أظهر استطلاع أجرته شركة كاسبرسكي لاب أن على الرغم من اعتقاد معظم المؤسسات الصناعية بأنها مجهزة على الوجه الأمثل لمواجهة حوادث الأمن الإلكتروني، غير أن هذه الثقة قد لا ترتكز على أسس صلبة.
وبحسب الاستطلاع، تعرض نصف الشركات التي تتعامل بأنظمة التحكم الصناعي ICS لحالات اختراق أمني تتراوح بين واحدة إلى خمس حالات في العام الماضي. وبالتالي، فإن متوسط تكاليف الأمن الإلكتروني غير المجدية أو الضائعة التي تتكبدها المؤسسات الصناعية سنويًا يبلغ 497 ألف دولار أمريكي.
وأشارت كاسبرسكي لاب إلى أن الاتجاه الناشئ المعروف باسم Industry 4.0 يجعل الأمن الإلكتروني أولوية قصوى بالنسبة للمؤسسات الصناعية على مستوى العالم، الأمر الذي يخلق تحديات جديدة في التعامل مع أنظمة التحكم الصناعي ICS مثل تحقيق التقارب بين تقنية المعلومات وتقنيات التشغيل OT، وتوافر شبكات التحكم الصناعي للموردين الخارجيين.
ولتكوين رؤية أكثر وضوحًا بشأن المشكلات والفرص التي تواجهها المؤسسات التي تتعامل بأنظمة التحكم الصناعي اليوم، أجرت كاسبرسكي لاب بالتعاون مع Business Advantage استطلاعًا عالميًا شمل 359 من المختصين في مجال الأمن الإلكتروني الصناعي وذلك في الفترة من شباط/فبراير ونيسان/أبريل 2017.
ووفقًا لإحدى أبرز نتائج الاستطلاع، تبين أن هناك فجوة بين الواقع والتصور المتعلقة بحالات الاختراق التي تتعرض لها أنظمة التحكم الصناعي. فعلى سبيل المثال، بالرغم من اعتقاد 83% من المستطلعين بأنهم على استعداد جيد لمواجهة حالات الاختراق الأمني لتقنيات التشغيل/أنظمة التحكم الصناعي، تبين أن نصف الشركات التي شملها الاستطلاع قد واجهت ما بين واحدة إلى خمس حالات اختراق أمني لتقنية المعلومات لديها في الأشهر الاثني عشر الماضية، وتعرضت 4% من الشركات المستطلعة إلى أكثر من ست هجمات أمنية.
ويثير هذا الارتفاع في عدد الحوادث الأمنية تساؤلًا مهمًا مفاده: ما الذي يتعين تغييره في استراتيجيات أمن تقنية المعلومات وإجراءات الحماية في هذه المؤسسات حتى تتمكن من حماية بياناتها الحيوية وأداء قنواتها التقنية على نحو أكثر كفاءة وفاعلية؟
طبيعة حالات الاختراق: التهديدات الأمنية الداخلية والمتأصلة
تدرك الشركات التي تتعامل بأنظمة التحكم الصناعي جيدًا حجم المخاطر التي تواجهها، إذ يرى 74% من المستطلعين بأن هناك احتمال لتعرض بنيتهم الأساسية لإحدى هجمات الأمن الإلكتروني. وعلى الرغم من ارتفاع مستوى الوعي بشأن التهديدات الجديدة، مثل الهجمات الموجهة وهجمات الفدية، إلا أن الهاجس الأكبر الذي يقلق معظم الشركات المتعاملة بأنظمة التحكم الصناعي يتمثل في مخاطر البرمجيات الخبيثة التقليدية: وهذه الأخيرة تأتي على رأس قائمة المخاوف ذات الصلة بهجمات الأمن الإلكتروني – حيث ينظر 56% من المستطلعين إلى تلك البرمجيات التقليدية على أنها الوسيلة الهجومية الأكثر إثارة للقلق. وفي هذه الحالة، يلتقي التصور مع الواقع: فقد اضطرت فرق الاستجابة للحالات الأمنية الطارئة في نصف الشركات المستطلعة للعمل على التخفيف من تداعيات هجمات البرمجيات التقليدية في العام الماضي.
ولكن يبقى هناك أيضًا أخطاء ناشئة عن الموظفين أو التصرفات المغلوطة غير المتعمدة، وهذه لها خطورة على المؤسسات المتعاملة بأنظمة التحكم الصناعي أكبر بكثير من عوامل الهجوم المنبثقة عن سلسلة التوريد والشركاء، وأكثر فداحة من التخريب والأضرار المادية الناشئة عن عوامل الهجوم الخارجية. ومع ذلك، تأتي عوامل الهجوم الخارجية ضمن أبرز ثلاثة تهديدات تقلق المؤسسات المتعاملة بأنظمة التحكم الصناعي بالمقارنة مع غيرها.
أبرز ثلاثة مخاوف تتسبب في حدوث حالات الاختراق الأمني للبنى التحتية لأنظمة التحكم الصناعي لفترة الأثني عشر شهرًا الماضية.
وفي الوقت ذاته، تتمثل تداعيات أبرز ثلاث حالات اختراق في ما يلي: التسبب بإلحاق الضرر بجودة المنتج والخدمات وفقدان حقوق الملكية أو سرية المعلومات وانخفاض أو انعدام مستوى الأداء الإنتاجي في الشركة.
استراتيجيات الأمن: الاستغناء عن استخدام الأجهزة غير المتصلة والكشف عن الثغرات الأمنية في الشبكة، 86% من الشركات التي شملها الاستطلاع لديها سياسة معتمدة وموثقة لحماية الأمن الإلكتروني لأنظمة التحكم الصناعي لديها، تهدف إلى حمايتها من حالات الاختراق المحتملة. ومع ذلك، تظهر حالات الاختراق الأمني المسجلة بأن سياسة الأمن الإلكتروني وحدها لا تكفي. إن ما تعاني منه المؤسسات الصناعية من نقص في الخبرة المهنية ذات الصلة بحماية أمن تقنية المعلومات سواء على النطاق الداخلي والخارجي، يدل على أن الافتقار إلى المهارات المهنية يشكل الهاجس الأكبر والأكثر أهمية عندما يتعلق الأمر بحماية أمن أنظمة التحكم الصناعي. وهذا يعد من الأمور الأكثر إثارة للمخاوف، نظرًا لأن المؤسسات الصناعية ليست مستعدة دائمًا لمكافحة الهجمات، في حين نجدها تتخذ باستمرار إجراءات الحيطة والحذر لاحتمال تعرضها للاختراق التي قد تكون ناشئة في بعض الأحيان عن موظفيها. وقال أحد مختصي أمن أنظمة التحكم الصناعي من وحدات تصنيع المنتجات في ألمانيا، تعد التهديدات الداخلية أكثر خطورة. ونحن محصنون بالحماية الأمنية اللازمة ضد التهديدات الخارجية، إلا أن أفعال فريق العمل الداخلي لدينا تنفذ مباشرة دون أن تمر عبر أي جدار حماية. وبالتالي فإن التهديد قد ينشأ دون قصد أو علم مسبق عن موظفي المؤسسات أنفسهم.
أبرز خمسة تحديات أمنية ذكرها مختصو أنظمة التحكم الصناعي
وعلى الجانب الإيجابي، تبدو استراتيجيات الأمن المطبقة من قبل مختصي أمن أنظمة التحكم الصناعي قوية وناجحة. فقد تخلت غالبية الشركات عن استخدام الأجهزة غير المتصلة كإجراء أمني، ولجأت بدلًا من ذلك إلى الاعتماد على حلول الأمن الإلكتروني الشاملة. ويخطط المستطلعون، على مدى الأشهر الاثني عشر القادمة، لتطبيق واستخدام أدوات تتبع والكشف عن الثغرات الأمنية الصناعية 42% وتنظيم برامج تدريبية لتوعية الموظفين حول الأمن الإلكتروني. ويشكل الكشف عن الثغرات الأمنية المتأصلة في الشبكات الصناعية أهمية وضرورة قصوى نظرًا لأن نصف الشركات المستطلعة التي تتعامل بأنظمة التحكم الصناعي قد أقرت بأن مورديها الخارجيين لديهم وصول مباشر إلى شبكات التحكم الصناعي في المؤسسة، وهو ما قد يؤدي إلى اتساع رقعة التهديدات المحيطة بها.
وقال أندريه سوفوروف، رئيس تطوير أعمال حماية البنية التحتية الحيوية في كاسبرسكي لاب: “إن الترابط والاتصال المتزايد فيما بين تقنية المعلومات وأنظمة تقنية التشغيل يخلق تحديات أمنية جديدة ويتطلب قدرا كبيرا من الاستعداد من جانب أعضاء مجلس الإدارة والمهندسين وفرق أمن تقنية المعلومات وغيرهم. ويحتاج هؤلاء إلى فهم طبيعة مشهد التهديدات بشكل واضح، فضلًا عن معرفة وسائل الحماية الفاعلة واللازمة، بالإضافة إلى ضرورة التأكد من توعية موظفيهم”.
وأضاف سوفوروف: “باعتبار أن مصدر التهديدات الإلكترونية لأنظمة التحكم الصناعي ناشئة من بيئة العمل ذاتها، فمن الأفضل أن نكون مستعدين على النحو الأمثل. وبالتالي، فإن التخفيف من وطأة وتداعيات حالات الاختراق الأمني سيكون أسهل بكثير بالنسبة لأولئك الذين يستفيدون من مزايا الحلول الأمنية المصممة بما يتماشى مع طبيعة احتياجات أنظمة التحكم الصناعي”.
