An ninh mạng của ngành dầu khí giai đoạn thượng nguồn (Phần 1)

Dầu khí trông có vẻ là một ngành công nghiệp mà hacker sẽ không nhắm đến. Nhưng sự thật lại không như vậy. Các rủi ro an ninh mạng mỗi lúc một gia tăng cùng chiều với sự xuất hiện của các mối liên kết dựa trên dữ liệu giữa giàn khoan, nhà máy lọc dầu, và trụ sở chính. Trong một thế giới ngày càng được kết nối như hiện tại, vậy bằng cách nào mà các công ty dầu khí có thể bảo vệ bản thân đây?

Giới thiệu về những mối rủi ro và đe dọa đang ngày càng gia tăng

NHIỀU năm liền, những kẻ tấn công mạng đã nhắm vào các công ty dầu thô và khí đốt tự nhiên, những cuộc tấn công ngày một thường xuyên, tinh vi, và hiệu quả hơn bởi ngành công nghiệp này sử dụng ngày càng nhiều công nghệ kết nối. Nhưng sự tăng trưởng mạng của ngành lại tương đối thấp, và Hội đồng Dầu khí cho thấy sự đánh giá chiến lược còn khá hạn chế đối với vấn đề mạng.

Tại sao lại như vậy? Có lẽ do chính ngành công nghiệp này, tham gia vào việc thăm dò, phát hiện, và khai thác dầu khí nên họ cảm thấy họ không có vẻ gì là sẽ trở thành đối tượng cho các cuộc tấn công mạng này. Việc kinh doanh cũng chẳng liên quan gì đến byte dữ liệu. Ngoài ra, việc vận hành từ xa và cấu trúc dữ liệu phức tạp của ngành tạo ra một lớp phòng thủ tự nhiên. Nhưng với động cơ ngày một tiến hóa của hacker, từ khủng bố mạng đến gián điệp, làm gián đoạn vận hành, rồi đến đánh cắp dữ liệu, ngày càng nhiều công ty vận hành dựa trên công nghệ kết nối, dẫn đến rủi ro tăng nhanh.

Những bộ phận khác nhau trong việc kinh doanh dầu khí, theo lẽ tự nhiên, gặp những rủi ro có mức độ khác nhau và cần những chiến lược khác nhau. Trong bài này, chúng ta sẽ khám phá chuỗi giá trị của giai đoạn thượng nguồn (khâu đầu) trong ngành dầu khí (gồm thăm dò, phát hiện, và khai thác) để đánh giá điểm yếu của từng khâu vận hành mạng cũng như phát thảo chiến lược giảm thiểu rủi ro.

Trong khâu đầu, thăm dò và khai thác có lược đồ rủi ro cao nhất. Trong khi việc phát họa cấu trúc địa chất có lược đồ rủi ro tương đối thấp hơn, việc kinh doanh đang phát triển này cần được số hóa, lưu trữ điện tử (e-store), và cung cấp dữ liệu địa chấn cho các ngành khác có thể gia tăng lược đồ rủi ro của ngành trong tương lai. Một chương trình quản lý rủi ro toàn diện an toàn, cẩn thận, và kiên cố không chỉ có thể giảm thiểu rủi ro mạng trong khâu dễ bị tấn công nhất, mà còn đảm bảo cả ba nhu cầu hoạt động của công ty thượng nguồn: sự an toàn của con người, độ tin cậy của hoạt động, và sự sáng tạo giá trị mới.

Rũ bỏ những mối nguy hại về mạng

Trong năm 2016, ngành công nghiệp năng lượng là ngành thứ hai dễ bị tấn công mạng nhất, với gần ba phần tư công ty dầu khí ở Mỹ gặp phải sự cố mạng ít nhất một lần. Nhưng trong báo cáo hàng năm mới đây của họ, chỉ có số ít công ty xem vi phạm mạng là một rủi ro lớn. Trên thực tế, nhiều công ty còn xếp rủi ro mạng chung với những rủi ro khác như tình trạng bất ổn dân sự, tranh chấp lao động, và gián đoạn thời tiết; vô số công ty dầu khí không thuộc Hoa Kỳ còn chẳng thèm đề cập đến từ “mạng” lấy một lần trong báo cáo hơn cả trăm trang của họ.

Đáng ngại hơn, ngày càng nhiều các cuộc tấn công mạng đang diễn ra trên Hệ thống điều khiển công nghiệp (ICS) ở các công ty dầu khí thượng nguồn, đẩy sự an toàn của công nhân, uy tín công ty, và hoạt động cũng như môi trường, vào nguy hiểm. Dù hacker sử dụng spyware nhắm vào dữ liệu đấu thầu của các lĩnh vực, xâm nhiễm malware vào hệ thống kiểm soát sản xuất, hay tấn công từ chối dịch vụ khiến lưu lượng thông tin truyền đến hệ thống kiểm soát bị chặn, thì chúng cũng đang dần trở nên tinh vi và (một đặc biệt đáng lo ngại) thực hiện những cuộc tấn công có tổ chức nhắm vào ngành công nghiệp này. Lấy ví dụ năm 2014, bọn hacker đã thực hiện một cuộc tấn công toàn diện lên 50 công ty dầu khí ở Châu Âu, bằng cách sử dụng phiên bản Trojan tiên tiến và tấn công giả mạo danh tính (phishing) được tính toán kỹ lưỡng.

Không có gì bất ngờ khi xác định các cuộc tấn công là công việc khó khăn. Điều gây khó khăn cho nỗ lực phòng thủ là động cơ của chúng đều mờ mịt như nhau. Theo Hệ thống Điều khiển công nghiệp Nhóm ứng phó khẩn cấp không gian mạng (ICS-CERT), có hơn một phần ba các cuộc tấn công nhắm vào cơ sở hạ tầng trong năm 2015 đều khó theo dõi hay sở hữu một nơi “trung gian lây nhiễm” chưa xác định. Đó là lý do vì sao mà những cuộc vi phạm mạng không thể bị phát hiện trong vòng nhiều ngày, và tại sao những cuộc tấn công như Shamoon, một malware đã xóa dữ liệu của 30,000 máy tính tại các công ty dầu khí ở Trung Đông trong năm 2012, cứ liên tục tái xuất không ở dạng này thì ở dạng khác.

Thật vậy, một con số ước tính đã đặt ra cho chi phí trung bình hàng năm của công ty năng lượng chi cho tội phạm mạng chỉ ở khoảng 15 triệu đô. Nhưng một sự cố lớn có thể dễ dàng xảy ra và con số này sẽ lên đến hàng trăm triệu đô, quan trọng hơn thế nữa, đặt mạng sống công nhân và môi trường lân cận vào nguy hiểm. Nếu kẻ tấn công mạng thao túng số liệu xi măng đến từ giếng khoan đang được khai thác ở ngoài khơi, ngắt kết nối máy giám sát khi đang trong quá trình khoan đào, hay trì hoãn lưu lượng dữ liệu cần thiết để thiết bị chống phun ngăn việc tràn dầu, thì hậu quả sẽ vô cùng khôn lường.

Số hóa thổi phồng nhiều thách thức

Ngoại trừ thân thế là “cơ sở hạ tầng trọng yếu” của ngành thượng nguồn, thì hệ sinh thái phức tạp của máy tính, mạng lưới, và các quy trình vận hành trải dài toàn thế giới khiến cho ngành công nghiệp này rất dễ bị tội phạm mạng tấn công; nói cách khác, nền công nghiệp này có một bề mặt tấn công vô cùng rộng và có vô số trung gian để tấn công. Lấy ví dụ một công ty dầu khí lớn, sử dụng nửa triệu bộ xử lý chỉ để mô phỏng hồ chứa dầu và khí đốt; tạo, truyền và lưu trữ hàng petabyte dữ liệu nhạy cảm và có tính cạnh tranh; và vận hành, sử dụng chung hàng ngàn giàn khoan và hệ thống kiểm soát sản xuất có ảnh hưởng đến nhiều mặt như khu vực địa lý, lĩnh vực, đại lý, nhà cung cấp dịch vụ, và đối tác.

Điều làm điểm yếu này thêm trầm trọng là sự mâu thuẫn trong các ưu tiên giữa bộ phận công nghệ vận hành (OT) và bộ phận công nghệ thông tin (IT) của công ty. Hệ thống vận hành nằm gần công trình giàn khoan và giếng như máy cảm biến và bộ điều khiển lập trình được nhằm thực hiện các công việc với tính khả dụng 24/7 làm thuộc tính chính của chúng, tiếp sau đó là tính toàn vẹn và bảo mật. Ngược lại, hệ thống công nghệ thông tin như hoạch định nguồn lực doanh nghiệp lại ưu tiên tính bảo mật, toàn vẹn, rồi mới đến khả dụng. Sự xung đột của những mục tiêu này – an toàn so với an ninh – xảy ra trong phòng kiểm soát khoan đào và khai thác, nơi kỹ sư lo sợ rằng các biện pháp bảo mật IT nghiêm ngặt có thể làm trễ nãi nghiêm trọng đến hệ thống kiểm soát thời điểm quan trọng, ảnh hưởng đến việc đưa quyết định và phản ứng hoạt động.

Việc thiết lập kỹ thuật cho ICS cũng mang đến những thách thức bảo mật cố hữu. Phần lớn những quyết định về phần mềm ICS thường không được đưa ra bởi nhóm IT của công ty, thay vào đó là ở cấp lĩnh vực hay đơn vị. Điều này dẫn đến sản phẩm đến từ nhiều nguồn cung cấp bảo mật IT khác nhau có công nghệ khác nhau cùng với những tiêu chuẩn bảo mật IT khác nhau. Vòng đời sản phẩm kéo dài hơn cả thập kỷ của giếng khoan, hệ thống ICS, việc mua bán tài sản đang diễn ra đã làm tăng thêm tính đa dạng cho vấn đề, điều đó thường xuyên gây khó khăn cho việc tính toán, tiêu chuẩn hóa, nâng cấp cũng như cải tiến hệ thống. Có khoảng 1,350 công ty dầu khí trên toàn cầu đã tham gia sản xuất hơn 25 năm, họ sử dụng những hệ thống và trang bị từ nhiều nước khác nhau trong suốt thời kỳ đó.

Sự phát triển của số hóa và kết nối trong việc vận hành đã gia tăng rủi ro mạng. Nó đã từng thấp hơn bởi sự tách biệt về hệ thống và sự phân quyền trong bảo mật cấp đơn vị. Nhưng ngày nay, công nghệ kết nối, vẫn đang được hình thành trong lĩnh vực “mỏ dầu số” hay lĩnh vực công nghệ thông minh, đã mở ra một nơi trung gian để tấn công hoàn toàn mới mẻ cho hacker bằng cách kết nối với các hoạt động thượng nguồn trong thời gian thực. Chẳng hạn như dạo gần đây, Shell đã thiết kế một giếng khoan, và điều khiển tốc độ lẫn áp suất của việc khoan đào ở Vaca Muerta, Argentina từ một trung tâm vận hành từ xa ở Canada.

Điều làm công nghệ Internet vạn vật (IoT) quyền lực nhưng cũng dễ bị tấn công như vậy là bởi khả năng tạo, giao tiếp, tổng hợp, phân tích, và hành động dựa trên dữ liệu – đây là những giai đoạn của vòng lặp giá trị thông tin của Deloitte. Những giai đoạn này được kích hoạt thông qua công nghệ cảm biến, thông thường là hệ thống mạng kết nối không dây và vài công cụ phân tích tự động. Mỗi bước đều dễ bị tấn công bởi lỗ hổng an ninh trong hệ thống ICS kế thừa và hệ sinh thái thượng nguồn phức tạp. Ngành công nghiệp dầu khí thượng nguồn có hai thách thức mạng chính, đó là bảo vệ giá trị đã được tạo ra và cảnh giác trong việc triển khai IoT trong tương lai.

Hơn thế nữa, thiết bị đo thông minh ở cấp lĩnh vực – những thiết bị này có thể tự xử lý, phân tích, và hành động dựa trên dữ liệu đã thu thập được gần với hoạt động hơn là trung tâm lưu trữ và xử lý tập trung – đã đẩy rủi ro mạng lên tuyến đầu của các công ty thượng nguồn. Lấy ví dụ một hacker có dã tâm có thể làm chậm quá trình trích xuất dầu bằng cách thay đổi tốc độ động cơ và công suất nhiệt máy bơm tích hợp (“tiền tuyến” của quy trình sản xuất dầu) thông qua việc thay đổi các lệnh tốc độ được gửi từ bộ điều khiển tối ưu hóa nội bộ.

Với việc áp dụng và thâm nhập của công nghệ kết nối đi trước hoạt động an ninh mạng như hiện tại, không chỉ thông tin và giá trị được tạo ra bởi IoT mới gặp rủi ro, mà chi phí cơ hội trong tương lai – bao gồm an toàn tính mạng và tác động môi trường – cũng đang bị đe dọa.

Thegioibantin.com | Vina-Aspire News