حملات اخیر به سیستم‌های تامین آب در چندین ایالت آمریکا نشان داد که مهاجمان توانسته‌اند از طریق دسترسی از راه دور به کنترل‌کننده‌های منطقی برنامه‌پذیر (PLC) که رو به اینترنت بودند، کنترل پمپ‌ها و شیرها را به دست بگیرند. این حوادث منجر به از دست رفتن قابلیت نظارت و در برخی موارد اختلال در عملیات تامین آب شد.
شکاف امنیتی در فناوری عملیاتی (OT)
برنامه‌های امنیتی Operational Technology (OT) معمولاً برای حفاظت از کنترل‌کننده‌های صنعتی طراحی شده‌اند، اما لایه‌ای از تجهیزات مانند سیستم‌های سرمایشی (Chillers)، پانل‌های اعلام حریق، سیستم‌های کنترل تردد، آسانسورها و دوربین‌ها اغلب نادیده گرفته می‌شوند. این تجهیزات شرایط فیزیکی و دسترسی‌ها را کنترل می‌کنند؛ برای مثال، از کار افتادن یک سیستم سرمایشی می‌تواند منجر به خاموش شدن سرورهایی شود که توسط آن سیستم خنک می‌شدند.
وضعیت نظارت و رویت دارایی‌ها (Asset Visibility)
بر اساس نظرسنجی از رهبران امنیتی و عملیاتی در زیرساخت‌های حیاتی، بخش بزرگی از سازمان‌ها لایه اتوماسیون ساختمان (Building Automation Systems) را به طور دقیق رصد نمی‌کنند. یافته‌های کلیدی عبارتند از:
- تنها ۱۶٪ از سازمان‌ها بیش از ۷۵٪ از سیستم‌های اتوماسیون ساختمان خود را به صورت مستمر مانیتور می‌کنند.
- در مورد تجهیزات IoT متصل مانند دوربین‌ها و ترموستات‌ها، این رقم تنها ۲۰٪ است.
- تنها ۲۱٪ از سازمان‌ها دارای یک فهرست کامل از دارایی‌های متصل به شبکه (Asset Inventory) هستند.
رابطه بین شناسایی دارایی‌ها و سرعت بازیابی
داده‌ها نشان می‌دهد سازمان‌هایی که دارای فهرست جامع یا قابل توجهی از دارایی‌های خود هستند، در زمان وقوع حوادث سریع‌تر عمل می‌کنند. در حالی که میانگین زمان توقف (Downtime) در حوادث شدید ۱۶.۲ ساعت بوده است، ۴۲٪ از سازمان‌های دارای Inventory جامع توانسته‌اند در کمتر از ۶ ساعت سیستم‌های خود را بازیابی کنند، در حالی که این رقم برای سازمان‌های بدون فهرست رسمی تنها ۲۵٪ بود.
ناکارآمدی حسابرسی‌های انطباقی (Compliance Audits)
یکی از یافته‌های جالب این است که وضعیت انطباق (Compliance) لزوماً پیش‌بینی‌کننده وقوع حادثه نیست. سازمان‌هایی که تمامی حسابرسی‌های انطباقی را با موفقیت پشت سر گذاشته بودند، تقریباً با نرخ مشابهی (۷۴٪ در مقابل ۷۳٪) حوادث شدید را گزارش کردند. با این حال، سازمان‌های دارای Audit موفق، اعتماد بیشتری به توانایی خود در بازیابی سریع سیستم‌ها داشتند که احتمالاً به دلیل وجود بک‌آپ‌های تست شده و رویه‌های پاسخگویی مستند است.
موانع اصلی در مسیر آمادگی
تنها ۳۱٪ از سازمان‌ها خود را کاملاً آماده می‌دانند. بزرگ‌ترین مانع ذکر شده، تجهیزات قدیمی (Legacy Equipment) است. بسیاری از کنترل‌کننده‌های قدیمی برای محیط‌های ایزوله طراحی شده‌اند و از پروتکل‌هایی استفاده می‌کنند که فاقد احراز هویت (Authentication) یا رمزنگاری (Encryption) هستند. به‌روزرسانی (Patching) این تجهیزات اغلب مستلزم توقف برنامه‌ریزی شده عملیات یا تعامل پیچیده با تامین‌کننده است.
