Bezpečnost informací – nezbytnost pro internet věcí

28.7.2017 Internet věcí (IoT) otevírá bránu pro nekonečné možnosti v energetickém sektoru. Spolu s nimi však přichází také hrozba neočekávaných narušení bezpečnosti. Ta se netýká pouze ušlých zisků nebo snížené spokojenosti zákazníků, ale ve výsledku i osobních údajů spotřebitelů a nakonec také stability elektrické sítě. Tuto problematiku přehledně přibližuje Tuomas Kepanen, manažer výzkumu a vývoje pro architekturu a platformy společnosti Landis+Gyr. Poznámka redakce: Ačkoli se tento článek zaměřuje na bezpečnost informací v systémech smart metering, zde uvedené zásady a přístupy platí pro internet věcí obecně a zvláště s jeho zaváděním v rámci konceptu smart city jsou velmi aktuální.

Komplexní bezpečnostní požadavky

Kybernetická bezpečnost v AMI (advanced metering infrastructure – pokročilý systém měření, pozn. red.) musí pokrývat více než technické zabezpečení řešení, tedy fyzické zajištění jednotlivých zařízení, zabezpečenou komunikaci, backendové systémy a ukládání dat. Vyžaduje celostní přístup zahrnující plánování celé IT infrastruktury od bezpečnostních aspektů až po lidi, postupy a procesy, které umožňují její fungování.

Zabezpečený systém je vždy kompletním celkem a celkovou bezpečnost není možné budovat s orientací na jedinou komponentu systému. Při navrhování zabezpečeného systému je důležité nejprve zjistit požadavky na bezpečnost z pohledu několika různých účastníků procesu. Takové požadavky mohou sahat od potřeby vysokého výkonu systému ze strany jeho uživatelů až po splnění zákonných předpisů.

Dobrý plán znamená dobrý začátek

Po identifikování účastníků procesu je dalším krokem popsání funkčních, nefunkčních a bezpečnostních požadavků na systém. Zvláště v raných stadiích vývoje mohou být tyto požadavky nevyjasněné nebo jen hrubě stanovené, ale diskuse o základních principech je důležitou součástí procesu navrhování systému. Hrubé stanovení požadavků na zabezpečení informací souvisejících např. s důvěrností nebo konzistentností systému se dále rozpracovává do funkčních požadavků, například implementace záznamníku bezpečnostních událostí pro auditování operací uživatele, šifrování a autentizace komunikace mezi komponentami systému, nebo posílení operačního systému.

Při definování požadavků na zabezpečení informací je zcela zásadní popis nejdůležitějších komponent systému, které vyžadují ochranu, a tedy je třeba například zvážit:

• Které funkce a informace je třeba zabezpečit?

• Které bezpečnostní atributy je třeba zvláště chránit?

• Co je nejdůležitější a kdy: důvěrnost, konzistence nebo dostupnost?

• Jakou pozornost je třeba věnovat zabezpečení určité funkce konkrétní komponenty?

• Jak velké zbytkové riziko je přijatelné?

• Je cílem předcházení narušení zabezpečení informací nebo zjišťování takových případů?

• Které jsou relevantní hrozby, jež je nutné zabezpečit?

Užitečným nástrojem k zodpovězení těchto otázek je architektura zabezpečení IT systémů. Ta se pokouší definovat parametry vztahující se k celkovému zabezpečení systému, například strukturu sítě, aktivní zařízení v rámci sítě, šifrování a použité protokoly.

Uživatelé se špatnými úmysly jsou také uživateli

Další účinnou metodou plánování je popis typových činností z pohledu uživatele se špatnými úmysly. Takový popis pomáhá identifikovat kontrolní prvky zabezpečení informací v případech zneužití. Například při zabraňování útoků směřujících k blokování služeb je možné využít určité kontrolní prvky vztahující se k regulaci zatížení nebo blokovacímu provozu, zatímco neoprávněné používání lze regulovat prostřednictvím správy uživatelských oprávnění. Navíc je třeba uvážit i možnost, že oprávněný uživatel neúmyslně jedná jako pomocník subjektu se špatnými úmysly.

Odpovědný není jen softwarový vývojář

Vlastní tvorba softwaru zahrnuje také metody zohledňující zabezpečení informací. Zásadní je neustálá pozornost věnovaná bezpečnosti příslušným vývojářem aplikace. Čím je odbornost vývojáře širší a aktuálnější, tím vezme v úvahu více možností průniku do systému, a tím zajistí v průběhu vývoje softwaru více ochranných opatření.

Odpovědnost ovšem nemůže spočívat pouze na bedrech vývojáře, dokonce ani v případě, že je software rozsáhle testován externími odborníky, jejichž jediným cílem je proniknout do systému a poukázat tak na jeho slabé stránky. Pro zabezpečení systému je nutné přijmout i další opatření.

V průběhu výstavby systému směřují různé skenovací a statické analytické nástroje zaměřené na zabezpečení informací k hledání chyb ve zdrojovém kódu. Kromě toho je možné používat účinné nástroje pro detekování známých zranitelných míst využívaných knihoven, které lze integrovat do procesu vytváření softwaru.

A konečně, tento pohled je třeba rozšířit od konkrétní práce na vývoji aplikace na celé bezpečné vývojové prostředí a procesy. Mezinárodní normy, například ISO 27001, jsou zde základem pro systematický přístup umožňující stálý vývoj zabezpečení.

Bezpečné používání bezpečného systému

Kromě technického zabezpečení systému jsou pro každý systém nutné také zásady používání – buď samostatné, nebo jako součást souboru zásad společnosti pro bezpečnost informací. Zásady používání by se měly vztahovat minimálně na následující témata:

• Co znamená přijatelný způsob používání systému?

• Platí v rámci systému princip nejmenšího oprávnění?

• Jak je používání systému sledováno a kým?

• Jak je organizováno a realizováno zálohování?

• Jak je zajištěno povědomí uživatelů o zabezpečení informací?

• Jaké jsou reakce na bezpečnostní incidenty?

Věc celé organizace

Bez ohledu na to, jak je celý systém vyzbrojen proti útokům, vyžaduje řízení rizik kybernetické bezpečnosti pozornost celé organizace. Opatření v oblasti kybernetické bezpečnosti mohou být účinná pouze za předpokladu, že jsou pevnou součástí strategie stálého sledování, vyhodnocování a vylepšování. Je proto velmi důležité uvažovat o veškerých aspektech souvisejících se zabezpečením informací jako o jednom celku.

Landis+Gyr, redakčně upraveno

Ilustrační foto nahoře © Landis+Gyr

Ilustrační foto dole © archiv redakce Smartcityvpraxi.cz

Další informace na www.landisgyr.com

Přečtěte si také:

Cyklus odborných konferencí „Smart city v praxi“, „Efektivní elektromobilita v organizacích“ a „Elektrické autobusy pro město“

1.6.2017 Konference „Elektrické autobusy pro město“ se již od svého prvního běhu v říjnu 2013 vyprofilovala jako zcela ojedinělá prezentační a vzdělávací akce i jako místo vzájemné výměny aktuálních zkušeností mezi profesionály z elektrické osobní dopravy. Díky svému zaměření na konkrétní téma, konkrétní prezentující a konkrétní publikum se tato konference stala prostředkem přímé komunikace mezi výrobci elektrobusů a trolejbusů (včetně jejich komponent a infrastruktury) a jejich provozovateli a uživateli. V neposlední řadě zde hrají důležitou roli i zástupci institucí, které rozhodují o financování této dopravy, nebo mají v tomto ohledu aktuální a spolehlivé informace. Konference „Efektivní elektromobilita v organizacích“ je první konferencí svého druhu v ČR, prezentující elektromobily jako dopravní prostředek pro organizace soukromého a veřejného sektoru, ne tedy a priori jako luxusní nebo zábavní předmět pro elektromobilní nadšence a jejich sdružení. Obsah konference je cíleně zaměřen na organizace a správce jejich vozového parku. Konference „Smart city v praxi“ je zaměřena především na ty zástupce měst a obcí a veřejných organizací, kteří se budou rozhodovat o volbě konkrétních řešení od konkrétního dodavatele pro definování a naplňování investičních projektů, jimiž je koncept smart city v daném městě realizován.

Pozvánky na tyto konference a zprávy z těchto a dalších konferencí naleznete v naší rubrice Konference zde

Konference Smart city v praxi II: chytré technologie se zabydlují, od „feudálních“ dotací ke spolupráci veřejného a soukromého sektoru

24.3.2017 Jako doprovodný program brněnského veletrhu AMPER 2017 proběhla 21. března 2017 odborná konference Smart city v praxi II, pořádaná konzultační firmou Ing. Jakub Slavík, MBA – Consulting Services, která je provozovatelem našeho portálu. Majitel firmy a její hlavní konzultant Jakub Slavík byl zároveň odborným garantem konference. Konference se konala pod záštitou ministryně pro místní rozvoj a Sdružení dopravních podniků ČR. Konference byla, stejně jako její první běh před rokem, zaměřena především na ty, kteří se budou rozhodovat o volbě konkrétních řešení od konkrétního dodavatele pro definování a naplňování investičních projektů, jimiž je koncept smart city v daném městě realizován. Tomu odpovídala i struktura cca 190 účastníků konference. Většina z nich pocházela z municipalit a městských organizací, zastoupen byl i průmysl, rozvojové agentury a další zájemci o téma smart city z praktického pohledu. Celý článek zde

Smart city v praxi: vychází první kniha českého autora o konceptu smart city a jeho zavádění v každodenním životě

7.3.2017 Chytrým městem, obcí, či regionem, označovaným souhrnně pojmem „smart city“, rozumíme koncept strategického řízení, při němž jsou využívány moderní technologie z oblasti energetiky a služeb, mobility a informatiky pro ovlivňování kvality života ve městě, a následně k dosahování hospodářských a sociálních cílů. Nejde tedy o pouhé „digitální město“ nebo o nepromyšlené pořizování nákladných moderních technologií pro potřebu měst a regionů, jak je tento pojem někdy mylně interpretován.
Knižní publikace, které souhrnně popisují koncept smart city a jeho zavádění v každodenní praxi, bylo dosud možné získat pouze ze zahraničí. To se nyní mění. Vydavatelství Profi Press s.r.o. vydává v březnu 2017 knížku Smart city v praxi od Jakuba Slavíka, manažerského konzultanta a odborníka na problematiku smart city, který je zároveň provozovatelem našeho portálu.

Celý článek zde

Consulting Services: Naše odborné služby

Ing. Jakub Slavík, MBA – Consulting Services je konzultační firma v oblasti inovativních technologií pro dopravu a smart city (včetně energetiky a vodíkových technologií), která rovněž provozuje informační portály www.smartcityvpraxi.cz a www.proelektrotechniky.cz a organizuje odborné akce. V rámci našich odborných služeb Vám nabízíme vypracování strategie smart city, spolupráci na vytváření strategických dokumentů, vytváření a realizace projektů pro smart city, další odborné konzultační služby (studie, průzkumy, analýzy), vytváření a realizace dalších projektů s inovativními technologiemi (automatická vozidla, vodíkové technologie, elektromobilita aj.), specializované vzdělávací akce „na klíč“, prezentační a autorské služby (prezentace na konferencích, portálech). Celý článek zde

SBB Reiseplaner: Švýcarské spolkové dráhy nabízejí aplikaci pro plánování cesty „od dveří ke dveřím“

6.2.2017 To, že cesta začíná u vlastních dveří (ne tedy na zastávce veřejné dopravy) a u jiných dveří zase končí, si uvědomuje stále více dopravců. Soustřeďují se pak i v osobní přepravě na to, čemu se v nákladní dopravě říká „logistický řetězec“ – tedy na usnadnění přepravy z východiska do cíle s využitím různých druhů dopravy. S řešením podporující tento přístup přicházejí v lednu 2017 Švýcarské spolkové dráhy (SBB), které nabízejí aplikaci SBB Reiseplaner. SBB Reiseplaner funguje v operačních systémech iOS a Android. Je založen na platformě Hafas od německé IT firmy HaCon. Hafas představuje univerzální aplikaci pro inteligentní systémy v hromadné dopravě, od plánování cesty po mobilní jízdenkové systémy a správu vozového parku.

Celý článek zde

MIT vytvořil dopravní model z údajů o poloze uživatelů mobilních telefonů

5.9.2016 Údaje o východiscích a cílech cest jsou nezbytným předpokladem pro plánování městské mobility, počínaje vedením linek městské dopravy a konče silniční infrastrukturou a jejím vybavením. Obzvláště to platí při realizaci konceptu smart city. Tradičním způsobem se takováto data získávají z průzkumů mezi obyvateli. Vědci z Massachusettského Technologického institutu (MIT) v USA ve spolupráci s automobilkou Ford Motor Company prezentovali na konci srpna 2016 odborné veřejnosti počítačový systém, který tato data získává ze záznamů mobilních operátorů o poloze volajících osob. Model byl aplikován na 3,5miliónovou aglomeraci Bostonu, hlavního města amerického státu Massachusetts. Celý článek zde

Philips a Vodafone společně pro chytré osvětlení ve smart cities

23.3.2016 Internet věcí, tedy identifikace věcí a jejich sledování po internetu, nachází stále více uplatnění i v rámci konceptu smart city . Jeho hlavní využití je především v efektivním řízení městské mobility a dalších městských služeb, včetně veřejného osvětlení. K tomuto účelu se v polovině března 2016 spojili dva světoví lídři – dodavatel osvětlovacích technologií Philips a globální společnost v oblasti konektivity Vodafone – při společné nabídce systémů veřejného osvětlení pro smart cities. Nabízené řešení pro inteligentní veřejné osvětlení je stavěno na produktu Philips CityTouch. Jeho základem je softwarová platforma, umožňující pomocí webových aplikací efektivně a jednoduše řídit veřejné osvětlení podle okamžitých podmínek a požadavků. Celý článek zde

iCity Platform: systémová architektura představena veřejnosti

7.7.2015 Jedním projektů pro rozvoj konceptu smart city, který na našem portále průběžně sledujeme, je mezinárodní projekt iCity. Jeho hlavním výstupem je informační platforma iCity Platform, umožňující široký veřejný přístup k potřebným datům na bázi otevřených dat. V červnu 2015 byla široké veřejnosti představena systémová architektura této informační platformy, jako pokračování první oficiální prezentace na březnové konferenci Net Futures v Bruselu. Projekt iCity, jakožto jeden z pilotních projektů konceptu „smart city“ v Evropě, využívá moderní technologie pro efektivní řízení základních životních funkcí města. Celý článek zde