3 Giải pháp Từ Hội Nghị PI tại Seoul: An ninh, Bảo mật và An ninh mạng 

Sau ba ngày họp và thuyết trình chuyên sâu tại Seoul, bài học rút ra rất rõ ràng: an ninh mạng là chủ đề được hỏi nhiều nhất trên khắp các châu lục.

Đơn vị tổ chức Hội Nghị PI thường niên năm nay là đội ngũ PI Korea rất hào phóng và tài năng. Các cuộc thảo luận ý nghĩa, các bài thuyết trình kích thích tư duy và các buổi trình bày mở mang tầm mắt đã được thảo luận ra rất nhiều. Giờ đây, điểm nổi bật rõ ràng nhất là: an ninh mạng.

Cho đến nay, an ninh trong tự động hóa công nghiệp hầu như chỉ được xem xét sau cùng. Bảo vệ ranh giới, phân đoạn mạng, và hy vọng điều tốt nhất. Trong nhiều thập kỷ, các giao thức như PROFINET hoạt động trong sự cô lập tương đối: phòng thủ theo chiều sâu là mô hình an ninh. Kỷ nguyên đó đã qua.

Trong tương lai, PROFINET đại diện cho một điều thực sự khác biệt: an ninh được tích hợp vào chính giao thức, chứ không phải được thêm vào sau đó.

Từ Ranh giới đến Định danh

Mô hình cũ về an ninh tế bảo vệ tự động hóa, tường lửa xung quanh các đảo thiết bị biệt lập, vẫn còn vai trò nhất định. Nhưng chỉ riêng điều đó thôi là chưa đủ, và tùy thuộc vào cách cài đặt, có lẽ hoàn toàn cũng không đủ — đặc biệt là khi xét đến các luật và quy định mới. Khi môi trường công nghiệp kết nối với các hệ thống CNTT doanh nghiệp, nền tảng đám mây và các công cụ kỹ thuật từ xa, ranh giới bảo mật dần biến mất. Câu hỏi đặt ra là: bạn có biết ai đang truy cập mạng của mình và bạn có thể tin tưởng họ không?

PROFINET trả lời câu hỏi này bằng định danh thiết bị dựa trên chứng chỉ. Định danh là nền tảng của mọi biện pháp kiểm soát bảo mật khác. Bạn không thể thực thi kiểm soát truy cập, chính sách, phát hiện bất thường hoặc tiến hành kiểm toán có ý nghĩa nếu bạn không biết chắc chắn ai đang giao tiếp với ai.

Kiểm soát truy cập có khả năng mở rộng

Kiểm soát truy cập dựa trên vai trò (RBAC) trong PROFINET phân biệt giữa người có thể vận hành thiết bị và người có thể cấu hình thiết bị. Bộ điều khiển xử lý dữ liệu thời gian thực theo chu kỳ có các quyền khác với công cụ chẩn đoán, HMI hoặc trình quản lý mạng điều chỉnh cấu trúc liên kết. Các vai trò được mã hóa trực tiếp trong chứng chỉ và sau đó được thực thi.

Bảo vệ toàn diện, không chỉ là đường hầm

PROFINET V2.5 cung cấp một lớp bảo mật thống nhất hoạt động nhất quán trên cả hai lớp truyền tải Layer 2 và Layer 3. Việc gia hạn khóa mật mã giờ đây có thể diễn ra trong nền mà không làm gián đoạn lưu lượng I/O, giúp giảm bớt một trong những trở ngại lâu dài về mặt vận hành đối với chứng chỉ trong môi trường OT.

Thực tế vận hành

Tất cả những điều này không yêu cầu thay thế hoàn toàn. PI thừa nhận ba lộ trình di chuyển thực tế: giữ các thiết bị hiện có phía sau tường lửa bảo vệ cho các ô riêng biệt; nâng cấp có chọn lọc các thiết bị quan trọng trong khi vận hành môi trường hỗn hợp; hoặc cam kết với cơ sở hạ tầng chứng chỉ đầu cuối hoàn chỉnh để đảm bảo tối đa. Tất cả phụ thuộc vào đánh giá rủi ro của bạn. Điều đã thay đổi là các nhà điều hành công nghiệp không còn cần phải lắp ráp bảo mật từ các thành phần riêng biệt của nhà cung cấp nữa. Vì bản thân giao thức mang kiến ​​trúc đó.

Trước đây, bảo mật đã được đề cập trong nhiều hướng dẫn và khuyến nghị của PI — và điều đó vẫn đúng. Nhưng từ nay trở đi, việc PROFINET tích hợp kiểm soát danh tính và truy cập vào đặc tả cốt lõi là sự thừa nhận rằng mạng công nghiệp là cơ sở hạ tầng quan trọng và cần được bảo vệ tương ứng.

Michael Bowne

Phó Chủ tịch Hiệp hội PI