Cybersikkerhed i kritiske sektorer: udfordringer, trusler og forsvar

Informatic Digital » Recursos » Cybersikkerhed i kritiske sektorer: udfordringer, trusler og forsvar

Cybersikkerhed i kritiske sektorer er blevet en stor bekymring for regeringer og virksomheder. Det er ikke kun et teknisk problem: beskyttelsen af ​​disse infrastrukturer er afgørende for elektriciteten i vores hjem, vandet i vores vandhaner, de penge, vi håndterer dagligt, og den sundhedspleje, vi modtager. Når disse systemer svigter på grund af et cyberangreb, ophører problemet med blot at være et computerproblem og bliver et socialt, økonomisk og endda geopolitisk problem.

I Spanien er der tusindvis af faciliteter, der betragtes som kritisk infrastruktur , hvis forstyrrelser kan forårsage meget alvorlig skade på landet. Samtidig fortsætter antallet og kompleksiteten af ​​angreb med at vokse, drevet af kriminelle grupper, statslige aktører og hybride kampagner, der blander digitale og fysiske elementer. I denne sammenhæng er styrkelse af cybersikkerheden i disse sektorer ikke længere valgfri: det er en strategisk prioritet.

Hvad mener vi med kritisk infrastruktur og strategiske sektorer?

Kritisk infrastruktur omfatter alle faciliteter, netværk, systemer, tjenester og udstyr – fysiske eller virtuelle – hvis svigt ville have direkte indflydelse på statens grundlæggende funktion og borgernes dagligdag. Dette omfatter energi, vand, transport, sundhedspleje, finans, fødevarer, telekommunikation og essentielle offentlige tjenester. Identificering og klassificering af sårbarheder er nøglen til at prioritere foranstaltninger og ressourcer på disse områder.

Spansk lovgivning, især lov 8/2011 om beskyttelse af kritisk infrastruktur , skelner mellem to nøglebegreber: strategisk infrastruktur og kritisk infrastruktur. Al kritisk infrastruktur er strategisk, men ikke al strategisk infrastruktur bliver kritisk.

Strategisk infrastruktur omfatter en bred vifte af faciliteter og netværk, der understøtter essentielle tjenester, men som i nogle tilfælde kan erstattes eller kompenseres med alternativer. I modsætning hertil betragtes infrastruktur som kritisk, når dens drift er absolut uundværlig, og der ikke findes noget levedygtigt alternativ inden for en rimelig tidsramme.

Derfor er kritisk infrastruktur en særlig følsom delmængde af strategiske infrastrukturer: en forstyrrelse af den ville have en alvorlig indvirkning på en eller flere essentielle tjenester og dermed bringe sikkerheden, økonomien eller den sociale velfærd i fare.

Lov 8/2011 og dens gennemførelsesforordninger identificerer følgende sektorer som særligt sårbare : offentlig forvaltning, rumfart, nuklear- og kemisk industri, vandkredsløbet, energi, sundhed, informations- og kommunikationsteknologi, transport, fødevarer og finans- og skattesystemet, blandt andre. Alle disse sektorer er i stigende grad afhængige af sammenkoblede digitale systemer.

Cybersikkerhed i kritiske infrastrukturer: koncept og omfang

Cybersikkerhed anvendt på kritisk infrastruktur omfatter sættet af politikker, teknologier, processer og organisatoriske foranstaltninger, der har til formål at beskytte disse faciliteter mod digitale trusler, herunder cloudsikkerhed . Hovedformålet er at garantere tilgængeligheden, integriteten og fortroligheden af ​​de systemer og data, der understøtter essentielle tjenester.

Dette indebærer beskyttelse af både virksomhedens informationssystemer (IT) og driftsmiljøer (OT), hvor industrielle styresystemer (ICS), SCADA, PLC'er og andet udstyr befinder sig, som interagerer direkte med fysiske processer, såsom styring af elnettet, vandbehandlingsanlæg, olierørledninger, raffinaderier eller jernbanesystemer.

Et centralt træk ved cybersikkerhed i kritiske sektorer er konvergensen mellem IT og OT . I årevis forblev de isolerede: Forretnings- og databehandlingssystemer på den ene side, og industrielle kontrolsystemer på den anden, ofte uden en direkte internetforbindelse. Digitalisering, den industrielle tingenes internet og behovet for overvågning i realtid har nedbrudt disse barrierer.

Denne konvergens bringer effektivitet, synlighed og centraliserede administrationsfunktioner, men den åbner også op for nye angrebsflader . Mange OT- og IoT-enheder blev ikke designet med robuste sikkerhedskriterier, patching er kompleks, og livscyklusserne er lange. Resultatet er et sammenkoblet økosystem, hvor et IT-brud kan ende med at påvirke tidligere isolerede industrielle systemer.

I denne sammenhæng søger forsvarsstrategier at forhindre tjenesteafbrydelser, sabotage, spionage, procesmanipulation og tyveri eller kapring af information, samtidig med at operationel kontinuitet og overholdelse af sektorspecifikke lovgivningsmæssige og normative krav opretholdes.

Essentielle tjenester og voksende digital sårbarhed

Stort set alle moderne essentielle tjenester er afhængige af digitale systemer: automatiserede kraftværker, intelligente distributionsnetværk, vandbehandlingsanlæg, lufthavne, havne, metronetværk, hyperforbundne hospitaler, hæveautomater, online bankplatforme og elektroniske skattesystemer.

Denne teknologiske afhængighed har en direkte konsekvens: ethvert alvorligt cyberangreb omsættes hurtigt til et håndgribeligt problem for befolkningen . Det forbliver ikke en intern computerhændelse; det kan efterlade nabolag uden strøm, lamme toglinjer, afbryde operationer eller forhindre millioner af mennesker i at få adgang til deres penge.

Nylige eksempler illustrerer omfanget af vores sårbarhed. Ransomware-angrebet på det irske sundhedsvæsen i 2021 tvang nedlukning af kliniske systemer og aflysning af aftaler og behandlinger i timevis, hvilket skabte operationelt kaos og satte patientsikkerheden i fare. Lignende situationer er opstået i andre lande og har påvirket hospitaler, forsyningskæder og brændstofnetværk. Disse hændelser kræver specialiseret digital retsmedicinsk analyse for at forstå deres omfang og genoprette driften.

I Spanien afspejler dataene en betydelig stigning i hændelser, der påvirker organisationer i strategiske sektorer. På bare et år steg andelen af ​​enheder, der oplevede uautoriseret adgang til deres systemer, med mere end tyve procentpoint, hvilket demonstrerer den accelererende digitale risiko og behovet for kritiske opdateringer og løbende forstærkning.

Alt dette forklarer, hvorfor beskyttelsen af ​​kritisk infrastruktur er blevet en prioritet for både national og erhvervsmæssig sikkerhed , og hvorfor europæiske og nationale reguleringsrammer fremmes specifikt med det formål at styrke dens modstandsdygtighed.

De vigtigste cybertrusler i kritiske sektorer og infrastrukturer

Trusselsbilledet omkring kritisk infrastruktur bliver stadig mere komplekst. Det kombinerer cyberkriminalitetskampagner med henblik på økonomisk vinding , statsstøttet cyberspionage og sabotageoperationer, hacktivistangreb og menneskelige fejl eller tillidsbrud begået af personer med legitim adgang.

En særlig relevant type trussel er avancerede vedvarende trusler (APT'er) . Disse er langvarige, målrettede og organiserede operationer, ofte forbundet med efterretningstjenester eller statsstøttede grupper. De udfolder sig typisk i flere faser: netværksadgang via sårbarheder eller sofistikeret phishing, lateral bevægelse og privilegieeskalering og endelig udpakning af følsomme oplysninger eller forberedelse til sabotage.

Forskellige analyser tyder på, at en stor del af angrebene rettet mod kritisk infrastruktur er økonomisk motiverede , hvad enten det er gennem afpresning, tyveri af intellektuel ejendomsret eller bedrageri. Blandt de mest aktive grupper er APT28 (Fancy Bear), der ofte er forbundet med russiske interesser; Mustang Panda, der er forbundet med kampagner med oprindelse i Kina i Europa og andre regioner; og APT34 (OILRIG), der fokuserer på energisektoren i Mellemøsten.

I mellemtiden er ransomware blevet en af ​​de mest ødelæggende trusler mod kritiske sektorer. I disse angreb krypteres eller låses systemer, indtil der betales en løsesum, ofte ledsaget af truslen om lækage af følsomme data. Colonial Pipeline-angrebet i 2021, som forårsagede afbrydelser i brændstofforsyningen i dele af USA, er et godt eksempel på, hvordan et cyberangreb kan føre til lange køer ved tankstationer og forsyningsproblemer.

Sabotage og spionage med geopolitiske motiver er også steget. Energi-, transport- og sundhedsoperatører er mål for kampagner, der søger at destabilisere, lægge pres på eller blot indhente strategiske oplysninger. Stuxnet-hændelsen, som påvirkede centrifuger på Irans atomkraftværk i Natanz, er fortsat et af de mest undersøgte tilfælde af malware, der specifikt er designet til at forstyrre fysiske industrielle processer.

En anden væsentlig risikofaktor er interne trusler . Disse er ikke altid ondsindede medarbejdere; mange brud stammer fra fejl begået af interne medarbejdere eller leverandører, manglende træning, dårlig praksis for adgangskodehåndtering eller forsømmelse i håndhævelsen af ​​sikkerhedspolitikker.

Forsyningskæden tilføjer endnu et lag af kompleksitet. Kritisk infrastruktur er afhængig af et netværk af producenter, integratorer, vedligeholdelsesvirksomheder, softwareudbydere og cloud-udbydere. En angriber kan udnytte det svageste led – for eksempel en kompromitteret opdatering, en usikker prækonfigureret enhed eller en leverandør med dårlig praksis – til at få adgang til en kritisk operatørs system uden at angribe det direkte.

Transportsektoren illustrerer denne risiko perfekt, idet den tegner sig for en høj procentdel af hændelser i nogle nationale rapporter. Et angreb på en jernbane- eller lufthavnsoperatør eller deres teknologileverandører kan have kaskadeeffekter: ruteforstyrrelser, varer tilbageholdt i havne eller logistikcentre, lagermangel og betydelige økonomiske tab.

Derudover vinder hybridangreb frem , hvor de kombinerer cyberangreb med fysiske hændelser for at forstærke deres effekt. Den delvise mørklægning i Ukraine i 2015 efter et cyberangreb mod elselskaber og droneoverflyvningskampagnerne i skandinaviske lufthavne, der tvang lukning af luftrummet af sikkerhedsmæssige årsager, er eksempler på, hvordan den digitale og fysiske verden er sammenflettet.

Reguleringsramme, modstandsdygtighed og hændelseshåndtering

Forsvaret af kritisk infrastruktur er baseret på en specifik lovgivningsmæssig og organisatorisk ramme , der kombinerer national lovgivning, europæiske direktiver og tekniske standarder. I Spanien fastlægger den førnævnte lov 8/2011 som sit primære mål at beskytte denne infrastruktur mod trusler gennem implementering af integrerede foranstaltninger, der omfatter både fysisk og logisk sikkerhed. Definitionen af ​​politikker og standarder, såsom dem, der regulerer flerbruger- og flerlejermiljøer, udgør en del af denne ramme.

Et af nøglebegreberne er cyberrobusthed , forstået som evnen til at forudse, modstå, tilpasse sig og komme sig efter en hændelse uden at miste eller med kun begrænset tab af operationel kapacitet. Specifikke beskyttelsesplaner (SPP'er) falder inden for denne ramme og omfatter risikoanalyse, tekniske og organisatoriske sikkerhedsforanstaltninger og klare protokoller for handling i tilfælde af en hændelse.

På europæisk plan styrker direktivet om modstandsdygtighed over for kritiske enheder (CER), der blev vedtaget i 2022, målet om at reducere sårbarheder og forbedre genopretningskapaciteten efter alvorlige hændelser, herunder hybridangreb. Det forpligter medlemsstaterne og kritiske enheder til at vedtage konkrete foranstaltninger til sikkerhed, risikostyring og rapportering af hændelser.

I Spanien fungerer INCIBE-CERT (INCIBEs Cybersecurity Incident Response Center) som det nationale referencecenter for håndtering af cyberhændelser. Det leverer tjenester døgnet rundt, året rundt, udsender sårbarheds- og trusselsadvarsler og koordinerer den tekniske indsats med offentlige og private organisationer.

Når hændelser påvirker kritiske operatører i den private sektor, koordineres indsatsen med Indenrigsministeriets Kontor for Koordinering af Cybersikkerhed (OCC) , der fungerer som et mødested mellem sikkerhedsstyrker og de forskellige involverede myndigheder.

Kontinuerlig overvågning af systemer via avancerede overvågningsteknologier muliggør detektion af unormal adfærd i næsten realtid . INCIBE-CERT og andre specialiserede centre bruger aggregerede efterretningskilder, der forsynes af flere sensorer og rapporter, til at udvikle tidlige advarsler og underrette potentielt berørte organisationer om hændelser; loganalyse er en væsentlig del af denne proces.

I praksis kombinerer de fleste kritiske operatører sikkerhedsoperationscentre (SOC'er) med incidentresponsteams (CSIRT'er), i overensstemmelse med lovgivningsmæssige forpligtelser og forbundet med officielle rapporterings- og koordineringskanaler.

Vigtige tekniske strategier: segmentering, overvågning og adgangskontrol

I kritisk infrastruktur er det ikke nok blot at installere antivirussoftware og en firewall. Det er nødvendigt at implementere lagdelte sikkerhedsarkitekturer , der minimerer virkningen af ​​et potentielt brud og inddæmmer angriberen.

En af de mest udbredte fremgangsmåder er netværkssegmentering . Dette involverer at opdele miljøet i separate zoner eller segmenter med adgangskontroller og trafikfiltrering imellem dem. På denne måde, selvom en angriber formår at få adgang til ét punkt, vil det være meget vanskeligere for dem at bevæge sig frit i resten af ​​netværket.

I industrielle miljøer er det meget almindeligt at bruge Purdue-modellen , som organiserer systemer i forskellige niveauer, fra felt- og kontroludstyr til virksomhedsnetværket. Mellem disse niveauer etableres industrielle demilitariserede zoner, firewalls, proxyer og andre kontroller for at forhindre direkte eksponering af de mest følsomme OT-systemer for virksomhedsnetværk eller internettet.

Med udgangspunkt i dette fundament går mange organisationer et skridt videre med mikrosegmentering , som tilføjer endnu mere detaljerede kontroller, for eksempel på applikations- eller arbejdsgangsniveau. Denne strategi er især nyttig i kritiske infrastrukturer med ældre systemer, der er vanskelige at opdatere, hvor det område, der er tilgængeligt fra andre segmenter, minimeres.

Overvågning og tidlig detektion fuldender billedet. Organisationer implementerer løbende overvågningsværktøjer, systemer til detektion og forebyggelse af indtrængen (IDS/IPS) , netværkstrafikanalyse og bruger- og enhedsadfærdsanalyse (UEBA), der er i stand til at identificere unormale mønstre, der undgår traditionelle signaturbaserede kontroller.

Kunstig intelligens begynder at spille en ledende rolle i disse sikkerhedsoperationscentre ved at gøre det muligt at opdage subtile afvigelser i den normale adfærd af OT- og IT-systemer, korrelere hændelser i store datamængder og generere mere præcise advarsler, hvilket reducerer støj og antallet af falske positiver.

Endelig er robuste adgangskontroller – herunder multifaktor-godkendelse, streng privilegiestyring, funktionsadskillelse og omfattende aktivitetslogning – afgørende for at minimere risikoen forbundet med interne brugere, servicekonti og fjernadgang fra leverandører, sammen med gode sikkerhedspraksisser på systemer og servere.

Menneskelig faktor, sikkerhedskultur og samarbejde

Mange alvorlige hændelser viser, at det svageste led stadig er den menneskelige faktor . Et klik på en phishing-e-mail , en genbrugt adgangskode, en ukrypteret bærbar computer eller dårlig håndtering af privilegeret adgang kan åbne døren for et angreb, der i sidste ende påvirker en kritisk tjeneste.

Derfor har organisationer, der administrerer kritisk infrastruktur, ud over teknologi, brug for robuste trænings- og oplysningsprogrammer for alt deres personale, herunder ledere, teknikere, fabrikspersonale og supportteams. Det handler ikke kun om at tilbyde lejlighedsvise kurser, men om at opbygge en ægte sikkerhedskultur.

Dette indebærer integration af cybersikkerhedsrisikostyring i forretningsprocesser og den daglige drift , definition af klare ansvarsområder, regelmæssig gennemgang af politikker og procedurer og tilskyndelse til, at enhver mistænkelig adfærd kan rapporteres uden frygt for repressalier.

Samarbejde mellem interne afdelinger – IT, OT, drift, juridiske afdelinger, compliance og HR – er også afgørende. Historisk set har IT-teams og industrielle anlægsledere opereret i næsten separate verdener, men digital konvergens kræver koordineret risikostyring.

I kritiske sektorer er samarbejde med offentlige myndigheder og regulerende organer lige så vigtigt . Nogle lovgivningsmæssige rammer kræver rapportering af hændelser inden for bestemte tidsrammer, deling af oplysninger om trusler og koordinering af handlingsplaner med ministerier, sikkerhedsstyrker eller specialiserede agenturer.

Denne fælles indsats gør det muligt at hæve beskyttelsesniveauet for hele økosystemet , da information om et angreb, der opdages i én virksomhed, kan bruges til at forhindre hændelser i andre organisationer i samme sektor eller i relaterede infrastrukturer.

Nye udfordringer: kunstig intelligens, automatiserede data og kvanteberegning

Den nuværende digitale revolution introducerer både nye defensive værktøjer og nye angrebsvektorer . Kunstig intelligens, avanceret automatisering og, i en ikke alt for fjern fremtid, kvanteberegninger, er fundamentalt ved at forandre, hvordan cybersikkerhed forstås i kritiske sektorer.

På den ene side muliggør defensiv kunstig intelligens analyse af enorme mængder af operationelle og sikkerhedsdata, detektion af usædvanlige mønstre i realtid og udløsning af automatiserede reaktioner, såsom isolering af en kompromitteret node, omkonfiguration af et netværk eller dynamisk justering af adgangspolitikker.

Generativ AI kan hjælpe med at syntetisere information om trusler og udvikle komplekse detektionsregler, mens agentisk AI er i stand til at planlægge og udføre autonome handlinger inden for foruddefinerede rammer for at opretholde tjenestekontinuitet i lyset af hændelser.

De samme funktioner bruges dog også offensivt. Angribere bruger allerede AI til at optimere phishing-kampagner , generere mere undvigende malware, opdage sårbarheder og automatisere lateral bevægelse i komplekse netværk. Derudover kan de AI-modeller, der bruges af kritiske infrastrukturer, selv blive mål: angreb på træningsdata, manipulation af algoritmer, indsprøjtning af ondsindede data eller ændring af resultater kan føre til fejlagtige beslutninger i automatiserede processer.

Derfor kræver beskyttelse af AI-systemer specifikke foranstaltninger : sikring af integriteten og fortroligheden af ​​træningsdata, overvågning af modelinferenser og output for at opdage anomalier, etablering af strenge adgangskontroller til udviklings- og implementeringsmiljøer og løbende gennemgang af modeller for mulig manipulation.

Parallelt hermed udgør kvantecomputere en fundamental udfordring på mellemlang og lang sigt. Mange af de kryptografiske algoritmer, der i øjeblikket er i brug, kan blive kompromitteret af tilstrækkeligt kraftige kvantecomputere. Selvom der endnu ikke er tilgængeligt universaludstyr, der er i stand til at bryde standardkryptografi i produktion, placerer forskellige estimater denne risiko inden for de næste et eller to årtier.

Dette perspektiv driver strategien "indsaml nu, dekrypter senere" : angribere lagrer krypterede data i dag med forventningen om at kunne dekryptere dem, når kvanteteknologien modnes. For kritiske infrastrukturer, der håndterer følsomme oplysninger med lang levetid, udgør denne tilgang en betydelig risiko.

Som reaktion herpå vokser interessen for postkvantekryptografi , et sæt krypterings- og signaturalgoritmer designet til at modstå angreb fra fremtidige kvantecomputere. Mange organisationer er allerede begyndt at evaluere og planlægge migreringer til disse systemer, velvidende at dette ikke er en overgang, der kan improviseres natten over.

Disse teknologiske ændringer driver også mere dynamiske sikkerhedsmodeller, såsom adfærdsbaseret mikrosegmentering , som løbende justerer filterpolitikker i henhold til kontekst, eller zero trust-tilgange, som antager, at ingen forbindelse som standard er troværdig og kræver løbende verifikation af identitet og kontekst, selv inden for selve det interne netværk.

Sikkerhedskapaciteter og anvendelsesscenarier i nøglesektorer

For at alt ovenstående kan fungere i praksis, skal kritiske infrastrukturer udvikle et velintegreret sæt af sikkerhedsfunktioner . En af de vigtigste er samlet synlighed på tværs af OT- og IT-miljøer med klare aktivfortegnelser, afhængighedskort og centraliseret overvågning.

Denne synlighed danner grundlag for trusselsdetekteringsfunktioner i realtid , understøttet af hændelseskorrelationssystemer, trafikanalyse, indtrængningsdetektering og i stigende grad avanceret adfærdsanalyse. Dette muliggør identifikation af uautoriseret adgang, usædvanlige brugsmønstre, kommunikation med kommando- og kontroldomæner og forsøg på privilegieeskalering.

Lige så vigtige er de automatiserede responsfunktioner , der er i stand til at anvende modforanstaltninger uden menneskelig indgriben, når en alvorlig hændelse registreres: enhedsisolering, kontoblokering, nødsegmentering, konfigurationsrollback osv. I miljøer, hvor hvert minut tæller, kan denne hastighed gøre hele forskellen.

I energisektoren har mange virksomheder for eksempel implementeret dedikerede OT SOC'er, der integrerer SCADA-systemovervågning med analyse af industriel netværkstrafik. Disse centre har med succes blokeret sabotageforsøg, der har til formål at afbryde strømforsyningen, takket være den tidlige opdagelse af uautoriseret adgang til styresystemer.

Inden for transport, især luftfart og jernbane, er beskyttelse af signal-, trafikstyrings- og kommunikationssystemer afgørende. Avanceret segmentering i højsikkerhedszoner , der kun er forbundet via strengt kontrollerede gateways, har forhindret indtrængen i virksomhedsnetværk i at påvirke de operativsystemer, der styrer passagertrafik og sikkerhed.

Sundhedssektoren er i mellemtiden under stigende pres, da sundhedsdata er særligt værdifulde på det sorte marked. Hospitaler og sundhedsnetværk fokuserer både på at styrke personalets uddannelse mod phishing og ransomware og på at implementere end-to-end-kryptering til patientoplysninger samt backup- og gendannelsesplaner, der muliggør hurtig gendannelse af patientjournaler og diagnostiske systemer.

I alle disse sektorer er kombinationen af ​​avancerede teknologier, modne risikostyringsprocesser og samvittighedsfulde medarbejdere afgørende for, om der er en sårbar infrastruktur eller en, der er i stand til at modstå, genoprette og fortsætte med at levere essentielle tjenester, selv i det værste cyberangrebsscenarie.

Den nuværende virkelighed viser, at cybersikkerhedsbeskyttelse i kritiske sektorer ikke længere kan håndteres som et engangsprojekt eller som et blot lovgivningsmæssigt krav: det kræver en kontinuerlig, flerdimensionel og koordineret strategi, hvor teknologi, processer, mennesker og offentlig-privat samarbejde mødes for at beskytte de søjler, der understøtter vores samfunds funktion.