Automaatiojärjestelmien tietoturvallisuus

Industrial control systems (ICS) have evolved significantly in the recent years and the number of connections between systems has increased. This development of devices and interfaces causes new security threats. Despite this, only few organizations have taken these matters into consideration. The ICS security lacks a common standard. Although the standardization of the ICS security is still very much at a development stage, there are standards that could be applied. However, the ICS security is often performed in compliance with IT security standards. In view of the differences between the nature of ICS and IT systems, this cannot be regarded as the best solution. This thesis evaluates the differences between ICS and IT systems. In addition, the thesis provides an overview of the most common current ICS security standards and the drafts of standards and regulations. The main objectives of the thesis are to develop document templates for ICS security policy and security program. As a result of the thesis, these templates were successfully developed. These templates illustrate the types of issues that can be covered through these security documents. At the more general level, these matters should also be considered when implementing the ICS security. Due to the fact that security requirements are strongly dependent on the target environment, these security templates should be customized to meet the desired requirements of the target environment.Automaatiojärjestelmät ovat kehittyneet paljon viime vuosina ja samalla järjestelmien väliset yhteydet ja verkottuminen on lisääntynyt. Tämä laitteiden ja liityntöjen kehitys on lisännyt järjestelmien tietoturvallisuuteen liittyviä uhkia. Tästä huolimatta vain osa organisaatioista on ottanut asian vakavasti. Automaatiojärjestelmien tietoturvallisuudelta puuttuu yleispätevä standardi Ja tietoturvallisuusstandardoinnin katsotaankin olevan vasta kehitysvaiheessa. Olemassa on kuitenkin jo joitakin käyttökelpoisia standardeja. Tästä huolimatta automaatiojärjestelmien tietoturvallisuus on usein toteutettu noudattaen jotakin IT -alan tietoturvallisuusstandardia. Tätä ei kuitenkaan voida pitää parhaana mahdollisena ratkaisuna automaatiojärjestelmien Ja IT-järjestelmien eroista johtuen. Tässä diplomityössä käydään läpi näiden järjestelmien toimintaperiaatteisiin ja tietoturvallisuuteen liittyvät suurimmat erot. Lisäksi luodaan katsaus nykyisiin ja valmistelussa oleviin automaatiojärjestelmien tietoturvallisuusstandardeihin ja määräyksiin. Tämän diplomityön tuloksena kehitettiin dokumenttipohjat automaatiojärjestelmien tietoturvallisuuspolitiikalle ja tietoturvallisuusohjelmalle. Työn tarkoituksena on antaa lukijalle kuva siitä mitä asioita näissä automaatiojärjestelmien tietoturvallisuuden kannalta tarpeellisissa dokumenteissa tulisi käsitellä ja mitä asioita tulisi huomioida, jotta automaatiojärjestelmä olisi tietoturvallinen. Tietoturvallisuusvaatimukset ovat vahvasti riippuvaisia käyttökohteesta, joten tässä työssä esitettyjä ratkaisuja tulee muokata vastaamaan käyttökohteen erityispiirteitä