دولت ایالات متحده و شرکای Five Eyes به‌زودی دستورالعمل‌های جدیدی را برای مالکان و اپراتورهای فناوری عملیاتی (Operational Technology – OT) در زمینه بازیابی سیستم‌ها پس از حملات سایبری منتشر خواهند کرد. این اقدام بخشی از ابتکار گسترده‌تر CI-Fortify است که هدف آن تقویت تاب‌آوری زیرساخت‌های حیاتی است.
ضرورت تست‌های جامع و واقعی
مت راجرز، متخصص امنیت OT در سازمان CISA، تأکید کرد که نکته کلیدی این راهنما، الزام اپراتورها به آزمایش برنامه‌های پاسخ و بازیابی در مقیاس واقعی و در سطح کل سازمان است. او اشاره کرد که تست‌های کوتاه و ایزوله ممکن است نتایج گمراه‌کننده‌ای داشته باشند و تنها از طریق شبیه‌سازی کامل می‌توان نقاط ضعف سیستم را شناسایی کرد.
راجرز در مورد سازمان‌هایی در بخش‌های انرژی، گاز طبیعی و آب توضیح داد که با استفاده از CI-Fortify توانسته‌اند بودجه و تاییدیه لازم را برای اجرای تمرینات «قطع ارتباط IT/OT» (IT/OT disconnect exercise) دریافت کنند. در این تمرینات، شبکه تجاری از شبکه OT جدا می‌شود تا مشخص گردد کدام بخش‌های عملیاتی دچار اختلال می‌شوند.
چالش‌های عملیاتی و توهمات ارتباطی
یکی از مثال‌های ذکر شده، یک شرکت برق بود که در تمرین قطع ارتباط تصور می‌کرد همه چیز به درستی کار می‌کند، اما مشخص شد که مرورگرها صفحات را Cache کرده بودند و با یک Refresh ساده، تمام دسترسی‌ها قطع شد. این‌گونه جزئیات فنی و «ترفندهای عملیاتی» در راهنمای آتی CISA گنجانده خواهد شد.
همچنین به این نکته اشاره شد که بسیاری از سازمان‌ها در برنامه‌های ارتباطات اضطراری خود دچار تناقض هستند. برای مثال، برخی تصور می‌کنند در صورت قطع Teams یا Zoom می‌توانند با تلفن تماس بگیرند و در صورت قطع تلفن، دوباره به سراغ Teams بروند؛ در حالی که در یک سناریوی واقعی، هر دو زیرساخت ممکن است از دسترس خارج شوند.
همکاری‌های بین‌المللی و تبادل تجربیات
در حال حاضر CISA یک «گروه تبادل فنی» (Technical Exchange Group) را مدیریت می‌کند تا اپراتورهایی که قصد اجرای تست‌های بازیابی را دارند، بتوانند تجربیات خود را با کسانی که پیش‌تر این مراحل را طی کرده‌اند به اشتراک بگذارند و پیش از اجرای عملی، نقاط شکست احتمالی را شناسایی کنند.
این راهنمای بازیابی، در ادامه توصیه‌های ماه جولای در مورد ایزوله‌سازی سیستم‌های حیاتی OT منتشر می‌شود که توسط کشورهای عضو Five Eyes (استرالیا، بریتانیا، کانادا، نیوزیلند و ایالات متحده) تدوین شده بود.
