Kybernetická bezpečnost (úroveň ochrany) na úrovni měřicích zařízení (12.01.2024)

Řešení kybernetické bezpečnosti pro zabezpečení dat a ochranu před manipulací

Vzhledem k rostoucí digitalizaci a s ní spojené konektivity se zvyšuje i riziko úmyslného i neúmyslného zneužití. Následující řádky představují přístupy a základní principy řešení na úrovni měřicích zařízení, které se používají i v některých oblastech softwarových řešení.

Patří sem přístupy z normy ISO 27001 (příloha A, cíle a opatření referenčních opatření), jako např.:

Řízení přístupu k systémům a aplikacím
Kryptografická opatření
Fyzická bezpečnost a bezpečnost prostředí
Ochrana proti malwaru
Zálohování dat
Protokolování a monitorování

Je rovněž vhodné zohlednit vysoké požadavky elektrizačních a distribučních společností, např. podle GSTQ901, Network Quality Instrument - Cybersecurity Requirements od společnosti ENEL. To vše výrazně přispívá ke zvýšení bezpečnosti na úrovni měřicích zařízení.

Na úrovni státní legislativy již existují zákony o zvýšení bezpečnosti systémů informačních technologií. Povinnosti ostatně vyplývají z evropské směrnice NIS2 (směrnice č. 2022/2555). V Německu např. „Zákon o bezpečnosti IT 1.0" a „Zákon o bezpečnosti IT 2.0 - Nový zákon pro moderní kybernetickou bezpečnost" [zdroj: Německý spolkový úřad pro informační bezpečnost; 09.08.2021], v České republice Zákon č. 181/2014 Sb., o kybernetické bezpečnosti, v aktuálním znění.

Možnosti zabezpečení dat a ochrany proti manipulaci

Oprávnění k přístupu na základě rolí (RBAC)

Udělování nezbytných uživatelských práv, která nejsou nad rámec těchto práv:
- Přístup k měřeným datům: vizualizace, mazání, stahování
- Konfigurační data: zobrazení, změna
- Správa uživatelů
- Vzdálený přístup přes webové stránky / software
- lokální přístup
Vyloučení přenosu přihlašovacích údajů v otevřeném textu
Opakované pokusy o přihlášení zvyšují latenci
Ukládání nastavení RBAC pouze v šifrované podobě

secutity01

Hypertext Transfer Protocol Secure (https)

Zabezpečený hypertextový přenosový protokol (odolný proti odposlechu díky transportnímu šifrování).
Obousměrné šifrování mezi serverem a klientem
Kořenové certifikáty jako šifrovací prvek
Chráněné ověřování
Šifrování obsahu dat
Šifrování pomocí certifikátu výrobce zařízení nebo certifikátu definovaného uživatelem

Client Whitelist / Client IEC61850 Whitelist [Firewall]

Seznam s maximálně 10 autorizovanými účastníky (počítači):
- adresa vIPv4
- adresa vIPv6
Všechny ostatní přístupy účastníků jsou blokovány

secutity03

Audit-Log [záznam o všech manipulacích]

Zabezpečené přihlašování s informacemi o uživatelích pro všechny:
- Pokusy o připojení
- Procesy přihlášení/odhlášení uživatele
- Vizualizace monitorovacího protokolu
- Změny konfigurace Obnovení / odstranění dat

Sys-Log

Centralizované monitorování sítě
- Přenos záznamů monitorovacího protokolu na bezpečnostní server

Zabezpečené aktualizace firmwaru

Kontrola, zda je firmware originální
- Obrazy firmwaru jsou digitálně podepsané
- Kontrola věrohodnosti jeho platnosti

Datový záznamník a zdroj nepřerušitelného napájení (UPS)

Paměťová karta SD v měřicím zařízení
Typická paměťová karta o kapacitě 16 GB vydrží v běžném provozu mnoho let
UPS s napájením 5×3 minuty v případě výpadku elektrické sítě

Export dat

Ruční export dat prostřednictvím CSV a PQDIF
Automatický export dat CSV a PQDIF (podle rozvrhu)
Odesílání událostí event pusch (PQDIF) na server SFTP

Zabezpečené (mobilní) připojení

Zabezpečené připojení přes bránu gateway (např. privátní cloud prostřednictvím systému certifikovaného podle ISO 27001)
Cloudová služba VPN s jedním uzlem
Připojení přes modem

Metrologicky certifikovaný měřicí systém

Certifikovaná kvalita energie podle IEC61000-4-30 Ed.3, třída A a S
Certifikovaná činná energie podle třídy 0,2S
Příklad: LINAX PQ5000CL - PQI stacionární měřicí systém se škálovatelnými senzory certifikovaný švýcarským federálním institutem pro metrologii METAS

Analogové měřicí přístroje (bez použití mikroprocesorů)

Nejjednodušší způsob implementace kybernetické bezpečnosti.

Měřicí převodníky pro I/U/P/Q
"Hloupý" hardware zabraňuje IT útokům (žádná IP adresa)
Vysoká dostupnost a dlouhá životnost po desetiletí
Celosvětově osvědčená technologie

Závěr

Již dnes je patrné, že odpovědní výrobci na úrovni měřicích přístrojů intenzivně spolupracují s uživateli, aby se problematika manipulace s informacemi a daty dostala na nejvyšší úroveň možného zabezpečení. Opakem je, když výrobci přenáší náklady na správu zabezpečení na své zákazníky, místo aby sami vyvíjeli bezpečné produkty.

Pokud se nepoužívají komponenty splňující požadavky na kybernetickou bezpečnost, pak je třeba investovat více úsilí do samotné správy kybernetické bezpečnosti, aby bylo dosaženo její požadované úrovně. To přináší rizika, neboť nezabezpečené komponenty ve skutečnosti nelze spravovat bezpečným způsobem.

Podle firemních materiálů Camille Bauer Metrawatt AG a GMC – měřicí technika, s.r.o.