Okos legyen az épület vagy sem, a 21. században ez már nem kérdés. A létesítmények okosítása szükségszerűvé vált, mivel ezek az agilis, a változásokat észlelő és azokra gyorsan reagáló, alkalmazkodó környezetek - a begyűjtött adatok elemzése, illetve előre beállított határértékek alapján - optimalizálják az épületek üzemeltetését, ezzel csökkentik a költségeket, miközben növelik a fenntarthatóságot, és ideális esetben a biztonságot is. Az okosépületek a belső rendszereket - például a fűtést, a szellőztető és a légkondicionáló gépeket, az adathálózatokat és a vezérlőrendszereket, az energiafelügyeletet - azonban gyakran külső hálózatokkal kapcsolják össze a hatékonyabb, távoli monitorozáshoz, ami növeli sérülékenységüket és támadhatóságukat.
Az építtető tulajdonosok és az üzemeltetők hagyományosan olyan szempontok alapján választanak az okos képességeket adó technológiai megoldások közül, mint a funkcionalitás, a hatékonyság, a megbízhatóság, a minőség és nem utolsósorban az ár. Következő beruházásuk előkészítésekor azonban jól teszik, ha a kiberbiztonságot is a kiemelt üzleti követelmények közé sorolják - figyelmeztet friss tanulmányában (Cybersmart Buildings - Securing your investments in connectivity and automation, 2017. március) a Booz Allen Hamilton vezetői és technológiai tanácsadó cég, valamint a világ 150 országába okosváros-megoldásokat szállító Johnson Controls, amely az okosépületek kibervédelme terén az Egyesült Államok Belbiztonsági Minisztériumával is együttműködik.
Minthogy az okosépületeket működtető rendszerek és adataik távolról is elérhetők, hathatós kibervédelmük is mind nagyobb hozzáértést és körültekintést követel, hangsúlyozza a tanulmány. Ugyanazok a képességek - például a felhőben futó teljesítményanalitika vagy károsanyagkibocsátás-monitorozás -, amelyek okossá tesznek egy épületet, és érvényre juttatják előnyeit, egyúttal a lakók és bérlők fizikai és kiberbiztonságát, következésképp a tulajdonosok és az üzemeltetők üzleti eredményét is veszélyeztetik.
Valós fenyegetések
Az IT-biztonsági oktatással és tanúsítással foglalkozó SANS intézet felmérése (2016 State of Industrial Control System Security Survey) szerint a válaszadók 67 százaléka tapasztalja, hogy fokozódik az ipari vezérlőrendszerek (ICS-ek) kiberfenyegetettsége - ez az arány az egy évvel korábbi hasonló elemzésben még csupán 43 százalék volt. A kockázat szintjének gyors emelkedésében közrejátszik, hogy az okosépületek, amelyek
összetett környezetükben számos informatikai és más rendszert integrálnak, mind vonzóbb célponttá válnak a támadók szemében. A fűtés, a hűtés, az energiaellátás vagy a létesítmény fizikai védelmét szolgáló beléptető- és kamerarendszerek kikapcsolásával vagy beállításaik manipulálásával a kiberbűnözők ugyanis nagy anyagi kárt okozhatnak az épületet bérlő és üzemeltető vállalatoknak, de a kevésbé okos rendszereken keresztül az értékes üzleti adatokat kezelő informatikai környezethez is könnyebben hozzáférhetnek, információkat tulajdoníthatnak el, vagy leállíthatják a kritikus alkalmazásokat, szolgáltatásokat.
Nagyon is valóságosak ezek a kockázati forgatókönyvek, amit a közelmúlt nagy médiavisszhangot kiváltó biztonsági eseményei is igazolnak. Előfordult például, hogy hackerek egy légkondicionáló gépeket beszállító cég azonosítóit és fizetési rendszerének sérülékenységeit kihasználva loptak bankkártyaadatokat egy kiskereskedői lánc hálózatából. Más alkalommal IT-biztonsággal foglalkozó kutatók egy nagy internetszolgáltató nem frissített épületfelügyeleti rendszerébe behatolva rendszergazdai jogokat szereztek, így hozzáfértek a vezérlőpanelekhez is.
Utóbbi akció csupán demóként szolgált, azonban az eddigi legnagyobb elosztott szolgáltatásmegtagadás (DDoS) típusú támadás során, amely a Dyn tartománynév-rendszer (DNS-) szolgáltatót érte, hasonló dolog a valós életben is megtörtént. Az internetszolgáltatást Európa és Észak-Amerika nagy területein lebénító támadáshoz az elkövetők olyan, hálózatba kapcsolt eszközök - például IP-kamerák, digitálismédia-felvevők és nyomtatók - megfertőzésével építettek bothálózatot, amelyek nagy számban fordulnak elő az okosépületekben is.
Igen sérülékenyek a vendégeiknek ingyenes hálózati hozzáféréssel kedveskedő létesítmények is. Tapasztalta ezt az az ötcsillagos kínai szálloda is, amelyben egy - szerencsére etikus - hacker törte fel automatizált szobájának hálózatát, így több száz hasonló szobát tudott irányítása alá vonni. Egy négycsillagos osztrák szálloda viszont sorozatban több kibertámadásnak is áldozatul esett. A negyedik incidens alkalmával a szobaajtók nyitására szolgáló mágneskártyák rendszerét érte zsarolóvírus-támadás, ezért a recepció annak ellenére sem tudott kulcsokat programozni az érkező vendégek számára, hogy a váltságdíjat bitcoinban többször is kifizette a vezetés. Végül a hotel visszatért a több mint száz évvel ezelőtti alapítása óta használt hagyományos szobakulcsokhoz.
Alapoktól beépített biztonság
Nem szabad azonban ilyen könnyen feladniuk az okosépületek építtetőinek és üzemeltetőinek, mert a létesítmények eredményesen megvédhetők a fenyegetésekkel szemben, ha a kiberbiztonság követelményét a tervezéstől kezdve a fejlesztésen és bevezetésen át a működtetésig életciklusuk minden szakaszában kiemelten kezelik.
Minthogy az okosépületek kibervédelméhez nemcsak gazdasági, hanem nemzetbiztonsági és szélesebb társadalmi érdek is fűződik, a probléma megoldása számos országban a kormányhivatalokat is foglalkoztatja. A tanulmány szerzői az Egyesült Államok Belbiztonsági Minisztériuma által kidolgozott ajánlást (Unified Facilities Criteria) említik példaként, amely kitér a biztonság és a beruházási költség összefüggéseire is.
A kiberbiztonsági megoldások ugyan növelik a vezérlőrendszerek tervezési és bevezetési költségeit, de ha az építtetők nem foglalkoznak velük már a projekt kezdeti szakaszától, későbbi hozzáadásuk a kész tervekhez vagy a már installált rendszerekhez sokkal többe fog kerülni. Az épületüzemeltetés vezérlőrendszerei hagyomány szerint nem bírnak kibervédelmi képességekkel, ezek hozzáadására már a tervezés szakaszában külön gondot kell fordítani, hogy a biztonsággal együtt a költséghatékonyság is nőjön, érvel a minisztérium.
Le kell számolni a régi szemléletmóddal, amely a kiberbiztonsági beruházásokban pusztán költséghelyet, informatikai problémát vagy az elrettentést szolgáló taktikai lépést lát, fogalmaz a Booz Allen Hamilton és a Johnson Controls is. A kibervédelem az okosépületek köré épülő üzletet segítő fejlesztés. Ha jól alakították ki és hatékonyan működik, akkor a képesség birtokában az építtetők, a tulajdonosok, az üzemeltetők és a bérlők egyaránt kiaknázhatják a hálózatba kapcsolt létesítmények előnyeit.
Kiindulásképpen tanácsos ehhez kibervédelmi stratégiát kidolgozni, ennek mentén ugyanis az építtető vagy az üzemeltető magabiztosabban választhatja ki a megfelelő partnereket, irányuljon a beruházás új okosépület emelésére vagy már meglévő létesítmény biztonságának fokozására a meglévő rendszerek bővítésén keresztül. Mindez maga után vonja a problémák feltárását, a célok és a feladatok meghatározását, de a projekt minden szakaszában és lezárását követően is a kockázatkezelés szellemében kell eljárni, a kiberbiztonságot üzleti prioritásként kezelni, és a megfelelő képességeket ennek tükrében hozzáadni az okosépület teljes életciklusán át.
