Afgelopen jaar is gebleken hoe kwetsbaar onze infrastructuur soms is als gevolg van cyberaanvallen. Zo zorgde PETYA voor niet functionerende kranen bij de containerterminal van Maersk, en voor niet functionerende sorteermachines bij TNT. Ook zijn recent enkele banken onbereikbaar gebleken door een DDos aanval. Tot nu toe zijn veelal technische, en eraan gerelateerde organisatorische maatregelen, genomen om dergelijke cybersecurity dreigingen het hoofd te bieden. Echter, zo langzamerhand sijpelt het begrip door dat het reactief nemen van maatregelen niet afdoende gaat zijn in de toekomst, willen we de continuïteit van dergelijke infrastructuur kunnen garanderen. Hoe krijgen we onze Operationele technologie (OT/ICS/SCADA) nou echt goed beveiligd?
Lange termijn visie
Veel ICS/SCADA systemen zijn in het verleden ontwikkeld om een taak uit te voeren. De huidige ICS/SCADA systemen zijn veelal doorontwikkeld op basis van ontwerpen van hun voorgangers. Nooit is nagedacht over hoe het ICT landschap rondom deze systemen zou kunnen wijzigen. Het is nu wel duidelijk dat veranderingen snel gaan. Dit vraagt een heldere lange termijn visie ten aanzien van ICS/SCADA systemen en hun ontwerp voor: koppelingen met kantoorautomatisering, en dus met internet, koppelingen met ERP systemen, draadloze bediening; allemaal toepassingsgebieden die 10 jaar geleden nog niet werden meegenomen in een ontwerp, maar nu steeds meer relevant blijken! Een lange termijn visie over hoe ICS/SCADA systemen in de toekomst zouden moeten functioneren is dus onontbeerlijk. Zo’n visie leidt tot nieuwe (functionele en technische) requirements die meegenomen dienen te worden in nieuw uit te schrijven aanbestedingen. Uiteraard horen hier ook requirements bij ten aanzien van beveiliging en continuïteit.
Werken onder Architectuur
In de ICT van Kantoorautomatisering en automatisering van grote systemen met een administratieve functie is het al jaren normaal om te werken onder architectuur. Dit betekent dat de architect nadenkt over welke functionele en technische bouwstenen nodig zijn, hoe deze passen in de lange termijn visie, wat de onderlinge samenhang van de benodigde systemen is, welke koppelingen er nodig zijn en met welke standaarden de systemen functioneren. Kortom: architectuur biedt een goed overzicht in de samenhang van alle ICS/SCADA systemen. Het werken onder architectuur heeft een aantal belangrijke voordelen, ik noem er drie:
- Businesseisen, IT/OT eisen, ontwikkeling, inkoop, beheer en onderhoud van systemen worden goed op elkaar afgestemd;
- De bouwstenen die de ICS/SCADA systemen (gaan) vormen zijn zo beter door te ontwikkelen, omdat de architect van te voren heeft nagedacht over ontkoppeling in ‘kleinere’ en ‘aanpasbare’ eenheden die kunnen blijven samenwerken. Bij de doorontwikkeling van deze ‘aanpasbare eenheden’ speelt lifecycle management een belangrijke rol. De leveranciers en afnemers passen zich langzaam hierop aan, zoals met de ontwikkeling van bouwstenen en centrale netwerk oplossingen voor bediening en logische toegang, logging en antimalware. Het opknippen in kleinere eenheden maakt het mogelijk, om ook met andere leveranciers te werken die voor zo’n eenheid een oplossing bieden. Kortom, minder vendor lock-in.
- En last but not least: Een betere beveiliging van de ICS/SCADA systemen is mogelijk onder architectuur; omdat van te voren beter kan worden nagedacht, hoe de dreigingsbeelden kunnen worden vertaald in technische oplossingen, om deze te kunnen mitigeren.
Werken onder Architectuur, maar hoe dan?
Werken onder architectuur is niet nieuw. Dit betekent dat er al veel ervaring is, enkel niet (of minder) in de ICS/SCADA hoek. Een bekend raamwerk hiervoor is het architectuur raamwerk TOGAF. TOGAF biedt een structuur en governance processen waarlangs de architectuur bestuurd kan worden. Echter, het is hierbij nodig om TOGAF aan te vullen met best practices en standaarden voor architectuur en governance, zoals we die uit de ICS/SCADA wereld al kennen. Denk hierbij aan NIST (SP800-82), Centre for the Protection of National Infrastructure (CPNI), NCCIC/ICS-CERT en TOGAF, tot één toolbox verwerkt.