Post on 01-Jan-2020
DSB Sevesokonferansen:
Security – hvordan sikre
kontrollsystemer og unngå
sabotasje
Sjef.Ing. Ragnar G. Stokke, Process Owner
(Fagsjef) E&A, Yara International, 21.09.2016
Hvem er jeg ?
Personal: Ragnar Georg Stokke
· 1951 Oslo, Norway
· Living in Porsgrunn, Norway
Education: · MSc, Process Control (NTNU, 1975)
Worklife: · Man Machine Communication & Training Simulators-
1976-81 OECD Halden Nuclear Reactor Project
1981-99 · Operation, Maintenance, Projects - Hydro Porsgrunn
1999-04 · Head of Electrical & Automation - Yara Porsgrunn
2004-09 · Head of Electrical & Automation - Yara Project Office, Brussels
Current
Assignment: Process Owner Electricity & Automation, Yara International
2009-16
Experiences: ‚A lot‘ in E&A during 40 years in process industry and R&D
Office address: Porsgrunn, Norway
RGS 21.09.2016 Page 2
DSB: Sevesokonferansen 2016:
Tema: Sikring mot uønskede villede handlinger
DSB spurte:
• ‘Kan du dele Dine erfaringer med IT sikkerhet i kjemisk industri, og dele
gode råd til virksomheter om hva de bør være opptatt av på dette området’.
YARA svarte:
• Siden 2006 har Yara fokusert på trusselbilde fra den digitale automatisering
• I 2010 implementerte vi en spesifikk teknisk bestemmelse – TOPS 1-19
• Alle våre produksjon- og distribusjons-anlegg er pålagt å følge denne
• Foredraget peker på hvorfor det er nødvendig å være forberedt på å møte
dette trusselbildet og hvordan Yara valgte å gjøre det
• Løsningen ikke bare er et engangs prosjekt, men en kontinuerlig prosess der
teknologi og humanoria begge er nødvendige bidragsytere
21.09.2016 RGS 3
Basis for all gjødsel: Energi, luft og mineraler
Ammoniakk Ferdige produkter: Urea Nitrates NPK KS Spesialgjødsel Industriprodukter
Naturgass (HxCy)
Nitrogen (N2) fra lufta
Naturlige mineraler: Fosfater (P), Kalisalter (K), m.fl.
Salpetersyre NPK og KS
Oksygen (O2) fra lufta
Yara omsatte 33million tonn; tilsvarende mer enn 4kg gjødsel til hvert menneske på jorda
21.09.2016 RGS 4
Gode Gamle Dager – ‘As Was’
21.09.2016 RGS 7
Administrasjon
1991:
Internett
Operatører i
kontrollrom
Fastkablet
Krysskobling
Fastkablet
Regulatorer
Logikk
Panel
Instrumenter
Brytere
Felt-
instrumenter,
pådragsorganer
Prosess
Papir
‘Verden’
‘Hackers’
Fysisk adskillelse (Gjerde / Port)
Fabrikk
Den gang: Hva feilet da?
21.09.2016 RGS 8
Nivåbryter (flottør) fastlåst i en posisjon på grunn av
olje forurensing –
sikkerhets funksjonen ville ikke virke ved behov.
Brann gjødsel fabrikk; Motorhuset
smeltet, stator falt ned på gulvet, rotoren
henger i maskinen.
Dagens Bilde – ‘As Is’
21.09.2016 RGS 9
Administrasjon
/ IT avdeling
Operatører i
kontrollrom
Programmert
Krysskobling
Programmert
Regulatorer
Logikk
PC
Intelligente/
Digitale
Felt-instrumenter,
pådragsorganer
Prosess
‘Verden’/
Internett
‘Hackers’
Teknologi /
OT
Hva kan skje om vi ikke beskytter oss?
21.09.2016 RGS 12
Hvem har ansvaret ?
IKT/ IT ?
Produksjon / ElAut?
Yara: Automatiseringsavdelingen !
Gartner Group: ‘Join Forces around OT’
OT= Operational Technology
‘STUXNET’
Paranoia?
‘There are only two types of companies: Those that have been hacked and those that will be.
And even they are converging into one category; companies that have been hacked and will be
hacked again.’
21.09.2016 RGS 13
NSM Sikkerhetskonferansen ‘Risiko 2016’:
‘Det er stor risiko forbundet med IKT-angrep og annen spionasje I 2016 og årene fremover.’
Mnemonic 1.September 2016: ‘Innloggingsdata for 68 millioner Dropbox-brukere lekket’
US/ FBI (Robert Mueller):
Page 17 Author: Thomas Wegner 2015-06-15
Key Technical Risk
Critical
Process
Control
System
Loss of view
blank or frozen screen
Manipulation of view
faked or
irrelevant screen
Loss of control
unresponsive system,
malicious remote control
Shutdown, Hazard
set crazy values
or alarm thresholds,
hide or induce
hazardous conditions
21.09.2016 RGS 17
21.09.2016 RGS Page
18
Produksjon OT vs IT – Hva har prioritet?
Join forces with IT!
Prod. IT / OT: IT/ IKT:
Page 19 Author: Thomas Wegner 2015-06-15
Business Perspective – Where are the borders?
Seconds - Minutes
Quarters - Months - Weeks
Years - Quarters - Months Strategic
Tactical
Operational
Nature of Decisions Time Perspective Enterprise Perspective
Days - Shifts - Hours
mSec - Seconds
21.09.2016 RGS 19
Page 20 Author: Thomas Wegner 2015-06-15
Information Flow Perspective – Where are the borders?
21.09.2016 RGS 20
21.09.2016 RGS 23
Hvor langt skal vi gå ?
Vær edruelig – ikke overdriv – det er krevende – det koster tid & penger
HOPS 1-17
21.09.2016 RGS Page
25
4.1 Role and Resource Assignment
4.2 System Inventory
4.3 System Criticality Assignment
4.4 Global Security Integration
4.5 Incident Prevention
4.6 Incident Detection
4.7 Incident Response
4.8 Vulnerability Management
4.9 Continuous Improvement
4.10 Compliance
4.11 Operational Recommendations
Yara: ‚Production IT Security Standard‘
21.09.2016 RGS Page
26
• Til sentral ledelse; forankring, sponsorer • Upstream Plant Manager Meeting, Ghent, December 2010
• Ethical Hackers Video
• Til de som ‘håndterer’ OT • for å styrke Social Engineering
• Yara Porsgrunn
Hvordan kommunisere dette i egen organisasjon?
‘- Hyr en HACKER!’
21.09.2016 RGS 27
1. Ikke tro at ’dette rammer ikke oss’ – gjør noe!
2. Lag en standard for Produksjons IT (PIT / OT) Sikkerhet
3. ’Selg’ løsningen internt høyt oppe i organisasjonen
4. Identifiser og klassifiser alle PIT systemer som ’alt annet’
5. Topologi: Definer ’Domener’ som skiller PIT fra IT
6. ’Herd’ alle PIT maskiner maksimalt (IE, MediaPlayer, etc.)
7. ’Keep the System Current’ (’Keep the Current System’)
8. Installer Fysisk Adgangs- og Bruker-kontroll til all PIT
9. Innfør strengt regime rundt mobile medier & (USB) porter
10. Legg press på leverandørene – krev sertifisering (WIB)
Hva gjør vi? Noen gode råd
May 2016: Newsletter www.ControlGlobal.com:
‘10 Strategies for Cybersecurity Success’
‘Effective cybersecurity protection is like many human endeavors that are more about journey than endpoint.’
1. Adopt a standard (e.g. IEC 62443) to give participants a common vocabulary
2. Identify all OT (P-IT) assets and make an inventory (e.g. as F/L in SAP PM)
3. Prioritize your assets – which will directly influence your business in case of an event?
4. Do gap analyses checking for vulnerabilities
5. Execute mitigation begins with putting cybersecurity protection in place
6. Survey the complete system involves collecting configuration files
7. Store config files securely onsite and offsite and practice recovery as often as possible
8. Inform all stakeholders and tell them your production processes have cybersecurity threats
9. Verify on a regular basis because threats and their vectors change regularly
10. Educate everyone because people are the first line in defense in isolating OT systems
• Build zones and conduits (ISA99 / IEC 62443)
21.09.2016 RGS 28
Page 29 Author: Thomas Wegner 2015-06-15
Hva gjør vi? Segregering av domener med FW
21.09.2016 RGS 29
Page 30 Author: Thomas Wegner 2015-06-15
There Is No Safety
Without
Cyber-Security !
21.09.2016 RGS 30