Co się wydarzyło?
W artykule gościnnym dla magazynu Protector Uwe Greunke, kierownik segmentu biznesowego KRITIS w Rohde & Schwarz Networks and Cybersecurity, opisuje pięć zasad bezpiecznej integracji techniki bezpieczeństwa z sieciami IT. Artykuł skierowany jest w szczególności do operatorów infrastruktury krytycznej (KRITIS), u których systemy techniki bezpieczeństwa – takie jak kamery monitoringu, kontrola dostępu, mechanizmy zamykania czy technika alarmowa i powiadamiania – stają się coraz częściej częścią architektury sieci IT.
Główna teza: gdy systemy zabezpieczeń są integrowane z sieciami IT, muszą efektywnie ze sobą współpracować – bez obniżania czy znoszenia właściwego poziomu ochrony.
Szczegóły
Systemy techniki bezpieczeństwa w obszarach KRITIS i OT podlegają, zgodnie z artykułem, przepisom niemieckiej ustawy ramowej KRITIS-Dachgesetz, ustawy o BSI (niemieckim Federalnym Urzędzie ds. Bezpieczeństwa Informacji) oraz innym istotnym standardom, takim jak BSI IT-Grundschutz i norma IEC 62443. Na tej podstawie Greunke wywodzi konieczność kształtowania połączeń sieciowych tych systemów według jasno zdefiniowanej i wiążącej koncepcji bezpieczeństwa i stref. Szczególną uwagę należy poświęcić drogom komunikacji między instalacjami techniki bezpieczeństwa, centrami dowodzenia, systemami zarządzania a sąsiednimi sieciami IT – muszą one podlegać ścisłej regulacji.
Artykuł wymienia pięć konkretnych zasad:
- Tworzenie wyraźnych stref: systemy kamer, czujniki i komponenty kontroli dostępu powinny działać w logicznie lub fizycznie oddzielonych obszarach. Systemy kamer powinny na przykład komunikować się wyłącznie z powiązanymi systemami, takimi jak NVR (Network Video Recorder) czy VMS (Video Management System). Zapory sieciowe (firewalle) lub bramy segmentowe monitorują i zabezpieczają przejścia między strefami.
- Oddzielenie IT biurowej i sieci zewnętrznych: systemy bezpieczeństwa powinny zasadniczo działać poza klasyczną infrastrukturą IT przedsiębiorstwa. Przejścia realizowane są przez ustalone punkty, takie jak strefy DMZ czy NAT, które umożliwiają kontrolowane korzystanie z usług takich jak Active Directory, DNS czy PKI, bez narażania segmentów bezpieczeństwa.
- Zapewnienie odpornej i autonomicznej pracy: sieć bezpieczeństwa OT musi zachować zdolność do samodzielnego funkcjonowania również w przypadku zakłóceń w otaczającym środowisku IT, awarii sieci WAN czy zagrożeń zewnętrznych. Mechanizmy takie jak sondy sieciowe, watchdogi kamer czy restarty oparte na PoE mogą automatycznie usuwać typowe zakłócenia.
- Szyfrowanie i monitorowanie ścieżek komunikacyjnych: dane wideo, alarmowe i sterujące muszą być przesyłane w formie zaszyfrowanej. Wymieniane są sieci VPN (typu klient-siedziba lub siedziba-siedziba) do zdalnego dostępu serwisowego i połączeń między lokalizacjami, a także reverse proxy z ciągłym szyfrowaniem TLS jako ochrona przed atakami typu man-in-the-middle.
- Zapewnienie modułowości i rozszerzalności: nowe kamery IP czy punkty kontroli dostępu powinny dać się zintegrować bez konieczności istotnych zmian w istniejącej architekturze. Architektury oparte na strefach umożliwiają włączanie nowych lokalizacji jako oddzielnych segmentów, bez ingerencji w istniejące obszary.
Ocena
Artykuł jasno pokazuje, że technika bezpieczeństwa w środowiskach KRITIS nie może być już rozpatrywana w izolacji, lecz stanowi integralną część struktury sieci IT. Oznacza to, że osoby odpowiedzialne za technikę bezpieczeństwa i IT muszą współpracować ściślej niż dotychczas. Historycznie wykształcone lub niekontrolowane połączenia między systemami bezpieczeństwa a innymi sieciami stoją, zdaniem Greunkego, w sprzeczności z wymogami regulacyjnymi, a ponadto są problematyczne pod względem identyfikowalności i możliwości audytu.
Dla operatorów infrastruktury krytycznej – na przykład w obszarze kontroli dostępu, monitoringu wizyjnego czy techniki alarmowej – wynika z tego wyraźna presja regulacyjna do działania: kto integruje kamery, systemy kontroli dostępu czy technikę alarmowania z istniejącymi środowiskami IT, musi robić to zgodnie z udokumentowaną koncepcją stref i bezpieczeństwa, odpowiadającą wymienionym normom i przepisom.
Wskazówki praktyczne
- Systemy techniki bezpieczeństwa (kamery, kontrola dostępu, technika alarmowa) należy eksploatować we własnych, wyraźnie odgraniczonych strefach sieciowych, a nie mieszać bezkrytycznie z IT biurową.
- Przejścia między strefami bezpieczeństwa a IT przedsiębiorstwa powinny prowadzić wyłącznie przez zdefiniowane punkty, takie jak strefy DMZ czy NAT, i być monitorowane technicznie.
- Należy zaplanować zautomatyzowane mechanizmy monitorujące, takie jak watchdogi kamer czy restarty oparte na PoE, aby zapewnić dostępność systemów również bez ręcznej interwencji.
- Ścieżki komunikacyjne należy konsekwentnie szyfrować – na przykład poprzez połączenia VPN i ciągłe szyfrowanie TLS – aby zapobiec manipulacjom i próbom podsłuchu.
- Przy planowaniu nowych elementów instalacji od początku należy stawiać na modułowe, oparte na strefach architektury, aby późniejsze rozbudowy były możliwe bez ingerencji w istniejące segmenty.
Perspektywy
Wobec przedstawionych w artykule ram regulacyjnych – ustawy ramowej KRITIS-Dachgesetz, ustawy o BSI, standardu BSI IT-Grundschutz i normy IEC 62443 – presja na operatorów infrastruktury krytycznej, by kształtować swoje sieci techniki bezpieczeństwa zgodnie z normami i w sposób umożliwiający audyt, będzie prawdopodobnie dalej rosnąć. Wniosek Greunkego trafnie podsumowuje sytuację: dopiero suwerenna, zgodna z normami i audytowalna sieć stwarza podstawę do zgodnej z przepisami i uporządkowanej eksploatacji systemów techniki bezpieczeństwa. Dla projektantów, instalatorów i operatorów techniki bezpieczeństwa oznacza to konieczność uwzględniania architektury sieci IT jako stałego elementu każdej koncepcji bezpieczeństwa – od planowania stref po szyfrowanie ścieżek komunikacyjnych.
