مدیران فناوری اطلاعات (CIO) در سطح ایالتی اکنون با چالشی گسترده‌تر روبرو هستند؛ آن‌ها باید تخصص خود را از مدیریت شبکه‌های دولتی به حوزه‌های پراکنده و محلی مانند سیستم‌های تامین آب و بیمارستان‌ها تعمیم دهند. در این محیط‌ها، یک حمله سایبری تنها منجر به نشت داده نمی‌شود، بلکه می‌تواند خدمات فیزیکی را مختل کرده و ایمنی عمومی را به خطر اندازد.
تفاوت دسترس‌پذیری (Availability) و محرمانگی (Confidentiality)
بسیاری از استراتژی‌های امنیت سایبری بر محور محرمانگی اطلاعات طراحی شده‌اند، اما در زیرساخت‌های حیاتی، دسترس‌پذیری خدمات نجات‌بخش اولویت اول است. با افزایش اتکای سیستم‌های کوچک به اتصال اینترنت، بسیاری از قابلیت‌های عملیاتی دستی (Manual Fallbacks) از بین رفته‌اند. این موضوع باعث شده تا در صورت قطع ارتباطات یا شکست دفاع‌های دیجیتال، سازمان‌ها توانایی ادامه فعالیت را نداشته باشند.
رویکرد مهندسی سایبری (Cyber-informed Engineering)
با توجه به اینکه بسیاری از تجهیزات زیرساختی دهه‌ها عمر می‌کنند و ممکن است نرم‌افزارهای قدیمی یا نیروی انسانی متخصص برای مدیریت دستی آن‌ها وجود نداشته باشد، اتکای صرف به ابزارهای امنیتی کافی نیست. رویکرد Cyber-informed Engineering بر این فرض استوار است که مهاجم در نهایت می‌تواند به سیستم‌های کنترل دسترسی پیدا کند. بنابراین، به جای تمرکز مطلق بر «جلوگیری از ورود»، باید حفاظ‌های مکانیکی، الکتریکی و فرآیندی ایجاد کرد تا پیامدهای فیزیکی حمله محدود شود.
- حفاظ‌های فیزیکی: استفاده از شیرهای کاهش فشار (Pressure-reduction valves) یا رله‌های تاخیری (Time-delay relays) برای جلوگیری از تخریب تجهیزات در صورت دستکاری نرم‌افزاری.
- مدیریت وابستگی‌ها: شناسایی سیستم‌های آبی کوچک که خدمات حیاتی مراکز تروما یا کلینیک‌های دیالیز را تامین می‌کنند و اولویت‌بندی آن‌ها.
- مانیتورینگ OT: استفاده از ابزارهای نظارت بر فناوری عملیاتی (OT Monitoring) و بخش‌بندی شبکه (Segmentation) برای شناسایی سریع نفوذ پیش از بروز اختلال فیزیکی.
اولویت‌بندی بی‌رحمانه و شبیه‌سازی بحران
به دلیل محدودیت بودجه و زمان، تلاش برای ایمن‌سازی تمامی تاسیسات غیرممکن است. راهکار جایگزین، اولویت‌بندی سخت‌گیرانه و اجرای تمرینات شبیه‌سازی (Tabletop Exercises) است. سازمان‌ها باید موارد زیر را مستند کنند:
- خدمات ضروری مورد پشتیبانی
- حداکثر زمان قابل تحمل برای توقف سرویس (Maximum Tolerable Downtime)
- نقاط شکست واحد (Single Points of Failure)
- توانایی عملیات در حالت آفلاین یا دستی
