thống dựa vào các dịch vụ tiêu chuẩn của họ mà không đáp ứng đúng yêu cầu bảo mật.

Vấn đề với các nhà tích hợp hệ thống thiếu kinh nghiệm về bảo mật mạng

Các nhà tích hợp hệ thống truyền thống thường là những chuyên gia trong việc xây dựng các tủ điện công nghiệp, lập trình PLC, và tạo giao diện người-máy (HMI). Nhờ Ethernet, các hệ thống này có thể giao tiếp với nhau và dần thay thế các công nghệ cũ. Việc dễ dàng thêm nhiều thiết bị vào mạng Ethernet đã khiến các nhà tích hợp hệ thống tập trung nhiều vào yếu tố chi phí hơn là bảo mật. Mặc dù họ nắm vững các kiến thức cơ bản về Ethernet, nhưng kinh nghiệm và chuyên môn của họ thường chỉ dừng lại ở đó.

Tường lửa được lắp đặt trong giá đỡ máy chủ được sử dụng để bảo vệ mạng điều khiển giám sát và thu thập dữ liệu

Trong nhiều trường hợp, các nhà tích hợp vẫn triển khai hệ thống trên mạng "phẳng", tức là không có hoặc rất ít phân đoạn mạng. Điều này khiến mọi thiết bị trên mạng có thể kết nối và giao tiếp với nhau. Nếu một người dùng có quyền truy cập vật lý vào mạng, họ sẽ có khả năng kiểm soát toàn bộ hệ thống. Ngoài ra, các phần mềm HMI thường được cài đặt trên hệ điều hành Windows. Sau khi hệ điều hành được cài đặt, công việc tiếp theo chỉ đơn giản là làm cho HMI hoạt động, trong khi yếu tố bảo mật thường bị xem nhẹ.

Ví dụ, khi gặp sự cố kỹ thuật và gọi hỗ trợ, các kỹ thuật viên thường yêu cầu tắt tường lửa để khắc phục vấn đề. Tuy nhiên, sau khi sửa xong, việc nhắc người dùng bật lại tường lửa hiếm khi được thực hiện. Đây là một lỗi phổ biến vì trước đây, các nhà tích hợp hệ thống thường chỉ tập trung vào hiệu suất của quy trình sản xuất mà không chú trọng đến bảo vệ các thiết bị điều khiển.

Kỳ vọng rằng các nhà tích hợp hệ thống có thể triển khai các yêu cầu bảo mật hiện đại mà không cần nền tảng kiến thức chuyên sâu là điều không thực tế. Một số nhà tích hợp có khả năng ứng biến để triển khai các biện pháp bảo mật, nhưng những nhân viên thiếu kinh nghiệm khó có thể xác định liệu các biện pháp đó đã được thực hiện đúng cách hay chưa. Do đó, khách hàng và doanh nghiệp thường phải dựa vào niềm tin rằng hệ thống đã được bảo mật đúng cách hoặc tốn thêm chi phí để tự kiểm tra lại.

Việc đặt niềm tin vào một công ty thiếu kinh nghiệm trong lĩnh vực bảo mật là rủi ro lớn. Đảm bảo rằng các cấu hình bảo mật được triển khai đúng cách là điều cực kỳ quan trọng, vì hậu quả của một hệ thống bị xâm nhập có thể rất nghiêm trọng, từ mất dữ liệu đến ảnh hưởng đến an toàn vận hành.

Giá đỡ máy chủ với hypervisor được sử dụng để chạy các máy ảo liên quan đến hệ thống công nghệ vận hành