För att koppla samman IT- och OT-teamen inom industrin inför de ökande cyberhoten har två av VINCI Energies varumärken, Actemium och Axians, gemensamt utvecklat olika verktyg varav en samarbetsrobot, en så kallad cobot.
Fabriker och verkstäder har länge drivits med styr- och kontrollsystem som är stängda för omvärlden, och särskilt för aktörer inom IT och internet.
Men med industrins digitalisering och införandet av sensorer och andra uppkopplade objekt, t ex användandet av mobila verktyg och en växande ”molnifiering” av många industriella tillämpningar, ser man nu en integration av produktionssystem som är baserade både på operativ teknik (OT) och IT-system. Eftersom dessa till sin natur är potentiellt tillgängliga från utsidan ökar man risken för attacker av industriella anläggningar. Ett samarbete mellan OT och IT är därför avgörande för att man ska kunna ta itu med frågor som rör dataflöde och databehandling men även, vilket blir allt viktigare, för att finna lösningar på de cybersäkerhetsfrågor som påverkar industrin.
”Med tanke på att alla varor som vi konsumerar och använder dagligen, och alla tjänster såsom produktion och distribution av el och vatten hanteras eller styrs av OT-system kan man lätt föreställa sig risken för industriella cyberattacker. För industriföretagen är det inte en fråga om huruvida deras anläggningar kommer att drabbas, utan när detta kommer att ske”, varnar Thomas Leseigneur, innovationschef för Actemium, VINCI Energies varumärke för industriell prestanda.
”Även om det finns ett uppenbart behov av att koppla samman industri- och IT-världen är detta inte helt okomplicerat.”
Ingen är förskonad från detta, även stora koncerner drabbas av hackare, såsom till exempel Saint-Gobain och Renault, med allvarliga konsekvenser till följd. På Saint-Gobain blev en e-postserver blockerad i flera dagar och hos Renault stoppades produktionen i flera veckor.
Att koppla samman två kulturer
”Även om det finns ett uppenbart behov av att koppla samman industrivärlden med IT-världen är detta inte helt okomplicerat”, betonar Vincent Bazillio, utvecklingschef på Axians, VINCI Energies varumärke för ICT-lösningar.
De kulturella skillnaderna mellan de två världarna tar sig i uttryck i ibland motstridiga prioriteringar. För IT-tekniker är konfidentialitet det främsta målet och åtkomsten till en anläggning kommer därefter. För de som arbetar med OT är det praktiskt taget tvärtom.
På samma sätt skiljer sig reaktionerna åt när man står inför ett hot. För IT är reflexen att spärra åtkomsten för att analysera och korrigera medan produktionen förblir den främsta prioriteten för OT även i denna situation.
Actemium är genom sin kärnverksamhet expert på den industriella kulturen medan Axians är specialist på IT-lösningar. Denna dubbla kompetens har lett till ett samarbete mellan de två varumärkena inom VINCI Energies som har till syfte att erbjuda industriföretagen cybersäkerhetslösningar som både tar hänsyn till industriella krav och IT-chefernas arbete.
Verktyg för ökad medvetenhet
För att göra det möjligt för OT- och IT-chefer att skapa ett bättre skydd för produktionsenheternas utrustning och data har Actemium och Axians tagit fram verktyg för ökad medvetenhet som främst bygger på sårbarhets- och penetrationstester på anläggningarna som utförs av ”goda hackare”.
Tanken är att man på ett mycket experimentellt sätt ska kunna påvisa vilka brister som kommer att utnyttjas för angrepp på en industrianläggning och hur man går vidare för att säkra anläggningens utrustning.
Två demonstrationsverktyg används i de presentationer som ges inför företagens IT- och OT-experter – ett VR-verktyg och en liten cobot som heter GrabIT.
GrabIT presenteras i form av en uppkopplad fabrikssimulering som utförs med en operatörsterminal, en automat och en robot. Den visar vad som händer i ett nätverk. För att göra detta får man coboten att utföra en uppgift. Genom att välja en färg på en skärm får den instruktioner att gå och ta ett objekt av samma färg med sin griparm.
Detta fungerar bra tills man simulerar en operatör som öppnar en Word-fil på sin bärbara dator för att läsa ett meddelande. Viruset som finns i denna fil och som överförts via ett USB-minne innehållande Word-dokumentet kommer då att störa cobotens funktioner, och cobotens rörelser blir oförutsägbara och potentiellt farliga för människor.
Användning av god praxis
Vid denna demonstration inser industriföretagen att de datorer som de använder kanske inte är helt säkra. Det visar dem också, och detta är goda nyheter för dem, att 80 % av hoten enkelt kan hanteras genom användning av god praxis. I detta fall skulle ”ett enkelt plexiglas framför datorn som ingår i produktionsutrustningen ha varit tillräckligt för att hindra någon från att ansluta ett infekterat USB-minne till den”, säger Vincent Bazillio.
Denna demonstration med GrabIT kompletteras med en kartläggning av uppkopplad utrustning som utförs av medarbetare från Axians och Actemium.
Till deltagarnas förvåning upptäcker man med denna kartläggning väldigt ofta att man hade glömt bort viss utrustning eller inte tänkt på att det finns sensorer monterade i undertaket eller utanför lokalerna, och att dessa enheter utgör potentiella säkerhetsluckor.
Denna kartläggning resulterar i ett faktablad för varje objekt med uppgifter om existerande sårbarheter. Upplysningar som kan vara mycket värdefulla för serviceteknikerna.
När de väl blivit medvetna om säkerhetsproblemen vidtar industriföretagen en rad olika åtgärder, säger Axians cybersäkerhetsexpert, såsom ”skydd per segment i produktionslinjen”. ”Segmentering är en klassisk åtgärd inom IT, säger Vincent Bazillio. Det handlar om att placera utrustning med samma skyddsbehov i ”säkerhetsbubblor”, till exempel de som behöver vara tillgängliga för människor utanför företaget.” Detta kan utföras med en konfiguration av nätverksswitchar eller en brandvägg.
19/11/2020
