De Beveiliging van Uw Shopfloor-Netwerk Beoordelen: Bent U Klaar?

Het is misschien niet bovenste prioriteit, maar jobshops en middengrote fabrikanten moeten nadenken over IT/OT-cyberbeveiliging, vooral bij het produceren van militaire en defensie-onderdelen. De regelgeving is er. Bent u gereed?

Is het voldoende om de nieuwste machines en gereedschapstechnologieën aan te schaffen, zoals 5-as machines, leerlingen in te huren en te begeleiden, onderdelen te produceren en onderhoudsschema's na te lopen? Met slimme sensoren en meer internetgebaseerde infrastructuur die nu door werknemers op de shopfloor worden gebruikt, is er zoveel technologie in en rond machines en de besturingskamers van de meeste winkels.

Beveiligingsbeheer is nu een echt issue en omvat het beheren van alle systemen en het gedrag van werknemers. Voor winkels die onderdelen maken voor de defensie-industrie, is beveiliging een top-compliance-kwestie met een echte gevolgen voor het bedrijf.

"De praktijk van vandaag is dat kleine tot middelgrote fabrikanten op volle capaciteit draaien, orders binnenkomen, en het grootste probleem is het vinden en behouden van talent – de grootste beperking om product uit de deur te krijgen. Over al de beslissingen die fabrikanten elke dag moeten nemen, staat cyberbeveiliging niet hoog op hun radar," zegt Elliot Forsyth, vice-president bedrijfsoperaties bij het Michigan Manufacturing Technology Center, in een artikel voor Advanced Manufacturing.

We spreeken met insiders over de staat van beveiliging in de hedendaagse productie – en waar het naartoe gaat.

Industriële Cyberaanvallen: Datalekkages, Cyberspionage en Meer

Het internet is een fantastisch hulpmiddel en een zegening voor het bedrijfsleven. Maar het is ook een plek voor criminele activiteiten waar fraude, chantage, diefstal en systeembemiddeling te vaak gebeuren.

De productie is niet verschond voor beveiligingsproblemen. Industriële sectoren, waaronder olie en gas en kritieke infrastructuursegmenten zoals elektriciteits- en kerncentrales, moeten ook hun beveiliging versterken. In 2018 werden petrochemische bedrijven in Saoedi-Arabië gehackt met de bedoeling om de operatie te saboteren en ontploffingen te veroorzaken.

Dit is een extreem geval, natuurlijk, maar het kan gebeuren. De meerderheid van de beveiligingsincidenten richt zich op financiële informatie en intellectueel eigendom.

"Het is een heel onveilige ruimte," zegt John Livingston, CEO van Verve Industrial Protection. "De meeste fabrikanten zijn zich van het probleem over het algemeen niet bewust of ze hebben niet de middelen in huis [om het aan te pakken]. … Aan de ene kant vertrouwen velen op cloudservices en aan de andere kant vertrouwen ze op oude besturingssystemen in hun omgeving die niet zijn gepatcht."

In 2018 waren er 352 beveiligingsincidenten in de productie en 87 van hen hadden een bevestigde datalekkage, volgens het "2019 Data Breach Investigations Report" van Verizon, een van de meest uitgebreide studies die jaarlijks wordt gepubliceerd.

"Voor het tweede jaar op een rij zijn financieel gemotiveerde aanvallen vaker dan cyberspionage de hoofdoorzaak van inbraken in de productie, en dit jaar met een significanter percentage (40 procent verschil)," concluderen de auteurs van het Verizon-rapport. "Als dit in de meeste andere verticals zou zijn, zou het de moeite niet waard zijn om te noemen, want geld is de reden voor de grote meerderheid van aanvallen. Echter, de productie heeft in de afgelopen jaren een hoger niveau van spionage-gerelateerde inbraken ervaren dan andere verticals."

Als het doel piekproductie en onderdeelen maken is, is er weinig twijfel dat technologie een centrale rol speelt in het helpen van bedrijven hun doelen te bereiken. Het verzamelen en monitoren van nauwkeurige machine-informatie wordt steeds kritischer voor het bereiken van piekprestaties.

Jobshops zijn vaak met het internet verbonden, en de applicaties die werknemers gebruiken, inclusief e-mail, websites en mobiele apps, kunnen allemaal de opening zijn die aanvallers nodig hebben om toegang te krijgen tot werknemers- en bedrijfsinformatie of intellectueel eigendom. Deze informatie kan bibliotheken met onderdelspecificaties omvatten die een OEM uit handen van concurrenten wil houden en een regering niet wil dat andere naties hebben.

"Fabrikanten moeten een risicobeoordeling van hun operaties ondernemen," zegt Koushik Subramanian, strategisch adviseur van het National Center for Cybersecurity in Manufacturing, in een artikel voor Advanced Manufacturing. "Risico kan technisch zijn – gevonden in machines, besturingen of software, en ook in personeel, praktijken en processen. Risico neemt veel verschillende vormen aan, maar de meest voorkomende is van cyberaanvallen waarbij kwawillige individuen of groepen proberen in systemen in te breken door misbruik te maken van het zwakste schakel: mensen. Dat is de reden waarom phishing en ransomware zo populair zijn en waarom aanvallen in stijgende lijn zijn."

Voor kleinere winkels betekent het beheren van computers vaak het inhuren van externe IT-bedrijven. Voor middelgrote en grote fabrikanten kan het een hybride vorm van interne IT-bemanning en extra hulp van externe bedrijven voor de complexere technologiekwesties betekenen.

"De meeste van de industrie gaat door deze bewustwordingsfase," zegt Livingston. "Ze beginnen te begrijpen dat er een probleem is. Maar ze vragen zich af: 'Hoe krijg ik mijn armen om de wereld die nooit echt is beheerd als een internetgebaseerde infrastructuur?'"

Heeft u een technische vraag? Vraag het het MSC Metalworking Tech Team op het forum.

Veranderende Factoren: Standaarden, Staatsfinanciering en Derde-Partij Diensten

Het National Institute of Standards and Technology is de instantie die kritieke infrastructuur reguleert en de regels stelt voor de luchtvaart- en defensie-industrie. In 2016 publiceerde NIST SP 800-171, wat de regels bevat voor "Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations."

De standaarden bevatten strikte beveiligingscontroles die OEM's en defensie-subaannemers van alle formaten kunnen beïnvloeden. Als een bedrijf niet in compliance is, kan het waarschijnlijk niet bieden op het werk.

"Voor de meeste fabrikanten die niet in kritieke infrastructuur zitten, is het verlies van een dag productiviteit vanwege een beveiligingskwestie geen nationale noodsituatie, maar het schadt hun resultaat," zegt Scott Sawyer, chief technology officer van Paperless Parts. "Waar dit echt tot uitdrukking komt, is intellectueel eigendom. Het Ministerie van Defensie hecht erg veel waarde aan dit gebied."

Het beïnvloedt fabrikanten van alle formaten.

"Zelfs de 100-tot-200-personeelsbedrijven worstelen ermee," zegt Sawyer. "Out of the blue moeten ze uitvinden hoe ze compliant gaan worden."

Hoe gaan bedrijven ermee om? Sommige die proberen contracten te behouden of nieuwe aan te trekken met de defensie-industrie, halen consultants binnen – en ze implementeren beveiligingsprogramma's. Staats- en locale economieën kunnen nadelig beïnvloed worden door deze soort regelgeving. Het kan duur zijn. Daarom bieden organisaties financiering aan om bedrijven te helpen compliant te worden met beveiligingsstandaarden via manufacturing extension partnerships (MEP).

Om meer te weten te komen over de inspanningen van het Ministerie van Defensie en NIST, bekijk deze video.

Het is goed nieuws voor degene die op de hoogte blijven van het beveiligingskwestie, maar de meeste fabrikanten zitten nog in het duister. Vooral kleinere winkels, legt Sawyer uit.

"Sommigen hebben een vals gevoel van veiligheid. Ze denken dat ze niet risico lopen omdat ze klein zijn en uit de beat zijn en hun fysieke locatie landelijk is, ze hebben niet veel werknemers en ze houden een laag marketingprofiel," zegt Sawyer. "Maar, weet je, dat is precies in een zekere zin wat ze een doelwit kan maken. Ze zijn een makkelijker doelwit dan een Lockheed Martin, Raytheon of Northrop Grumman omdat ze de beveiliging niet hebben."

Die grotere bedrijven zijn wel doelwitten, maar ze zijn ook veel meer gesofistikeerd in het omgaan met geclassificeerde specificaties en fysieke beveiliging, legt Sawyer uit. Sawyer weet het – hij werkte jaren in de defensie-industrie voordat hij naar de productie ging.

Defensiebedrijven educeren hun werknemers erover niet over werk te praten als ze het bedrijf verlaten. Velen worden verteld hun werkbadge uit zicht te doen zodra ze vertrekken. Maar zelfs deze inspanningen hebben gemotiveerde aanvallers niet kunnen weerhouden om aan belangrijk intellectueel eigendom te komen.

"Als u gelooft in Amerikaanse productie, en u bent patriotisch, dan moet deel van dat zorgen om het informatiebeveiligingsstuk ervan," zegt Sawyer.

Hoe gaat uw winkel vandaag om met beveiliging? Bent u aan het opruimen of in de "onwetendheid is zaligheid" modus? Praat erover op het forum. [registratie vereist]