Automaatio ja tietoturva – Kriittistä tuotantoa turvaamassa
Suomen automaatioseuran julkaisema ja alan ammattilaisten kirjoittama ja kokoama teollisuusautomaation kyberturvan uusi yleisteos tuo IoT-ajan päivityksen alan suomenkieliseen peruskirjallisuuteen. Huoltovarmuuskeskus on osallistunut tämän kriittisen infrastruktuurin kyberturvallisuutta vahvistavan tietopaketin tuottamiseen.
Jatkuvuuden varmistaminen on aina sisältynyt automaatiojärjestelmien ja niiden käyttämien kenttäväylien suunnitteluperiaatteisiin.
”Kärjistetysti sanottuna, kun kokonaisuus saatiin toimimaan halutulla tavalla, siihen ei enää koskettu, sillä yhdenkin bitin muuttaminen toiseen asentoon saattoi pysäyttää koko toiminnan. Järjestelmiä suojellaan edelleenkin jatkuvuuden varmistaminen edellä, jolloin kaikkien päivitysten ja muutosten toimivuus testataan etukäteen.”, Automaation tietoturva – Kriittisen tuotannon turvaaminen -kirjan päätoimittaja ja kyberhallinnan konsultti Pasi Ahonen kuvaa.
Pasi Ahonen”Tietoturva tulee tavallaan sekundäärisenä mutta jatkuvasti yhä tärkeämpänä, sillä se murtamalla päästään tekemään muutoksia, joilla pahimmassa tapauksessa estetään koko tuotantotoiminta.”
Automaatio käyttää nykyään pitkälti samaa teknologiaa kuin tietotekniikka: verkkokytkimiä, tietokoneita ja käyttöjärjestelmiä. Suurin ero on siinä, mitä niiden kanssa saa tehdä ja mitä ei.
Automaatiojärjestelmät ovat digitalisoituneet ja verkottuneet 1970-luvulta alkaen. Tällä vuosituhannella pilvipalvelut ja IoT ovat mahdollistaneet tuotannon joustavat muutokset ja tuotannon optimoinnin esimerkiksi energiankulutuksen suhteen. Se on tehostanut tuotantoa, mutta toisaalta tuonut Internetin uhat lähemmäs automaatiojärjestelmiä.
”Kyberuhkien toteutumista teollisuusautomaatiossa on povattu, mutta sitä ei ole vielä nähty laajassa mittakaavassa Suomessa. Se on ainakin osaltaan viranomaisten ja teleoperaattoreiden aktiivisen yhteistyön, sekä toimivien havainnointijärjestelmien, kuten HAVARO-palvelun ansiota.”
Pitkän iän automaatiojärjestelmät
Oman haasteensa ja erityispiirteensä tuottaa järjestelmien pitkä elinikä. Järjestelmää ei useinkaan lähdetä uusimaan pelkästään tietoturvasyistä, jos se vielä muuten toimii kunnolla.
”Tuotannolliset järjestelmät ajetaan monesti elinkaarensa loppuun saakka, tai kunnes tulee jotain niin radikaalisti uutta, että ne on pakko uusia. Siinä yhteydessä tietoturva-asiat toki osataan laittaa kuntoon.”
Uusi kirja vastaa hyvin HVK:n toimialakohtaisissa raporteissa havaittuihin kehityskohteisiin.
Käytössä on siten edelleenkin eri ikäisiä ja jopa ennen nykymuotoista internetiä rakennettuja automaatioverkkoja. Vaikka ne toimivat periaatteessa ilman internet-kytköksiä, niiden automaatio-ohjauksissa käytetään esimerkiksi Modbus-sarjaliikenneprotokollaa, jossa ei ole minkäänlaista tietoturvaa.
”Vaikka nämä verkot eristetään internetistä ja muista sisäverkoista, siinä lähellä saattaa jo olla koneita, joista halutaan dataa ulos ja jotka voivat olla myös Modbusissa jollain rajapinnalla kiinni. Ja se tuo periaatteessa tietoturvauhkat siihen ihan lähelle.”
Vahvat toimialat ja veturiyritykset
Teollisuusyritysten kyberkypsyys vaihtelee sektoreittain sen mukaan, kuinka paljon yrityksillä on varaa infrastruktuuriensa kehittämiseen. Tästä on hyvä esimerkki energia-ala, joka on ollut hyvin resursoitu ja jonka sähköverkkoliiketoiminnoilta myös edellytetään tiettyä kyberturvan minimitasoa ja kyberhyökkäyksistä ilmoittamista.
”Energia-alalla on myös vahva ja aktiivinen E-ISAC -tiedonvaihtoryhmä, jossa toimivat yritykset levittävät kybertietoisuutta myös muille toimialan yrityksille. Ryhmän jäsenet ovat olleet varsin avoimia siitä, miten näitä asioita kannattaa laittaa kuntoon ja toiset yritykset ovat ottaneet heistä kiitettävästi oppia”, Ahonen sanoo.
”Lisäksi muillakin toimialoilla on Nesteen kaltaisia edelläkävijäyrityksiä, joilla on hyvin laajat kumppaniverkostot. Kun nämä edelläkävijät ottavat tietoturvaatimuksia käyttöön, ne ohjaavat ajan mittaan verkoston kaikkia yrityksiä oikeaan suuntaan.”
Suurin osa sisällöstä on käytännönläheistä ja ymmärrettävää myös liiketoiminnasta vastaaville henkilöille. Tekninen asiantuntija voi käyttää sitä hakuteoksena, sillä teos on laaja ja siitä löytyvät tärkeimmät näkökulmat.
Yritysten koolla ei välttämättä ole tässä merkitystä. On olemassa pieniä ja valveutuneita toimijoita ja toisaalta isojakin yrityksiä, joilla kyberturvallisuuteen liittyvien riskien hallinta ei ole vielä kunnossa.
”Usein ongelmana on, että IT- ja automaatiopuolen ihmiset eivät keskustele tarpeeksi keskenään. Asiat menevät eteenpäin vain, jos asioita mietitään yhdessä ja roolit ja vastuut määritellään selkeästi”, Ahonen nostaa esiin kipupisteitä.
”Isoillakin toimijoilla heikoin lenkki voi olla esimerkiksi kiinteistötekniikka ja -automaatio, joilla voidaan vaikuttaa epäsuorasti tuotantoon muuttamalla lämmön ja kosteuden kaltaisia kriittisiä tuotanto-olosuhteita.”
Kaikki tieto yksissä kansissa
Suomen Automaatioseura julkaisi keväällä 2021 uuden 230-sivuisen Automaation tietoturva – Kriittisen tuotannon turvaaminen -oppaan, joka on jatkoa alun perin 2005 julkaistulle ja 2010 päivitetylle Teollisuusautomaation tietoturva –oppaalle. Kirjan päätoimittaja Pasi Ahonen sanoo, että aikaisempi julkaisu on edelleen perusperiaatteiltaan validi, vaikka toki jotkin teknologiset asiat ovat reilussa kymmenessä vuodessa ainakin osittain vanhentuneet.
”Aiempi teos oli valveutuneiden ja aikaansa seuraavien kirjoittajien laatima pätevä selonteko siitä, mihin asioihin pitäisi kiinnittää huomiota. Monista siinä kuvatuista asioista meillä on nyt tässä uudessa kirjassa konkreettisia esimerkkejä, ja tieto siitä, miten asiat kannattaa jalkauttaa, on konkretisoitunut”, Ahonen kuvaa uutuuskirjaa.
”Uusi kirja on tarkoitettu ihmisille, jotka joutuvat työssään näiden asioiden kanssa tekemisiin. Suurin osa sen sisällöstä on käytännönläheistä ja ymmärrettävää myös liiketoimintajohdolle ja muille liiketoiminnasta vastaaville henkilöille. Kuitenkin myös tekninen asiantuntija voi hyötyä sen sisällöstä ja käyttää sitä hakuteoksena, sillä teos on laaja ja siitä löytyvät tärkeimmät näkökulmat.”
Sen lisäksi, että Huoltovarmuuskeskus osallistui hankkeen rahoittamiseen, teoksessa on peilattu toimialakohtaisessa kypsyyskartoituksessa esiin nousseita asioita.
”Kirja vastaa hyvin HVK:n toimialakohtaisissa raporteissa havaittuihin kehityskohteisiin. Lopputuloksen edellytyksenä oli kirjoittajien oikeasta elämästä hankittu kokemus ja asiantuntemus, sekä keskitetty toimitustyö.”
IoT mahdollisuus ja uhka
Iso haaste ja mahdollisuus on IoT ja siihen liittyvän mittaustiedon siirtäminen pilveen, missä sitä prosessoidaan ja analysoidaan käytettäväksi myöhemmin esimerkiksi järjestelmien ohjaamiseen. Pilvipalvelujen konesalit on usein toteutettu erittäin turvallisesti, mutta pilveen tietoa lähettävien halpojen sensorien ja ohjelmistoalustojen tietoturva on osoittautunut ongelmalliseksi.
”Tietoturvamielessä sensorit ovat verkkoon kytkettyjä tietokoneita, jotka suorittavat mittauksia. Jos niiden mittaamaa ja pilveen lähettämää tietoa, kuten lämpötilatietoa, pystyttäisiin systemaattisesti manipuloimaan, sillä voitaisiin saada tuotanto-operaattorit tekemään tuhoisia ohjauksia”, Ahonen pohtii.
”IoT tarjoaa hyödyllistä tietoa tuotannollisesta prosessista ja järjestelmien kunnosta, mutta lisää samalla riippuvuuksia. Ei auta, jos tieto on pilvessä turvassa, jos yhteydet sinne jostain syystä katkeavat.”
Nämä järjestelmät ovat lisäksi sen verran uusia, että niiden kanssa ollaan usein vielä pilottivaiheessa ja toimitaan väliaikaisilla asetuksilla. Kannattaa varmistaa, että ne korvataan käyttöönotossa turvallisemmilla laitteilla ja jatkuvalla ylläpidolla, Ahonen varoittaa.
”IoT-järjestelmätoimittajat eivät yleensäkään vielä pysty ylläpidossa samaan turvallisuuden tasoon kuin perinteiset automaatiojärjestelmien toimittajat. IoT vaatiikin siihen lähteviltä yrityksiltä selkeän strategian, jossa määritellään perusperiaatteet sovellusten rakentamiseen, turvaamiseen ja ylläpitoon – ja määritellään, mihin käyttötarpeeseen järjestelmä on tehty, eikä sitä käytetä mihinkään muuhun.”
ESIMERKKI SISÄLLÖSTÄ
Kaavio: Kyberriskien hallintamallin soveltaminen KickOff-palaverin jälkeen.
Ensimmäisessä vaiheessa kartoitetaan valittujen testikohteiden kyberturvallisuuden nykytila. Tämä onnistuu helposti, mikäli kyseisen tuotantoyksikön kehittäjät, käyttäjät ja ylläpitäjät – eli avainhenkilöt – ovat saatavilla. He yhdessä tuntevat kyseisen yksikön kriittiset järjestelmät sekä käytön ja ylläpidon menettelyt riittävän hyvin, jotta myös kyberturvallisuuden nykytila kyetään arvioimaan eri osa-alueilla.
Yleiskartoituksen jälkeen voidaan siirtyä uhka-analyysiin, jossa valitun tuotantoyksikön kyberuhat tunnistetaan ja analysoidaan yksityiskohtaisesti. Uhka-analyysin valmistuttua voidaan aloittaa varsinaiset kyberriskityöpajat, joissa valitun tuotantoyksikön kyberriskejä analysoidaan soveltuvien menettelyjen avulla. Analyysin jatkuessa syntyy lopulta tuotantoyksikön riskirekisteri, jonka avulla kyberriskejä voidaan alkaa systemaattisesti hallinnoimaan.
Olisi eduksi, mikäli hallintamallia käyttöönotettaessa räätälöidyt analyysimenetelmät ja työkalut säilytetään mahdollisimman yhtenäisinä yrityksen laajuisesti, jolloin kaikkia liiketoimintoja ja tuotantoyksiköitä voidaan arvioida saman riskienhallintamallin mukaan.
Yleensä nykytilakartoitusten ja uhka- ja riskityöpajojen ”sivutuotteena” syntyy myös kokemusperäinen sapluuna yrityskohtaisen kyberturvallisuusvaatimuskannan kehittämiselle. Vaatimuksia voidaan jatkossa käyttää mm. oman toiminnan, kumppaneiden ja hankintojen kyberturvallisuuden suunnittelussa ja ”pakottamisessa” oikeaan suuntaan. Kaikki tällaiset tulokset helpottaisivat myös johtoryhmän työtä kattavan, konserninlaajuisen kyberturvallisuustyön seurannassa ja johtamisessa.
