"Современные здания, объединенные инженерно-коммуникационными сетями, IoT и облачными приложениями, создают значительную добавленную стоимость для всех участников. Чтобы гарантировать, что эта добавленная стоимость не будет уничтожена хакерами, проблема кибербезопасности должна приниматься во внимание с самого начала," – вот что сказал на Intersec Forum Messe Frankfurt старший вице-президент ABB и Busch-Jaeger Бернард Доерстел.
Развивая свою мысль, Бернард Доерстел отметил, что в проектах автоматизации зданий большое количество приборов как полевого уровня, так и уровня управления имеют связь и между собой, и с Интернетом или облаком, а количество таких соединений постоянно увеличивается. Вероятность и возможности кибератак на эти приборы, сети или облако тоже повышаются. Потому необходимо изначально встроить кибербезопасность в процесс планирования.
Противоборство хакеров и экспертов по безопасности будет продолжаться – это не цель, а непрерывный процесс. Здесь стандарты и нормы оказывают помощь, но не дают абсолютной уверенности в решении проблемы.
Большие надежды возлагаются на обеспечение более глубокой, но в то же время простой интеграции с использованием открытых стандартов, таких как KNX, OPC или BACNet.
В 2018 г. организация DG Communications Networks, Content & Technology провела для Европейской комиссии фундаментальное исследование в части интеграции широкого ряда стандартов для контроля и управления потреблением энергии1. Необходимость перехода к устойчивым источникам энергии, включающим в себя распределенную прерывистую энергию, требует большей гибкости потребителей.
Приложения для контроля энергопотребления должны обеспечивать управление потреблением, выработкой и хранением, исключая необходимость самостоятельных действий пользователей. При этом приложения будут получать данные от интеллектуальных счетчиков и сигналы от игроков энергетического рынка для управления потоками энергии в доме.
Данные, необходимые для обеспечения требуемой гибкости, должны беспрепятственно проходить через ИТ-инфраструктуру, которая соединяет интеллектуальные счетчики, системы управления энергопотреблением, интеллектуальные устройства и шлюзы между домашней и внешней сетями. Используемые при этом стандарты связи в упомянутых отраслях могут быть не согласованы, что приводит к возникновению барьеров в непрерывном потоке данных, обрабатываемых для решения поставленной задачи.
В результате проведенного исследования была выбрана эталонная онтология (формальная спецификация концептуализации) SAREF (Smart Appliances REFerence), на основании которой удалось обеспечить совместимость данных на семантическом (смысловом) уровне на всем пространстве задействованных отраслей. При решении этой задачи была подтверждена концепция, демонстрирующая совместимость данных через полную, сквозную ИТ-инфраструктуру, от Smart Grid до Smart Meters и Smart Appliances.
В качестве стандартов, в рамках которых обеспечивалась совместимость потоков данных, были использованы:
Таким образом, задача обеспечения семантической совместимости потоков данных в системах автоматизации на базе открытых протоколов находит свое решение.
В части кибербезопасности ситуация также начинает регулироваться специальными стандартами. В этом плане вызывает интерес доклад Питера Шененбергера из компании SAUTER на Intersec Forum 20192. Наглядная модель угроз и средств снижения ущерба была показана в презентации к его докладу (рис. 1).
Рис. 1. Угрозы кибербезопасности и контрмеры
Обозначив цели информационной безопасности, риски и контрмеры, докладчик подробно рассмотрел стандарт IEC 62443 Кибербезопасность в системах автоматизации зданий.
Комплекс документов
Стандарт состоит из нескольких частей:
Ключевые требования
Согласно указанному комплексу документов определены семь фундаментальных требований:
Уровни безопасности
По IEC 62443 выделяются четыре уровня безопасности (рис. 2):
Рис. 2. Уровни безопасности по IEC 624433
Рис. 3. Общая концепция безопасности автоматизации зданий. Зоны и каналы связи
Контрольный список
Общая концепция безопасности для конкретного случая будет отражаться в соответствии с IEC 62433 в составлении контрольного списка (рис. 4).
На рис. 4 видно, что рассматриваемый проект отнесен к уровню SL-2 – защита от злоумышленников с ограниченными ресурсами, общими ноу-хау и небольшой мотивацией. Следовательно, в части идентификации и контроля аутентификации для этого уровня будут актуальны:
Рис. 4. Контрольный список IEC 62433
Практические реализации всех семи фундаментальных требований с учетом использования стандарта безопасности BACnet/SC (BACnet Secure Connect) с успехом обеспечивают выполнение пп. 1, 2 и 4–7. Требование № 3 – обеспечение целостности системы, выражающееся в неповрежденности данных или защите от их несанкционированного изменения, – вызывает вопросы.
Упомянутые изменения данных могут быть вызваны в том числе собственным обслуживающим персоналом компании, по незнанию и совершенно случайно. Эффективным решением этой проблемы оказалось использование технологии блокчейн. В своем классическом виде она требует большой загрузки процессора и огромного потребления энергии. Однако для целей автоматизации зданий вполне достаточно использования более низкого уровня этой технологии – статической распределенной базы данных, защищенной цепочкой блоков, то есть своего рода бухгалтерской книги, заложенной в основу всех существующих транзакций.
Идея компании SAUTER, реализуемая в рамках такого подхода, проста: статические данные станций автоматизации в сети образуют своего рода блокчейн-кольцо. Каждая станция автоматизации генерирует свой цифровой отпечаток, это основано на собственных данных станции и "отпечатка пальца" предыдущей станции в кольце блокчейна.
Данные блока обычно состоят из программ, встроенного программного обеспечения, параметров процесса и сети. Проще говоря, каждая станция использует свои собственные данные для формирования блока в блокчейне. В случае нарушения целостности блокчейна ответы системы:
Процесс самовосстановления полезен, особенно во время текущего обслуживания. При замене станции автоматизации данные, проверенные во время ввода в эксплуатацию, гарантированно будут переданы без компромиссов3.
Таким образом, комплексное творческое использование современных стандартов, технологий и нормативных документов позволяет решать самые сложные задачи устойчивого функционирования систем автоматизации зданий и обеспечивает надежную защиту от сетевых рисков.
1 Исследование по обеспечению совместимости для обеспечения гибкости по требованию. Люксембург, Бюро публикаций Европейского Союза, 2018. 140 с. ISBN 978-92-79-91236-8, doi: 10.2759/26799.
2 "Применение требований информационной безопасности согласно IEC62443 в автоматизации зданий", Питер Шененбергер, руководитель отдела маркетинга и управления продуктами, Sauter.
3 Dr. Felix Gassmann, Head of Technology SAUTER Head Office, Fr. Sauter AG. www.sauter-controls.com.
Опубликовано в журнале "Системы безопасности" №2/2020