نظام الأسكادا

SCADA system

نظام الأسكادا

Scada

وهي اختصار ل Supervisory control and data aquisition

Supervisory control and data aquisition

هو نظام للتحكم والمراقبة و الاشراف ويستخدم غالبا في المشاريع الضخمة فقط , في سبب إرتفاع التكاليف في هذا النظام , و يستخدم في محطات التوليد و حقول البترول حيث في مثل هذه المشاريع تحتاج الى التحكم في مجموعة كبيرة جدا جدا من العناصر ( valves,pumps,motors,switches,actuators ) أو التحكم في اي شيء في المنظومة .

لهذا النظام كبير جدا , لا يمكنك التحكم فيه عن طريق plc مثلا فقط و في نفس الوقت , تحتاج الى مراقبة الوضع الحالي إلى جميع عناصر النظام , لكي تتمكن من إتخاذ قرار معين في فتح صمام مثلا , إذا أن scada هو نظام يقوم في التحكم عن طريق وحدات تحكم تسمى RTU (remote terminal uint ) قد تكون plc وهذه الوحدات متصلة جميعا في غرفة أو وحدة تحكم رئيسية تسمى HMI (human machine interface ) , وهي الوصلة ما بين العامل والنظام في الكامل , لكي يتمكن من مراقبة النظام والتحكم فيه ايضا الجدير في الذكر أن scada هو احد فروع instrumentation اذن Scada يشير الى النظام في جمع البيانات , من مختلف أجهزة الإستشعار في احد المصانع أو المنشآت أو في الأماكن البعيدة و بعد ذلك ترسل هذه البيانات الى الكمبيوتر (الكمبيوتر المركزي) , ثم يقوم هذا الكمبيوتر في السيطرة على البيانات و هو المصطلح الذي يستخدم على نطاق واسع , من أجل تصوير و مراقبة و إدارة الحلول في مجموعة واسعة من الصناعات , بعض من الصناعات التي تستخدم scada هي نظم ادارة المياه , الطاقة الكهربائية , إشارات المرور , وشبكات النقل الجماعي , ونظم التحكم البيئي و نظم الصناعات التحويليه.

.و يشمل عادة على إشارة الاجهزة (المدخلات والمخرجات) وحدات التحكم و الشبكات

واجهة المستخدم (hmi) ، و معدات الاتصالات والبرمجيات الى جانب كل ذلك ، فان مصطلح يشير الى scada كامل في النظام المركزي , و النظام المركزي عادة يرصد البيانات من مختلف اجهزة الاستشعار ,التي اما ان تكون على مقربة من الموقع او خارج الموقع (في بعض الأحيان ميلا).

في النسبة إلى الجزء الأكبر من أدمغه أ scada النظام التي تقوم بها وحدات طرفية نائية (يشار اليها احيانا كما rtu). بعد المحطة تتكون من وحدات في البرمجة منطق التحويل , وقد rtu عادة مجموعة إلى إحتياجات محددة ، غير ان معظم rtu تتيح التدخل البشري ، على سبيل المثال ، وضع في مصنع ، rtu يمكن السيطرة على وضع حامل الحزام ، وسرعة يمكن ان تغيير او تجاوز النظام في اي وقت , عن طريق التدخل البشري , و في الإضافة الى ذلك , أي تغييرات او اخطاء وعادة ما تكون تلقائيا من أجل التسجيل و التقديم , و في معظم الأحيان ، scada نظام رصد وجعل التغييرات الطفيفه على وظيفة في الطريقة المثلى ؛ scada نظم تعتبر حلقة مغلقة مع نظم تشغيل و سوى قدر ضئيل نسبيا , من التدخل البشري.

واحدة من العمليات الرئيسية فيscada هو القدرة على رصد نظام كامل في الوقت الحقيقي , و هذا مما يسهل عمليات الشراء , بما فيها البيانات متر القراءة , والتحقق من أجهزة الإستشعار المنزلية ، و ما ان يتم على فترات منتظمة و فقا لهذا النظام , وفي الاضافة الى البيانات التي تستخدمها rtu ، كما أنه معروض على أن الانسان قادر على التفاعل مع نظام يعلو على اعدادات او اجراء تغييرات عند الضروره.

Scada يمكن اعتبار النظام مع العديد من عناصر البيانات التي دعت نقطة , عادة هو كل نقطة رصد أو جهاز الإستشعار , وعادة ما يمكن أن يكون اما النقاط الصعبة أو لينة , ( أ ) بيانات موثقة و يمكن ان تكون نقطة المراقبة الفعليه , و سير النقطة يمكن ان ينظر اليه على تطبيق البرامج او حساب بيانات العناصر الماديه وغير الماديه , من النقاط التي عادة ما تسجل دائما من اجل إنشاء وتسجيل الوقت الذي ختم التاريخ او واجهة المستخدم (hmi)

أ scada و يشمل النظام واجهة المستخدم ، عادة ما يسمى الانسان الآله واجهة (hmi). وقد hmi من scada النظام حيث يتم معالجة البيانات وعرضها على أن ينظر اليها من قبل ورصد حقوق المشغل , و يشمل هذا التفاعل في العادة ضوابط , حيث يمكن إلى الفرد ان يتفاعل مع نظام scada.

Hmi التي هي طريقة سهلة في وضع معايير موحدة من أجل تسهيل رصد متعددة rtu أو دوائر التحكم (التحكم في المنطقيه المبرمجة). Rtu عادة أو دوائر التحكم سيتم تشغيل عملية مبرمجة مسبقا ، و لكنها رصد إلى كل منها على حدة يمكن أن يكون صعبا , لأنها عادة موزعة على النظام. Rtu ولأن دوائر التحكم من الناحية التاريخية لم يكن طريقة قياسيه في عرض البيانات او في هذا المشغل ، scada نظام يتصل مع دوائر التحكم في جميع أنحاء منظومة شبكة المعلومات والعمليات التي قام النظام فيها في نشرها بسهولة , من قبل hmi.

Hmi 's ويمكن ايضا ربط قاعدة البيانات ، و يمكن استخدام البيانات التى تم جمعها من دوائر التحكم

أو rtu من اجل تزويد رسوم بيانية عن الاتجاهات ، والمعلومات عن السوق ، و مخططات الدوائر الكهربائية او الميكانيكية إلى أجهزة الإستشعار الخاصة او آلة أو حتى تقديم أدلة يمكن الوصول اليها من أجل إستكشاف الاخطاء و اصلاح هذه الأخطاء , في العقد الأخير ، من الناحية العملية تشمل جميع scada نظم متكاملة hmi ودوائر التحكم من أجل الغاية مما يجعلها أداة سهلة من أجل إدارة و مراقبة نظام scada.

Scada مكونات اجهزة الحاسب الآلي والبرمجيات

Scada وتمثل هذه النظم في طريقة مفيدة إلى الغاية من أجل إدارة و مراقبة العمليات , وهي كبيرة في النسبة إلى التطبيقات الصغيرة , مثل التحكم في المناخ , أو يمكن استخدام النظام في فعالية كبيرة في تطبيقات مثل رصد ومراقبة محطة طاقة نوويه او نظام النقل الجماعي.

Scada لا يمكن ان يتحقق في غير مصادر مفتوحة و البروتوكولات الخاصة في الملكية , أصغر نظام و في أسعار معقولة إلى الغاية , و يمكن أن تكون إما شراء نظام كامل , أو يمكن أن تكون مختلطة , و تقابل مع عناصر محددة , نظم كبيرة يمكن ايضا ان تنشأ مع عناصر من الجرف, Scada برنامج النظام يمكن أيضا أن يكون من السهل التكوين من أجل اي طلب ، و بذلك تلغى الحاجة الى تطوير البرمجيات.

* التحديات و المشاكل في نظام الأسكادا

دمج التكنولوجيا SCADA إن شبكات الشركات مترابطة للغاية و

وقد رافق الانترنت من قبل الوعي الذي تحتاج هذه النظم إلى تأمينها بشكل أفضل.

واحدى الطرق للقيام بذلك هي من خلال إدارة التصحيح الفعالة.

وكانت إدارة التصحيح بالفعل تعرف إلى حد كبير في مجال تكنولوجيا المعلومات ولكن عملية ما يسمى في ترقيع الأنظمة * وتعقد النظم والعمليات المختلفة , وهذه لمحة عن أهم التحديات و المشاكل التي تواجه نظام الأسكادا

-----------------------

التحديات الإجرائية:

الحدود المناسبة لاتفاقية الخدمة - ينبغي تحديد بين البائع

والعميل , ويمكن القيام في ذلك في عقد خدمات إدارة التصحيح أو بعض

اتفاقية الخدمة إلى الآخرين , و المسؤوليات في حالة الفشل يجب أن تكون محددة بوضوح , على

سبيل المثال , على الرغم من أن البائع سوف يقوم في اختبار دقيق على بيئة معملية , ولا يمكن ضمان أن هذا التصحيح أو الإختبار لن يكسر وظائف النظام عند وضعه على بيئة الإنتاج لدى العملاء ، وخصوصا عندما بائع ليس قادر على اختبار التصحيح في النظام لدى العملاء , ومع ذلك حتى لو تم اختبار التصحيح على نظام مماثل مستعمل من قبل العميل فإنه لا يزال من الصعب تحديد الطرف المسؤول مرة واحدة عن التصحيح الفعال في النظام و ربما يكسر او يفشل النظام .

-----------------------

وجود الثغرات الامنة :

وجود ثغرات أمنية مع استخدام تكنولوجيا المعلومات الكلاسيكية طريقة التهديف

CVSS

(ضعف عام في نظام تسجيل النقاط)

. قد لا تكون هذه تحززات مناسبة لأنظمة التحكم مثل

SCADA. توصي ICS-CERT أن أصحاب أنظمة التحكم ومشغلي تخصيص ، ولكن هذا يمكن أن يؤدي إلى أطراف مختلفة باستخدامات مختلفة

تحززات. وعلاوة على ذلك، فإن بعض الخبراء يذكر أن التقارير تعرض ICS-CERT ليس

معالجة القضية الأساسية - "أن أخطر نقاط الضعف في أنظمة التحكم

هي ميزات التصميم المتعمدة و المعقدة , وليس الخلل في النظام نفسه .

في اشارة الى ميزات التصميم في نظام الأسكادا مثل نظام الأسكادا الافتراضي

ووثائق التفويض وعدم وجود التشفير , وثمة مسألة أخرى مع تقارير الضعف أحيانا

تشمل استغلال رمز , أو معلومات حول كيفية جعل استغلال هذا النظام في المكان الصحيح , و إلا سوف يكون النظام عرضة للمهاجمين مما قد يعتبر أن النظام غير مؤمن أو غير محمي .

عملية التصحيح السرية هي الفترة الزمنية الأكثر أهمية لأي ثغرة أمنية

و هي الفترة التي يمكن للمهاجمين المحتملين في وقت تصحيح الثغرات الامنية لنظام

ما يسمح للمهاجم إستخدام مفهوم الهندسة العكسية لإحداث ضعف في النظام .

هناك بعض التقنيات لحل هذه المشكلات على أنظمة تكنولوجيا المعلومات ، ولكن من غير الواضح ما اذا كان يمكن أن تكون مباشرة ترجم إلى الإعداد SCADA. الضوابط التعويضية (على سبيل المثال: تطبيق

ويمكن استخدام هيتليستينغ وكشف التسلل) للحد من المخاطر ,من خلال نافذة أو بوابة إكتشاف الضعف من خلال نفس القناة. .

ولذلك ينبغي للمنظمة الحفاظ على العلاقات مع جميع الموردين المعنيين لأنظمتها. يمكن أن تختلف هذه العلاقات , من المكالمات الأسبوعية أو الشهرية لاشتراكات فقط لقائمة إعلانات البائع الأمنية . بدون إدارة التصحيح المنظمة التي تقدم الخدمة غالبا ماتكون غير مدركة إلى نقاط الضعف الموجودة في النظام .

-----------------------

التحديات و المشاكل التي تواجه نظام الإسكادا من فئة المشاكل و التحديات من الدرجة الثانية

- الحزم الكبيرة من البيانات والتي تكون أكثر من 2 غيغا بايت والتي يمكن أن تكون ضمن المنظمة أو بين المنظمة و العملاء هناك طرق مختلفة للقيام بذلك (وسائل الإعلام مثل DVD، وبوابات الإنترنت مع التحكم في الوصول للعملاء، وتأمين نقل الملفات تطبيقات الخ) ولكن لا يوجد توجيه موحد. ويفضل أن يكون التصحيح مخصص يستخدم نظام إدارة للحصول على تطبيق تصحيحات البرامج. يوجد ولكن عدد قليل جدا من حلول نشر التصحيح الآلي لأنظمة SCADA

و نظام الإدارة أيضا فيه مخاطر كبيرة , أن نظام الإدارة يمكن أن يكون ضعيف أو يكون نظام الإدارة به خلل , يتسبب في هجوم الناقلات المركزية إلى الأنظمة الصناعية , و وضع الحماية الكافية من التصحيح في هذا النظام أمر في غاية الأهمية , لأن نظم الإدارة من الأمور بالغة ألاهمية .

* فترات نشر التصحيح

التي يتم فيها دمج أنظمة SCADA ولأن الأنظمة غالبا ما تحتاج إلى أن تكون

قابلة للتشغيل في أي لحظة , وعلاوة على ذلك تحتاج إلى مناطق لفحصها جيدا , ويمكن تطبيقها على بيئة الإنتاج , والتي يمكن يستغرق عدة أيام أو حتى أسابيع , و خلال

هذه الفترة يكون النظام عرضة للخطر, و من الناحية الفنية هناك ضوابط بديلة ينبغي أن تستخدم خلال نافذة التعرض للوقاية من أي ضعف يمكن استغلاله , على سبيل المثال , عندما خادم ويب

قد اكتشف نقطة ضعف في النظام الضعف هنا يمكن للمنظمة , إن أمكن, وقف كتلة حركة المرور غير المرغوب فيه إلى خادم الويب أو تعطيل الخادم إذا كان ذلك ممكنا, و بعض المنظمات تعتمد على

البائع للنظام من أجل رأب الصدع في النظام .

* مشكلة تغيير أو إستبدال النظام

و هناك مشكلة كبرى للعميل , وهو في حال توقف البائع أو مزود النظام عن تقديم الخدمة , قد يجبر هنا العميل على إستبدال النظام ,

وسوف تكون هذه العملية مكلفة جدا على العميل .

على سبيل المثال

شركة مايكروسوفت سوف تنتهي دعم نظام ويندوز XP

في عام 2014 وهو ما يعني أنه على الرغم من أنه

قد تكتشف نقاط الضعف و يتم تطوير أي مناطق جديدة في النظام

على نظام التشغيل XP

و تطوير التطبيقات على هذا النظام , و تقوم عندها شركة مايكروسوفت و هي المصدر الأساسي لنظام التشغيل XP

عن وقف دعم الحزم في هذا النظام , هنا سوف يجبر العميل على تغيير نظام التشغيل ومعه نظام SCADA

* التحديات و المشاكل القانونية

نظام الأسكادا منتشر في جميع أنحاء العالم , هنا قد يواجه البائع أو مزود الخدمة للنظام , بعض المسائل القانونية الناشئة عن النظم الجمركية من بلد إلى آخر .

و هذا قد يوثر على تقديم خدمة التصحيح للنظام و القدرة على تقديم البرامج في البلدان المعنية , هذا يعني أن البائع أو مزود الخدمة إلى أحد العملاء في بلد آخر يواجه صعوبة بالغة في هذه الناحية .

كما أن إستخدام البرمجيات المفتوحة المصدر دون أي سند قانوني كما في دول الإتحاد الاوروبي , سوف يعيق البائع أو مزود النظام عن تقديم الخدمة إلى العميل في دول الإتحاد الأوروبي .

*******************************

* مكونات أنظمة SCADA ...

- مفتاح مكونات ICS في نظام SCADA

لدعم مناقشات لاحقة، ويعرف هذا القسم مكونات ICS الرئيسية التي تستخدم في السيطرة و الشبكات. بعض من هذه المكونات يمكن وصفها بشكل عام للاستخدام في كل من أنظمة SCADA، DCSs والشركات المحدودة العامة، والبعض الآخر هي فريدة من نوعها إلى واحد.

و تشمل مكونات نظام التحكم و السيطرة على قائمة مفصلة من مكونات التحكم والتواصل.

بالإضافة إلى ذلك، و تشمل هذه المكونات.

1- مكونات التحكم

وفيما يلي قائمة من مكونات التحكم الرئيسية لICS:

خادم السيطرة. خادم السيطرة يستضيف DCS أو PLC برنامج التحكم الإشرافي وهذا هو تهدف إلى التواصل مع أجهزة التحكم في المستوى الأدنى. بالوصول إلى خادم السيطرة وحدات التحكم التابعة عبر شبكة ICS.

خادم SCADA أو وحدة محطة ماستر (MTU). خادم SCADA هو الجهاز الذي يعمل كما الربان في نظام SCADA. الوحدات الطرفية عن بعد وأجهزة PLC (كما هو موضح أدناه) تقع في مواقع الميدانية النائية عادة بمثابة المواقع الطرفية البعيدة.

الوحدة الطرفية البعيدة (RTU). وRTU، وتسمى أيضا وحدة القياس عن بعد، هو لأغراض خاصة الحصول على البيانات وحدة التحكم المصممة لدعم محطات التحكم عن بعد SCADA. RTUs هي المجال مجهزة الأجهزة في كثير من الأحيان مع واجهات الراديو اللاسلكية لدعم حالات النائية حيث wirebased الاتصالات غير متوفرة.

أحيانا وتنفذ الشركات المحدودة العامة كأجهزة ميدانية لخدمة كما RTUs.

في هذه الحالة، وغالبا ما يشار إلى PLC لأنها RTU.

برمجة المنطق المراقب المالي (PLC). هو جهاز كمبيوتر صغير الصناعي أصلا

مصممة لأداء وظائف المنطق التي تنفذها الأجهزة الكهربائية (ناقلات، مفاتيح الطبل، والميكانيكية الموقت / عدادات). وقد تطورت الشركات المحدودة العامة إلى وحدات تحكم لديها القدرة على السيطرة على العمليات المعقدة، وأنها تستخدم بشكل كبير في أنظمة SCADA وDCSs.

وحدات التحكم الأخرى المستخدمة على المستوى الميداني وحدات تحكم عملية وRTUs.

أنها توفر نفسه السيطرة كما الشركات المحدودة العامة ولكنها مصممة لتطبيقات التحكم محددة. في بيئات SCADA، وغالبا ما تستخدم الشركات المحدودة العامة كأجهزة المجال لأنها أكثر اقتصادا، وتنوعا، ومرنة، و شكلي من الأغراض الخاصة RTUs.

الأجهزة الإلكترونية الذكية (IED). عبوة ناسفة هو "الذكية" الاستشعار / المحرك الذي يحتوي على المخابرة او المكالمات المطلوب للحصول على البيانات، والتواصل مع الأجهزة الأخرى، وأداء التجهيز المحلي والسيطرة.

العبوة الموزعة يمكن الجمع بين جهاز استشعار مدخلات تناظرية، خرج التناظرية، والسيطرة على مستوى منخفض القدرات، ونظام الاتصالات، وذاكرة البرنامج في جهاز واحد. استخدام العبوات الناسفة في SCADA وأنظمة DCS يسمح للتحكم الآلي على المستوى المحلي.

واجهة الإنسان والآلة (HMI). وHMI هي البرامج والأجهزة التي تسمح الإنسان المشغلين لرصد حالة عملية تحت السيطرة، وتعديل إعدادات التحكم لتغيير السيطرة على الهدف، وتجاوز عمليات التحكم الآلي يدويا في حالة وقوع في حالات الطوارئ. وHMI أيضا يسمح للمهندس مراقبة أو مشغل لتكوين مجموعة نقاط أو السيطرة الخوارزميات والمعلمات في وحدة تحكم. كما يعرض HMI معلومات الحالة العملية، المعلومات التاريخية، والتقارير، وغيرها من المعلومات لمشغلي والإداريين، والمديرين،شركاء الأعمال، والمستخدمين المخولين الآخرين. قد تختلف الموقع، منصة، واجهة لصفقة كبيرة. على سبيل المثال، يمكن للHMI تكون منصة متخصصة في مركز التحكم، جهاز كمبيوتر محمول على شبكة محلية لاسلكية، أو متصفح على أي نظام متصلة بشبكة الإنترنت.

مؤرخ البيانات. مؤرخ البيانات قاعدة بيانات مركزية لتسجيل جميع المعلومات العملية ضمن ICS.

يمكن الوصول إلى المعلومات المخزنة في قاعدة البيانات هذه لدعم تحليلات مختلفة، من مراقبة العملية الإحصائية في التخطيط مستوى المؤسسة.

الإدخال / الإخراج (IO) الخادم. خادم IO هو عنصر تحكم المسؤولة عن جمع،

التخزين المؤقت وتوفير سبل الوصول إلى معالجة المعلومات الواردة من السيطرة مكونات فرعية مثل الشركات المحدودة العامة، RTUs والعبوات الناسفة. يمكن أن يقيم خادم IO على خادم السيطرة أو على كمبيوتر منفصل منصة. وتستخدم أيضا خوادم IO للتفاعل مكونات التحكم طرف ثالث، مثل HMI

وخادم السيطرة.

2 - مكونات الشبكة

هناك خصائص شبكة مختلفة لكل طبقة ضمن التسلسل الهرمي نظام التحكم.

شبكة طبولوجيا عبر تطبيقات ICS مختلفة تختلف باختلاف النظم الحديثة باستخدام تكنولوجيا المعلومات على الإنترنت و استراتيجيات التكامل المؤسسة. وقد اندمجت شبكات التحكم مع شبكات الشركات للسماح لل المهندسين لمراقبة وأنظمة التحكم من خارج شبكة نظام التحكم.

الاتصال قد تسمح أيضا صناع القرار على مستوى المؤسسة للحصول على الوصول إلى البيانات العملية. وفيما يلي قائمة المكونات الرئيسية لشبكة ICS، بغض النظر عن بنى الشبكات في الاستخدام:

شبكة ناقل المجال. وتربط شبكة ناقل المجال وأجهزة الاستشعار وغيرها من الأجهزة إلى PLC أو غيرها وحدة التحكم.

استخدام التكنولوجيات ناقل المجال يلغي الحاجة إلى الأسلاك من نقطة إلى نقطة بين تحكم وكل جهاز.

أجهزة الاستشعار التواصل مع وحدة تحكم ناقل المجال باستخدام محددة البروتوكول.

الرسائل المرسلة بين أجهزة الاستشعار وحدة تحكم تحديد فريد كل من أجهزة الاستشعار.

شبكة التحكم. شبكة مراقبة يربط مستوى التحكم الإشرافي إلى المستوى الأدنى وحدات التحكم.

الاتصالات الموجهات. جهاز التوجيه هو جهاز الاتصالات التي تنقل الرسائل

بين شبكتين. وتشمل الاستخدامات الشائعة لأجهزة التوجيه ربط LAN إلى WAN، و ربط MTUs وRTUs إلى وسيلة شبكة لمسافات طويلة للاتصال CADA.

جدار الحماية. جدار ناري يحمي الأجهزة على الشبكة عن طريق رصد ومراقبة الاتصالات الحزم باستخدام سياسات التصفية المحددة مسبقا. الجدران النارية مفيدة أيضا في إدارة شبكة ICS استراتيجيات التفرقة.

أجهزة المودم. مودم هو جهاز يستخدم لتحويل بين التسلسلي البيانات الرقمية وإشارة مناسبة للانتقال عبر خط الهاتف للسماح للأجهزة للاتصال. وغالبا ما تستخدم أجهزة المودم في أنظمة SCADA لتمكين لمسافات طويلة الاتصالات التسلسلية بين MTUs وعن بعد أجهزة المجال.

كما أنها تستخدم في كل من أنظمة SCADA، DCSs والشركات المحدودة العامة من أجل الحصول على جهاز التحكم عن بعد وصول وظائف تشغيلية مثل دخول الأوامر أو تعديل المعلمات، و أغراض التشخيص.

نقاط الوصول البعيد. نقاط الوصول عن بعد هي الأجهزة، مجالات متميزة ومواقع لشبكة مراقبة لتكوين عن بعد أنظمة التحكم والوصول إلى البيانات العملية. أمثلة تشمل استخدام المساعد الرقمي الشخصي (PDA) للوصول إلى البيانات عبر شبكة محلية لاسلكية من خلال نقطة وصول، وباستخدام اتصال محمول ومودم للوصول إلى نظام ICS عن بعد.

*******************************

* التحديات و المشاكل في نظام الأسكادا

دمج التكنولوجيا SCADA إن شبكات الشركات مترابطة للغاية و

وقد رافق الانترنت من قبل الوعي الذي تحتاج هذه النظم إلى تأمينها بشكل أفضل.

واحدى الطرق للقيام بذلك هي من خلال إدارة التصحيح الفعالة.

وكانت إدارة التصحيح بالفعل تعرف إلى حد كبير في مجال تكنولوجيا المعلومات ولكن عملية ما يسمى في ترقيع الأنظمة

* وتعقد النظم والعمليات المختلفة , وهذه لمحة عن أهم التحديات و المشاكل التي تواجه نظام الأسكادا

-----------------------

التحديات الإجرائية:

الحدود المناسبة لاتفاقية الخدمة - ينبغي تحديد بين البائع

والعميل , ويمكن القيام في ذلك في عقد خدمات إدارة التصحيح أو بعض

اتفاقية الخدمة إلى الآخرين , و المسؤوليات في حالة الفشل يجب أن تكون محددة بوضوح , على

سبيل المثال , على الرغم من أن البائع سوف يقوم في اختبار دقيق على بيئة معملية ,

ولا يمكن ضمان أن هذا التصحيح أو الإختبار لن يكسر وظائف النظام عند وضعه على

بيئة الإنتاج لدى العملاء ، وخصوصا عندما بائع ليس قادر على اختبار التصحيح في

النظام لدى العملاء , ومع ذلك حتى لو تم اختبار التصحيح على نظام مماثل

مستعمل من قبل العميل فإنه لا يزال من الصعب تحديد الطرف المسؤول مرة واحدة عن التصحيح الفعال في النظام و ربما

يكسر او يفشل النظام .

-----------------------

وجود الثغرات الامنة :

وجود ثغرات أمنية مع استخدام تكنولوجيا المعلومات الكلاسيكية طريقة التهديف

CVSS (ضعف عام في نظام تسجيل النقاط) قد لا تكون هذه تحززات مناسبة لأنظمة التحكم مثل

SCADA توصي ICS-CERT أن أصحاب أنظمة التحكم ومشغلي تخصيص.

، و لكن هذا يمكن أن يؤدي إلى أطراف مختلفة و باستخدامات مختلفة تحززات. وعلاوة على ذلك، فإن بعض الخبراء يذكر أن التقارير تعرض ICS-CERT ليس معالجة القضية الأساسية - "أن أخطر نقاط الضعف في أنظمة التحكم هي ميزات التصميم المتعمدة و المعقدة , وليس الخلل في النظام نفسه .

في اشارة الى ميزات التصميم في نظام الأسكادا مثل نظام الأسكادا الافتراضي ووثائق التفويض وعدم وجود التشفير , وثمة مسألة أخرى مع تقارير الضعف أحيانا تشمل استغلال رمز , أو معلومات حول كيفية جعل استغلال هذا النظام في المكان الصحيح , و إلا سوف يكون النظام عرضة للمهاجمين مما قد يعتبر أن النظام غير مؤمن أو غير محمي .

عملية التصحيح السرية هي الفترة الزمنية الأكثر أهمية لأي ثغرة أمنية و هي الفترة التي يمكن للمهاجمين المحتملين في وقت تصحيح الثغرات الامنية لنظام ما يسمح للمهاجم إستخدام مفهوم الهندسة العكسية لإحداث ضعف في النظام .

هناك بعض التقنيات لحل هذه المشكلات على أنظمة تكنولوجيا المعلومات ، ولكن من غير الواضح ما اذا كان يمكن أن تكون مباشرة ترجم إلى الإعداد SCADA الضوابط التعويضية (على سبيل المثال: تطبيق

ويمكن استخدام هيتليستينغ وكشف التسلل) للحد من المخاطر ,من خلال نافذة أو بوابة إكتشاف الضعف من خلال نفس القناة.

ولذلك ينبغي للمنظمة الحفاظ على العلاقات مع جميع الموردين المعنيين لأنظمتها. يمكن أن تختلف هذه العلاقات , من المكالمات الأسبوعية أو الشهرية لاشتراكات فقط لقائمة إعلانات البائع الأمنية . بدون إدارة التصحيح المنظمة التي تقدم الخدمة غالبا ماتكون غير مدركة إلى نقاط الضعف الموجودة في النظام .

-----------------------

التحديات و المشاكل التي تواجه نظام الإسكادا من فئة المشاكل و التحديات من الدرجة الثانية

- الحزم الكبيرة من البيانات والتي تكون أكثر من 2 غيغا بايت والتي يمكن أن تكون ضمن المنظمة أو بين المنظمة و العملاء هناك طرق مختلفة للقيام بذلك (وسائل الإعلام مثل DVD، وبوابات الإنترنت مع التحكم في الوصول للعملاء، وتأمين نقل الملفات تطبيقات الخ) ولكن لا يوجد توجيه موحد. ويفضل أن يكون التصحيح مخصص يستخدم نظام إدارة للحصول على تطبيق تصحيحات البرامج.

يوجد ولكن عدد قليل جدا من الحلول نشر التصحيح الآلي لأنظمة SCADA والتصحيح يمكن نظام إدارة أيضا إدخال مخاطر كبيرة , أنها يمكن أن تكون مصابة أو استخدامها بوصفها هجوم ناقلات مركزي لأنظمة الصناعية, وضع الحماية الكافية من التصحيح نظم الإدارة أمر بالغ الأهمية .

--------

- التحديات و المشاكل الفنية

* النقل و الحصول على الحزم و الملفات - قضية مفتوحة أخرى على إيجاد الطريقة الأنسب إلى توزيع الحزم ، و التي يمكن أن تكون حزم كبيرة مع أكثر من اثنين غيغا بايت من البيانات، ضمن

منظمة أو بين البائعين والعملاء.

* فترات نشر التصحيح

التي يتم فيها دمج أنظمة SCADA و لأن الأنظمة غالبا ما تحتاج إلى أن تكون قابلة للتشغيل في أي لحظة , و علاوة على ذلك تحتاج إلى مناطق لفحصها جيدا , ويمكن تطبيقها على بيئة الإنتاج , و التي يمكن يستغرق عدة أيام أو حتى أسابيع , و خلال

هذه الفترة يكون النظام عرضة للخطر , و من الناحية الفنية هناك ضوابط بديلة ينبغي أن تستخدم خلال نافذة التعرض للوقاية من أي ضعف يمكن استغلاله , على سبيل المثال , عندما خادم ويب قد اكتشف نقطة ضعف في النظام الضعف هنا يمكن للمنظمة , إن أمكن, وقف كتلة حركة المرور غير المرغوب فيه إلى خادم الويب أو تعطيل الخادم إذا كان ذلك ممكنا, و بعض المنظمات تعتمد على البائع للنظام من أجل رأب الصدع في النظام بائع لرأب الصدع أنظمة SCADA، والتي تم الاتفاق عليها في عقد الخدمة .

وتناقش قرارات بشأن فترات نشر التصحيح بين البائعين والعملاء و ترتبط بحجم الحل ICS، مدى أهمية تثبيت بقع جديدة وحجم للمنظمة.

تجربة من الباعة تبين أن الترقيع و فترات نشر يمكن تتراوح في أي مكان من كل ستة أشهر إلى سنة.

نشر حزم على أكثر انتظاما الفاصل الزمني في كثير من الأحيان مكلفة للغاية للبائعين بسبب عمليات الاختبار و التعقيد في نشر الحزم.

وثمة مسألة أخرى هي أن العديد من النظم القديمة ICS تستخدم الإصدارات القديمة من أنظمة التشغيل التي لم تعد معتمدة من قبل البائع ونتيجة لذلك، و الحزم المتاحة قد لا تكون.

--------

* مشكلة تغيير أو إستبدال النظام

و هناك مشكلة كبرى للعميل , وهو في حال توقف البائع أو مزود النظام عن تقديم الخدمة , قد يجبر هنا العميل على إستبدال النظام ,

وسوف تكون هذه العملية مكلفة جدا على العميل .

على سبيل المثال شركة مايكروسوفت سوف تنتهي دعم نظام ويندوز XP في عام 2014 وهو ما يعني أنه على الرغم من أنه قد تكتشف نقاط الضعف و يتم تطوير أي مناطق جديدة في النظام

على نظام التشغيل XP و تطوير التطبيقات على هذا النظام , و تقوم عندها شركة مايكروسوفت و هي المصدر الأساسي لنظام التشغيل XP

عن وقف دعم الحزم في هذا النظام , هنا سوف يجبر العميل على تغيير نظام التشغيل ومعه نظام SCADA وزعت بعد الآن.

وعلاوة على ذلك، وتطوير الرقع الخاصة لنظام التشغيل والتطبيقات يكاد يكون من المستحيل، وخصوصا عندما المصدر من نظام التشغيل أو التطبيق الملكية

و هذا يمكن أن يكون هذا هو الحال عندما توقف البائع في الوجود. في هذه الحالة , يجب أن يتم استبدال أنظمة ولكن هذا يمكن أن تتحول إلى أن تكون عملية مكلفة.

غالبا ما يكون التكيف و"إذا لم يتم كسرها، لا تصلحه" عقلية، وخاصة عندما يكون هناك لا توجد سياسة إدارة التصحيح في المكان.

غالبا ما تحتوي على هذه النظم القديمة التي عفا عليها الزمن .

--------

* التحديات و المشاكل القانونية

نظام الأسكادا منتشر في جميع أنحاء العالم , هنا قد يواجه البائع أو مزود الخدمة للنظام , بعض المسائل القانونية الناشئة عن النظم الجمركية من بلد إلى آخر .

و هذا قد يوثر على تقديم خدمة التصحيح للنظام و القدرة على تقديم البرامج في البلدان المعنية , هذا يعني أن البائع أو مزود الخدمة إلى أحد العملاء في بلد آخر يواجه صعوبة بالغة في هذه الناحية .

كما أن إستخدام البرمجيات المفتوحة المصدر دون أي سند قانوني كما في دول الإتحاد الاوروبي , سوف يعيق البائع أو مزود النظام عن تقديم الخدمة إلى العميل في دول الإتحاد الأوروبي .

- التحديات و المشاكل القانونية

الأعمال الدولية - معظم البائعين SCADA تخدم السوق في جميع أنحاء العالم على هذا النحو، لديهم لمواجهة المسائل القانونية الناشئة عن الأنظمة الجمركية في كل بلد والتي قد تؤثر على

القدرة على تقديم البرامج إلى البلدان المعنية.

من حيث إدارة SCADA التصحيح هذا يمكن أن يعني أن مقدم من إدارة SCADA التصحيح لن يسمح لتقديم الحزم المطلوبة لبلد من عملائها، على الرغم من أن هذه ليست قضية داخل الاتحاد الأوروبي (EU). ويمكن أن يكون مشكلة لأي مقدم من إدارة التصحيح SCADA والذين لا يقيمون في الاتحاد الأوروبي.

- استخدام البرمجيات المفتوحة المصدر إلى البائع (OSS)

وهناك أيضا مسألة قانونية هامة تنشأ عن استخدام برمجيات المصدر المفتوح في تطبيقات SCADA OSS لا بد من تطهير داخليا ل استخدام مع البائعين حل بك حتى أن البائع هو قادرا على استخدام OSS دون أي سند قانوني يطالب.

قضية مفتوحة هامة أخرى هي عملية تطوير حزم جديدة عندما و يمكن أن تنشأ المسائل القانونية الممكنة في ما يخص OSS. قد يحدث أن البائع له تطوير اثنين من الحزم الحرجة OSS في فترة زمنية قصيرة.حاسمة أو قد يتم فحصها بسرعة و و تفرج عنها للعملاء.

و مع ذلك، فإن الحزم يجب أن تكون مسحت أول مرة من قبل الدائرة القانونية قبل أن يتم توزيعها, و هذا يبطئ التنمية والتوزيع.

ضمان البائع - ثمة مسألة أخرى هي الضمان بائع - صاحب الأصول يمكن أن تفقد الضمان لها

عندما الترقيع النظام الخاص بهم. ينبغي وضع الترتيبات مع البائعين لمعالجة هذه القضية قبل النشر.

- الأصول

إدارة الأصول - إدارة الأصول هي جزء مهم من إدارة التصحيح.

وتعرف إدارة باعتبارها عملية يتم بموجبها بجمع منظمة كبيرة و المحافظة على

قائمة شاملة من العناصر التي تمتلكها مثل الأجهزة والبرمجيات.

و تستخدم هذه البيانات في فيما يتعلق في الجوانب المالية للملكية مثل حساب التكلفة الإجمالية إلى الملكية، والاستهلاك، والترخيص والصيانة والتأمين.

إدارة الأصول في مجال SCADA يختلف كثيرا من الحلول القائمة على تكنولوجيا المعلومات البنى التحتية أولا لا يوجد تصنيف الأصول تحديدا لاستخدامها من قبل مختلف البائعين من الحلول SCADA كل بائع واختراع تصنيف خاص بها للأصول المستخدمة.

لذا فإن السؤال الناشئ من ذلك هو ما اذا سوف يكون تحسنا في الشفافية تجاه العملاء إذا

سيكون هناك تصنيف الأصول الموحدة التي تستخدمها جميع البائعين من الحلول SCADA

وعلاوة على ذلك، لا يوجد الكثير من الأدوات اكتشاف (المسح الضوئي للأجهزة المستخدمة و

البرامج المستقلين من المنصة المستخدمة) لأنظمة معقدة وزعت على المستخدمين في السوق من أجل حلول SCADA .

في كثير من الأحيان يحظر استخدام هذه الأدوات بسبب ممكن و المسائل التقنية أن المسح قد يسبب , وهذا يؤدي إلى قضية مفتوحة إلى أي مدى هو ممكن لأتمتة عملية اكتشاف الأصول و الوثائق و الأصول , و المشتريات و تصميم لقدرة التصحيح - أن هناك عدد من قضايا الترقيع تصبح أسهل بكثير إذا صممت أنظمة مع updatability في الاعتبار. هذا لا، ومع ذلك , وتتطلب موارد إضافية ، و بالتالي يجعل النظام أكثر تكلفة خلال شراء بجانب تحديد و تطوير و دمج التدابير في النظام و جهاز التصميم , ولذلك فمن المهم أن إدارات المشتريات تعلم كيفية إضافة السليم

متطلبات الدخول في المناقصات ، و كيفية قياس المستوى و المتطلبات التقنية و الفنية و الممارسات الجيدة والتوصيات .

يحتوي هذا القسم قائمة الممارسات الجيدة والتوصيات المتعلقة في SCADA الترقيع.

- تعويض الضوابط

تركيب و توزيع الحزم على أساس منتظم ، يصعب على المنظمات و الباعة بسبب القضايا الإجرائية والتقنية المتعلقة بها, و لا ينبغي أن ينظر إلى الترقيع في اعتباره قضية واحدة

و طريقة الدفاع و هي ممارسة جيدة لزيادة الدفاع في العمق من خلال استخدام ضوابط تعويضية.

الدفاع في العمق هو المصطلح الذي يشير إلى الاستراتيجية المتعددة وتستخدم طبقات من الدفاع لمنع الهجمات.

عناصر مهمة من الدفاع في العمق و استراتيجية الأنظمة SCADA هي:

1 - خلق وعي و فهم في المنظمات على ما فشل أنظمة SCADA يمكن أن يعني أن عمليات تنظيم وما السياسات و أفضل و فيما يتعلق بالممارسات إدارة التصحيح والأمن ككل , برنامج تدريبي يجب تعيين مع المعلومات ذات الصلة وظيفة على كيفية تطبيق الأمن وكيفية الرد الآمن في حالات التهديد .

2 - تصلب أنظمة

SCADA، تصلب النظام يعني إزالة الميزات التي لا داعي لها

و تأمين في انخفاض وظائف المكونات المختلفة للنظام SCADA مايكروسوفت ويندوز على سبيل المثال يحتوي على الكثير من التطبيقات والخدمات المختلفة التي هي

ليست ضرورية في بعض العمليات ، و ينبغي إزالتها أو تعطيلها.

3 - يجب أن يتم تكوين الجدران النارية بطريقة تسمح فقط في اتصالات موثوق بها

آلات الموانئ الموثوق بها على سبيل المثال , يجب إغلاق المنافذ الأخرى عندما لا تكون قيد الاستعمال , و ينبغي في الجدران النارية

أيضا تنفيذ آلية الإبلاغ أو إنذار لتنبيه أي وقت أن السلوك الشاذ هو من خلال الكشف عن تسلل أو ما يعرف في أنظمة كشف التسلل .

(IDS) و يمكن أيضا أن تستخدم للكشف عن سلوك , حيث يمكن، في اتجاه واحد تحديد ثنائيات الاتصالات المعمول بها و توفير مستوى أعلى من الحماية.

و حزم التفتيش العميق (DPI) الجدران النارية يمكن أن تستخدم أيضا للتحقق حركة المرور ل و التنسيق في الرسائل الغريبة أو السلوكيات غير عادية .

4 - زيادة الدفاع في العمق من خلال تجزئة الشبكة

تجزئة الشبكة هي وحدة قياس معقدة ولكن الأساسيات فيها واضحة, و ينبغي تحديد مجموعة من المعدات على أساس من الثقة و التشابه ووضعها في مناطق مختلفة, والخطوة التالية هي تحديد

ما تحتاج إلى تمرير الاتصالات بين المناطق , في النقاط حيث مناطق التواصل و الضوابط و الوصول مثلا ينبغي أن توضع الجدران النارية .

5 - إجراء عمليات تقييم المخاطر و الأمن العادية للحد من المخاطر الأمنية المحتملة

المخاطر التي لا يمكن القضاء عليها ينبغي خفضها و التحكم في المخاطر المتبقية.

, و تطبيق (AWL) للتعويض عن حقن الرموز الخبيثة و التنفيذ من خلال تحديد التطبيقات المسموح بها على النظام ، و تقييد جميع التطبيقات الأخرى من .

معدات الاتصالات غالبا ما تشير إلى تغييرات التكوين لعملائها و مايكروسوفت أيضا

تقدم هذه الخدمة، وشملت في معظم نشرات الأمن هو مقطع يسمى "الحلول" التي

يصف كيف يمكن تعديل النظام للحد من مخاطر الاستغلال الممكنة.

ليس هناك الكثير من البائعين لأنظمة SCADA تقدم استراتيجية بالمثل ، ولكن هناك العديد من الاحتمالات. على سبيل المثال، إذا كان تم العثور على ثغرة أمنية في خادم الويب ، و عدم استخدام خادم الويب من قبل أي عمل أو عمليات الحرجة ، خادم الويب يمكن أن يتم تعطيله مؤقتا أو يمكن نشر قواعد خاصة على جدار الحماية أو IDS لكشف سلوك ضار.

- إنشاء عقد برنامج إدارة التصحيح والخدمة

1 - و ينبغي في أصحاب الأصول تأسيس برنامج لإدارة التصحيح ,

أنشأت سياسة إدارة و عملية تطبيق تصحيحات يمكن أن يثبت أنه من الصعب جدا التعهد , حتى عندما يتم اتخاذ القرار لا لرأب الصدع أنظمة SCADA ، نظرا إلى أكثر التركيز على ضوابط تعويضية أو بسبب مدى أهمية النظم ، ينبغي أن تصاغ في السياسة.

2 - ينبغي أن يكون أصحاب الأصول لديهم سياسة وعملية تطبيق مصممة تصميما جيدا

بحيث يتم الحد من جهود التصحيح و إدارة خطر الوقوع في الخطأ , مثل هذه السياسة سوف تحدد المسؤوليات و سوف تساعد الفرق على فهم ما هو متوقع و ما يتعين عليهم القيام به, و المهم أن تشمل عناصر برنامج إدارة التصحيح.

3 - إدارة التكوين الأصول

خطة إدارة التصحيح ، و النسخ الاحتياطي / و أرشيف الخطط ، و خطة للحزم من أجل الاختبار، و الاستجابة للحوادث وخطط لتوثيق الحزم.

4 - ينبغي أن أصحاب الأصول عليهم أيضا إنشاء عقد خدمات إدارة التصحيح

و التصحيح يساعد على عقد خدمات إدارة لتحديد المسؤوليات على كل من البائع و العميل في عملية إدارة التصحيح. وينبغي التوصل إلى اتفاق على التركيز من حزم (التطبيق الثالثة - SCADA، OS، 3 تطبيق طرف) ، و فترات نشر التصحيح و كيف سوف يتم توزيع الحزم ، و تركيبها و اختبارها ، و الذي تقع عليه مسؤولية عندما شيء يذهب على نحو خاطئ وحتى عندما عقد الخدمة صالح.

------------

- حزم الاختبار

اختبار الحزم قبل النشر مهم بشكل خاص لأنظمة SCADA و غير متوقع السلوك المحتمل في أن تضر وظائف التشغيل و يمكن أن تشكل مشاكل خطيرة إلى أصحاب الأصول.

1 - ينبغي على أصحاب الأصول أن تجري دائما الاختبارات الخاصة بهم , و يمكن القيام في ذلك عمليا أو عن طريق الحفاظ على أنظمة منفصلة للاختبار , بينما حزم أنظمة SCADA و غالبا ما يكون اختبارها في دقة من قبل البائعين ، و أنه لا يزال هناك ما يضمن أنه لن يزعج العمليات في بيئة الإنتاج , و البيئة و من يحافظ من صاحب الأصول يمكن أن يكون تختلف كثيرا عن البيئة التي يستخدمها بائع لاختبار حزم و ادوات مكلفة لإعادة بيئة العمل بالمثل.

2 - بيئة الاختبار و يجب ان تكون المحاكاة عن كثب في البيئة التشغيلية

ألف مشترك و طريقة القيام به هو تطبيق مفهوم عموما DTAP و التي تشمل أنظمة الاختبار والقبول والإنتاج.

3 - يمكن استخدام نظم زائدة عن الحاجة لنشر التصحيح

و التي يتم بعد ذلك وضعه في الإنتاج , و خلال التقييم ما إذا كان التصحيح يعمل كما هو متوقع , و ينبغي أن يكون موظفي العمليات المتاحة لتقديم دعمها لأي مشاكل محتملة و الناجمة عن التصحيح , و إذا فشل التصحيح يمكن للمنظمة أن تعود إلى النظام السابق .

4 - أنظمة معتمدة ينبغي إعادة التصديق عليها بعد تطبيق التصحيح

و هذا هو في الغاية نقطة مهمة, من الناحية الفنية , أي نظام يتم اعتماده من منظور الأمن

على سبيل المثال جهاز التشفير التي هي شهادة ( FIPS 140-2) ينبغي أن يكون مصدقة

بعد التصحيح على البرمجيات , و هناك شيء أن الصناعة تميل إلى تجاهل ذلك لأنه يكلف الوقت والمال.

- حزم التوزيع

يفضل تكريس نظام إدارة التصحيح للحصول على تطبيق تصحيحات البرامج , و وضع الحماية في مثل هذا النظام هو الهدف الأسمى ، و نظام إدارة التصحيح يمكن أن يتعرض إلى مخاطر كبيرة

يحتمل استخدامها من قبل المهاجمين لتوزيع البرامج غير المرغوب فيها , و يمكن اعتبار أفضل الممارسات هي التالية:

1 - تحديد موقع إدارة التصحيح داخل نقاط الربط و الوصول المفتوحة إلى الإنترنت

مثل شبكة الأعمال , إذا تحتاج نظم إدارة التصحيح ليكون موجودا في SCADA أو DCS شبكات (على سبيل المثال، إذا كانت الشبكة التجارية منفصلة جغرافيا)، إنشاء جيب فريد من نوعه لإدارة التصحيح مع حدود فجوة الهواء الحقيقية.

2 - نظام إدارة التصحيح هي المسؤولة عن تحميل و اختبار المكان

ملفات التكوين ، و الترقيات، و غيرها من المواد من قبل طرف ثالث ؛ و اختباره حتى لا تكون هناك برامج خبيثة.

و ثم أرشفة الملفات المصادق عليها للقراءة فقط على وسائل الإعلام (و منع أي عدوى لاحقة أو

التلاعب).

3 - إذا لزم الأمر، تنفيذ مثيلين من نظام إدارة التصحيح: واحد لاسترداد

الملفات المعزولة و واحدة لتوزيع ملفات التحقق من صحتها بعد أن كانت اليد

نفذت عبر فجوة الهواء الحقيقية.

4 - تقييم الملفات و التحديثات في بيئة اختبار من أجل تقييم خطر نشر

و يمكن أيضا أن تستخدم في وقت مبكر آلات لاختبار الملفات قبل أن يتم

نشرهم في "الأعمال الهامة" الآلات.

ه. استخدام التواقيع الرقمية على الملفات أو القيام في التحقق من خلال التجزئة حيثما أمكن / ممكنا

----------

تصحيح الجدولة:

أ. ويمكن أن يتم جدولة التصحيح ونشر بعد أن تم اختبار التصحيح بدقة

وعندما تتم الموافقة على التصحيح للنشر.

ب. اعتمادا على أسلوب التوزيع اختار موافقة مديري الإنتاج

من الضروري قبل النشر يمكن تنفيذها.

ج. يفضل أن يتم تضمينها نشر في جداول الصيانة الدورية، أو عندما

النظم هي أقل أهمية لعمليات، على سبيل المثال أثناء الليل أو أثناء فترة

انخفاض الانتاج.

6 الاستنتاجات

على الرغم من أن إدارة التصحيح لا ينبغي أن ينظر إليه على أنه حل سحري لحل القضايا الأمنية

نظم SCADA إلا أنه من المهم أن المنظمات تؤسس إدارة التصحيح

السياسة. بدون إدارة التصحيح مصممة تصميما جيدا منظمات السياسة قد تكون عرضة لل

هجمات من الخارج وعملية الترقيع نفسها يمكن أن يثبت أنه مهمة صعبة.

في مطلوب إدارة التصحيح الولايات المتحدة للمنظمات التي يجب أن تمتثل ل

NERC CIP المعيار. في حين NERC CIP إلزامي بالنسبة لمعظم المرافق في أمريكا الشمالية لا يوجد هذا معيار إلزامي عالميا في أوروبا. لذلك يتم اتخاذ العديد من المناهج المختلفة التي

أصحاب الأصول داخل الاتحاد الأوروبي للتعامل مع إدارة التصحيح. الاتحاد الأوروبي أو

ويمكن للدول الأعضاء زيادة الوعي و إدارة التصحيح من خلال فرض

أن مسألة إدارة التصحيح ينبغي أن تؤخذ في الاعتبار عند المتطلبات الجديدة لكي

يتم تأسيس الأجهزة.

15\12\2014

-------------------------------------------

العمليات في نظام الإسكادا - SCADA

----------------------------------------

1 - لمحة عامة عن SCADA، DCS، والشركات المحدودة العامة

أنظمة SCADA و الأنظمة المستخدمة للسيطرة على الأصول موزعة جغرافيا منتشره كثيرا على مدى آلاف الكيلومترات المربعة ، حيث الحصول على البيانات المركزية و التحكم حاسمة لنظام التشغيل وزعت للغاية.

وهي تستخدم في شبكات توزيع مثل شبكات توزيع المياه وجمع wastewate systems A

و أنابيب النفط و الغاز , و شبكات الطاقة الكهربائية , و مصانع إنتاج السيارات و السفن , و خطوط الإنتاج , و المفاعلات النووية , و النقل في السكك الحديدية يقوم مركز التحكم SCADA في المراقبة المركزية و السيطرة على المواقع الميدانية عبر شبكات الاتصالات لمسافات طويلة ، بما في ذلك أجهزة الإنذار و الرصد و البيانات الحالية و معالجتها بناء على المعلومات الواردة من المحطات البعيدة , و تكون مؤتمتة أو يمكن دفع الأوامر و الإشراف عليها و يحركها مشغل لأجهزة التحكم في المحطة البعيدة , والتي غالبا ما يشار إليها باسم الأجهزة الميدانية , و أجهزة حقل التحكم في العمليات المحلية مثل فتح وغلق الصمامات والتكسير، و جمع البيانات من أنظمة الاستشعار، و مراقبة البيئة المحلية لظروف التنبيه.

تستخدم DCSs للسيطرة على العمليات الصناعية مثل مصافي النفط و توليد الطاقة الكهربائية و النفط والغاز والمياه و معالجة مياه الصرف الصحي ، و الصناعات الكيماوية و الغذائية ، وإنتاج السيارات ,

و تتكامل DCSs و بنيان السيطرة يحتوي على المستوى الإشرافي السيطرة و الإشراف المتعدد، و النظم الفرعية المتكاملة التي هي المسؤولة عن السيطرة على تفاصيل العملية الموضعية.

وعادة ما تكون حققت المنتجات و مراقبة العملية عن طريق نشر تغذية راجعة أو التغذية إلى الأمام و حلقات السيطرة حيث يتم الاحتفاظ في المنتج أو العملية الرئيسية تلقائيا حول نقطة المجموعة المرجوة , و لتحقيق المنتج المطلوب و / أو عملية التسامح حول نقطة المجموعة محددة، و يعمل التحكم القابل لبرمجة معينة (PLC) في الميدان النسبي ، و لا يتجزأ، و إعدادات / التفاضل على PLC يتم ضبطها لتوفير التسامح المطلوب و كذلك معدل التصحيح الذاتي خلال اضطرابات العملية , و تستخدم على نطاق واسع

DCSs في الصناعات القائمة على العمليات .

و الشركات المحدودة العامة و أجهزة الحالة الصلبة التي تعتمد على الكمبيوتر التي تتحكم في المعدات و العمليات الصناعية بينما الشركات المحدودة العامة هي مكونات نظام التحكم المستخدمة في أنظمة

SCADA وDCS، فإنها غالبا ما تكون المكونات الأساسية في تكوينات نظام التحكم في أصغر استخداماتها لتوفير الرقابة التنظيمية لعمليات منفصلة مثل خطوط تجميع السيارات ومحطة توليد الكهرباء , و تستخدم على نطاق واسع الشركات المحدودة العامة في العمليات الصناعية تقريبا.

وعادة ما تستخدم في الصناعات القائمة على عملية التصنيع عمليتين رئيسيتين:

1 - عمليات التصنيع المستمر.

هذه العمليات تكون في شكل مستمر، في كثير من الأحيان مع التحولات لجعل درجات مختلفة للمنتج , و تشمل عمليات التصنيع المستمرة و النموذجية الوقود أو البخار في التدفق في محطة لتوليد الكهرباء، و النفط في مصفاة ، و التقطير في مصنع للكيماويات وعمليات التصنيع دفعة واحدة.

هذه العمليات لديها خطوات المعالجة المتميزة ، التي أجريت على كمية من المواد , و هناك بداية و نهاية الخطوة الواضحة للعملية الدفعية مع إمكانية القيام بعمليات الحالة المستقرة و تكون وجيزة خلال الخطوات الوسيطة , و الصناعات التحويلية القائمة و المنفصلة الأقسام و عادة في إجراء سلسلة من الخطوات على جهاز واحد لإنشاء المنتج النهائي , و قطع الغيار الإلكترونية والميكانيكية و التجميع و قطع الغيار إلى الآلات هي أمثلة نموذجية لهذا النوع من الصناعة و كل من الصناعات القائمة على العمليات و على أساس أقسام منفصلة ، تستخدم نفس أنواع أنظمة التحكم، وأجهزة الاستشعار، والشبكات.

و بعض المنشآت هي هجين من الصناعات المنفصلة والقائمة على عملية واحدة متكاملة غير منفصلة أو مجزئة , بينما أنظمة التحكم المستخدمة في التوزيع و الصناعات التحويلية متشابهة جدا في العمليات ، فهي مختلفة في بعض الجوانب.

و أحد الفروق الرئيسية هي أن الأنظمة الفرعية

DCS أو PLC تسيطر عليها تقع عادة في فروع المصنع و تكون أكثر محصورة أو منطقة محطة مركزية ، بالمقارنة مع المواقع الميدانية SCADA موزعة جغرافيا.

وعادة ما يقوم DCS و PLC في استخدام شبكة الإتصالات (LAN) و التكنولوجيات المحلية التي عادة ما تكون أكثر موثوقية و سرعة عالية بالمقارنة مع أنظمة الاتصالات لمسافات طويلة المستخدمة من قبل أنظمة SCADA.

في الواقع، تم تصميم أنظمة SCADA خصيصا للتعامل مع تحديات الاتصالات لمسافات طويلة مثل التأخير و فقدان البيانات التي تطرحها مختلف وسائل الاتصال المستخدمة.

DCS و نظم PLC عادة ما تستخدم درجة أكبر من السيطرة في حلقة مغلقة من أنظمة SCADA

لمراقبة العمليات الصناعية هي عادة ما تكون أكثر تعقيدا من الإشراف و مراقبة عمليات التوزيع , و يمكن اعتبار هذه الفروق الدقيقة للنطاق هذه الوثيقة و التي تركز على دمج تكنولوجيا المعلومات (IT) الأمن في هذه النظم.

طوال الفترة المتبقية من هذه الوثيقة، وأنظمة SCADA، نظم DCSs و PLC سوف يتم الإشارة إلى

ICSS ICS

2 - ما لم يتم إجراء إشارة محددة في العملية الأساسية و تشمل المكونات الرئيسية التالية:

- حلقة السيطرة

و تتكون حلقة السيطرة على أجهزة استشعار للقياس ، و أجهزة تحكم مثل الشركات المحدودة العامة، و المشغلات مثل صمامات التحكم و قواطع و المفاتيح و المحركات , و التواصل من المتغيرات , و تنتقل المتغيرات التي تسيطر عليها إلى وحدة تحكم من أجهزة الاستشعار.

- وحدة التحكم

وحدة تحكم تفسر الإشارات و تولد المتغيرات المقابلة , استنادا إلى النقاط المحددة التي يحيلها إلى المحركات , و تغييرات عملية من الاضطرابات نتيجة وجود إشارات في جهاز استشعار جديد ، و تحديد الحالة العملية , و لمرة أخرى أن ينتقل إلى وحدة تحكم واجهة الإنسان و الآلة (HMI) المشغلين و المهندسين و استخدام نظام معلومات الإدارة الصحية لتكوين النقاط المحددة , و السيطرة و الخوارزميات , و ضبط ووضع المعلمات في وحدة تحكم.

كما يعرض HMI معلومات الحالة العملية و المعلومات التاريخية و التشخيص عن بعد و صيانة المرافق و تستخدم وسائل التشخيص و أدوات الصيانة لمنع و التحديد و التعافي من الفشل.

يحتوي ICS على نموذجي انتشار حلقات السيطرة و نظام معلومات الإدارة الصحية ، و التشخيص عن بعد و أدوات الصيانة التي تم إنشاؤها في استخدام مجموعة من بروتوكولات الشبكة على أبنية شبكة الطبقات

في بعض الأحيان يتم تداخل هذه الحلقات (حلقات السيطرة) أو المتتالية whereby في نقطة مجموعة لحلقة واحدة تقوم على متغير عملية يحددها حلقة أخرى , و حلقات المستوى الإشرافي و حلقات المستوى الأدنى تعمل بشكل مستمر على مدى مدة العملية مع أوقات دورة تتراوح بناء على أمر من ميلي ثانية إلى دقيقة.

-------------------------------------------

الأمن والحماية في نظام الإسكادا - SCADA securtiy

* الضوابط الأمن ICS في أنظمة SCADA

الضوابط الأمنية هي الإدارة و التشغيل والضوابط الفنية (أي الضمانات أو الحماية المضادة) المقررة للنظام المعلوماتي لحماية السرية والسلامة، و توافر النظام ومعلوماتها , و يناقش هذا القسم الضوابط الأمنية المحددة في NIST SP 800-53 و الذي تم تطويره كجزء من مشروع تنفيذ FISMA.

للحصول على معلومات إضافية تتعلق FISMA و مشروع تنفيذ NIST. NIST SP 800-53

يقدم مبادئ توجيهية لاختيار و تحديد الضوابط الأمنية للمعلومات و دعما لنظم المعلومات الحكومية الاتحادية , و تنظم الضوابط الأمنية إلى ثلاثة طبقات هي : الإدارة و التشغيل و الضوابط الفنية , يتم تقسيم كل فئة إلى عدة أقسام و ضوابط. يحتوي كل عنصر فيها على تحكم تعريف للسيطرة و التوجيه التكميلي ، و ممكن التحسينات التي سوف تزيد من قوة جهاز التحكم الأساسية.

و قد بدأت NIST مشروع ذات الأولوية العالية بالتعاون مع ICS القطاعين العام والخاص

في المجتمع لتطوير توجيهات محددة بشأن تطبيق الضوابط الأمنية في NIST SP 800-53 ICSS.

منذ بدأ المشروع و لا يزال مستمرا ، لا يمكن أن يتم تضمين التوجيه مما أدى إلى الإصدار الحالي

في هذه الوثيقة أو NIST SP 800-53 ولكن سوف تظهر في الإصدارات المستقبلية في

ICS.

الأولية محددة في توصيات و توجيهات , إن وجدت , و سوف تقدم في الطريقة المبينة لكل قسم منتج أمن واحد أو التكنولوجيا لا يمكن أن تحمي بشكل كاف على ICS تأمين ICS يستند إلى و مزيج من السياسات الأمنية الفعالة و مجموعة تكوينه بشكل صحيح من الضوابط الأمنية , في شكل فعال و يجب أن تكون الاستراتيجية الأمنية السيبرانية في ICS تنطبق الدفاع عن معمقة، وهي تقنية من طبقات الأمن

آليات بحيث يتم التقليل من أثر الفشل في أية آلية واحدة , و استخدام هذه الاستراتيجية هو

استكشاف داخل مناقشات السيطرة الأمنية وتطبيقاتها إلى ICS و التي تتبع :

الأولية محددة في توصيات و توجيهات , إن وجدت , و سوف تقدم في الطريقة المبينة لكل قسم منتج أمن واحد أو التكنولوجيا لا يمكن أن تحمي بشكل كاف على ICS تأمين ICS يستند إلى

و مزيج من السياسات الأمنية الفعالة و مجموعة تكوينه بشكل صحيح من الضوابط الأمنية , في شكل فعال و يجب أن تكون الاستراتيجية الأمنية السيبرانية في ICS تنطبق الدفاع عن معمقة، وهي تقنية من طبقات الأمن آليات بحيث يتم التقليل من أثر الفشل في أية آلية واحدة , و استخدام هذه الاستراتيجية هو

استكشاف داخل مناقشات السيطرة الأمنية وتطبيقاتها إلى ICS و التي تتبع :

* الضوابط الإدارية

الضوابط الإدارية والتدابير المضادة الأمنية في ICS التي تركز على إدارة المخاطر

و إدارة أمن المعلومات , NIST SP 800-53 يحدد أربع عائلات من الضوابط داخل و هي :

- طبقة الضوابط الإدارية

تقييم المخاطر (RA):

عملية تحديد المخاطر في عمليات و الأصول ، أو الأفراد التي عملوا عليها و تحديد احتمالية حدوثها ، و الأثر الناتج ، وضوابط أمنية إضافية سوف تعمل على تخفيف هذا الأثر.

التخطيط (PL):

تطوير و صيانة خطة لمعالجة أمن نظام المعلومات من قبل إجراء تقييمات , و تحديد و تنفيذ الضوابط الأمنية , و إسناد مستويات الأمان ، و الاستجابة للحوادث.

النظام والخدمات اقتناء (SA):

تخصيص الموارد لأمن نظام المعلومات لتكون حافظت طوال دورة حياة النظام والنظم و وضع سياسات الاستحواذ على أساس النتائج في تقييم المخاطر , بما في ذلك متطلبات و معايير التصميم , و إجراءات الاختبار , وما يرتبط بها من توثيق.

إصدار الشهادات، الاعتماد، و تقييم الأمن (CA):

التأكد من أن ضوابط محددة و تنفذ في شكل صحيح , و تعمل على النحو المنشود , و تحقيقها للنتائج المرجوة , و تناقش هذه الضوابط الإدارية بمزيد من التفصيل في المقاطع لمتابعة

ICS الأولية محددة و التوصيات و التوجيهات , إن وجدت , وسوف تقدم في الطريقة المبينة لكل قسم.

* تقييم المخاطر

الخطر هو وظيفة من احتمال وجود مصدر تهديد معين و استغلال نقطة ضعف محتملة , و ما أدى تأثير استغلال هذا الضعف , و تقييم المخاطر هو عملية تحديد المخاطر في عمليات المنظمة و الأصول و الأفراد من خلال تحديد احتمال وقوع تهديد التعرف على استغلال الضعف التي تم تحديدها و الأثر الناتج , و يتضمن تقييما عن تقييم الضوابط الأمنية التي يمكن أن تخفف كل التهديدات والتكاليف المرتبطة بالتنفيذ , و يجب على تقييم المخاطر أيضا مقارنة تكلفة الأمن مع التكاليف المرتبطة الحادث.

و تحقيق مستوى مقبول من المخاطر هي عملية للحد من احتمال وقوع الحادث الحاصل و التخفيف أو القضاء على نقاط الضعف التي يمكن استغلالها , و كذلك العواقب الناجمة عن الحادث , و يجب أن يستند تحديد الأولويات من نقاط الضعف في التكلفة و المنفعة مع الهدف الذي هو توفير دراسة جدوى لتنفيذ ما لا يقل عن الحد الأدنى من أمن نظام التحكم و متطلبات للحد من المخاطر إلى المستوى مقبول , و هناك خطأ في كثير من الأحيان خلال تقييم المخاطر هو تحديد نقاط الضعف المثيرة للاهتمام من الناحية الفنية دون الأخذ بعين الاعتبار مستوى المخاطر المرتبطة بهذه النقاط الضعيفة , و ينبغي تقييم مواطن الضعف و تصنيف الخطر قبل المحاولة لتحديد و تنفيذ الأمن و وضع ضوابط عليها .

الضوابط الأمنية التي تقع ضمن NIST SP 800-53 و تقييم المخاطر (RA)

و توفر السياسة و الإجراءات للتطوير و التوزيع ، والحفاظ على سياسة تقييم المخاطر الموثقة التي تصف الغرض و النطاق و الأدوار و المسؤوليات و الامتثال إلى الضوابط و الأوامر ، و كذلك إجراءات تنفيذ السياسات , و نظام المعلومات و البيانات المرتبطة و يتم تصنيفها على أساس أهداف الأمن و مجموعة من المخاطر و المستويات الحرجة , و يتم تنفيذ و تقييم المخاطر لتحديد حجم هذه المخاطر و حجم الضرر الذي يمكن أن ينتج عن الوصول غير المصرح به و استخدام غير الرخص له و الإفصاح أو الخلل أو التغيير ، أو تدمير نظام المعلومات و البيانات , و تشمل أيضا في هذه الضوابط آليات للحفاظ على تقييم المخاطر يصل إلى تاريخ و إجراء تقييمات دورية عن الضعف ، و عملية تقييم المخاطر و هي تطبق بعد النشاط و تصنيف الأمن و خط الأساس في النشاط و اختيار مراقبة الأمن و الأخطار .

و يتم تنفيذ التقييم في النشاط و مراقبة الأمن لتحديد ما إذا كانت الإجراءات الأمنية المختارة تحتاج إلى تعزيز أو توسيع خارج الضوابط الأمنية الأساسية الضوابط و المخاطر في NIST SP 800-30 ,

دليل لإدارة نظم تكنولوجيا المعلومات (قيد المراجعة حاليا) يوفر منهجية التقييم والذي يتضمن الخطوات التالية:

1- توصيف النظام

تنتج صورة لبيئة نظام المعلومات، و ترسيم حدود النظام .

2- تحديد التهديد

ينتج بيان التهديد الذي يحتوي على قائمة من مصادر التهديد الذي يمكن في استغلال نقاط الضعف في النظام .

3- تحديد سرعة التأثر

تنتج قائمة من نقاط الضعف في نظام يمكن أن تمارس عليه من مصادر التهديد المحتملة .

4- تحليل التحكم

تنتج قائمة من الضوابط المخطط استخدامها لنظام المعلومات من أجل التخفيف من احتمال وجود ثغرة أمنية , و الحد من تأثير مثل هذا الحدث السلبي.

5- تحديد محتمل

ينتج تقييم احتمال (عالية، متوسطة، أو منخفضة) التي تشير إلى احتمال أن الضعف المحتمل يمكن ممارسة GUIDE TO الإشرافية على الرقابة والحصول على البيانات (SCADA) AND INDUSTRIAL CONTROL SYSTEMS SECURITY (مشروع)

6- تحليل الأثر

تنتج حجم التأثير (عالية، متوسطة، أو منخفضة) الناتجة عن استغلال نقطة ضعف.

7- المخاطر

تنتج قياس المخاطر استنادا إلى درجة مقياس من عالية أو متوسطة أو منخفضة

8- توصيات التحكم

تنتج توصيات الضوابط الأمنية و الحلول البديلة لتخفيف الخطر

9- نتائج التوثيق و الوثائق

تنتج تقرير تقييم المخاطر التي تصف التهديدات و نقاط الضعف , و يقيس المخاطر , و يقدم التوصيات لتنفيذها في السيطرة.

التوجيه التكميلي لعناصر RA يمكن العثور عليها في الوثائق التالية:

NIST SP 800-12 يوفر توجيهات بشأن السياسات والإجراءات الأمنية [39].

NIST SP 800-30 يوفر توجيهات بشأن إجراء عمليات تقييم المخاطر والتحديثات [19].

NIST SP 800-40 يوفر توجيهات بشأن التعامل مع تصحيحات الأمان [40].

NIST SP 800-42 يوفر توجيهات بشأن اختبار أمن الشبكات [41].

NIST SP 800-60 يوفر توجيهات بشأن تحديد فئات الأمنية لأنواع المعلومات [24].

* ICS - التوصيات المحددة و الإرشاد

يجب على المنظمات النظر في العواقب المحتملة الناتجة عن حادث على ICS. Welldefined

و السياسة و الإجراءات التي تؤدي إلى تخفيف تقنيات تهدف إلى إحباط الحوادث و إدارة الخطر للقضاء أو تقليل العواقب , و تدهور القيمة المادية و الاقتصادية في المصنع .

الوضع أو الثقة الوطنية يمكن أن تبرر التخفيف من حدتها و هو جدا مهم و هو جانب من جوانب المخاطر , و التقدير هو في تحديد قيمة البيانات التي تتدفق من شبكة التحكم إلى الشركات من خلال الشبكة , و في الحالات التي تكون فيها قرارات التسعير يتم تحديد هذه البيانات ، و يمكن للبيانات المهمة و ذات القيمة العالية و المبرر المالي للتخفيف لا بد من التي يجنيها صالح التكلفة مقارنة إلى الآثار المترتبة على ذلك , و مع ذلك , ليس من الممكن لتحديد مقاس واحد يناسب كل مجموعة من أمن المتطلبات.

و المستوى العالي من الأمن قد يمكن تحقيقها , و لكن غير مرغوب فيه في كثير من الحالات بسبب فقدان الوظائف و غيرها من التكاليف المرتبطة بها تكون مدروسة جيدا من الأمن

- تطبيق

ما هو ميزان المخاطر مقابل التكلفة , في بعض الحالات يجوز في الخطر أن تكون السلامة و الصحة ذات الصلة البيئة بدلا من بحث النتائج الإقتصادية , و الخطر قد يكون غير قابل للاسترداد في النتيجة و هو ما يكون بدلا من نكسة مالية مؤقتة .

* التخطيط

خطة أمنية هي وثيقة رسمية في أن يوفر لمحة عامة عن متطلبات الأمن و يصف نظام المعلومات و الضوابط الأمنية في مكان أو التخطيط لتلبية تلك المتطلبات , و الضوابط الأمنية التي تقع ضمن التخطيط

(PL) في أسرة NIST SP 800-53 توفر أساسا لوضع خطة أمنية واضحة ومفهومة , و هذه الضوابط أيضا تهتم في معالجة قضايا الصيانة الدورية و تحديث خطة أمنية , وهناك مجموعة من القواعد و تصف المسؤوليات المستخدمة و السلوك المتوقع فيما يتعلق في استخدام نظام المعلومات مع توفير لإقرار موقعة من المستخدمين و مشيرة إلى أنها لقد قرأت و فهمت ، و توافق على الالتزام بقواعد السلوك قبل التصريح الوصول إلى نظام المعلومات.

GUIDE TO الإشرافية الرقابة والحصول على البيانات

(SCADA) AND INDUSTRIAL CONTROL SYSTEMS SECURITY (مشروع)

التوجيه التكميلي لعناصر PL يمكن العثور عليها في الوثائق التالية:

NIST SP 800-12 يوفر توجيهات بشأن السياسات والإجراءات الأمنية [39].

NIST SP 800-18 يوفر توجيهات بشأن إعداد قواعد السلوك [17].

* ICS - التوصيات المحددة و الإرشاد

خطة أمنية في ICS ينبغي أن تستند إلى خبرة مؤثرة و فعالة IT و القائمة الملائمة في الأمن ، و البرامج ، و الممارسات , و مع ذلك، فإن الاختلافات الحاسمة بين تكنولوجيا المعلومات وICS تناولت في القسم

كيف سيتم تطبيق الأمن إلى ICS ؟

هناك حاجة إلى خطة نتطلع لتوفير طريقة التحسينات الأمنية المستمرة , الأمن في ICS هو مجال سريع التطور يتطلب الأمن و عملية التخطيط للاستكشاف باستمرار عن القدرات الأمنية ICS وكذلك التهديدات الجديدة الناشئة التي التي تحددها منظمات مثل أنظمة التحكم في مركز الأمن الأمريكي CERT (CSSC).

* النظام والخدمات المكتسبة

الضوابط الأمنية التي تقع ضمن نظام NIST SP 800-53 و خدمات جذب (SA) توفر الأساس لوضع سياسات و إجراءات الحصول على الموارد اللازمة لتوفير الحماية الكافية في نظام المعلومات , و تستند هذه المقتنيات على متطلبات الأمن و مواصفات الأمن , و كجزء من إجراءات الاستحواذ , و يدار نظام معلومات باستخدام منهجية دورة حياة تطوير النظام و يتضمن اعتبارات أمن المعلومات كجزء من الاستحواذ , يجب الحفاظ على الوثائق الكافية على نظام المعلومات و مكونات النظام .

و يتناول مجموعة SA أيضا أنظمة الاستعانة بمصادر خارجية و إدراج ضوابط أمنية كافية من قبل الباعة على النحو المحدد من قبل المنظمة المدعومة , و الباعة هم أيضا مسؤولون عن التكوين و الإدارة و اختبار الأمن لنظم المعلومات هذه في الاستعانة بمصادر خارجية.

التوجيه التكميلي لعناصر SA يمكن العثور عليها في الوثائق التالية:

NIST SP 800-12 يوفر توجيهات بشأن السياسات والإجراءات الأمنية [39].

NIST SP 800-23 يوفر توجيهات بشأن اقتناء واستخدام اختبار / المعلومات تقييمها منتجات التكنولوجيا [42].

NIST SP 800-27 يوفر توجيهات بشأن مبادئ الهندسة لأمن نظام المعلومات [43].

NIST SP 800-35 يوفر توجيهات بشأن خدمات أمن تكنولوجيا المعلومات [44].

NIST SP 800-36 يقدم إرشادات بشأن اختيار منتجات أمن المعلومات [45].

NIST SP 800-64 يوفر توجيهات بشأن الاعتبارات الأمنية في دورة حياة تطوير النظام [46].

NIST SP 800-65 يوفر توجيهات بشأن دمج الأمن في تخطيط رأس المال والاستثمار عملية مراقبة

[47].

NIST SP 800-70 يوفر توجيهات بشأن إعدادات التكوين للمنتجات تكنولوجيا

المعلومات [25]

#الأسكادا