Схождение OT и IT: к чему готовиться ИТ-директору промышленной компании
Датчики, MES, ERP и удалённая поддержка сходятся в единый контур риска - и большинство промышленных ИТ-директоров к этому ещё не готовы.
Промышленные компании долгое время жили в двух параллельных мирах. Операционные технологии - контроллеры, датчики, SCADA-системы, цеховое оборудование - существовали отдельно от корпоративной ИТ-инфраструктуры. Это разделение было почти физическим: разные сети, разные люди, разные приоритеты.
Сейчас это разделение исчезает. И исчезает не потому что кто-то принял такое решение, а потому что давление с разных сторон одновременно.
Откуда берётся давление на сближение
Несколько сил толкают OT и IT навстречу друг другу.
Бизнес хочет видеть данные с производства в реальном времени - в ERP, в отчётах, на экранах директора. Это означает интеграцию MES с корпоративными системами, а значит - канал между цеховой сетью и корпоративной.
Производители оборудования переходят на удалённую диагностику и поддержку. Это удобно: инженер вендора видит проблему до того как она стала остановкой. Но это также означает, что к вашему оборудованию теперь есть канал снаружи.
Стоимость промышленных компьютеров упала, а их сетевые возможности выросли. Контроллеры, которые раньше были изолированными устройствами, теперь имеют Ethernet-порты и работают под управлением стандартных ОС.
Всё это происходит постепенно, часто без явного решения на уровне ИТ-директора. В какой-то момент компания обнаруживает, что у неё сложилась единая сеть там, где никто её не проектировал.
Что значит "единый контур риска"
В разделённой архитектуре компрометация корпоративного ноутбука не ведёт к остановке линии. В сошедшейся - может.
Это не гипотетический сценарий. Атаки на промышленные системы уже происходили к 2012 году - достаточно вспомнить Stuxnet как наиболее известный публичный случай. Атака шла через цепочку переносных носителей, но сам факт демонстрировал: промышленные контроллеры уязвимы, и вектор может быть неожиданным. После Stuxnet сегментация АСУ ТП стала не опцией, а необходимостью.
Для большинства производственных компаний реальные риски прозаичнее. Это:
- корпоративные вирусы, случайно попавшие в цеховую сеть через интеграционный канал;
- скомпрометированный VPN-аккаунт вендора с доступом к оборудованию;
- устаревшее ПО на промышленных станциях, которое никто не обновлял годами;
- отсутствие мониторинга на стыке двух сред.
Ни одна из этих угроз не является новой. Новым является то, что они стали актуальны для компаний, которые прежде считали себя "не в том сегменте".
Почему ИТ-директор часто не видит полной картины
Промышленное оборудование традиционно находится в ведении производственных или инженерных служб. ИТ-директор видит корпоративную сеть, но не видит цеховую. Он знает, что где-то есть SCADA, но не знает, к чему она подключена и насколько изолирована.
Это не чья-то вина - так сложилась организационная модель. Но в новых условиях она создаёт слепое пятно именно в том месте, где сходятся два контура.
Первый шаг - сделать инвентаризацию того, что вообще есть. Не только корпоративные активы, но и то, что стоит в цехах, что подключено к чему, какие внешние каналы существуют.
Как начать разговор об этом внутри компании
Тема сходится в точке, где у разных людей разные интересы. Производство не хочет, чтобы ИТ "лезло" в цеховые системы. ИТ не хочет отвечать за то, в чём не разбирается. Вендоры хотят сохранить свои каналы поддержки.
Разговор лучше начинать не со слова "безопасность" - оно закрывает людей. Лучше начинать с вопросов:
- Если завтра в цеху что-то встанет из-за сетевой проблемы, кто это обнаружит первым и кто будет разбираться?
- Кто сейчас знает, какие внешние подключения к производственным системам существуют?
- Есть ли у нас список активов в OT-сети и кто за него отвечает?
Эти вопросы безобидны. Но ответы на них очень быстро показывают, где находятся настоящие пробелы.
Минимальный практический список
Если ИТ-директор промышленной компании хочет начать работать с этой темой, не ввязываясь в большой проект:
- Составить схему того, как цеховые сети физически подключены к корпоративным.
- Выяснить, какие внешние каналы (вендоры, удалённая поддержка) существуют и кто ими управляет.
- Определить, кто отвечает за промышленные станции и контроллеры с точки зрения обновлений и конфигураций.
- Договориться о совместном мониторинге на стыке двух сред - хотя бы в минимальной форме.
Это не требует большого бюджета. Это требует разговора между людьми, которые раньше работали в разных мирах.