امن سازی زیرساخت های حیاتی در برابر حملات سایبری | نقشه راه اجرایی برای سازمان های دولتی و بزرگ

زیرساخت حیاتی چیست و چرا در صدر اهداف مهاجمان سایبری قرار دارد؟

زیرساخت حیاتی به آن دسته از سامانه‌ها، شبکه‌ها و دارایی‌هایی گفته می‌شود که اختلال یا از کار افتادن آن‌ها می‌تواند امنیت ملی، سلامت عمومی، اقتصاد یا نظم اجتماعی کشور را به‌طور جدی به خطر بیندازد. انرژی و برق، آب و فاضلاب، نفت و گاز و پتروشیمی، بانکداری و زیرساخت‌های مالی، حمل‌ونقل، مخابرات و بیمارستان‌ها، نمونه‌های شناخته‌شده این دسته از دارایی‌ها هستند. آنچه این زیرساخت‌ها را برای مهاجمان جذاب می‌کند، ترکیبی از سه عامل است: تأثیر فیزیکی و اجتماعی گسترده هر اختلال، وابستگی روزافزون سامانه‌های کنترل صنعتی (ICS) و اسکادا (SCADA) به شبکه‌های IT و اینترنت، و عمر طولانی تجهیزات عملیاتی که اغلب برای دهه‌ها بدون به‌روزرسانی امنیتی کار می‌کنند. همین همگرایی IT/OT باعث شده سطح حمله این سازمان‌ها به‌شدت گسترش یابد؛ موضوعی که آن را از یک «مسئله فنی صرف» به یک «مسئله راهبردی در سطح مدیریت ارشد» تبدیل کرده است.

نقشه تهدیدات: از باج‌افزار صنعتی تا حملات هدفمند به سامانه‌های ICS/SCADA

چشم‌انداز تهدیدات علیه زیرساخت‌های حیاتی در سال‌های اخیر دو تغییر مهم داشته است. نخست، باج‌افزار از یک تهدید صرفاً مالی به ابزاری برای ایجاد اختلال عملیاتی تبدیل شده؛ گروه‌های باج‌افزاری دیگر تنها داده رمزگذاری نمی‌کنند، بلکه با هدف قرار دادن زیرساخت مجازی‌سازی که سامانه‌های اسکادا، HMI و تاریخچه‌نگار (Historian) بر روی آن اجرا می‌شوند، خط تولید یا سرویس‌دهی را عملاً متوقف می‌کنند. دوم، مرز میان بازیگران مالی و بازیگران دولتی/هکتیویست کم‌رنگ‌تر شده و حملات هدفمند به کنترل‌کننده‌های منطقی برنامه‌پذیر (PLC) و تجهیزات میدانی با انگیزه‌های ژئوپلیتیک نیز افزایش یافته است. آژانس امنیت سایبری و زیرساخت آمریکا در هشدارهای اخیر خود تصریح کرده که بازیگران تهدید همچنان به‌طور فعال از دسترسی‌های راه‌دور ناامن و اعتبارنامه‌های پیش‌فرض روی تجهیزات کنترل صنعتی برای نفوذ به زیرساخت‌های حیاتی سوءاستفاده می‌کنند. برای سازمان‌هایی که سامانه‌های کنترل صنعتی را اداره می‌کنند، شناخت این الگوها و ارزیابی مستمر امنیت شبکه صنعتی  نقطه شروع هر برنامه دفاعی جدی است.

چارچوب قانونی و استانداردهای امن‌سازی زیرساخت‌های حیاتی

طرح امن‌سازی زیرساخت‌های حیاتی افتا

در ایران، مرجع اصلی الزام‌آور برای دستگاه‌های دارای زیرساخت حیاتی، طرح امن‌سازی زیرساخت‌های حیاتی در قبال حملات سایبری است که توسط مرکز مدیریت راهبردی افتای ریاست‌جمهوری ابلاغ شده است. راهبرد اصلی این طرح مدیریت مخاطرات به‌صورت فرآیندی مستمر است: شناسایی تهدیدات و آسیب‌پذیری‌ها، تعیین سطح بلوغ امنیتی موجود و مطلوب سازمان، و اجرای کنترل‌های حداقلی متناسب با سطح ریسک قابل‌پذیرش. از آنجا که تفسیر و پیاده‌سازی دقیق این الزامات برای بسیاری از سازمان‌های دولتی و زیرساختی چالش‌برانگیز است، بهره‌گیری از خدمت تخصصی امن‌سازی زیرساخت‌های حیاتی  می‌تواند مسیر ممیزی طرح موجود، شناسایی شکاف‌ها و تدوین نقشه راه اصلاحی را برای سازمان کوتاه‌تر و دقیق‌تر کند.

استانداردهای بین‌المللی مکمل

در کنار الزامات داخلی، سازمان‌های زیرساختی معمولاً از چند چارچوب بین‌المللی نیز برای تکمیل برنامه امنیتی خود بهره می‌برند: چارچوب امنیت سایبری مؤسسه ملی استاندارد و فناوری آمریکا که ساختاری پنج‌مرحله‌ای (شناسایی، حفاظت، شناسایی رخداد، پاسخ و بازیابی) برای مدیریت ریسک سایبری ارائه می‌دهد، راهنمای تخصصی NIST SP 800-82 برای امن‌سازی فناوری‌های عملیاتی (OT)، و استاندارد امنیت سامانه‌های اتوماسیون و کنترل صنعتی، یعنی ISA/IEC 62443، که به‌طور مشخص برای محیط‌های ICS/OT طراحی شده است. سازمان‌هایی که به دنبال پیاده‌سازی گام‌به‌گام این استانداردها هستند می‌توانند از خدمت مشاوره و پیاده‌سازی استاندارد ICS بهره بگیرند.