Kyber turvallisuus vesilaitoksilla Uhkakuvat ja varautuminen 20.5.2015, Vesihuolto 2015 Insta Automation Oy, Jyri Stenberg Yhteiskunnan turvallisuusstrategia Suomalaisen yhteiskunnan elintärkeitä toimintoja ovat: - valtion johtaminen - kansainvälinen toiminta - Suomen puolustuskyky - sisäinen turvallisuus - talouden ja infrastruktuurin toimivuus - väestön toimeentuloturva ja toimintakyky s. 2 1
Talouden ja infrastruktuurin toimivuus, vesihuolto Vesihuollolla ja veden laadun valvonnalla turvataan puhtaan talousveden saatavuus sekä terveyden ja ympäristönsuojelun kannalta asianmukainen viemäröinti ja jätevesien käsittely. Varmistetaan asutuskeskusten, yhteiskunnan kannalta tärkeiden toimintojen ja elintarviketuotannon vedensaanti. s. 3 Kyberkäsitteitä Kybertoimintaympäristö: tietoverkkojen ja -järjestelmien keskinäisriippuvainen ja moninaisen sähköisessä muodossa olevan tiedon käsittelyyn tarkoitettu ympäristö. Kyberuhka: Uhat kohdistuvat yleensä digitaaliseen maailmaan, mutta niillä on välillisiä ja välittömiä vaikutuksia myös fyysiseen maailmaan. Kyberturvallisuus: Kyberturvallisuus on tavoitetila, jossa kybertoimintaympäristöön voidaan luottaa ja jossa sen toiminta turvataan. Pilvi s. 4 2
Kybertoimintaympäristö Päivittäinen toiminta: ylläpito, tilaturvallisuus, mediat.. Pilvipalvelut Johtamisjärjestelmät Tuotannonohjausjärjestelmät Suunnittelujärjestelmät Talotekniset automaatiojärjestelmät Prosessiautomaatiojärjestelmät Taloushallinnonjärjestelmät Julkiset yhteydet Etäyhteydet: etälaitokset, käyttäjät, yhteistyökumppanit,.. s. 5 Kyberuhat Uhka kohdistuu - päivittäiseen toimintaan - toimintaympäristöön -tuotantoon Hyökkäyksen motiivit - taloudellinen hyöty - toiminnan häirintä yhteiskuntaan kohdistuvana haittana -ilkivalta s. 6 3
Kyberturvallisuus Tunnista ympäristö Tiedosta uhat Toteuta varautuminen s. 7 1. Nykytila-analyysi 2. Riskien arviointi 3. Toimenpidesuunnitelma 4. Koulutussuunnitelma 5. Toimenpiteiden toteutus ja jalkauttaminen 6. Turvallisuustasoa kuvaavien mittarien asettaminen s. 8 4
1. Nykytila-analyysi - Hallinnollinen turvallisuus - Henkilöstöturvallisuus - Tilaturvallisuus -Tietojärjestelmä- ja tietoliikenneturvallisuus - Prosessiturvallisuus 3. Toimenpidesuunnitelma - Laatu- ja toiminnanohjausjärjestelmän kehitys > hallinnollinen turvallisuus > henkilöstöturvallisuus - Fyysisen ympäristön kehitys > Alue- ja tilaturvallisuus > Tietojärjestelmä- ja tietoliikenneturvallisuus > Prosessiturvallisuus 2. Riskien arviointi -Uhkakuva - Riskianalyysi - Riskien hallintasuunnitelma 4. Koulutussuunnitelma - johdon tahtotilan jalkauttaminen -henkilöstön sitouttaminen ja motivointi s. 9 5. Toimenpiteiden toteutus ja jalkauttaminen, esim. vesihuoltolaitosten prosessiautomaatiossa -Vesihuoltolaitosten prosessiautomaation tietoverkko vain pieni osa koko toimintaympäristön tietoverkkorakenteista -Voidaan ja kannattaa käsitellä omana erillisenä kokonaisuutena, sisältää usein omia teknisesti yleisistä tietoverkoista poikkeavia ratkaisuja, jotka vaativat erityisosaamista -Valvoo ja ohjaa tuotantoa, sisältää usein liityntöjä laitoksen hallinnollisiin ja muiden teknisten alueiden (mm. taloautomaatio) verkkoihin -Hajautuu maantieteellisesti laajoille alueille ja hyödyntää usein myös julkista verkkoa sisäisessä liikenteessään. s. 10 5
Tietoturvan koventaminen prosessiautomaatiossa, skaalautuva ja riskiin suhteutettu toteutus 1. Työasemien ja palvelimien kovennus ja valvonta 2. Verkon aktiivilaitteiden kovennus ja valvonta 3. Sallintalista (Whitelisting) 4. Paikallinen loki työasemille, palvelimille ja verkon aktiivilaitteille 5. Kovennuksien automaattinen varmentaminen 6. Järjestelmän valvonta 7. Keskitetty käyttäjien hallinta. 8. Keskitetty tapahtumaloki- ja valvontapalvelin 9. Työasemien ja palvelimien levyjen salaus, poikkeamien reaaliaikainen havainnointi (SIEM), s. 11 Lopputuotteen laadun, tuotannon ja jakelun varmistaminen on pääasia, automaatio ja tietotekniikka ovat aputoimintoja sen varmistamiseksi. Automaation pitää toimia kriittisessä tilanteessa paikallisesti ilman verkkoyhteyksiä Kriittisten toimintojen käsikäyttömahdollisuus ohi tieto- ja automaatioteknisten järjestelmien on säilytettävä siellä missä se vielä on mahdollista s. 12 6
Kiitos mielenkiinnostanne. Insta Automation Oy Jyri Stenberg puh. 0400 635 343 jyri.stenberg@insta.fi Sarankulmankatu 20 33900 Tampere. with the aim of building and maintaining a safe and competitive society s. 13 7