Što se dogodilo?
Sigurnosna situacija u njemačkoj industriji prema izvješćima Saveznog ureda za sigurnost u informacijskoj tehnologiji (BSI) ostaje kritična. Bilo da se radi o ciljanoj krađi podataka, sabotaži kritične infrastrukture ili napadima ransomwareom – šteta za gospodarstvo prema BSI-u već odavno prelazi granicu od stotine milijardi eura. Posebno su pogođena industrijska okruženja: prostrani poslovni kompleksi, raspršene lokacije i sve veća povezanost informacijske tehnologije (IT) i operativne tehnologije (OT) stvaraju veliku površinu za napade. Istovremeno raste regulatorni pritisak zbog provedbe direktive NIS-2 i nadolazećeg krovnog zakona o KRITIS-u, koji znatno proširuju obveze upravljanja rizicima i rizike odgovornosti za rukovodstvo poduzeća.
Detalji
Članak časopisa Protector Magazin, koji je napisala urednica Miriam Steinitz, opisuje ključni izazov za sigurnosne odgovorne osobe u industriji: kako zaštititi infrastrukturu u kojoj jedna neovlašteno otvorena vrata mogu kompromitirati cijelu digitalnu mrežu? Ovo pitanje jasno pokazuje koliko su fizička i digitalna sigurnost danas međusobno isprepletene.
Uz NIS-2 i krovni zakon o KRITIS-u, i specifični standardi pojedinih sektora poput ISO/IEC 27001, TISAX, IFS Food ili ATEX zahtijevaju potpune sigurnosne dokaze. Za arhitekte, stručne planere i operatere time nastaje izazov ravnoteže: potrebno je postići visok stupanj usklađenosti s propisima, a da se pritom ne ugroze svakodnevni proizvodni i logistički procesi.
Kao rješenje, članak navodi modernu kontrolu pristupa, koja se od običnog „sustava ključeva na vratarnici“ razvija u inteligentan element ukupne kibernetičke otpornosti. Navedena područja primjene uključuju zaštitu perimetra, zaštitu od špijunaže u istraživačkim odjelima te potpune revizijske tragove (audit trails) za potrebe revizija. Moderni sustavi zaključavanja i kontrole pristupa pritom trebaju djelovati kao poveznica između fizičkog i digitalnog svijeta.
Konkretna tehnička provedba ostaje u članku otvorenim pitanjem: koje arhitekture sustava mogu izdržati dinamične zahtjeve modernih lokacija i kako postići besprijekornu integraciju u postojeće IT okruženje na fleksibilan, skalabilan i budućnosti prilagođen način – formulirano je kao središnje pitanje. U tom kontekstu, članak upućuje na bijelu knjigu proizvođača Assa Abloy, koja treba pružiti praktične uvide i kontrolne liste za provedbu.
Kontekst
Razvoj opisan u članku pokazuje temeljnu promjenu u shvaćanju sigurnosti u industrijskim poduzećima: fizička kontrola pristupa više se ne promatra izolirano, već se shvaća kao sastavni dio kibernetičke otpornosti. Ova povezanost izravna je posljedica sve veće povezanosti IT-a i OT-a u proizvodnim okruženjima, koja briše klasične granice između digitalne i fizičke sigurnosti.
Za sigurnosne odgovorne osobe i stručne planere u području kontrole pristupa to znači promijenjene zahtjeve: usklađenost s NIS-2, krovnim zakonom o KRITIS-u te sektorskim normama poput ISO/IEC 27001, TISAX, IFS Food ili ATEX ubuduće se mora sustavno uzimati u obzir prilikom planiranja ili modernizacije rješenja za kontrolu pristupa. Rizici odgovornosti za rukovodstvo poduzeća, opisani u članku, dodatno povećavaju pritisak na pravovremenu provedbu odgovarajućih mjera.
Praktični savjeti
- Sustave kontrole pristupa ne planirati izolirano, već u kontekstu cjelokupne IT/OT sigurnosne arhitekture.
- Uspostaviti revizijske tragove i potpunu dokumentaciju pristupnih događaja kao temelj za ispunjavanje obveza dokazivanja prema revizorima i nadzornim tijelima.
- Osigurati zaštitu perimetra i osjetljivih područja poput istraživačkih odjela, s posebnim naglaskom na zaštitu od špijunaže.
- Rano provjeriti koje se arhitekture sustava mogu fleksibilno i skalabilno integrirati u postojeće IT okruženje kako bi se izbjegle naknadne nadogradnje.
- Koristiti dostupne praktične vodiče i kontrolne liste, primjerice iz spomenute bijele knjige tvrtke Assa Abloy, kao orijentaciju pri provedbi regulatornih zahtjeva.
Izgledi
Stupanjem na snagu krovnog zakona o KRITIS-u i daljnjom provedbom direktive NIS-2, industrijska poduzeća predvidivo će se suočavati s daljnjim rastom pritiska na djelovanje. Razvoj naznačen u članku – spajanje fizičke kontrole pristupa sa strategijama kibernetičke otpornosti – vjerojatno će se nastaviti, jer će hibridne IT/OT strukture u industriji i dalje rasti. Za operatere, arhitekte i stručne planere stoga postaje sve važnije rješenja za kontrolu pristupa od samog početka koncipirati na način koji je regulatorno i tehnički otporan na buduće promjene, umjesto naknadnog prilagođavanja.
