Tietoturvan haasteita teollisuusautomaatiossa

Tietoturvan hallinta on muodostunut merkittäväksi haasteeksi teollisuusautomaatiossa, koska avoimia ja verkottuneita tietoliikenne- ja laiteratkaisuja käytetään yhä useammin alalla. Informaatio- ja kommunikaatioalan laitteita ja tietoliikenneratkaisuja integroidaan teollisuusautomaatioympäristöön, missä perinteisesti on käytetty eristäytyneempiä ratkaisuja. Muutos ei ole lainkaan suoraviivainen tietoturvan hallinnan näkökulmasta. Tässä paperissa tarkastelemme syntyneen uuden tilanteen valossa tietoturvan hallinnan haasteita teollisuusautomaatioympäristössä. Laitteiden, palveluiden ja tietoverkkojen yhdentymiskehitys on pääasiallinen uusia tietoturvauhkia teollisuusautomaatioympäristöön luova ilmiö. Myös langattoman etäohjauksen ja –diagnostiikan käyttö lisääntyy myös koko ajan. TCP/IP-ratkaisujen ja langattoman tietoliikenteen mukanaan tuoma uusi tilanne vaatii erityistä tietoturva-asioihin huomiointia. Vanhojen erikoistarpeisiin räätälöityjen ratkaisujen täytyy pystyä kuitenkin toimimaan uuden tekniikan kanssa yhteen – ja niin, että riittävä tietoturvan taso toteutuu. Käyttöturvallisuudella on teollisuusautomaatioympäristön operationaalisissa vaatimuksissa paljon merkittävämpi painoarvo kuin tyypillisessä toimistoympäristössä. Jatkuva ja luotettava toiminnallisuus on myös tärkeää. Automaatiojärjestelmän täytyy olla vikasietoinen ja selviytymiskykyinen. Nämä vaatimukset ovat huomattavasti laajempia kuin normaalissa toimistoympäristössä. Automaatiojärjestelmien laitteiden käytössä on usein vähemmän laskentatehoa tietoturvaratkaisujen tarpeisiin kuin tyypillisillä toimistotietokoneilla. Nykyään automaatioteollisuuden liiketoiminta verkottuu vahvasti – isojen alan toimijoiden tueksi on syntynyt laaja alihankkijoiden verkosto. Yleensä yritykset tukeutuvat alihankkijoiden apuun hyvin helposti ainoastaan yksinkertaista talousanalyysiä käyttäen, unohtaen tietoturvan hallinnan vaatimukset. Alihankkijoiden tietoturvaosaaminen voi jäädä testaamatta kokonaan. Automaatiojärjestelmän infrastruktuurin ja osien suunnittelun ja toteutuksen jokaisessa vaiheessa on tietoturvauhkia. Uhkat syntyvät usein siitä, että ratkaisuissa käytetään tiettyä teknologiaa vaikka ko. teknologian tietoturvariskit olisivat liian suuret. Tietoturvatietoisuuden puute yrityksessä voi aikaansaada sen, että uskotaan sokeasti tiettyyn teknologiaan ja valitaan valmiita kaupallisia ratkaisuja jotka eivät loppujen lopuksi ole tietoturvan näkökulmasta sopivia. Teollisuuslaitoksen henkilöstön aiheuttamat tahalliset tai tahattomat tietoturvauhkat ovat hyvin merkittävä tekijä. Ylivoimaisesti tehokkain tietoturvaratkaisu on lisätä henkilöstön tietoturvatietoisuutta mm. erillisen koulutusohjelman avulla. On myös erittäin tärkeää, että yrityksen johto on täysin sitoutunut tietoturvan hallintaan ja pystyy ilmaisemaan tavoitteet tietoturvapolitiikkojen muodossa.