Hyökkäykset hakulaitteisiin ja radiopuhelimiin Lähi-idässä 2024 tekivät näkyväksi laitteiden ostoihin liittyvät riskit. Jopa luotettavien valmistajien toimittamia laitteita voidaan peukaloida toimitusketjun sisällä.

ICT:n kyberturvallisuudessa tärkeysjärjestyksenä on tiedon luottamuksellisuus, eheys ja saavutettavuus. Tuotantotekniikan (OT) kyberturvallisuudessa taas turvallisuus, hallittavuus ja havaittavuus ovat tärkeämpiä.

Kyberhyökkääjiä löytyy eritasoisia, sunnuntaihakkereista valtiollisiin toimijoihin. Valitettavasti rikollisuus palveluna, eli valmiiksi tarjolla olevat bottiverkot, murretut käyttäjätunnukset, takaportit ja haavoittuvuudet, mahdollistavat kyberhyökkäykset myös tahoille, joilla ei omasta takaa ole laajoja ammattilaisresursseja.

Automaation käyttövarmuus ja turvallisuus vaatii automaatiojärjestelmän hallittavuutta ja seurattavuutta. Teollisen esineiden Internetin (IIoT) ratkaisun elinkaaren aikaisessa kyberriskien hallinnassa tämä edellyttää toimitusketjun hallintaa, mukaan lukien pilvipalvelut sekä kyberturvallista järjestelmäarkkitehtuuria, ennakoivaa kunnossapitoa (haavoittuvuuksien poistamista) ja järjestelmän jatkuvaa kehittämistä.

IIoT on yhdistelmä antureita ja toimilaitteita, langattomia verkkoja, pilvipalvelua ja data-analyysiä. IIoT monimutkaistaa teollista tietoverkkoa lisäten hyökkäysrajapintaa ja siten riskejä. Siksi tietoturvaan on kiinnitettävä erityistä huomiota. IIoT-tietoliikenne kulkee lisäksi teollisen järjestelmän ulkopuolisessa Internetissä alttiina vahingoittamisyrityksille.

Koska IIoT on verkkopohjainen teknologia, on verkkoyhteyden toiminta ja luotettavuus ensiarvoisen tärkeää. Datan luottamuksellisuuden ja eheyden merkitys nousee tärkeysjärjestyksessä.

Lakeja, asetuksia ja standardeja

EU:n Kyberturvallisuusdirektiivi (NIS2) velvoittaa yrityksiä ja muita toimijoita varmistamaan kyberturvallisuuden. IIoT-laitteiden kannalta tärkeä on myös EU:n päivitetty Radiolaitedirektiivi. Automaatiolaitteita ja -järjestelmiä ostavien yritysten tulisi ymmärtää nämä vaatimukset perusteellisesti.

IIoT toimii sekä OT että ICT-maailmassa. Sertifioitu teknisten standardien, kuten IEC 62443 (OT) ja ISO/IEC 27000 (ICT) sekä EU 2024/2847 Kyberkestävyysasetuksen (CRA) noudattaminen takaa tietyssä määrin, että laitteen alkuperäinen valmistaja on tehnyt laitteesta turvallisen. IIoT-ratkaisujen erityispiirteitä varten on tekeillä oma standardiohjeensa IEC 62443-1-6. Lisäksi IEC TR 63069 määrittelee miten teollisuuden kyberturvallisuuden ja toiminnallisen turvallisuuden (IEC 61508) standardit sovitetaan toimimaan yhdessä. Kannattaa myös tutustua Yhdysvaltalaisen NIST:n oppaisiin, kuten NIST SP 800-82r3 ja NIST SP 800-213.

Eri toimialoja koskevat lisäksi alakohtaiset regulaatiot ja standardit.

Toimitusketjun turvallisuus

Teollisuusautomaation ostajan tulee huomioida tilatun järjestelmän ja sen toimitusketjun kyberturvallisuus jo tarjouspyyntövaiheessa. Selkeä vaatimustaulukko helpottaa hanketta etukäteen antamalla sekä ostajalle että tavarantoimittajalle mahdollisimman yhdenmukaisen kuvan halutusta lopputuloksesta. Edellä mainitut standardit auttavat vaatimusten kirjoittamisessa. Keskustele palveluiden toimittajan kanssa ja kysy heiltä kommentteja ja perusteluja.

On syytä huomata, että toimitusketjulla ei viitata pelkästään laitteisiin, vaan myös ohjelmistoihin ja palveluihin. Laajat selvitykset järjestelmien ja komponenttien haavoittuvuuksista (OT:ICEFALL ja INFRA:HALT) ovat osoittaneet, että tuotantotekniikan älylaitteet käyttävät usein huonosti ylläpidettyjä ohjelmistokomponentteja.

CrowdStrike Falcon -ohjelmistopäivityksen tapaus nosti esille huonosti hallittujen ohjelmistopäivitysten riskit. Kyberturvallisuuteen liittyvien päivitysten oikea-aikainen toteuttaminen on tärkeää, mutta testauksen ja nopeuden välinen tasapaino on asetettava huolellisesti. Tämä on erityisen tärkeää teollisissa ympäristöissä. Jos pahansuopa osapuoli pääsee lisäämään koodinsa ohjelmistopäivitykseen, se voi iskeä useille toimialoille yhdellä iskulla. Päivitysten testaus ja jaksottaminen on työlästä ja kallista, mutta kyberhyökkäyksen jälkien korjaaminen on vielä paljon työläämpää ja kalliimpaa.

Huolto ja kunnossapito ovat myös järjestelmän eheyden kannalta tärkeä osa toimitusketjua. Tämä koskee paikan päällä työskentelevää huoltohenkilöstöä, ohjelmistojen etähuoltoa ja uudelleenkonfigurointia sekä kuljetuksia ulkoiseen huoltoon. Ulkopuolisen toimijan tunkeutuminen ICT/OT-järjestelmiä sisältävälle alueelle vaarantaa järjestelmän eheyden.

Tähän kaikkeen tarvitaan kattava omaisuudenhallintajärjestelmä, joka pitää kirjaa kaikista ICT/OT-järjestelmiin sisältyvistä laitteista ja ohjelmistoista, niiden versioista sekä riippuvuuksista.

Teollinen IoT ja verkot

Teollinen IoT on verkkopohjainen teknologia: laitteet tarvitsevat yhteyden tehdasverkon ulkopuolelle. Suosittuja ovat langattomat ratkaisut, kuten Wi-Fi, Bluetooth, Zigbee ja yksityinen tai julkinen 4G/5G. Langattomat verkot vuotavat yleensä rakennuksen ulkopuolelle, joten ne tarjoavat hyökkääjälle houkuttelevan yhteyden suoraan tehdasverkon sisälle. Siksi IEC 62443-3-2 ohjaa tekemään langattomista verkoista oman, palomuurilla erotetun, segmenttinsä.

Langattomien verkkojen tietoturvan pitää olla kunnossa niin salakuuntelun, tunkeutumisen kuin häirinnän suhteen. Hyökkääjä voi myös asettaa oman tukiaseman verkon viereen kaappaamaan liikennettä. On siis tärkeää tunnistaa verkossa toimivat laitteet, salata tietoliikenne ja käyttää verkoilla sellaisia nimiä, jotka eivät suoraan kerro mitä tietoa verkossa kulkee. Langattoman verkon toimintaa voi häiritä niin fyysisellä taajuusalueen tukkimisella kuin tuottamalla sinne protokollan mukaista tietoliikennettä (viestimyrsky).

Suoria yhteyksiä tehdasverkkoon tulee välttää IIoT-ratkaisuissakin: sen sijaan tulee käyttää turvallisempia ratkaisuja kuten eteisverkossa (DMZ) olevia välityspalvelimia. Porttilaitteet (IoT Gateway) tulee koventaa, ja ne tarvitsevat vikasietoisen ja turvallisen alustan sekä turvallisen ohjelmistonhallinnan. Palomuurit tulee konfiguroida sallimaan vain tarpeellinen liikenne. Yhteysliikenne pilvipalveluun on salattava ja pilvipalvelu todennettava.

Teollisen IoT-palvelun osana oleva pilvipalvelu tuo omat varmennustarpeensa. Pilvipalvelun turvallisuutta voi arvioida esimerkiksi Kyberturvallisuuskeskuksen PiTuKri:n avulla. Käytetty verkkoyhteys pilvipalveluun tulee varmentaa, koska ilman verkkoyhteyttä teollinen IoT ei toimi kuin rajoitetusti. Datan olemassaolo pilvessä ei sinänsä varmista datan eheyttä ja saatavilla oloa. Varmuuskopiointi ja palautus on varmistettava ja harjoiteltava myös pilvessä olevan datan osalta. Pilvessä olevan datan suojaamiseksi pääsynhallinnan tulee olla kunnossa ja käyttölokit on kerättävä ja analysoitava asianmukaisesti.

On myös pohdittava pilvipalveluun liittyvää isäntämaariskiä. Toisin kuin tehtaalla olevat järjestelmät, pilvipalvelu voi sijaita eri lainsäädännön piirissä, ja valtioidenvälisten ristiriitojen aikana sen luotettavuus voi olla kyseenalaista.

Teollisen IoT:n tuottaman datan kunnollinen hyödyntäminen edellyttää yleensä datan automaattista tuottamista IoT pilvipalvelusta yrityksen omiin järjestelmiin kuten toiminnan- (ERP) tai tuotannonohjausjärjestelmiin (MES). Tähän tarvitaan turvallinen ja varmistettu datayhteys pilvipalvelusta. Uhkana järjestelmille ovat esimerkiksi väliintulohyökkäys (man-in-the-middle), jonka estämiseksi tarvitaan viestinnälle luotetut varmenteet. On myös syytä varmistaa käyttöliittymänä usein toimivien mobiililaitteiden turvallisuus.

Yhteenveto

Yritysten on ymmärrettävä riskiprofiilinsa ja mukautettava käyttämänsä toimenpiteet sen mukaisesti. Vieraan valtion kyberhyökkäys tapahtuu todennäköisemmin yhteiskunnan kannalta kriittisillä aloilla. Toisaalta rikollisten toimijoiden aiheuttama riski riippuu enemmän taloudellisten vahinkojen ja siten rahallisen voiton mahdollisuuksista.

Kyberturvallisuuden pelikenttä muuttuu jatkuvasti, joten työ on jatkuvaa. Ei ole hopealuotia, joka ratkaisisi kaikki turvallisuusongelmat. Kyberturvallisuusratkaisujen on muodostettava monikerroksinen suoja