Teollisuusautomaation tietoturva

Transkriptio

1 Teollisuusautomaation tietoturva Huomioita automaatiotoimittajan näkökulmasta Markku Tyynelä Program Manager, Security Metso Automation

2 The average amount of money, as a % of revenue, that companies spend on IT security is.0025 % or slightly less than they spend on coffee. Richard Clarke Former Special Advisor to the President for Cyberspace Security 2 Metso Automation Inc. SAS / M.Tyynelä

3 Sisällys Tietoturva Maailma on muuttunut Nykypäivän teollisuusautomaatiojärjestelmät Teollisuuden vaatimuksia automaatiotoimittajille Otteita asiakassopimuksista ja vaatimuksista Asiakkaan ja toimittajan välillä käsiteltäviä asioita Metso Automation tuotteiden tietoturva metsodna Tietoturvallinen automaatiojärjestelmä Tietoturvallinen automaatiojärjestelmä Yhteenveto 3 Metso Automation Inc. SAS / M.Tyynelä

4 Tietoturva Maailma on muuttunut A study by the FBI and the Computer Security Institute on Cybercrime, released in 2000 found that 71% of security breaches were carried out by insiders. T. Stephanou; Assessing and Exploiting the Internal Security of an Organization, SANS, 2001 Deloitte & Touche's 2003 Global Security Survey, examining 80 Fortune 500 financial companies, finds that 90% of security breaches originate from outside the company, rather than from rogue employees. vnunet.com Hackers bigger threat than rogue staff, May 15, Metso Automation Inc. SAS / M.Tyynelä

5 Tietoturva Maailma on muuttunut Whereas traditional attack activity has been motivated by curiosity and a desire to show off technical virtuosity, many current threats are motivated by profit. They often attempt to perpetrate criminal acts, such as identity theft, extortion, and fraud. Symantec Internet Security Threat Report Trends for January 05 June 05, Symantec, Volume VIII, Published September Metso Automation Inc. SAS / M.Tyynelä

6 Nykypäivän teollisuusautomaatiojärjestelmät Toimintaympäristö Vaativat ja kriittiset ympäristöt Kriittiset prosessit Vaativat ympäristöt, mm. verkottuneet monitoimittajaympäristöt Korkeat käytettävyysvaatimukset (24/7/365) Kaupallisten ratkaisujen käyttö Kaupalliset käyttöjärjestelmät (Microsoft Windows, Linux jne.) Kaupalliset ohjelmistot (tietokannat, CAD ohjelmistot jne.) PC teknologiaan perustuvat ratkaisut (PC työasemat jne.) Verkkoteknologiaratkaisut (reitittimet, kytkimet) Verkkoratkaisut perustuvat usein toimistotekniikkaan; varsinaiset teollisuusympäristöön tarkoitetut ratkaisut harvemmin käytössä 6 Metso Automation Inc. SAS / M.Tyynelä

7 Teollisuuden vaatimuksia automaatiotoimittajille Otteita asiakassopimuksista ja vaatimuksista Alustukseksi Otteet poimittu todellisista sopimuksista, sopimusten liitteistä, vaatimuksista tms. Mukana sekä suoraan asiakkailta tulleita että kolmansien osapuolien laatimia osuuksia Esitysosuus on erittäin subjektiivinen 7 Metso Automation Inc. SAS / M.Tyynelä

8 Teollisuuden vaatimuksia automaatiotoimittajille Otteita asiakassopimuksista ja vaatimuksista Kaikki mahdollista periaate, virustorjuntaohjelmistot Kaikkien tietoturvaohjelmistojen käyttö mahdollista Kuka tahansa voi huolehtia ohjelmistojen asennuksesta ja ylläpidosta Esimerkiksi: The automation vendor must design and test the systems so that commonly used virus protection software can be installed and updated to the systems. <Customer> can select whether the customer or automation supplier performs the installation and updates of used antivirus software. 8 Metso Automation Inc. SAS / M.Tyynelä

9 Teollisuuden vaatimuksia automaatiotoimittajille Otteita asiakassopimuksista ja vaatimuksista Kaikki mahdollista periaate, tietoturvapäivitykset Kuka tahansa voi suorittaa tietoturvapäivityksen asennuksen Erityisen kriittisiä ovat käyttöjärjestelmän päivitykset, muiden sovellusten päivitykset normaalisti vähemmän kriittisiä Esimerkiksi: The automation vendor must design and test the systems so that security patches can be installed to the systems. If patching is allowed, customer can decide whether it uses its own internal resources, vendor resources or 3rd party resources for the patching. If patching is not allowed, the vendor is responsible to provide an alternative protection solution. 9 Metso Automation Inc. SAS / M.Tyynelä

10 Teollisuuden vaatimuksia automaatiotoimittajille Otteita asiakassopimuksista ja vaatimuksista Kaikki mahdollista periaate, automaatioverkko Kaikkien verkkolaitteiden käyttö mahdollista Kaikkien hallinta ja seurantamenetelmien käyttö mahdollista Automaatiotoimittaja vastuullinen laitteiden konfiguroinnista Esimerkiksi: <Asiakas> hankkii verkon aktiivilaitteet (kytkimet, reitittimet, palomuurit) sekä standardinmukaiset prosessointilaitteet (työasemat ja palvelimet). Toimittaja vastaa ko. laitteiden järjestelmäspesifisestä konfiguroinnista. Toimittajan tulee konfiguroida toimituksessa olevat kytkimensä <asiakkaan> ohjeiden mukaan siten, että ne toimivat keskitetyn verkon hallinnan menettelyn mukaisesti. The automation vendor must design and test the systems so that commonly used monitoring software can be installed and updated to the systems. Customer can select whether the customer or automation supplier performs the installation and updates of used monitoring tool. 10 Metso Automation Inc. SAS / M.Tyynelä

11 Teollisuuden vaatimuksia automaatiotoimittajille Otteita asiakassopimuksista ja vaatimuksista Epäselvien viittausten käyttö yleistä Tulkinnanvaraisia termejä ja lauseita Yleistä käyttää termiä kaikki ymmärtämättä mitä se tarkoittaa Esimerkiksi: User ID's and passwords should be defined according to safe industry standard recommendations. Delivered systems and platforms must be secure way tested and configured (hardened) already before they are delivered to <customer>. Windows asetukset täytyy dokumentoida. Koneet täytyy olla tietoturvan kannalta kovennettuja: kaikki sovellukset, palvelut ja TCP/IP portit täytyy olla poistettu/suljettu, joita ei tarvita automaatiojärjestelmän toiminnan kannalta. 11 Metso Automation Inc. SAS / M.Tyynelä

12 Teollisuuden vaatimuksia automaatiotoimittajille Otteita asiakassopimuksista ja vaatimuksista Velvoite noudattaa ohjeita ja periaatteita joita ei ole toimitettu ja nähty Esimerkiksi: Within <asiakas> use is made of <asiakasdokumentti>, in which for each platform the requisite basic security measures are described. Yhteyksien vikasietoisuuden toteutuksessa käytetään <asiakkaan> verkossa sovittuja menettelyjä. Tarvittavien tietoturvatoimenpiteiden määrittely ja toteutus tulee tehdä ennen järjestelmän käyttöönottoa. Määrittelyjen pohjana käytetään <asiakkaan> tietoturvaohjeistusta. <Customer> uses standard for naming purposes and this convention standard must be strictly followed. 12 Metso Automation Inc. SAS / M.Tyynelä

13 Teollisuuden vaatimuksia automaatiotoimittajille Otteita asiakassopimuksista ja vaatimuksista Yhteenvetoa Käsitellyt vaatimukset ovat pääosin asiallisia Lähes kaikissa silti jotain, joka tarkasti luettuna vaatii selvennystä tai tarkennusta Automaatiotoimittajan kannalta ongelmallista että eri asiakkaiden vaatimukset voivat olla keskenään ristiriidassa Harvoja poikkeuksia lukuunottamatta vaatimukset eivät ota kantaa vastuisiin Automaatiotoimittajalla vastuu että toimitettava automaatiojärjestelmä toimii Muutosten käsittely ja hyväksyntä hankalaa ja paljon aikaa vaativaa Esim. lakitermit Automaatiohenkilöt eivät välttämättä oikea taho ajamaan asiaa Olen samaa mieltä asiasta (=että muutos on tarpeen) mutta ohje tulee ylhäältä (=IT osasto) emmekä saa muuttaa sitä. Kai tekin voitte sen hyväksyä kun kilpailijannekaan ei siitä mitään sanonut. Mutta kyllähän me tiedetään ettei tuota asiaa noin tulkita. Asia voidaan saada kuntoon luomalla yhteiset pelisäännöt Laadittava asiakkaan ja toimittajan kanssa yhteistyönä tarvittava (asiakaskohtainen) ohjeistus kuinka toimitaan 13 Metso Automation Inc. SAS / M.Tyynelä

14 Teollisuuden vaatimuksia automaatiotoimittajille Asiakkaan ja toimittajan välillä käsiteltäviä asioita Toimittajan tietoturvapolitiikka, ratkaisut ja periaatteet Automaatiojärjestelmän tietoturvaohjeistus HYVÄKSYTTY Yrityksen ITvaatimukset Teollisuusautomaation vaatimukset Asiakkaan tietoturvapolitiikka, ratkaisut ja periaatteet 14 Metso Automation Inc. SAS / M.Tyynelä

15 Teollisuuden vaatimuksia automaatiotoimittajille Asiakkaan ja toimittajan välillä käsiteltäviä asioita Toimintaprosessit, tiedotus ja tiedonvaihto Verkkotopologia ja liityntä tehdas(toimisto)verkkoon Virustorjuntaohjelmisto Tietoturvapäivitykset Koventaminen (Hardening) Liikenteen dokumentointi Käyttäjätunnukset ja salasanapolitiikka Asiakkaan ja toimittajan väliset tietoliikenneyhteydet Varmistus ja palautus (Backup and Recovery) Asiakkaan muiden IT ratkaisujen käyttö Langaton liikenne (esimerkiksi WLAN) Vastuut Tavoitetila: edellä olevan listan käsittelyn lopputuloksena syntyy yhteinen dokumentointi, esimerkiksi automaatiojärjestelmän tietoturvaohjeisto, jossa on dokumentoitu miten yllä mainitut asiat hoidetaan. Teollisuusautomaation tietoturva, Suomen Automaatioseura, Metso Automation Inc. SAS / M.Tyynelä

16 Metso Automation tuotteiden tietoturva Käyttöjärjestelmät (esim. MS Windows) tietoturvallisemmiksi Koventaminen (hardening) Käyttöjärjestelmäpäivitykset (patch management) Ajan tasalla pidettävän virustorjuntaohjelmiston käyttö Tietoturvallinen verkkoarkkkitehtuuri Tietoturvalliset etäyhteydet Tietoturvaprosessit, periaatteet ja toimintamallit Toimintaperiaatteet ja ohjeet Tietoturvatietämyksen parantaminen (sekä sisäinen että ulkoinen) Tietoturva integroitu mukaan normaaliin toimintaan Tietoturva asioiden seuranta, kehitys ja ylläpito Jatkuvaa toimintaa Tietoturvauhkien seuranta Tietoturvapäivitysten seuranta Virustorjuntaohjelmiston päivitysten jatkuva testaus 16 Metso Automation Inc. SAS / M.Tyynelä

17 metsodna security 17 Metso Automation Inc. SAS / M.Tyynelä

18 metsodna Tietoturvallinen automaatiojärjestelmä metsodna verkon Security Frontier konsepti Tehdasverkko / toimistoverkko Muut automaatioverkon yhteydet metsodna verkko metsodna Automaation DMZ metsodna palvelimet Reititin/Palomuuri metsodna Prosessinohjaus Valvomo 18 Metso Automation Inc. SAS / M.Tyynelä

19 metsodna Tietoturvallinen automaatiojärjestelmä metsodna virustorjuntaohjelmiston käyttö ja ylläpito Virustorjuntaohjelmiston päivitys (testatun päivityspaketin toimitus) Aliverkko A yhteys toimistoverkkoon Aliverkko B Reititin Palomuuri (FW) AC/DC POWERSUPLIES(2) AKKU 4U AC/DC POWERSUPLIES(2) AKKU 4U AC/DC POWERSUPLIES(2) AKKU 4U AC/DC POWERSUPPLIES(2) AKKU 4U AC/DC POWERSUPLIES(2) AKKU 4U AC/DC POWERSUPLIES(2) AKKU 4U metsodna DNAactivityManagement + AV päivitys ratkaisu tietoturvalliseen päivitykseen 19 Metso Automation Inc. SAS / M.Tyynelä

20 metsodna Tietoturvallinen automaatiojärjestelmä Esimerkki:Trend Micro, _ html bin/getarticle.pl5?nn a2.htm 20 Metso Automation Inc. SAS / M.Tyynelä By mid Tuesday, the company had fielded over 370,000 calls about the issue from customers, and admitted that more than 650 companies had been affected. Company will not offer reparation for loss of business incurred through its faulty antivirus update. (Infoworld, April 28, 2005)

21 metsodna Tietoturvallinen automaatiojärjestelmä Metso Automation Oy:n tietoturvapalvelut Automaatiojärjestelmän tietoturvakartoitus Käyttöjärjestelmä ja tietoturvapäivitykset Virustorjuntaohjelmisto Parantavat toimenpiteet Verkon suojaus Ympäristön koventaminen Yhteinen tietoturvapolitiikka Palvelusopimus (Jatkuva seuranta) Seuranta, Testaus, Tiedottaminen, Yhteinen tietoturvapolitiikka, Viruskuvausten päivitys, Koulutus, Käyttöjärjestelmä ja tietoturvapäivitykset, Jaksottainen tietoturvakatselmus 21 Metso Automation Inc. SAS / M.Tyynelä

22 Tietoturvallinen automaatiojärjestelmä Automaatioverkon tietoturva asianmukaisesti hoidettu Tietoturvallinen automaatioverkko Verkkolaitteiden oikea (tietoturvallinen) konfigurointi Automaatioverkon rajapinnan suojaus (Perimeter Security) Komponenttien tietoturva asianmukaisesti hoidettu Tietoturvapäivitykset (Patch Management) Virustorjuntaohjelmat (Antivirus Software) Koventaminen (Hardening) Syvyyssuuntainen suojaus (Defense in Depth, Layered Security) Sovitut prosessit ja käytännöt sovittu ja otettu käyttöön Ohjeet, toimintamallit ja tietoturvapolitiikat Koulutus Tiedotus 22 Metso Automation Inc. SAS / M.Tyynelä

23 Yhteenveto Tietoturva on elintärkeää liiketoiminnan suojaamisessa Tietoturva on yksi tärkeä osuus takaamassa teollisuusautomaatiossa vaadittavaa korkeaa käytettävyyttä Metso Automation asiakkaat ovat tuoneet esille useita tärkeitä asioita tietoturvaratkaisuihin ja prosesseihin liittyen Todistavat että tietoturva on elintärkeää konsernien liiketoiminnalle Tietoturvaratkaisut tyypillisesti yrityksen IT osastoilta, eivät automaatio osastoilta Esitetyt tietoturvaratkaisut, vaikkakin hyviä ja riittäviä yrityksen toimistoympäristöön, eivät välttämättä täytä kaikkia automaatiojärjestelmille asetettuja vaatimuksia. Toimistoympäristön käytännöt saattavat myös olla ristiriidassa automaatioympäristön käytäntöjen kanssa. Metso Automation on sitoutunut kehittämään ja ylläpitämään tuotteidensa ja palveluidensa tietoturvaa Kysymys vastuista ja takuista liittyy oleellisesti siihen kuka hallinnoi tietoturvaa MA:n tietoturvaratkaisut mahdollistavat automaatiojärjestelmän korkean käytettävyyden, kun taas asiakas itse on vastuussa ja hoitaa yleisen tietoturvan, joka on yhdistelmä fyysistä, henkilö ja ICTtietoturvaa Paras mahdollinen tietoturvan taso voidaan saavuttaa vain asiakkaan ja Metso Automation kiinteällä yhteistyöllä Vaatii asian ymmärtämistä ja sitoutumista sekä varsinkin asioiden läpikäymistä ja niistä sopimista Lopputulos tulee myös kirjata ylös ( Yhteinen tietoturvapolitiikka ) 23 Metso Automation Inc. SAS / M.Tyynelä

24 And, hey let's be careful Kiitos! out there. Hill Street Blues, (146 episodes) 24 Metso Automation Inc. SAS / M.Tyynelä