I åratal har utmaningar inom cybersäkerhet hängt över industriella anläggningar. Även om säkerhetstekniken har utvecklats avsevärt och företag är mer informerade om hur man minskar risker, kvarstår utmaningarna inom cybersäkerhet. "Utmaningarna förändras regelbundet, men huvudkategorierna förblir desamma", säger Brian Foster, chef för OT-säkerhetsarkitektur vid Southern California Edison. Med klassisk ingenjörsutbildning, över 10 års erfarenhet och examen från Oregon Tech, erbjuder Brian ett unikt perspektiv på de hot som industriella anläggningar står inför idag. "Industriella anläggningar möter samma utmaningar – attacker mot leveranskedjan, ransomware och phishing", säger Brian. "Och angreppsvägarna är också vanliga – en tredjepartsleverantör med ett komprometterat system, insiderhot och den växande åldern på industriell programvara." 
  
Med en växande lista över cybersäkerhetsrisker har även frågorna om dessa riskers påverkan ökat. "Följderna av operativa risker är ganska väl förstådda. När utrustning går sönder kan du inte producera din produkt", säger Brian. "Dessa typer av risker är lätta att mäta och har en direkt påverkan på verksamheten." Men påverkan av cybersäkerhetsrisker är svårare att mäta. Det finns ofta ingen direkt kategori att mäta eftersom cybersäkerhetsriskerna är så omfattande. Med ett dataintrång kanske en industriell anläggning inte ens är medveten om problemet förrän data läcks ut eller ett system hackas. "Påverkan på lönsamheten kan komma veckor, månader eller till och med år senare när företaget betalar för försäkring för drabbade kunder", säger Brian. 
3 sätt för industriella anläggningar att minska OT-cybersäkerhetsrisk 
För att bekämpa dessa risker erbjuder Brian tre bästa praxis för industriella anläggningar: 
  
1. Skapa en säkerhetskultur 
  
"Många företag reagerar på cybersäkerhetsrisker genom att köpa dyra verktyg eller anställa dyra konsulter eller anställda", säger Brian. "Men inget av det spelar någon roll om du inte först skapar en säkerhetskultur." 
För att bygga en säkerhetskultur prioriterar förstklassiga industriella anläggningar utbildning för varje anställd. "När vi bygger en säkerhetskultur utbildar vi alla om att vi lever i en tid då cybersäkerhetsattacker är mycket närvarande och vi måste vara vaksamma för att skydda oss själva och verksamheten", säger Brian. 
"Vi ser alla säkerhet som de verktyg vi köper för att göra våra system säkrare. Vi kanske tittar på dyra yrkespersoner för att hjälpa oss känna till våra specifika luckor. Vi vilar på våra lagrar och tänker att om vi har den bästa tekniken och den bästa konsulten är vi säkra", delar Brian. "Men en säkerhetskultur är verkligen vad vi borde investera i från början." 
Brians huvudråd? Det gamla ordspråket är sant – om du ser något, säg något. Precis som anställda i en industriell anläggning skulle vara på högsta larm om någon gick in i anläggningen, bör detsamma gälla för varje online-miljö. 
I en kultur som inte prioriterar säkerhet kanske en operatör på en industrianläggning märker att en maskin beter sig konstigt, men tror att det är ett fel och fortsätter med sin dag. "De kommer sannolikt inte ens att tänka på att problemet med maskinen kan vara en cybersäkerhetsfråga eller incident", säger Brian. "Om man däremot har en säkerhetskultur skulle operatören rapportera incidenten till cybersäkerhetsteamet, vilket skulle sätta igång en rörelse för att titta på loggarna för maskinen för att se vad som hände."  
  
Historiska attacker mot industrianläggningar visar att det ofta finns indikatorer före den faktiska attacken. Brian berättar: "Det finns en tidpunkt då angriparna utforskade miljön för att se vad de kunde göra. Dessa indikatorer kan hjälpa oss att identifiera attacker i förväg, men vi måste se till att folk är medvetna och rapporterar alla oegentligheter så att vi kan upptäcka dem."  
  
För att bygga upp en säkerhetskultur bör industrianläggningar  
  
● Skapa en cybersäkerhetsplan för verksamheten  
● Utbilda medarbetarna om cybersäkerhetsrisker  
● Erbjuda utbildning i hur man minskar cybersäkerhetsriskerna  
  
2. Implementera robust åtkomstkontroll  
"Robust passerkontroll är sannolikt det som saknas mest på de flesta anläggningar", säger Brian. "För att verkligen skydda din anläggning behöver du riktigt bra åtkomstkontroll runt varje programvara."  
Bra åtkomstkontroll kan förhindra utplacering av ransomware, skadlig kod som ligger bakom mer än 600 miljoner attacker och 20 % av alla cyberbrott varje år. "Alltför många program lämnas helt öppna utan någon inbyggd autentisering", säger Brian. "Och när någon tar sig in i programvaran så äger de den."  
Under 2021 var ransomware den vanligaste angreppstaktiken för tillverkningsindustrin, och den vanligaste inkörsporten för ransomware är ofta nätfiske. Industrianläggningar bör ta fasta på detta och lägga till medvetenhet om nätfiske i sin säkerhetsutbildningskultur.  
"Under de senaste åren har vi sett en enorm ökning av mängden nätfiske och kvaliteten på nätfisket", säger Brian. "De här e-postmeddelandena ser inte ut att vara skrivna av någon som inte talar engelska längre. De är exceptionellt välskrivna." Brian påpekade att nästa fas för phishing-e-post är att använda AI-chattrobotar. Branschen ser redan effekterna av dessa robotar som hjälper cyberangripare att skapa bättre e-postmeddelanden, skumma förbi cybersäkerhetsrapporter och lura intet ont anande anställda.  
  
För att skapa en mer robust åtkomstkontroll bör industrianläggningar  
● Kräva 2-faktorautentisering  
● Implementera en kombination av pin + ett token/lösenordssystem  
● Etablera flera system för autentisering  
 
3. Utvärdera ditt system regelbundet  
"Att regelbundet bedöma sårbarheten i ditt system är avgörande för att minska din operativa risk som industrianläggning", säger Brian. "Genom att ha en proaktiv strategi för att identifiera era svagheter kan ni minska problemen med både interna och externa risker."  
Brian rekommenderar att industrianläggningar genomför både säkerhetsbedömningar och regelbundna bedömningar av varje system. Och frekvensen? Åtminstone en gång om året, men oftare om ditt team har bandbredd. "Det är viktigt att du försöker identifiera svagheterna i ditt system - kanske okorrigerade sårbarheter som du kan korrigera eller, om du inte kan korrigera dem, införa några kompenserande kontroller för dem", säger Brian.  
 En metod som Brian har sett fungera för andra företag är att sätta sig ner med de anställda och förstå vad de ser som riskområden. "Fråga elektrikerna och medlemmarna i driftteamet hur de tycker att en dålig dag ser ut", säger Brian. "Förstå vad som skulle hända om någon tog sig in i ert styrsystem. Arbeta sedan baklänges från det scenariot för att se hur du kan förhindra den situationen."  
Brian anser att alla kan mäta sin risk och utvärdera sina system med några få steg:  
Definiera din riskexponering  
Definitionen av riskexponering kommer att vara olika för varje företag. "Men du kan inte göra upp en plan för att förbättra din verksamhet utan en tydligt definierad nordstjärna", säger Brian. "Det första steget är att ha en bra definition av vad risk innebär för ditt företag."  
  Gör en ärlig bedömning av ert nuvarande tillstånd 
I det här steget får industrianläggningarna den ibland skrämmande uppgiften att göra en omfattande bedömning av nuläget. Bedömningen inleds med en omfattande inventering av tillgångar och identifiering, utvärdering och prioritering av de sårbarheter som finns i miljön. "Det är här man vill identifiera sina luckor", säger Brian. "Ni vill tydligt kunna peka på var ni anser att den digitala mognaden ligger och var ni befinner er idag." 
  
Skapa en färdplan 
Därefter måste industrianläggningarna specifikt förstå hur de ska gå från en fas till nästa. Att dela upp utvecklingen i olika faser är avgörande för framgång i det här steget. "Många företag stannar upp i det här skedet och kör fast", säger Brian. "Men ni måste vara tydliga med vad som gäller - vi ska göra x senast x datum." Överväg att låna en process från mjukvaruutvecklingsvärlden, Agile, för att skapa en projektplan som delar upp det större projektet med cybersäkerhet i mindre uppgifter. "De små uppgifterna är lättare att genomföra", säger Brian. 
  
Övervaka dina framsteg regelbundet 
Slutligen bör industrianläggningar införa en plan för att bedöma framstegen och göra nya bedömningar vid behov. "Man måste titta på vad som händer med systemet", säger Brian. "Man måste göra sårbarhetsanalyser, anlita testare för säkerhetsbedömningar och mycket annat. Det handlar om att identifiera svagheter och lägga till kontroller för varje sårbarhet." 
  
För att regelbundet utvärdera systemen bör industrianläggningar 
  
● Genomföra en årlig systemutvärdering (och öka frekvensen om möjligt) 
● Genomföra sårbarhetsanalyser för att identifiera svagheter 
● Patcha sårbarheter för att förhindra cybersäkerhetsattacker 
  
Vill du veta mer om hur du kan påskynda din resa mot en smartare och säkrare industrianläggning? Läs vår e-bok här för att höja er driftsintegritet och säkerhet.