Digitální bezpečnost z pohledu dodavatele

V návaznosti na stále aktuální otázky digitální bezpečnosti informačních systémů v průmyslu, a nejen v něm, jsme v době koronavirové oslovili zástupce společnosti Zebra Systems Štěpána Bílka a požádali ho o názory na vývoj přístupu k zabezpečení informací. 

Společnost Zebra Systems se v první řádě zabývá produkty pro zajištění kybernetické bezpečnosti: systémy pro zálohování, firewally, zabezpečením e-mailů a ochranou proti malwaru. Současné období digitalizace společnosti a průmyslu těmto aktivitám přeje. Především po nedávných útocích na nemocnice, právě v době pandemie, poptávka po bezpečnostních řešeních značně vzrostla. Mnoho společností si uvědomilo, jak zranitelnost informačních systémů může ovlivnit jejich vlastní chod.

Současná situace zvýraznila potřebu práce z domova, popřípadě ne přímo z podnikové kanceláře, ale třeba z mobilní kanceláře či z prostor zákazníka. To klade zvýšené požadavky na bezpečnost. Jak se tato situace projevila ve vaší společnosti?

Potřeba práce s firemními databázemi a spolupráce s kolegy vedly v této době k rychlým řešením. Bohužel v mnoha případech polovičatým a často ne zcela domyšleným. Vždy jde o vyváženost uživatelsky přívětivého řešení a zabezpečení. Extrémní zabezpečení není uživatelsky příjemné a mnohdy vede k obcházení bezpečnostních opatření z důvodu komfortu. Řešením je šifrovaný přenos mezi firemními databázovými servery a aplikacemi na mobilních zařízeních. Administrátor firemních serverů má systém zcela pod kontrolou a v případě například ztráty nebo poškození mobilního zařízení dokáže data na něj přenesená úplně eliminovat. Zcela evidentní to je u přístupu k datům spojeným s výzkumem a vývojem nových produktů, kde se ještě navíc jedná o ochraně duševního vlastnictví. Právě zde uspěchanost a případně implementace například „free řešení“ není zcela ve prospěch věci. Je možné říci, že trend k posilování zabezpečení dat a jejich přenosů ve společnosti zde byl již dříve, ale současná situace přece jen pomohla k rychlejšímu rozhodování uživatelů. U firem, které už dříve řešily zabezpečení domácích nebo mobilních kanceláří, nebyl takový problém s rozšířením počtu uživatelů a zabezpečení jako u firem, které nárazově řešily nutnost zřídit pracoviště mimo standardní kamenné kanceláře. Naučit zaměstnance všem procesům bezpečné a efektivní práce v novém prostředí není zcela triviální záležitost.

Zabezpečení dat a komunikací v průmyslovém podniku má několik rovin. Jakou máte zkušenost se zabezpečením informačních systémů na podnikové úrovni a na úrovni automatizace a MES?

Zkušeností je celá řada. Například koncern Volkswagen, v ČR Škoda Auto, vyžaduje zálohování každého robotu a automatické linky, i když nejsou napojeny na internet. Jde především o vnitropodnikové sítě. Výhodou oboru automobilového průmyslu je především to, že není oproti například zdravotnictví podfinancován. Vědomí ztrát z nevýroby vede také k velké pozornosti, která je věnována zabezpečení informačních systémů. Samozřejmě je obrovský rozdíl v přístupu k bezpečnosti u systémů, které mohou komunikovat s okolním světem, a u systémů, které jsou primárně určené pro výrobu.

Z pohledu duševního vlastnictví jde především o souborové servery, které obsahují firemní know-how. Z pohledu řídicích systémů se pořád bavíme o datech ve statické nebo dynamické podobě. Ideální je zajistit jejich sběr a zpracování na jednom místě, například v databázi časových řad, a přístup k těmto datům může již být plně pod kontrolou jak pro vlastní zaměstnance, tak pro pracovníky dalších stran, třeba dodavatele technologických zařízení, servis a údržbu nebo specialisty na jednotlivé technologické celky. Jde o formu privátního datového úložiště, případně privátního cloudového úložiště. Na druhou stranu je vyžadován personál, který bude zajišťovat servis úložiště a kontrolu jeho provozu. Proto jsou cloudy nejčastějším řešením, a především cloudy třetích stran. Cestou zabezpečení dat je šifrování již ve zdroji. V případě šifrování na úrovni armádního zabezpečení, to je 256bitovou šifrou, jsou uložená data nerozluštitelná i po případném zcizení. Jsou-li data zašifrována ještě před odchodem do veřejného prostoru, je to z mého pohledu dostatečné. Problém se značně zjednoduší, jestliže se data v rámci společnosti na jednom místě agregují a následně zašifrují. Potom je jejich uložení v pronajatém cloudu zcela bezpečné a cenově přístupné. Ovšem v oblasti automatizace stále přetrvávají ostrovní řešení, mnohdy s vlastní databází, která jsou často připojena do sítí s vazbou na internet. Změna myšlení při budování jednotlivých systémů, která bude včas řešit i bezpečnost dat a komunikací, je pro úspěšnou digitalizaci nutná.

Dnes se hodně hovoří o horizontální integraci a na nejnižší úrovni výroby. Jak vidíte bezpečnost informatiky z tohoto pohledu?

Je to mnohdy v úrovni dohody a domluvy. Na jedné straně může levné řešení umožnit dodavateli jak zařízení, tak dalších služeb nahlížet do dat, sledovat provozní veličiny a případně nějakým způsobem do procesů vstupovat. Na druhé straně může být vše zašifrováno již na úrovni jednotlivých strojů a linek a okolí nemusí být o datech, která jsou zpracovávaná například dodavatelem konkrétního stroje, vůbec informováno. Vše je dosud velmi čerstvé a až čas a dořešení vztahů a důvěry jednotlivých účastníků výrobního řetězce ukážou budoucí cestu. Technicky není problém šifrovat různá data z jednoho zdroje a následně je předkládat a poskytovat pro různé formy využití. Vždy je to něco za něco.

Co bezpečnost a rychlost?

Ano, zde je mnoho problémů. Jak u používaných médií pro zálohování, tak také v právních předpisech. Mnoho institucí musí archivovat data po dlouhá léta, můžeme hovořit o době až sta let. Nejsou výjimkou případy, kdy se k zálohování používají magnetické pásky, protože to vyžadují určité předpisy. Vyhledávání informací představuje u těchto systémů často až neřešitelný problém. Technologické možnosti dnešní doby a praxe jsou mnohdy v rozporu. Opět platí, že kvůli extrémním požadavkům na zabezpečení se používají archaické systémy, které v současné době už nemají co dělat.

Kdyby bylo možné ve zdravotnictví sdílet data o pacientovi, samozřejmě zabezpečeně, zdravotní péče by se posunula na zcela novou úroveň. Průmysl má obrovskou výhodu v tom, že si může vybrat. Existuje-li vůle, může se rozhodnout pro moderní technologie. Zdravotnictví je omezeno legislativními předpisy.

Co očekáváte od budoucnosti?

Jednou z metod uchovávání informací, která bude mít velkou váhu v budoucnosti, bude blockchain. Přístup do databáze různých subjektů a vzájemné ověřování dat budou mít pravděpodobně velké využití a mohou být odpovědí na mnoho problémů, které ještě nejsou zcela dořešeny. Jestli se svět vydá touto cestou, nebo se najde nějaká zcela nová, ukáže až praxe.

Budoucí aktivity firem je možné alespoň částečně odhadnout i na základě průzkumu mezi 263 poskytovateli IT služeb (MSP, Managed Service Provider) z celého světa vypracovaného ve spolupráci s analytickou firmou Omdia. Průzkum ukázal, že zákazníky jsou aktuálně nejvíce poptávané služby kompletní kybernetické bezpečnosti, přičemž nejrychleji rostoucí bezpečnostní službou je zajištění nulových provozních výpadků (zero downtime).

Mezi nejzajímavější zjištění průzkumu patří to, že 89 % poskytovatelů očekává, že v příštích dvanácti měsících budou nad rámec obvyklých antimalwarových funkcí nabízet služby komplexní ochrany koncových bodů (endpoint protection). Mezi nejdůležitějšími zálohovacími funkcemi uvedlo 25 % respondentů automatizaci zálohování, 23 % ochranu proti ransomwaru a 22 % zálohování jako službu (SaaS – Software as a Service, například Office 365). Pro 92 % MSP je největší výzvou schopnost rychle reagovat na nejnovější bezpečnostní hrozby s cílem efektivně chránit své zákazníky a procesy.

Děkuji Vám za Váš čas a názory. Určitě bude mít smysl se těmto tématům věnovat opakovaně, protože patří ke každodennímu životu techniků a vývoj v oblastech bezpečnosti dat a komunikací neustále zrychluje.

(Rozhovor vedl Radim Adam.)