Yleinen ongelma teollisuuden kyberturvallisuuden hallinnassa on päättää, mihin hallintakeinoihin kannattaa keskittyä erityisesti tuotantoympäristöissä. Onneksi useat tahot ovat analysoineet asiaa ja julkaisseet ohjeita hyvistä käytännöistä. Tässä ohjeessa yhdistelemme suosituksia useiden maiden viranomaisten ja tietoturvayritysten julkaisuista ja ryyditämme niitä omilla kokemuksillamme.
Resursseja kyberturvallisuuden täydelliseen hallintaan ei koskaan ole riittävästi. Kuinka varmistaa, että ne hallintakeinot, jotka päätetään ottaa käyttöön, tuottavat riittävästi turvallisuutta? Kysymys on erityisen hankala teollisuudessa, jossa digitaalinen tekniikka on kriittisen tärkeä osa tuotantoa. Vakavin vaara tuotantoympäristöissä on tuotannon odottamaton keskeytyminen tai tuotantoprosessin karkaaminen hallinnasta. Siksi toiminnan prioriteetit ovat merkittävästi erilaiset kuin tavanomaisen tietotekniikan käytön kyberturvallisuudessa.
Tietoturvan tutkimus- ja koulutusyhteisö SANS:n julkaisussa “The Five ICS Cybersecurity Critical Controls” määritellään viisi tärkeintä kontrollia tuotantoverkkojen valvonnan kannalta. Teollisuusautomaation kyberturvallisuuden hallintaan erikoistunut yhtiö Dragos viittaa niihin vuoden 2022 vuosikatsauksessaan, ja arvioi, miten hyvin ne on toteuttu heidän käsittelemissään tapauksissa.
Olemme muokanneet SANS:n viittä ohjetta Irlannin Kyberturvallisuuskeskuksen, Yhdysvaltojen kyberturvallisuusviranomaisen CISA:n ja energiaministeriön (DoE), sekä Kyberturvallisuuskeskuksen omien ohjeiden avulla.