Разпокъсаната отговорност, несъгласуваното финансиране и натискът за непрекъснато производство забавят защитата на индустриалните системи. Анализ на Industrial Cyber показва, че дори когато ръководството одобрява мерки за сигурност, липсата на ясно определени отговорници и съгласувани процедури може да остави отделни производствени обекти уязвими с години.
Бюджетите не гарантират защита на производствената площадка
Киберсигурността в индустрията все по-често е въпрос не само на технологии, но и на управление. В предприятия с множество обекти корпоративните политики могат да са еднакви, докато реалното ниво на защита се различава значително между отделните площадки. На едно място отдалеченият достъп е строго контролиран, а на друго може да съществуват неуправлявани връзки, остарели системи и непроверени процедури за възстановяване.
Данните от проучването на SANS за бюджетите за киберсигурност на индустриалните системи за управление и оперативните технологии (ICS/OT) през 2025 г. илюстрират разпределението на отговорностите. При 37% от организациите контролът върху бюджета се споделя между ИТ и ОТ, при 31% е в ИТ, а при 26% – в ОТ. Само 27% от бюджетните решения се ръководят от директори по информационна или корпоративна сигурност, въпреки че 65% от анкетираните определят киберсигурността на ОТ като основна отговорност.
Същевременно 41% от организациите отделят между 0% и 25% от бюджета си за сигурност за ICS/OT, докато едва 9% насочват към тези системи над 75% от средствата.
Проблемът не се решава само с увеличаване на разходите. Според данни на Kiteworks, цитирани в материала, производственият сектор има оценка за зрялост на защитата на данните от 43 пункта при средно 39 за проучването, но индексът му за готовност е едва 18,4. Показателите измерват различни аспекти и не бива да се разглеждат като взаимозаменяеми. Те обаче илюстрират, че относително добрата оценка по един критерий не гарантира оперативна готовност.
Когато никой не носи пълната отговорност
Разделението между ИТ и ОТ често води до ситуация, в която и двете страни разпознават риска, но нито една не разполага едновременно с необходимите правомощия, бюджет и технически ресурси, за да го отстрани.
ШанДжи „SZ“ Лин, главен съветник по киберсигурност в Sun Square, обяснява пред Industrial Cyber, че ИТ може да финансира дадена технология, докато производствената площадка трябва да поеме разходите за инженерна интеграция, изпитвания за съвместимост, планиране на спиране и последваща поддръжка. Ако няма ясно определена отговорност за целия жизнен цикъл, проектът може да бъде изместен от по-непосредствените производствени задачи.
Разминаването между бюджетните цикли и графиците за техническа поддръжка допълнително усложнява изпълнението. Средствата може да бъдат одобрени, след като инженерните екипи вече са ангажирани, а подходящият прозорец за спиране на производството е пропуснат. В резултат внедряването се отлага до следващия период за поддръжка.
Едуард Либиг от NexGenomics посочва, че подобни забавяния могат да оставят остарели активи, непоследователен контрол на отдалечения достъп, ограничена видимост върху системите за управление и непроверени планове за възстановяване.
Остарелите системи и скритите връзки увеличават риска
Един от примерите в анализа е компютър с Windows XP, открит в работещо състояние и свързан към мрежата на производствен обект. Информацията за актуализациите му датирала от 2004 г. Според Лин проблемът не бил само възрастта на системата, а липсата на ясно определен собственик на решението за нейното изолиране, замяна или оставяне в експлоатация.
Екипът по ОТ я разглеждал като ИТ оборудване, докато ИТ не я включвал в управлението си, тъй като не била част от Active Directory. Така машината останала без ефективно управление, но продължила да бъде свързана към мрежата. При компрометиране тя би могла да осигури път към други системи в рамките на достъпните мрежови сегменти.
Друг пример за пропуски в управлението са Wi-Fi камерите в критична производствена зона. Според Елизабет МакАндрю-Бенавидес от Infrashield служителите на обекта смятали, че камерите използват кабелна връзка. Не било ясно кой получава видеопотока, защо корпоративното ръководство наблюдава точно тази зона и дали позицията на камерите позволява да се виждат пароли при въвеждането им в оборудване.
Камерите впоследствие били свързани с кабел и пренасочени, но случаят разкрил по-дълбок проблем – недостатъчна комуникация между корпоративните екипи и персонала на площадката.
Подобни рискове съществуват и при преносимите носители. USB устройства, внесени от служители или външни доставчици, могат да бъдат свързани към критични ОТ системи, ако липсват последователни процедури за проверка и проследяване.
Единна политика не означава еднакво ниво на защита
Различията между обектите невинаги са резултат от лошо управление. Възрастта на оборудването, зависимостите между технологичните процеси, наличността на поддръжка от производителя и необходимостта от непрекъсната работа могат да направят някои подобрения скъпи или технически трудни.
При придобиване на нови производствени активи проблемът се задълбочава. Нов обект може да бъде интегриран в корпоративната структура за кратко време, но неговите мрежи, физически защити и системи за управление да останат извън установения модел за сигурност.
Либиг описва случай с няколко придобити химически производства, които използвали различно оборудване и конфигурации. Централизираните политики улеснявали управлението, но спазването на една и съща политика не означавало, че всички обекти имат еднакво ниво на защита.
Ключовият въпрос е дали мерките съответстват на реалните пътища за достъп, зависимостите на процесите и последствията от отказ на конкретната площадка. Опитът всички обекти да бъдат приведени към напълно идентична конфигурация може да изисква значителни капиталови разходи и прекъсване на производството. По-ефективният подход е приоритет да получават пропуските с най-сериозни потенциални последствия.
Управлението трябва да отчита производствените ограничения
Когато една защитна мярка изисква спиране на производствена линия, решението не може да бъде взето единствено от екипа по киберсигурност. Оперативният персонал познава технологичните зависимости и графиците, а инженерите трябва да потвърдят съвместимостта и безопасността на промяната.
Според Лин ръководството трябва да включи дейностите по сигурността в производствените планове, бюджетите и показателите за оценка на площадките. При отлагане на дадена мярка трябва да се определят компенсиращи контроли, отговорно лице, документирано приемане на остатъчния риск и срок за повторен преглед.
Либиг предлага рисковете да се оценяват според последствията за безопасността, околната среда, технологичния процес и производството, вместо да се разглеждат само като технически недостатъци. Така ръководството може да сравнява цената на предприемането на действия с потенциалните последствия от изчакването.
Съгласието, че даден проблем трябва да бъде решен, не е равнозначно на правомощие да се действа. Затова решенията, които надхвърлят компетенциите на местния екип или допустимото ниво на риск, трябва да се ескалират към ръководител, който разполага с властта да осигури ресурсите и да поеме отговорност за последствията.
Централизирано управление, местно изпълнение
Експертите, цитирани от Industrial Cyber, подкрепят модел, при който централното ръководство определя минималните изисквания за сигурност, осигурява общите услуги и уточнява кой има право да приема рискове, а местните екипи прилагат мерките съобразно особеностите на производството.
Този модел изисква ясно разпределение на ролите при одобряване на достъпа на доставчици, промени в мрежата, третиране на уязвимости и ограничаване на инциденти. Необходими са конкретни срокове, механизми за ескалация и достатъчно инженерни ресурси. Комитетите и координационните срещи няма да решат проблема, ако не разполагат с правомощия и финансиране.
Сигурността трябва да бъде включена още при избора и проектирането на оборудването, а не да се добавя като последна проверка преди внедряване. Същевременно доставчиците трябва да бъдат насърчавани да предоставят продукти със сигурност по замисъл и механизми за ограничаване на цели класове уязвимости.
В индустриалната среда, където актуализациите понякога са ограничени от изискванията за непрекъсната работа и безопасност, защитата не може да разчита единствено на навременното инсталиране на корекции.
Основният извод е, че киберсигурността на производствените системи не се гарантира само с корпоративна политика или одобрен бюджет. Необходими са ясна отговорност, съгласувани решения между ИТ и ОТ, технически проверими контроли и финансиране, съобразено с реалния график на производството. Без тези условия дори добре формулираната стратегия може да остави най-уязвимите обекти извън ефективната защита.
