Što se dogodilo?
U gostujućem članku za časopis Protector, Uwe Greunke, voditelj poslovnog segmenta KRITIS u tvrtki Rohde & Schwarz Networks and Cybersecurity, opisuje pet pravila za sigurnu integraciju sigurnosne tehnike u IT mreže. Članak je namijenjen prvenstveno operatorima kritične infrastrukture (KRITIS), kod kojih sigurnosno-tehnički sustavi poput nadzornih kamera, kontrole pristupa, mehanizama zaključavanja ili alarmne i obavijesne tehnike sve više postaju dio arhitekture IT mreže.
Ključna poruka: kada se sigurnosni sustavi integriraju u IT mreže, moraju učinkovito surađivati – a da se pritom ne umanji ili ukine stvarna razina zaštite.
Detalji
Prema članku, sigurnosno-tehnički sustavi u KRITIS i OT području podliježu odredbama krovnog zakona o KRITIS-u, zakona o BSI-u (Saveznom uredu za sigurnost u informacijskoj tehnologiji), kao i drugim relevantnim standardima poput BSI IT-Grundschutz i norme IEC 62443. Iz toga Greunke izvodi nužnost da se umrežavanje tih sustava oblikuje prema jasno definiranom i obvezujućem sigurnosnom i zonskom konceptu. Posebna pozornost pritom se posvećuje komunikacijskim putevima između sigurnosno-tehničkih uređaja, kontrolnih centara, sustava za upravljanje i susjednih IT mreža – oni moraju biti strogo regulirani.
Članak navodi pet konkretnih pravila:
- Stvoriti jasno definirane zone: Sustavi kamera, senzori i komponente za kontrolu pristupa trebali bi se koristiti u logički ili fizički odvojenim područjima. Sustavi kamera, primjerice, trebali bi komunicirati samo s pripadajućim sustavima poput NVR-a (Network Video Recorder) ili VMS-a (Video Management System). Vatrozidi ili segmentni pristupnici (gateway) nadziru i osiguravaju prijelaze između zona.
- Odvojiti uredsku IT infrastrukturu i vanjske mreže: Sigurnosni sustavi u načelu bi trebali djelovati odvojeno od klasične poslovne IT infrastrukture. Prijelazi se odvijaju putem utvrđenih točaka poput DMZ ili NAT zona, koje omogućuju kontroliranu upotrebu usluga poput Active Directoryja, DNS-a ili PKI-a, bez ugrožavanja sigurnosnih segmenata.
- Osigurati otporan i samostalan rad: OT sigurnosna mreža mora ostati funkcionalna i samostalna čak i u slučaju smetnji u okolnoj IT infrastrukturi, ispada WAN-a ili vanjskih prijetnji. Mehanizmi poput mrežnih sondi (network probes), watchdog funkcija za kamere ili PoE ponovnog pokretanja mogu automatski otkloniti tipične smetnje.
- Šifrirati i nadzirati komunikacijske puteve: Video, alarmni i upravljački podaci moraju se prenositi šifrirano. Spominju se VPN-ovi (client-to-site ili site-to-site) za pristup u svrhu održavanja i povezivanje lokacija, kao i reverse proxy poslužitelji s neprekidnom TLS enkripcijom protiv napada tipa "čovjek u sredini" (man-in-the-middle).
- Osigurati modularnost i proširivost: Nove IP kamere ili točke pristupa trebale bi se moći integrirati bez značajnih prilagodbi postojeće arhitekture. Arhitekture temeljene na zonama omogućuju uključivanje novih lokacija kao zasebnih segmenata, bez mijenjanja postojećih područja.
Kontekst
Članak jasno pokazuje da se sigurnosna tehnika u KRITIS okruženjima više ne može promatrati izolirano, već se smatra sastavnim dijelom strukture IT mreže. To znači da odgovorne osobe u području sigurnosne tehnike i IT-a moraju surađivati tješnje nego dosad. Prema Greunkeu, povijesno nastale ili nekontrolirane veze između sigurnosnih sustava i drugih mreža u sukobu su s regulatornim zahtjevima te su problematične i u pogledu sljedivosti i mogućnosti revizije.
Za operatore kritične infrastrukture – primjerice u području kontrole pristupa, video nadzora ili alarmne tehnike – iz toga proizlazi jasan regulatorni pritisak za djelovanje: tko integrira kamere, sustave kontrole pristupa ili alarmnu tehniku u postojeće IT okruženje, mora to učiniti prema dokumentiranom zonskom i sigurnosnom konceptu koji je usklađen s navedenim normama i zakonima.
Praktični savjeti
- Sigurnosno-tehničke sustave (kamere, kontrolu pristupa, alarmnu tehniku) koristiti u vlastitim, jasno odvojenim mrežnim zonama i ne miješati ih nediferencirano s uredskom IT infrastrukturom.
- Prijelaze između sigurnosnih zona i poslovne IT infrastrukture voditi isključivo kroz definirane točke poput DMZ ili NAT zona te ih tehnički nadzirati.
- Planirati automatizirane mehanizme nadzora, poput watchdog funkcija za kamere ili PoE ponovnog pokretanja, kako bi se osigurala dostupnost i bez ručne intervencije.
- Dosljedno šifrirati komunikacijske puteve – primjerice putem VPN veza i neprekidne TLS enkripcije – kako bi se spriječila manipulacija i pokušaji prisluškivanja.
- Pri planiranju novih dijelova postrojenja od početka se osloniti na modularne arhitekture temeljene na zonama, kako bi kasnija proširenja bila moguća bez zadiranja u postojeće segmente.
Izgled u budućnosti
S obzirom na regulatorne okvire navedene u članku – krovni zakon o KRITIS-u, zakon o BSI-u, BSI IT-Grundschutz i normu IEC 62443 – pritisak na operatore kritične infrastrukture da svoje mreže sigurnosne tehnike oblikuju u skladu s normama i s mogućnošću revizije vjerojatno će i dalje rasti. Greunkeov zaključak to sažima: tek suverena, normi usklađena i revidibilna mreža stvara temelj za propisno i strukturirano djelovanje sigurnosno-tehničkih sustava. Za projektante, izvođače i operatore sigurnosne tehnike to znači da ubuduće moraju uzeti u obzir arhitekturu IT mreže kao trajni sastavni dio svakog sigurnosnog koncepta – od planiranja zona do enkripcije komunikacijskih puteva.
