Cyber sigurnost u prehrambenoj industriji

Kompanije i fabrike koje se bave proizvodnjom hrane sve se više oslanjaju na automatizaciju, što dovodi do većeg rizika od cyber napada. Jedan od glavnih problema je taj što regulativa ne ide u korak s automatizacijom. Tako, recimo, FDA, američka vladina agencija koja se bavi ovim pitanjima, uopšte ne razmatra zaštitu od hakerskih napada kao dio sigurnosti u prehrambenoj industriji
Pišu: Senad Matić Karić i Vesna Matić Karić
E-mail: redakcija@asadria.com

Jedna od oblasti o kojoj se i ne razmišlja baš mnogo kada je u pitanju cyber sigurnost jeste prehrambena industrija. Ljudima uglavnom ne pada na pamet da bi hakerski napadi mogli na neki način imati veze s proizvodnjom hrane. Razlog je to što su ti procesi uglavnom daleko od očiju velike većine ljudi. Međutim, s obzirom na porast učešća industrijske automatizacije i srodnih tehnologija u prehrambenoj industriji, riječ je o oblasti koju ozbiljno treba imati u vidu prilikom osmišljavanja nacionalnih strategija cyber odbrane, jer i jeste riječ o potencijalnom problemu koji može zahvatiti cijele države.

Nedovoljno shvaćena problematika
Naime, u slučaju ozbiljnijeg cyber problema, napadači bi, naprimjer, mogli iskoristiti propuste u uređajima povezanim s industrijskim IoT-om kako bi hakirali kontrole za sigurnost hrane i time uzrokovali proizvodnju namirnica koje mogu izazvati masovno trovanje – naprimjer, neadekvatno obrađenog i zatrovanog mesa. Drugi primjer bio bi potencijalni napad na vodovodne sisteme kojim bi se zatrovala voda koju konzumiraju građani. To ne mora samo podrazumijevati napade na kritičnu infrastrukturu neke zemlje i organizacije koje je kontrolišu nego i na privatne kompanije koje plasiraju flaširanu vodu na tržište.

Kako to može funkcionisati, pokazuje jedan od pokušaja takvog napada koji se desio 2019. godine u Ellsworthu u Kansasu. Napadač je, naime, daljinski pristupio računaru koji kontroliše jedno od vodovodnih postrojenja u Post Rock Water Districtu kako bi ugasio sisteme za prečišćavanje i dezinfikovanje vode, čime ju je učinio nepitkom. To je bio bivši zaposlenik fabrike, Wyatt Travnichek, koji je ove godine i formalno optužen za pokušaj izazivanja masovnog trovanja. U cijeloj priči najbizarnije je to što je on bio u mogućnosti to uraditi jer kompanija nije blokirala njegove digitalne akreditive ni mjesecima nakon što je napustio posao. Čitava situacija je stoga mogla biti spriječena da je njegov bivši poslodavac slijedio osnovne procedure i principe cyber sigurnosti.

Najčešći sigurnosni propusti
Ono što odgovorni često ne shvataju, a niti mnogo razmišljaju tome, jeste činjenica da sigurnost koja je koncentrisana isključivo na opipljive stvari poput vrata i ograda nije i nikada neće biti sveobuhvatna sve dok se ne poradi i na zaštiti automatizacijske tehnologije. Jer, uz novo doba industrijskog interneta stvari, potrebno je više od običnog antivirusa i firewalla da bi cijeli pogon bio zaštićen od cyber napada. Međutim, mnogima to nije baš najjasnije, uprkos slučajevima poput napada Petya virusom, koji je, zarazivši više od 2.000 kompanija, u napad uključio i prehrambene kompanije poput proizvođača grickalica Mondelez iz Sjedinjenih Američkih Država i fabrike čokolade Cadbury u australskoj državi Tasmaniji. Sigurnosni stručnjaci navode nekoliko osnovnih sigurnosnih propusta zbog kojih je prehrambena industrija u svakodnevnoj opasnosti od cyber napada: zastarjeli firewalli, slabe sigurnosne konfiguracije, nesiguran udaljeni pristup, propusti u operativnom sistemu, nedostatak obuke zaposlenih u kompanijama te sigurnosne politike koje su pune mana ili, jednostavno rečeno – pogrešne.

Vrste napada
U skladu s prethodno spomenutim, primarni problem i prijetnju predstavljaju napadi kojima se ciljaju industrijski sistemi kojima se kontroliše proces proizvodnje, pakovanja i održavanja sigurnosti hrane. Danas se takvi napadi mogu provesti zlonamjernim softverom kojim je moguće izazvati zastoj u proizvodnji hrane kako bi se izazvale negativne društveno-ekonomske posljedice po ciljano društvo ili, još gore, izazvalo masovno trovanje stanovništva. Malwareom je moguće izmijeniti fabričku recepturu kako bi se stvorio toksičan proizvod. Ova vrsta napada predstavlja sve ozbiljniju prijetnju u sektoru zbog većeg oslanjanja fabrika u prehrambenoj industriji na automatizacijske sisteme za proizvodnju i skladištenje hrane.

Industrijski IoT uređaji koji se implementiraju u takve sisteme kako bi poboljšali analitiku i održavanje također su potencijalna tačka napada, budući da napadi mogu obuhvatiti sve nivoe kontrole proizvoda koji nastaje u fabrici. Dalje, prehrambena industrija je podložna hakerskim napadima kojima se ciljaju podaci korisnika i kupaca, budući da online prodaja hrane – naročito zahvaljujući pandemiji COVID-a 19 – postaje sve popularnija. To znači da proizvođači hrane sada počinju baratati i većim količinama korisničkih bankovnih i ličnih podataka, te stoga napadači često ciljaju ovu industriju s ciljem krađe bankovnih podataka kupaca.

Učestalost napada
Danas se manje-više ignoriše činjenica da se prehrambeni sektor nalazi na drugom mjestu po broju cyber napada, odmah poslije maloprodaje. Nešto manje od polovine svih ukupnih cyber napada otpada na maloprodaju, a na prehrambeni sektor četvrtina svih napada, navodi Trustware Global Security. Još kad se uzme u obzir da neke od najvećih kompanija u svijetu rade u oba sektora, onda bi i isprepletenost sektora, sistema i tehnologija zaista trebala dovesti do rasta zabrinutosti u ovoj oblasti. U takvim pokušajima napadači ubacuju malware u web-sajtove proizvođača ili vanjske web-sajtove koje oni koriste za online trgovinu kako bi ukrali podatke o bankovnim karticama. Također, iako sami proizvođači u prehrambenoj industriji najčešće ne čuvaju takve podatke, primijećen je trend hakiranja njihovih sistema u pokušaju da se ipak dočepaju tih podataka, čime se također mogu izazvati poremećaji u operacijama.

I konačno, ucjenjivački softver ili ransomware predstavlja još jednu rastuću prijetnju za proizvođače hrane. Pandemija koronavirusa je rezultirala velikim opterećenjem prehrambenih lanaca, budući da su mnogi ljudi zabrinuti za dostupnost hrane i određenih proizvoda usljed mogućnosti blokada i karantina. Zbog takve situacije na tržištu hakerska zajednica, a što se posebno odnosi na cyber napadače koje sponzorišu određene države, izuzetno je zainteresovana za napade na ovaj sektor zbog toga što oni mogu rezultirati ozbiljnim posljedicama. Naime, napad ucjenjivačkim softverom u ovoj oblasti može dovesti do krađe esencijalnih korporativnih podataka, kao i podataka o milionima korisnika. Proizvodnja se u tom slučaju obustavlja te dolazi do poremećaja u lancu snabdijevanja hranom. Usljed takve blokade proizvodnje može doći do isteka roka trajanja hrane u fabrikama, što može izazvati nesagledive gubitke te negativno utjecati i na poslovanje partnerskih kompanija.

Kako se zaštititi?
Prva i osnovna stvar koju svaka kompanija u prehrambenom sektoru treba uraditi jeste usvojiti stroge cyber sigurnosne standarde, na sličan način na koji se i HAACP-om kontroliše proizvodnja i sigurnost hrane. Proizvođači u ovoj industriji bi trebali implementirati procedure kojima će se na redovnoj bazi testirati njihovi sistemi na potencijalne hakerske napade. U skladu s time, potrebno je promijeniti kulturu svih radnika i unaprijediti je tako da zaštita kompanijskih sistema bude visoko na listi prioriteta svih zaposlenika, od nižih nivoa do najvišeg menadžmenta. To može biti od ključne važnosti, kao što pokazuje i primjer s početka teksta u kojem je bivši zaposlenik neovlašteno pristupio sistemima za prečišćavanje vode zahvaljujući tome što njegova kompanija ni nekoliko mjeseci nakon prestanka radnog odnosa nije blokirala njegove digitalne akreditive. Međutim, zahvaljujući tome što proizvođači hrane obično imaju manju zaradu u odnosu na druge biznise koji se bave proizvodnjom, njihovi IT sigurnosni timovi su obično manji te imaju manje finansijskih resursa i opreme na raspolaganju. Stoga su cloud rješenja najisplativija opcija u ovom sektoru.

Osim toga, proizvođači bi trebali biti stalno posvećeni certificiranju svojih sistema i procedura u skladu s najnovijim standardima, uključujući i redovne sigurnosne nadogradnje. Budući da bilo kakav poremećaj proizvodnog procesa može rezultirati milionskim gubicima, ali i plasiranjem otrovnih i pokvarenih proizvoda na tržište, proizvođači se moraju pobrinuti da se sve promjene na proizvodnim uređajima adekvatno prate i provjeravaju. Također, standardne sigurnosne prakse trebale bi podrazumijevati i redovno pravljenje sigurnosnih kopija svih bitnih podataka, uz čuvanje odvojenih verzija backupa, kako bi se izbjeglo kontaminiranje sigurnosnih kopija malwareom.

Manjak ozbiljnosti
Industrijski standardi generalno zahtijevaju zaštitu cijele industrijske tehnologije od hakerskih napada. No, u kontekstu hrane i pića ta problematika još nije dovoljno obrađena, iako tehnološki napredak ne izostaje u ovom segmentu. I dalje se veliki naglasak stavlja na opasnost od toga da do potrošača ne dođu proizvodi kontaminirani “tradicionalnim” načinima i, kako stvari stoje, izgleda da će tako i ostati još neko vrijeme, pogotovo što i dan-danas preovladava mišljenje da prehrambena industrija i nije u nekoj posebnoj opasnosti od cyber napada, te da, ukoliko do njega i dođe – novčana dobit po hakere neće biti nešto posebno velika. Međutim, ako imamo u vidu napad na kompaniju za preradu mesa JBS iz maja ove godine, kojim su blokirane brojne klaonice i fabrike u SAD-u, negativne posljedice protegle su se čak do australskog tržišta mesnih proizvoda. Napad je bio izveden pomoću ransomwarea, a JBS je na kraju hakerima morao platiti 11 miliona dolara u bitcoinu. Zaključak koji se nameće je jednostavan: promjene u ovoj industriji su neophodne.

Agroterorizam
Pored fabričke proizvodnje hrane, slična situacija se počinje javljati i u poljoprivredi, s obzirom na sve učestaliju primjenu savremenih naprednih tehnologija u procesu proizvodnje hrane. Oprema kojom barataju veliki poljoprivrednici uključuje postrojenja za naprednu obradu žitarica i druge hrane, RFID tagove za označavanje životinja, njihovo praćenje pomoću GPS-a, kao i informatičke sisteme za upravljanje operacijama i povećavanje profitabilnosti. Zbog toga je poljoprivredni sektor više nego ikada izložen cyber napadima, pri čemu poseban rizik dolazi od hakera aktivista, koji bi mogli, naprimjer, napasti velike stočarske kompanije s ciljem protesta protiv nehumanog tretiranja životinja. Cyber sigurnost je generalno nešto o čemu poljoprivrednici ranije nisu morali razmišljati, ali s upotrebom nove tehnologije dolazi i opasnost od napada. Recimo, analize američkih cyber stručnjaka pokazuju da se konkurentne zemlje žele cyber špijunažom dočepati tehnologije za genetsku modifikaciju biljaka i poboljšavanje njihovih sjemena. Također, dobro organizovani napad na poljoprivrednu mašineriju za obradu hrane može poremetiti izvoz žitarica i mesnih proizvoda. Međutim, većina stručnjaka slaže se da agroterorizam za sada ne predstavlja preveliku opasnost, mada je moralo doći do bržeg i boljeg implementiranja cyber sigurnosnih praksi radi blagovremene prevencije potencijalnih napada.