산업용 사물 인터넷 보안

조직에서 산업 사물 인터넷을 설계하고 배포하는 동안 이 용어는 의미가 없습니다. IIoT(산업용 사물 인터넷)는 개념이기 때문에 보안 실무자에게 적합합니다. 보안 리더가 개념을 보호하는 것은 어렵습니다.

Gartner Inc.의 부사장인 Katell Thielemann에 따르면

"[보안 실무자는] 문제에 구체적으로 접근해야 하며, 매우 구체적인 특성을 가진 사이버-물리적 시스템을 다루고 있음을 이해하고 이러한 특성을 이해하는 것이 보안 접근 방식을 만드는 방법을 정의하는 데 중요합니다."라고 그녀는 말했습니다.>

Thielemann은 너무 자주 초기 배포 속도가 전체 시스템 수명 주기를 포괄해야 하는 보안 전략보다 우선한다고 말했습니다. 너무 많은 조직이 IIoT 노력과 관련하여 산업 환경의 보안에 대한 IT 중심적 관점을 도입합니다.

보안 운영 기술(OT)이 규제 당국에 대한 경영진 수준의 관심과 가시성을 얻고 있지만, 사이버 보안의 글로벌 책임자인 Santha Subramoni는 다음과 같이 말했습니다. Tata Consultancy Services에서 서비스를 제공합니다.

기초 수준에서 위협 표면(또는 공격받을 수 있는 영역) 자체는 복잡하고 다양하기 때문에 자산 검색 및 통합이 엔터프라이즈 보안 아키텍처의 도전 과제라고 Subramoni는 말했습니다. 센서, 에지 장치, 관련 데이터와 연결성, 애플리케이션 및 호스팅 생태계는 분산 IIoT 생태계의 핵심입니다.

Subramoni는 레거시 기술의 상당한 보급과 기업 네트워크 경계 외부의 독립형 네트워크의 확산이 있다고 말했습니다. 그리고 엔드포인트 가시성의 부족은 예방 조치를 취하는 능력을 제한합니다.

Subramoni는 "조직은 일반적으로 관리 가능한 규모와 안정성으로 성숙하지 않은 산업 생태계 내에서 취약성을 감지하고 카탈로그를 여러 수준에서 유지하고 이에 필요한 지식과 기술을 유지해야 합니다."라고 말했습니다.

건축 자재 제조업체가 IIoT를 보호하는 방법

HIL의 최고 정보 책임자인 Murali Raj는 건축 자재 제조업체인 HIL Ltd.가 인도에 있는 4개의 제조 공장에서 디지털 작업 현장 기술을 출시하면서 디지털화 여정과 IIoT 구현의 첫 걸음을 내디뎠다고 말했습니다. 디지털 작업 현장은 모든 기계를 하나의 네트워크에 연결하여 효율성과 품질을 최적화합니다.

"이제 우리는 예측 유지 관리의 다음 단계로 넘어가고 있습니다."라고 Raj가 말했습니다. "그래서 우리는 예측 유지 관리에 대한 POC(개념 증명)를 수행하고 있으며 예측 품질에 대한 POC도 수행하고 있습니다. 따라서 보안 조치에도 신경을 써야 합니다.”

작업 현장에서 실시간 기계 매개변수는 센서, PLC(Programmable Logic Controller), SCADA(Supervisory Control and Data Acquisition) 시스템을 통해 캡처됩니다. 그런 다음 데이터는 HIL의 IT 네트워크를 통해 클라우드로 전송되어 실시간으로 분석됩니다. 또한 시스템은 운영 팀이 시정 조치를 취하는 데 사용할 수 있는 즉각적인 경고를 생성합니다.

Raj는 “이전에는 SCADA 시스템이 인터넷에 연결되지 않은 섬으로 존재했습니다. “따라서 제조 기계가 있고 그 위에 PLC가 있는 경우 감독자가 전체 제조 [프로세스]를 제어하는 ​​제어실에서 함께 작동합니다. 이제 이 데이터는 네트워크 외부로 이동해야 합니다.”

결과적으로 HIL은 인터넷에 안전하게 연결하기 위해 IT 측에서 방화벽을 구현해야 했습니다. Raj는 에지 장치와 센서를 인터넷에 연결하여 데이터를 전송하기 위해 이러한 장치가 적절한 보안 표준을 준수하는지 확인했다고 말했습니다. 또한 HIL은 소프트웨어와 펌웨어를 정기적으로 패치하고 업그레이드해야 했습니다.

HIL은 기술을 다룬 후 사람과 프로세스도 살펴보았습니다.

Raj는 "이전에는 SCADA와 PLC 및 공장을 제어하는 ​​유지보수 엔지니어, 전기 엔지니어가 IT 엔지니어, 네트워크 엔지니어 또는 조직의 보안을 고려하는 리더와 상호 작용하지 않았습니다."라고 말했습니다. 피>

이제 이 팀은 함께 모여서 서로를 이해하고 해당 영역에서 일어나는 일에 대한 최신 정보를 제공하는 프로세스를 마련해야 한다고 그는 말했습니다. HIL은 또한 일부 IT 엔지니어에게 OT 및 OT 보안을 교육하고 공장 팀에 사이버 보안에 대한 최소한의 인식을 갖도록 요청했습니다.

Raj는 "우리는 또한 EY와 Deloitte가 IT와 OT를 함께 이해하는 프레임워크를 구축하는 데 도움을 준 외부 관점을 가져왔습니다."라고 말했습니다. "이 기능은 조직 내부에 존재하지 않았기 때문에 때때로 외부 관점을 가져오는 것이 도움이 됩니다."

프로세스 측면에서 HIL은 역할 권한, 비밀번호 재설정, 사용자 액세스와 같은 IT 보안 조치가 OT 측에서도 준수되고 있는지 확인했습니다.

"그래서 그런 종류의 강력한 절차에 익숙하지 않은 공장 팀은 그것을 받아들일 필요가 있었습니다."라고 그는 말했습니다.

중요한 기기/자산이 철저하게 보호되는지 확인

IIoT에 대한 공격은 IT 공격보다 덜 일반적이지만 생산 손실, 수익 영향, 데이터 도난, 심각한 장비 손상, 산업 스파이 행위 및 심지어 신체 상해를 포함하여 그 결과는 여전히 엄청날 수 있다고 공동 설립자이자 최고 기술인 Asaf Karas는 말했습니다. 연결된 장치 및 IIoT를 위한 자동화된 사이버 보안 제공업체인 Vdoo의 책임자입니다.

따라서 통계적으로 공격 횟수를 줄이는 것만으로는 충분하지 않으며 중요한 장치와 자산이 생산에 들어가는 즉시 철저하게 보호되도록 해야 한다고 그는 말했습니다.

Karas는 조직이 IIoT 보안을 개선하는 데 도움이 되는 몇 가지 접근 방식을 제안했습니다.

<울>

산업 환경에 특정한 위험 및 위협 관리 프로세스를 채택합니다.

새 기기를 배포하기 전에 기기가 안전하게 설계되었는지 확인하고 기기 코드나 구성에서 악용 가능한 자사 또는 타사 약점이 없는지 확인하세요.

배포 후 자산 관리 도구를 사용하여 관련 산업 자산을 찾고 식별합니다.

지속적인 모니터링 및 보호를 보장하기 위해 이러한 기기에 대해 고유하게 설계된 엔드포인트 런타임 애플리케이션 에이전트를 구현합니다.

초연결 관리

Booz Allen Hamilton의 교장/이사인 Kyle Miller는 오늘날 많은 장치의 가장 큰 문제는 사이버 보안을 염두에 두고 제작되지 않았다는 것입니다. 그들은 종종 기존 IT 시스템과 동일한 수준의 보안 보호를 지원하지 않는 단순화된 실시간 레거시 운영 체제를 실행합니다. 결과적으로 조직의 공격 표면을 상당히 증가시킬 수 있는 잠재력이 있다고 그는 말했습니다.

이제 이러한 장치는 많은 경우에 산업용 네트워크에서 기업 네트워크, 인터넷 및 클라우드로 직접 연결하도록 요청받고 있다고 Miller는 말했습니다.

“[중요] 초연결, 데이터 흐름 및 구축을 실제로 관리하는 . . . 장치가 통신할 수 있는 대상과 통신할 수 없는 대상을 실제로 관리하는 제로 트러스트 환경, 타협의 경우 폭발 반경을 실제로 제한할 수 있어야 합니다.”라고 그는 말했습니다.>

Booz Allen Hamilton의 수석/이사인 David Forbes는 IIoT 시스템을 구현하기 전에 조직이 어떤 유형의 위험을 감수하고 있는지 잘 이해하고 있어야 한다고 말했습니다.

이러한 이해를 얻으려면 회사는 공급업체의 현재 보안 태세, 솔루션 및 소프트웨어 구현은 물론 IIoT 네트워크에서 구현하는 장치를 파악해야 한다고 Forbes는 말했습니다.

예를 들어 조직에서 타사 공급업체 기술을 구현하는 경우 공급업체에 다음과 같은 질문을 해야 합니다.

<울>

보안 플랫폼에 자체 소프트웨어를 구축했습니까?

필요한 경우 암호화된 통신을 사용하고 있습니까?

접근 제어 기능이 있습니까?

Forbes는 "이는 위험을 이해하고 이러한 IIoT 시스템을 도입하여 네트워크의 위협 환경을 기꺼이 변화시키는 방법을 이해하는 데 매우 중요합니다."라고 말했습니다.

기업은 이러한 IIoT 장치와 시스템이 적절한 경우 다른 IT 및 OT 네트워크에서 분리되도록 해야 한다고 그는 말했습니다. 이러한 장치는 보호 상태를 유지할 수 있을 뿐만 아니라 한 공격 벡터가 다른 공격 벡터에 액세스할 수 없도록 엄격하게 제어해야 합니다.

조직 사이버 위생

포브스는 "이런 것들이 조직적인 것"이라고 말했다. "저는 우리가 보고 있는 것이 실제로 있다고 생각합니다. 이러한 침해 및 공격 중 일부에서 발견된 사항을 보면 많은 부분이 조직의 사이버 위생, 규율 및 프로토콜로 거슬러 올라갑니다. 시작합니다.”

산업 환경은 나쁜 행위자에게 새로운 영역이며 모든 징후는 이러한 환경을 점점 더 표적으로 삼고 있음을 보여줍니다.

Thielemann에 따르면 2020년에는 산업 환경을 표적으로 하는 취약성과 위협이 크게 증가했습니다. 기업이 운영을 통해 가치를 창출한다는 점을 고려하면 놀라운 일이 아닙니다.

그녀는 "산업 스파이 활동이든 랜섬웨어 시도 목적이든 이러한 환경은 대부분의 기업에게 최고의 보석입니다."라고 말했습니다. “[이]는 보안 규정 준수에 관한 것이 아닙니다. 비즈니스 탄력성에 관한 것입니다."

이러한 문제를 해결하기 위해 조직은 고려 중인 IIoT 노력의 주요 특성을 이해해야 한다고 Thielemann은 말했습니다. 예:

<울>

노력으로 얻을 수 있는 비즈니스 결과는 무엇입니까?

IIoT 시스템은 어디에 배포되나요?

• 물리적 세계와 사이버 세계에서 누가 액세스할 수 있습니까?
• 어떻게 설계되나요?

임베디드로 제공되는 보안 솔루션과 계층화해야 하는 보안 솔루션은 무엇입니까?

공급업체에서 유지 관리 또는 업그레이드를 위해 원격으로 방문해야 합니까?

데이터 흐름이 기존 네트워크를 통과합니까? 무선으로?

“조직은 IIoT 노력의 수명 주기 관점을 취해야 합니다.”라고 그녀는 말했습니다. "요구 사항 설계에서 구매, 배포, 유지 관리 및 폐기에 이르기까지 각 단계에서 보안 고려 사항을 고려해야 합니다."

Thielemann은 보안 리더는 산업 환경이 기업 중심의 IT 환경과 매우 다르다는 것을 인식해야 한다고 말했습니다. 예를 들어 물리적 위치 제약, 운영 탄력성 또는 안전에 대한 고려 사항은 보안 전략의 일부가 되어야 합니다. 기업은 이러한 환경과 패치, 모니터링 및 인증에 대한 접근 방식을 고려하여 IT 중심 보안 접근 방식을 변경해야 합니다.

일반적으로 IIoT는 IT가 아닌 엔지니어링 및 생산 부서의 권한 하에 있다고 Subramoni는 말했습니다.

“그러나 기술 현대화와 함께 혁신에 대한 조직과 감독이 필요합니다.”라고 그녀는 말했습니다. “대부분의 기업은 필요에 따라 확장하고 산업 시스템 보호 비용을 관리하기 위해 신뢰할 수 있는 기술 및 시스템 통합 파트너가 필요합니다. 이는 빠르게 진화하는 요구 사항이며 기술 커뮤니티는 이러한 도전에 대비하고 있습니다.”