Kun organisaatio investoi SOC-palveluun, odotuksena on, että koko toimintaympäristö on valvonnan piirissä. Usein valvonta kohdistuu vain käyttäjiin, päätelaitteisiin, identiteetteihin ja pilvipalveluihin, jolloin tuotanto- ja automaatioympäristöjen näkyvyys voi jäädä puutteelliseksi.
Kyberturvakeskustelu keskittyy edelleen pitkälti IT-ympäristöihin, mikä on ymmärrettävää, sillä suurin osa organisaatioiden digitaalisesta toiminnasta tapahtuu siellä.
Silti yhä suurempi osa yhteiskunnan kriittisestä toiminnasta tapahtuu operatiivisen teknologian (OT) ympäristöissä, kuten tehtaissa, tuotantolinjoilla, energiaverkoissa, vesilaitoksissa, satamissa sekä teollisuuden automaatio- ja ohjausjärjestelmissä. Kun kyberturva laajenee OT-ympäristöihin, muuttuu samalla tapa, jolla niitä täytyy valvoa ja suojata.
IT SOC ei enää yksinään riitä
Perinteinen SOC (Security Operations Center) on suunniteltu IT-ympäristöjä varten. Sen tehtävänä onkin valvoa käyttäjiä, identiteettejä, päätelaitteita ja pilvipalveluita.
Operatiiviset teknologiaympäristöt toimivat kuitenkin eri lähtökohdista. Siinä missä IT-järjestelmä voidaan usein päivittää tai käynnistää uudelleen, tuotantolinjaa, automaatiojärjestelmää tai prosessinohjausta ei voida pysäyttää yhtä kevyin perustein.
OT-ympäristöissä:
- laitteita ei voida päivittää samalla tavalla kuin IT-järjestelmiä
- käyttökatko voi pysäyttää tuotannon
- kyberhyökkäyksen vaikutukset voivat ulottua fyysisiin prosesseihin.
Kyse ei ole pelkästään tietovuodoista tai palvelukatkoista, vaan liiketoiminnan jatkuvuudesta ja monilla toimialoilla myös yhteiskunnan kriittisten toimintojen turvaamisesta. Tässä kohtaa perinteinen IT-lähtöinen SOC-malli alkaa saavuttaa rajansa.
Paikallinen tietoturvavalvomo ja OT-osaaminen ratkaisevat
OT SOC ei ole IT SOCista erillinen maailma, sillä perusajatus on sama: ympäristöä valvotaan, poikkeamat tunnistetaan ja niihin reagoidaan.
Ero syntyy siitä, mitä valvotaan, miten havaintoja tulkitaan ja millaisia vaikutuksia poikkeamilla voi olla. OT-valvonnassa ei riitä pelkkä teknisten tapahtumien tunnistaminen, vaan tarvitaan ymmärrystä tuotannon ja automaation normaalista toiminnasta sekä siitä, milloin havaittu poikkeama voi vaarantaa prosessin jatkuvuuden, turvallisuuden tai käytettävyyden.
OT SOC eli operatiivisen teknologiaympäristön tietoturvavalvomo tuo näkyvyyttä automaatioverkkoihin, teollisiin protokolliin ja tuotantoympäristöjen laitteisiin. Näin voidaan tunnistaa esimerkiksi muutoksia PLC-ohjelmointeihin, poikkeavaa liikennettä teollisuusverkoissa tai tuotantojärjestelmien luvattomia yhteyksiä eli uhkia, jotka eivät välttämättä näy perinteisessä IT-valvonnassa.
Sama tekninen havainto voi myös saada IT- ja OT-ympäristöissä hyvin erilaisen merkityksen. OT-ympäristössä olennaista on ymmärtää, voiko havainto vaikuttaa tuotantoon, automaatiojärjestelmän toimintaan tai fyysiseen prosessiin. Siksi hälytyksen tunnistamisen lisäksi tarvitaan kykyä arvioida sen merkitys juuri kyseisessä toimintaympäristössä.
Miksi tällä on merkitystä?
OT SOC ei ole uusi ilmiö, mutta sen merkitys on kasvanut. IT- ja OT-ympäristöt ovat yhä tiiviimmin yhteydessä toisiinsa, eikä tuotanto ole enää erillinen saareke, vaan osa organisaation digitaalista kokonaisuutta.
Osittain myös kyberuhkien luonne on muuttunut. Hyökkäysten tavoitteena ei ole enää pelkästään datan varastaminen, vaan yhä useammin toiminnan häiritseminen. Kun kohteena ovat tuotanto tai automaatio, vaikutukset näkyvät nopeasti liiketoiminnassa.
Organisaatioilta odotetaan koko ajan parempaa kykyä ylläpitää toimintaansa myös häiriötilanteissa. Se edellyttää näkyvyyttä koko toimintaympäristöön, ei pelkästään IT-järjestelmiin ja kykyä suojata myös OT-ympäristöt, jotka pitävät tuotannon ja yhteiskunnan toiminnassa.
CGI:n tietoturvavalvomon palvelut tuotetaan Suomessa, ja siinä yhdistyvät paikallinen asiantuntemuksemme sekä kansainvälinen osaamisemme niin IT- kuin OT-ympäristöjen osalta.
Lokakuun Kybertutkassa uppoudutaan IT- ja OT-SOCin eroavaisuuksiin, haasteisiin ja ratkaisuihin. Liity mukaan Kybertutkan postistuslistalle, niin saat tiedot tulossa olevista Kybertutkan jaksoista ensimmäisten joukossa!
Kirjoittajasta
Pia Taittonen
Johtava asiantuntija, kyberturvallisuuspalvelut
Työskentelen Director Consulting Expertinä CGI:llä ja autan organisaatioita vahvistamaan kyberturvallisuuttaan sekä tukemaan liiketoiminnan tavoitteita. Minulla on yli 20 vuoden kokemus IT‑alalta sekä vahva tausta kyberturvallisuudessa, myynnissä ja konsultointipalveluiden kehittämisessä. Johdan ja kehitän asiantuntijatiimejä sekä tuen asiakkaita kyberturvallisuuden ja liiketoiminnan tavoitteiden yhdistämisessä.
