Почему ваш бизнес может раскрыть свой истинный потенциал и добиться роста

Когда в традиционную ИТ- среду поступает оповещение о критической уязвимости безопасности , это редко вызывает панику по поводу непрерывности бизнеса. Затронутые ноутбуки, серверы и приложения можно быстро идентифицировать, а квалифицированная команда может в течение нескольких часов внести в них исправления, если ситуация срочная. Приоритеты ясны, и места для догадок практически нет.

Теперь представьте, что такое же оповещение поступает в оборудование для визуализации в больнице, в системы управления на заводе или в сеть отопления, вентиляции и кондиционирования воздуха (ОВК) в здании. Эти киберфизические системы (КПС), подключенные устройства, которые управляют физическими операциями, а не просто обрабатывают данные, лежат в основе конвергенции информационных технологий (ИТ) и операционных технологий (ОТ).

Но в отличие от традиционных принципов ИТ, подтверждение того, относится ли это предупреждение к конкретному устройству, может занять несколько дней и часто заканчивается догадками, а не окончательным ответом.

Хотя подобная неопределенность является нарушением элементарных правил гигиены, к сожалению, для киберфизических систем она часто становится нормой.

Почему это широко распространенная проблема для киберфизических систем (КПС), и как команды безопасности могут восстановить совместимость этих критически важных активов со своей ИТ-сетью?

Низкая прозрачность в киберфизических системах носит тревожно распространенный характер.

Неспособность справляться с возникающими уязвимостями в киберфизических системах (КПС) не является аномалией или наихудшим сценарием, и вызывает особую обеспокоенность, когда эти активы находятся в центре критической инфраструктуры, такой как энергетика и здравоохранение.

Проблема заключается в кодах продуктов, которые помогают сетям идентифицировать физические киберсистемы (CPS), присутствующие в среде, что является важнейшей частью процесса выявления и применения обновлений безопасности.

В ходе исследования, охватившего 17 миллионов физических кибер-активов, мы обнаружили, что в 88% случаев не был отправлен точный код товара, а в 76% случаев был отправлен код, не соответствующий данным продавца.

Это побочный эффект того, как эти системы были изначально спроектированы и впоследствии интегрированы в современные ИТ-среды. Программируемые логические контроллеры (ПЛК), медицинские сканеры и промышленные датчики были разработаны для обеспечения физической надежности на протяжении десятилетий, а не для структурированной цифровой классификации. Идентификация сети редко входила в техническое задание, поэтому одно и то же устройство могло сообщать о себе по-разному в зависимости от протокола или интеграции, запрашивающей информацию.

Аналогичная ситуация наблюдалась и в отношении операционных систем, поддерживающих физические устройства. В ходе нашего исследования у 41% устройств отсутствовала информация о версии операционной системы (ОС), а у 24% вообще не было названия операционной системы.

Без этих сведений сопоставление устройства с известной уязвимостью безопасности становится невозможным с помощью быстрого поиска в базах данных или автоматизированных процессов и превращается в сплошные догадки или трудоемкий ручной поиск.

Кроме того, рекомендации CVE, являющиеся отраслевым стандартом для отслеживания уязвимостей, формируются на основе тех же неполных данных от поставщиков. Следовательно, официальная рекомендация может быть столь же ошибочной, как и сеть, которую она призвана защищать.

Превращение хаоса в программировании продукта в риски на уровне руководства.

Такая "слепая зона" добавляет еще один слой беспокойства для руководителей, и без того испытывающих стресс из-за проблем с видимостью угроз. Из 1100 опрошенных руководителей служб безопасности по всему миру 44% назвали понимание уязвимости своей организации одной из самых больших операционных проблем, превосходящей требования соответствия или бюджетные ограничения.

Кроме того, 45% заявили, что им трудно снижать киберриски для своих наиболее важных активов и операций; однако связь между этими трудностями и совершенно ненадежным учетом активов часто упускается из виду. Руководство видит симптом — растущее ощущение неуправляемости рисков — не замечая при этом первопричины.

Именно здесь команды безопасности и бизнеса могут начать говорить на разных языках и не понимать друг друга. Команды безопасности, которые начинают описывать проблему с точки зрения отсутствующих кодов продуктов и непоследовательных соглашений об именовании, не добьются значительного прогресса.

Руководители предприятий ничего об этом не слышат; они слышат лишь то, что риски невозможно надежно измерить. Пока эти два разговора не будут связаны, каждый отчет о рисках, который директор по информационной безопасности представляет высшему руководству, помечается звездочкой, которую никто из присутствующих в комнате не видит.

Контекст играет ключевую роль в преодолении разрыва.

Решение этой проблемы начинается с изменения концепции всесторонней видимости. Простое знание о существовании устройства в сети — это лишь половина дела. Понимание его функций, поддерживаемых им процессов и того, что произойдет в случае его компрометации, — вот что действительно делает оценку рисков ценной.

Для осуществления этой трансформации в больших масштабах необходимы специализированные инструменты для управления разнообразными и специфическими активами систем промышленного управления (CPS), а также автоматизированный подход к работе с этим широким спектром.

Например, применение методов сопоставления на основе искусственного интеллекта к каталогу устройств производителя оригинального оборудования (OEM) повысило точность идентификации кодов продуктов с 4% до 83%, превратив практически «слепое пятно» в почти полную картину. Не менее важными были и последующие действия: в результате 56% устройств получили рекомендацию обновить или изменить прошивку, а точность идентификации уязвимостей повысилась на 25%.

Эти цифры важны, потому что они меняют тип вопросов, на которые могут отвечать группы специалистов по безопасности. Вместо того чтобы спрашивать об устройствах, подключенных к сети, команды могут спросить, какие системы вызовут наибольшие сбои в случае взлома, и действовать, основываясь на этом ответе, с уверенностью, а не на одних лишь догадках. В этом разница между перечнем активов на бумаге и надежным перечнем, способным выдерживать нагрузку.

Необходимо укрепить фундамент, а не просто выключить сигнализацию.

Ни одну из этих проблем нельзя решить простым добавлением еще одного инструмента к существующему набору. Вместо этого необходимо рассматривать качество данных об активах как проблему риска на уровне совета директоров, а не просто как рутинную задачу ИТ-отдела, и применять тот же уровень контроля, что и к бюджетам, соблюдению нормативных требований и доступу третьих лиц.

Достижение этой цели означает, что новое оповещение о CVE больше не создает путаницы относительно того, какие критически важные устройства могут быть затронуты, а обеспечивает гарантированный и приоритетный ответ, как и следовало ожидать от любой хорошей программы управления уязвимостями.

Обработка оповещения на больничном оборудовании для визуализации или в системах управления производственным процессом не должна быть сложнее, чем обработка оповещения на ноутбуке. Для этого нужно начать с того, чтобы сделать невидимое видимым.