Üretimde OT ve BT’yi ayırmak
Bir üretim sahasında genelde tek ağmış gibi davranan iki ağ vardır. Ofis tarafı her ay yama alır; makine tarafı, hat devreye alındığında güncel olan ve üretici olmadan dokunulamayan bir yazılımla çalışır.
Makine kontrol sistemleri çoğu zaman yama alamaz, çünkü üretici yalnızca belirli bir yazılım sürümünü destekler ve ona dokunmak destek sözleşmesini geçersiz kılar. Bu, düzeltilecek bir sorun değil, etrafında tasarım yapılacak bir olgudur.
Yanıt ayırmaktır: makine ağını kendi bölümüne koyun, yalnızca geçmesi gereken belirli trafiğe izin verin ve bir üretim sisteminin doğrudan internete çıkmasına ya da ofis dizüstüleriyle aynı bölümü paylaşmasına asla izin vermeyin.
Gerçekte neyin bağlı olduğunun envanteriyle başlayın. Çoğu sahada, ofis ağından erişilebildiği kimsenin bilmediği makineler buluyoruz; tek başına bu keşif bile çabayı haklı çıkarır.
Kuralları zıt iki dünya
| Ofis BT’si | Makine kontrolü | |
|---|---|---|
| Yama | Aylık, mümkün olan yerde otomatik | Yalnızca üreticiyle, çoğu zaman hiç |
| Ömür | Üç ila beş yıl | On beş ila yirmi beş yıl |
| Öncelik | Verinin gizliliği | Sürecin erişilebilirliği ve emniyeti |
| Duruş | Can sıkıcı | Dakikası pahalı, bazen tehlikeli |
| Kimin | BT’nin | Üretim ya da bakımın, nadiren BT’nin |
Sürtünmenin çoğunu son satır yaratır. Makine ağı genelde hattı çalıştıran kişilere aittir ve bir rapor alınabilsin diye bir noktada ofis ağına bağlanmıştır. Bunu kimse belgelememiştir.
Neyin bağlı olduğunu bularak başlayın
Yaptığımız her OT projesi bir sürprizle başladı. On yıl önce desteği biten bir işletim sistemiyle çalışan, binadaki herhangi bir masadan erişilebilen bir kontrol bilgisayarı olan bir paketleme hattı. Makine ağına kalıcı takılı ve aynı anda wifi’de olan bir bakım dizüstüsü. Bir tedarikçinin 2019’da açıp hiç kapatmadığı bir uzaktan destek bağlantısı.
Envanter bir günlük iştir ve dürüst olan tek başlangıç noktasıdır. Başka her şey, tahmin ettiğiniz bir ağ için tasarım yapmaktır.
Bölümleme, işe yarayan sırayla
- Önce makine ağını ayırın. Kendi bölümü, kendi adreslemesi, kendi güvenlik duvarı arabirimi.
- Varsayılan olarak reddedin, sonra gerekene izin verin. Genelde bir avuç belirli akış: bir raporlama sunucusu, bir lisans denetimi, bir tedarikçi bağlantısı.
- Doğrudan internet erişimini kaldırın. Bir makinenin güncellemeye ihtiyacı varsa bu, tarayıcıdan değil denetimli bir yoldan geçer.
- Tedarikçi erişimini denetleyin. Kimsenin izlemediği kalıcı bir tünel yerine, talep üzerine açılan ve sonra kapatılan uzaktan destek.
- Sonra izleyin. Trafik bir kez ayrıldığında beklenmedik trafik görünür olur; düz bir ağda hiç olmaz.
Bunun tasarımı ve yönetimi ağ yönetimi altında, güvenlik politikası ise siber güvenlik altında.
Yama alamayan sistemler için ne yapmalı
Telafi edici denetimler; yani kibar ifadeyle, onu zarar verebilecek her şeyden uzak tutmak. Bir kontrol bilgisayarı güncellenemiyorsa, ofis ağından erişilebilir olmamalı, internette gezinmemeli, çıkarılabilir medyası etkin olmamalı ve bir saat içinde geri yükleyebileceğiniz bir imajı bulunmalıdır.
Bu son madde insanların beklediğinden önemlidir. Yamasız bir makine eninde sonunda vurulduğunda kurtarma yolu temizlik değil geri yüklemedir; imaj yoksa üretici yeniden kurana kadar hat durur. Bu, günlerle ölçülen bir konuşmadır.
Makine tarafını da yedekleyin
Makine kontrol sistemleri BT sayılmadıkları için sık sık yedekleme rejiminin dışında kalır. Bir hattın yapılandırması, reçeteler, kalibrasyon verileri: hepsi benzersizdir, hiçbiri ortak bir sürücüde değildir ve üretici genelde bir kopya tutmaz.
Bunu diğer her sistem gibi ele alıyoruz: bir kopya, değiştirilemez bir kopya ve gerçekten denenmiş bir geri yükleme. Gerekçesi değiştirilemez yedek yazısında.
Sanayi sanılandan daha sık kapsam içinde
İmalat NIS2’nin sektör listesinde yer alıyor; gıda ve kimya da öyle. Bir kuruluş büyüklük eşiğinin altında kalsa bile, kapsam içindeki bir müşteriye tedarik etmek yükümlülükleri sözleşme yoluyla içeri sokar.
Bölümleme ve envanter, bir denetçinin ilk sorduğu şeylerden ikisidir; yani işin güvenlik faydasının ötesinde bir değeri vardır. Kanıtın nasıl göründüğü uygulamada NIS2 yazısında.
Bu konuda bize sorulanlar
Üretim ve bakım yöneticilerinin sordukları.
Yama alamayan makineler için ne yapıyoruz?
Etrafında tasarım yapıyoruz. Makineyi ofis ağının ve internetin dışında tutun, çıkarılabilir medyayı kapatın, tedarikçi erişimini denetleyin ve geri yüklenebilir bir imaj bulundurun. Desteklenmeyen bir kontrol sistemini güvenli hâle getiremezsiniz; erişilemez ve kurtarılabilir hâle getirirsiniz.
OT bölümlemesine nereden başlarız?
Gerçekte neyin bağlı olduğunun envanterinden. Çoğu sahada bu en az bir sürpriz çıkarır; genelde herhangi bir masadan erişilebilen bir kontrol sistemi ya da hiç kapatılmamış bir tedarikçi tüneli. Tasarım envanterden önce değil sonra gelir.
Makine sistemleri yedeklenmeli mi?
Evet ve BT sayılmadıkları için sıklıkla atlanırlar. Hat yapılandırması, reçeteler ve kalibrasyon verileri benzersizdir ve üretici genelde kopya tutmaz. Geri yüklenebilir bir imaj olmadan bir arıza, yeniden kurulumu beklemek demektir.
NIS2 sanayi için geçerli mi?
İmalat sektör listesinde; gıda ve kimya da öyle. Büyüklük eşikleri var, ama kapsam içindeki bir müşteriye tedarik etmek yükümlülükleri yine de sözleşmeyle getirir. Bölümleme ve envanter, bir denetçinin ilk sorduğu şeyler arasında.
Bu, işimizin neresine düşüyor
Bu işin indiği yer.
Kendi sahanıza bakılmasını ister misiniz?
Yarım saatlik bir görüşme, doğru taraf olup olmadığımızı anlamaya genelde yeter; değilsek bunu söyleriz.
Gelen kutunuza pratik BT bilgisi
Yönetim, güvenlik ve çalışma alanı üzerine yeni rehberler; işi yapanlar tarafından yazılıyor. Satış dili yok, abonelikten tek tıkla çıkabilirsiniz.