ائتلافی متشکل از تولیدکنندگان تجهیزات OT، تامین‌کنندگان امنیتی و سایر شرکت‌های فعال در این حوزه، خواستار آن شدند که دولت ایالات متحده فوراً سازمان‌های فدرال را ملزم به استقرار اقدامات امنیتی پایه برای فناوری‌های عملیاتی (Operational Technology) کند.
شکاف میان استانداردهای نظامی و غیرنظامی
مایکل گارسیا، مدیر سیاست‌گذاری ائتلاف امنیت سایبری OT، اشاره کرد که اگر سازمان امنیت سایبری و زیرساخت (CISA) چنین اقدامی انجام دهد، در واقع مسیری را دنبال می‌کند که پیش‌تر در سال ۲۰۲۴ توسط NSA برای تجهیزات صنعتی نظامی تعیین شده است. وی تأکید کرد تهدیداتی که محیط‌های OT نظامی را هدف قرار می‌دهند، دقیقاً در محیط‌های غیرنظامی و دولتی نیز وجود دارند.
بحران شناسایی دارایی‌ها (Asset Visibility)
با وجود اینکه استانداردهای مؤسسه ملی فناوری و استانداردها (NIST) بر لزوم Asset visibility و مانیتورینگ مستمر دستگاه‌های OT تأکید دارند، اما حسابرسی اخیر دفتر پاسخگویی دولتی (GAO) نتایج نگران‌کننده‌ای را نشان داده است. بر اساس این گزارش، کمتر از نیمی از ۲۲ وزارتخانه و سازمان فدرال توانسته‌اند الزامات تعیین شده برای فهرست‌بندی (Inventory) و نظارت بر دستگاه‌های متصل IoT و OT را برآورده کنند.
- از ۲۲ سازمان مورد بررسی، تنها ۱۵ سازمان توانسته‌اند یک فهرست دارایی ایجاد کنند.
- تنها ۱۱ سازمان این فهرست‌ها را به‌روزرسانی می‌کنند.
- تنها ۱۰ سازمان اطلاعات ضروری (مانند شرح دارایی و نسخه نرم‌افزار) را برای هر دستگاه ثبت کرده‌اند.
- در مجموع، تنها ۷ سازمان به‌طور کامل با الزامات مطابقت داشتند.
ضرورت دستورالعمل‌های عملیاتی الزام‌آور (BOD)
گزارش GAO نشان می‌دهد که یادداشت‌های اداری پیشین در این زمینه فاقد قدرت اجرایی بوده‌اند. گارسیا معتقد است CISA باید یک Binding Operational Directive (BOD) یا دستورالعمل عملیاتی الزام‌آور صادر کند تا مکانیسم‌های پاسخگویی و اجرای قوانین تقویت شود.
اگرچه این دستورالعمل‌ها تنها برای سازمان‌های دولتی اجباری خواهد بود، اما به دلیل جایگاه CISA، بخش خصوصی معمولاً این استانداردها را به عنوان یک Baseline امنیتی پذیرفته و در سازمان‌های خود پیاده‌سازی می‌کند. این امر سیگنالی قدرتمند به بازار خصوصی می‌فرستد تا گام‌های حیاتی برای بهبود امنیت OT را بردارند.
تفاوت‌های کلیدی IT و CPS
نیکولاس لایسرسون، رئیس مرکز پیشبرد امنیت سایبری، ضمن حمایت از این درخواست، هشدار داد که نمی‌توان به سادگی تدابیر امنیتی IT را به سیستم‌های سایبری-فیزیکی (CPS) منتقل کرد. وی اشاره کرد که سیستم‌های OT و IoT به دلیل تعامل مستقیم با دنیای فیزیکی، تفاوت‌های ساختاری عمیقی با سیستم‌های IT دارند و نگاشت ساده کنترل‌های امنیتی IT بر روی این سیستم‌ها می‌تواند دشوار و ناکارآمد باشد.
