Identiteetit, palveluliitokset ja AI muuttavat kyberturvallisuuden riskienhallintaa teollisuuden OT-verkoissa. Tästä syystä perinteinen Purdue-malli ei enää riitä. Miten tätä perinteistä viitekehystä olisi syytä päivittää, että se vastaisi tämän päivän vaatimuksia?
Aikaisemmissa blogeissani olen käsitellyt (“OT on myös osa IT:tä” “IT ja OT ovat yhtä turvakokonaisuutta”), miten OT-verkkojen suojauksessa ei voi yksistään luottaa perinteiseen Purdue-malliin. IT:n ja OT:n kyberturva pitäisi ajatella kokonaisuutena. Nyt uusien AI-kielimallien ja palveluliitosten myötä OT:n tietoturvaa ja Purdue-mallia täytyy ajatella jälleen uudella kulmalla. Kumppaneiden ja asiakkaiden kanssa käydyissä keskusteluissa on noussut esiin, että Purdue-malli vaatii päivitystä.
Purdue-mallia tarvitaan yhä
Hyvään OT:n kyberturvaan tarvitaan edelleen Purdue-mallia, joka kertoo meille, missä eri järjestelmät sijaitsevat ja miten niiden väliset verkkoyhteydet toimivat. Purdue erottaa fyysisesti IT- ja OT-verkot ja hallitsee laitteiden välisiä yhteyksiä. OT:ssa on edelleen pitkän elinkaaren laitteita ja järjestelmiä, joita hallitaan perinteisin tavoin ja joissa integraatiomahdollisuudet ovat rajallisia. OT-järjestelmät kuitenkin kehittyvät ja aivan kuten IT:ssä on jo tapahtunut hybridi onprem- ja pilvipohjaiset ratkaisut yleistyvät. AI tulee myös tehostamaan OT-ympäristöjen toimintaa, kuten se tekee jo IT:ssä. AI:n myötä tietoa tullaan keräämään keskitetysti tiedonhallintaan (data lake) ja sitä pureksitaan AI-agenttien avulla automaattisesti. Tiedon luomisen ja käsittelyn oikeuttamiseen käytämme identiteettejä. Myös integraatiot (yleensä API) järjestelmistä keskitettyyn data lakeen toimivat identiteettien autentisaation kautta. Perinteiset Purdue-mallin mukaiset verkot on rakennettu palomuurien ja virtuaaliverkkojen (VLAN:ien) avulla. Näin voidaan kontrolloida eri verkoissa olevien laitteiden välistä verkkoliikennettä, mutta ei esimerkiksi identiteettejä ja käyttöoikeuksia.
Siksi meidän täytyy päivittää Purdue-malli -ajattelua hybridimalliin, aivan kuten olemme tehneet jo IT:ssä. Purdueen tulee lisätä IT:stä tuttua Zero Trust -ajattelua pohjautuen luottamukseen sekä tuoda identiteettien hallintaan vahvempia ratkaisuja. Purdue-tasoilla 3-2-1-0 ollaan vielä monesti pakotettuja toimimaan perinteisen Purdue-mallin mukaisesti. Sen sijaan tasoilla 3-3,5-4-5 meidän tulee jo ottaa mukaan tehokkaampaa identiteettien hallintaa ja luottamukseen pohjautuvaa pääsynhallintaa. Mikäli hyökkääjä saa tason 5 kautta identiteettejä haltuun ja pääsee tason 4 koneille, hyökkääjällä on mahdollisuus edetä eri tekniikoilla tason 4 verkossa ja edetä tason 3,5 kautta varastetulla OT-hallintaidentiteetillä tasolle 3 ja siitä vaikuttaa aina tason 0 prosessiin saakka. Zero Trust -mallin ja tehokkaan identiteettien hallinnan avulla voimme tehdä useampia tarkistuspisteitä ja pysäyttää epäilyttävän toiminnan ajoissa.
Sitten kun AI yleistyy myös OT-järjestelmissä, tulee myös siitä aktiivinen toimija. Se ei vain lähetä dataa ylöspäin, vaan usein myös vastaanottaa mallipäivityksiä pilvestä, tulkitsee hälytyksiä ja vaikuttaa kunnossapitopäätöksiin. Se toimii useilla tasoilla yhtä aikaa ilman, että kukaan on suunnitellut sitä osaksi hierarkiaa. Tämä luotu luottamus järjestelmien välillä ilman tarkistuksia voi yllättää jonkin ajan jälkeen.
Purdue-mallista uusi hybridmalli
En ole kuullut kuitenkaan yhdenkään asiantuntijan ehdottavan Purdue-mallin hylkäämistä (esimerkiksi Antti Leimion blogi ”Miten ratkaista energiayhtiöiden infran viisi suurinta kyberriskiä?”). Sen sijaan täydennetään nykyistä mallia. Purdue-malli kertoo edelleen, missä järjestelmät sijaitsevat, mutta sen rinnalle tarvitaan kerros, joka selittää miten luottamus liikkuu. Käytännössä tämä tarkoittaa neljää asiaa:
- Identiteettipohjainen pääsynhallinta jokaisella tasolla ja tason sisällä eli ei vain tasojen välissä, vaan jokaisessa palveluliitoksessa ja jokaisessa AI-agentin yhteydessä.
- Jatkuva todennus, ei kertaluonteinen luottamus. Zero Trust -periaate: jokainen istunto vahvistetaan uudelleen, myös silloin kun molemmat päät ovat "samalla tasolla".
- Rajattu, määräaikainen pääsy jaetun ja ikuisen sijaan niin ihmisille kuin palvelutileille ja tekoälyagenteille.
- Ihminen päätöksentekijänä, tekoäly avustajana kriittisissä toiminnoissa: tekoäly voi suositella, mutta suoraa toimintavaltaa kriittisiin ohjausjärjestelmiin ei vielä anneta ilman validointia ja selkeitä rajoja.
Periaatekuva ”purdue-hybrid” -mallista, jossa perinteisen palomuureilla tehdyn verkkojen segmentoinnin lisäksi huomioidaan laitteiden ja identiteettien luottamuksellisuutta sekä AI-agenttien myötä tulevien palveluliitosten turvallisuus osana OT-verkon kyberturvaa.
NIS2 ja miten Loihde voi auttaa
Organisaatioiden on myös huomioitava NIS2-vaatimukset. Huomaa, että NIS2 erottaa segmentoinnin ja pääsynhallinnan toisistaan, ne ovat kaksi eri asiaa.
- Verkkoon kytkettyjen laitteiden asset-hallinta ja dokumentointi
- Verkkojen segmentointi ja dokumentointi (Purdue-malli)
- Pääsyn ja identiteettien hallinta ja dokumentointi
- Verkkoliikenteen monitorointi
- Lokien keräys
- Uhkien havainnointi ja niihin reagointi
Loihteen palvelut ja asiantuntijat pystyvät auttamaan organisaatioita vastaamaan moderneihin kyberriskeihin niin IT:ssä kuin myös OT:ssa. Meiltä löytyy ratkaisut Purdue-mallin mukaisten verkkojen luomiseen (NOC 24/7), kyberturvan tehokkaaseen valvontaan ja reagointiin (CSOC 24/7), identiteettien hallintaan (IAM- ja PAM-ratkaisut), pilven ja AI-agenttien tietoturvan kehitys sekä hallinnollisen tietoturvan kehitys ja tarpeiden kartoitus.
Mitä tästä pitäisi jäädä käteen?
Purdue-mallin segmentointikaavio ei kerro, kuka saa puhua kenelle. Se on ollut totta jo ennen tekoälyä palveluliitosten ja jaettujen tunnusten kohdalla. Tekoäly tekee kuitenkin ongelmasta akuutimman, koska agentti ei vain käytä jaettua tunnusta, vaan voi itsenäisesti päättää mihin se seuraavaksi ottaa yhteyttä.
Käytännön ensiaskel ei ole verkkodiagrammin piirtäminen uudelleen, vaan identiteetti- ja luottamussuhteiden kartoittaminen: mitkä palvelut, tunnukset ja agentit ylittävät tasoja, kuinka usein ja millä valtuuksilla. On myös tärkeää määritellä, onko jokainen yhteys jonkun tietoisesti hyväksymä vai onko yhteyksiä syntynyt huomaamatta yksittäisten, erikseen järkevän tuntuisten päätösten seurauksena.
Lähteet:
Kävin tämän blogiajatuksen kanssa keskustelua AI:n kanssa. Maailmalta löytyi hyviä artikkeleja, joita olen käyttänyt myös pohjana: Industrial Cyber sivuston artikkelit “How AI is quietly rewiring Purdue Model, forcing industrial defenders to rethink trust across operational environments”, “CISA and partners release agentic AI security guidance to protect critical infrastructure, outline mitigation action” ja “CISA, US and International Partners Release Guide to Secure Adoption of Agentic AI”.
Blogin kirjoittaja
