Opracowanie metody analizy ryzyka prowadzonej przez projektantów maszyn z uwzględnieniem aspektów cyberbezpieczeństwa

Celem projektu było opracowanie metody uwzględnienia zagrożeń związanych z nieuprawnioną ingerencją (cyberatakami) w systemy sterowania maszynami w procesie analizy ryzyka prowadzonej przez projektantów tych systemów.

W ramach realizacji 1. etapu projektu opracowano metody uwzględnienia zagrożeń związanych z nieuprawnioną ingerencją (cyberatakami) w te systemy w procesie analizy ryzyka prowadzonej przez ich projektantów. Ocena ryzyka prowadzona jest przez projektanta maszyny zgodnie z PN-EN ISO 12100:2011. Nie wymaga ona uwzględnienia zagrożeń związanych z nieuprawnioną ingerencją w systemy informatyczne. Jednak aspekty te powinny być uwzględnione jako czynniki mogące obniżyć skuteczność zastosowanych środków bezpieczeństwa. Jak z tego wynika, ocena ryzyka maszyny zgodnie z normą PN-EN ISO 12100:2011 powinna być przeprowadzona przed rozważeniem zagrożeń związanych z ochroną informatyczną. Następnie należy przeanalizować wynikające z tego rozwiązania bezpieczne same w sobie środki konstrukcyjne oraz środki ochronne i zmniejszające ryzyko związane z maszyną pod kątem podatności na zagrożenia IT. Przeprowadzone analizy wykazały, że wymagany poziom ochrony informatycznej (Security Level Target SL-T) powinien być odpowiedni w stosunku do kategorii związanych z bezpieczeństwem systemów sterowania maszynami:

• kat. B – SL-T 1 w przypadku systemów programowalnych i SL-T 0 (brak ochrony) w przypadku systemów elektromechanicznych,
• kat. 1 – SL-T 0 (brak ochrony) w przypadku systemów elektromechanicznych,
• kat. 2 – SL-T 1 (w przypadku małej częstości przywołania funkcji bezpieczeństwa i PLa i PLb) lub SL-T 2 (w przypadku dużej częstości przywołania i braku możliwości uniknięcia szkody oraz PLc),
• kat. 3 – w przypadku PLb lub PLc, a także w systemach, w których zastosowano dywersyfikację kanałów wystarczająca będzie ochrona przed niepożądaną ingerencją na poziomie SL-T 2, a w przypadku redukcji ryzyka na poziomie PLd powinno to być SL-T 3,
• kat. 4 – SL‑T 3.

Celem 2. etapu było przeprowadzenie walidacji opracowanej metody przez zastosowanie do 5 przykładowych maszyn. W tym celu opracowano Wytyczne dotyczące uwzględnienia nieuprawnionej ingerencji w systemy sterowania maszynami w ocenie ryzyka. Opracowano także formularz oceny ryzyka wg PN-EN ISO 13849‑1:2016‑02 z uwzględnieniem cyberbezpieczeństwa, zgodnie z opracowaną metodą.

W wytycznych zawarto podstawowe informacje o możliwych skutkach niepożądanej ingerencji w systemy sterowania realizujące funkcje bezpieczeństwa. Omówiono także zasady zapewniania skuteczności realizacji tych funkcji w zależności od struktury systemu. Zaproponowano metody analizy wpływu niepożądanych ingerencji na skuteczność realizacji funkcji bezpieczeństwa oraz sformułowano zalecenia odnośnie do postępowania w kolejnych krokach oceny ryzyka.

W celu usystematyzowania postępowania przy stosowaniu tej metody opracowano formularz wspomagający dokumentowanie przeprowadzonej oceny. Formularz ten zawiera pola dotyczące kolejnych kroków postępowania w procesie oceny ryzyka. W formularzu zawarto także podstawowe objaśnienia dotyczące doboru środków ochronnych oraz wyznaczania wymaganych poziomów ochrony informatycznej SL – T w zależności od wymaganego poziomu zapewnienia bezpieczeństwa PLr i struktury systemu sterowania realizującego funkcję bezpieczeństwa.

Opracowane Wytyczne dotyczące uwzględnienia nieuprawnionej ingerencji w systemy sterowania maszynami w ocenie ryzyka wraz z załączonym do nich Formularzem oceny ryzyka wg PN-EN ISO 13849-1:2016-02 z uwzględnieniem cyberbezpieczeństwa zostały udostępnione projektantom maszyn w celu przeprowadzenia próby ich zastosowania do wybranych funkcji bezpieczeństwa w maszynach. Założeniem było przeprowadzenie oceny ryzyka 5 wybranych przykładów funkcji bezpieczeństwa kategorii: B, 1., 2., 3. i 4. z uwzględnieniem cyberbezpieczeństwa. W trakcie realizacji walidacji metoda została zastosowana do 7. funkcji bezpieczeństwa. Na powyższym rysunku pokazano przykład jednej z funkcji bezpieczeństwa wykorzystanych podczas walidacji opracowanej metody.

a)

b)

Projekt II.PB.18. Przykład obwodów realizujących operacje funkcjonalne tokarki – a) oraz systemu bezpieczeństwa odpowiedzialnego za zatrzymanie awaryjne – b)

Raport z przeprowadzonej walidacji zawiera opisy postępowania przy ocenie ryzyka dla każdej z funkcji bezpieczeństwa, ze szczególnym uwzględnieniem kwestii ochrony informatycznej. Do raportu załączono wypełnione Formularze oceny ryzyka wg PN EN ISO 13849-1:2016-02 z uwzględnieniem cyberbezpieczeństwa.

Raport zakończonopodsumowaniem, w którym autorzy dokonali oceny proponowanej metody i opracowanego formularza. Ogólna ocena jest pozytywna. W podsumowaniu raportu zamieszczono także propozycje udoskonalenia formularza. Propozycje te zostały uwzględnione w ostatecznej formie formularza, załączonej do wytycznych. Opracowane metody postępowania pozwolą na przeciwdziałanie atakom cybernetycznym adekwatnie do poziomu zagrożenia.

Wyniki projektu przedstawiono w 3 publikacjach naukowych oraz zaprezentowano na 5 konferencjach naukowo-technicznych.