Prijetnje industrijskoj kibernetičkoj sigurnosti postaju sve češće, složenije i kreativnije. Godine 2020. nevjerojatnih 90 posto tvrtki u proizvodnom, energetskom i komunalnom, zdravstvenom i transportnom sektoru pretrpjelo je napad na računalne sustave koji upravljaju njihovim operacijama. Među tri najnapadanije industrije našao se energetski sektor, otkriva osiguravateljska kuća Hiscox. 

Colonial Pipeline kao primjer

Nakon niza visokoprofilnih napada koji uzrokuju poremećaj u opskrbi energijom, u energetskim je tvrtkama zazvonio alarm. Prošlogodišnji napad na Colonial Pipeline, nakon kojeg je privremeno zatvoren najveći plinovod u SAD-u, a istočna obala nakratko ostala bez naftnih derivata, samo je najpoznatiji primjer. 

IT okruženja suočena su s prijetnjama informacijske sigurnosti i aktivnim napadima već nekoliko desetljeća, dok su se industrijski kontrolni sustavi tradicionalno čuvali u sigurnim silosima, fizički odvojeni od IT mreža. Ova se slika sada mijenja.

Operativna tehnologija sve se više povezuje s IT mrežama i industrijskim internetom stvari, omogućujući kibernetičkim kriminalcima ulazak u operativne tehnologije i kontrolu nad njima putem IT mreža.

Učestalost i posljedice industrijskih kibernetičkih napada postat će sve ozbiljnije u nadolazećim godinama. Novac je dosad bio glavni motiv kibernetičkih kriminalaca no i tu se stvari ubrzano mijenjaju. Konzalting kompanija Gartner predviđa da već do sredine desetljeća možemo očekivati i prve velike kibernetičke napade na industrijske sustave kontrole kako bi se direktno ugrozili ljudski životi. 

Tvrtke pojma nemaju

Najveći izazov kibernetičke sigurnosti s kojim se danas suočava energetski sektor je taj što mnoge tvrtke uopće ne znaju odakle im prijeti najveća opasnost. Prema Gartneru, 60 posto organizacija nije svjesno gdje su njihove tehnologije najranjivije.

Počinje utrka s vremenom; energetske kompanije moraju zakrpati svoju obrano prije no što im rupe otkriju hakeri. Redoviti procesi aktivnog otkrivanja ranjivosti više nisu dovoljni, upozorava Trond Solberg, direktor tvrtke za kibernetičku sigurnost DNV. To se mora činiti opetovano kako bi se osigurala otpornost na nove vektore napada. 

Ogledni primjer je pojava Log4Shella u prosincu, kad je otkrivena ranije neotkrivena ranjivost u alatu koji se koristi u poslužiteljima u oblaku i poslovnom softveru diljem svijeta.

Holistički pristup

U samo nekoliko sati pokazalo se da bi Log4Shell mogao nanijeti veliku štetu jer ne zahtijeva nikakvu autentifikaciju ili posebne privilegije. Timovi za kibernetičku sigurnost zakrpali su rupe i zaštitili IT sustave. No, ostaje činjenica da su industrijski sustavi pokazali koliko su ranjivi. 

Kako bi se izgradila učinkovita obrane od novih rizika u energetskom sektoru, potreban je dobro uravnotežen spoj stručnosti. A najveći napredak, smatra Solberg, postići će tvrtke s holističkim pogledom na sigurnost svojih IT i operativnih tehnoloških sustava, umjesto da se pojedini dijelovi tretiraju svaki za sebe.