Przegląd bezpieczeństwa

1. Postawa bezpieczeństwa platformy

ScadaHud został zbudowany dla środowisk OT, w których dostępność, integralność danych i odpowiedzialność operatora liczą się bardziej niż nowości. Bezpieczeństwo to nie dołączany moduł; przebiega przez każdą warstwę platformy.

• Najpierw lokalnie. Dane operacyjne pozostają w Twojej sieci. Łączność z chmurą jest opcjonalna, nigdy wymagana.
• TLS wszędzie. Cały ruch północ-południe i wschód-zachód między komponentami ScadaHud jest domyślnie szyfrowany TLS.
• Zaszyfrowany skarbiec poświadczeń. Hasła urządzeń, klucze API i inne tajemnice są szyfrowane w spoczynku przy użyciu klucza powiązanego z instalacją platformy.
• Kontrola dostępu oparta na rolach (RBAC). Każdy moduł honoruje jeden katalog użytkowników i model ról. Operatorzy widzą tylko to, do czego są uprawnieni.
• LDAP / Active Directory. Natywna integracja z korporacyjnymi systemami tożsamości dla scentralizowanego uwierzytelniania, mapowania grup i odłączania.
• Niezmienialny dziennik audytu. Każda akcja operatora (potwierdzenia, odkładanie, edycje konfiguracji, zmiany wartości zadanej, próby logowania) jest rejestrowana w dzienniku audytu typu append-only.
• Zarządzanie certyfikatami. Pierwszorzędne wsparcie dla certyfikatów klienta OPC UA i MQTT, z narzędziami odnawiania i rotacji.

2. Izolacja sieci i air-gap

ScadaHud może działać w sieciach całkowicie izolowanych. Produkt nie wymaga wychodzącego połączenia z internetem do działania, sprawdzania licencji ani raportowania telemetrii. Aktywację licencji można przeprowadzić offline.

3. Bezpieczne tworzenie

• Przeglądy kodu i skanowanie podatności zależności przed wydaniem
• Powtarzalne buildy z podpisanymi instalatorami
• Obrona w głąb przeciwko OWASP Top 10 w warstwie webowej
• Wzmocnione domyślne ustawienia: TLS włączony, RBAC włączony, audyt włączony

4. Zgodność ze standardami

Tam, gdzie ma to zastosowanie, funkcje ScadaHud są zaprojektowane zgodnie z powszechnie przyjętymi standardami branżowymi:

• ISA-101 dla konwencji projektowania HMI o wysokiej wydajności
• ISA-18.2 dla cyklu życia zarządzania alarmami i metryk wydajności
• ISA-95 dla czystych granic integracji korporacyjnej (MES / ERP)
• OPC UA i MQTT (zgodne ze Sparkplug B) dla interoperacyjnej łączności urządzeń

5. Bezpieczeństwo witryny

scadahud.com jest dostarczana po HTTPS z upgrade-insecure-requests w stylu HSTS. Zgłoszenia formularzy są przesyłane przez TLS do punktu końcowego Node.js, który przekazuje je do naszej skrzynki przez uwierzytelniony przekaźnik SMTP. Nie uruchamiamy skryptów śledzących ani reklamowych firm trzecich na witrynie marketingowej.

6. Zgłaszanie podatności

Jeśli uważasz, że znalazłeś problem bezpieczeństwa w platformie ScadaHud lub tej witrynie, prosimy wysłać e-mail na support@scadahud.com z możliwie największą liczbą szczegółów. Potwierdzimy odbiór w ciągu dwóch dni roboczych i będziemy współpracować z Tobą w dobrej wierze nad zbadaniem i naprawą.

Prosimy nie ujawniać problemu publicznie, dopóki nie będziemy mieli rozsądnej możliwości jego rozwiązania. Chętnie wymienimy zgłaszających w naszych notatkach wydania.

7. Obowiązki klienta

Wdrożenia przemysłowe to wspólna odpowiedzialność. ScadaHud dostarcza opisane powyżej kontrole platformy; Ty odpowiadasz za:

• Segmentację sieci między strefami OT i IT
• Bezpieczeństwo fizyczne stacji roboczych operatora i paneli PC
• Łatanie systemu operacyjnego maszyny hosta
• Procedury kopii zapasowych i odtwarzania po awarii dla bazy danych historiana
• Mocne hasła i terminowe odłączanie użytkowników w Twoim systemie tożsamości