Cyberbezpieczeństwo urządzeń przemysłowych – jak chronić maszyny i dane?

Cyberbezpieczeństwo urządzeń przemysłowych nie sprowadza się do instalacji programu antywirusowego na komputerze operatora. Obejmuje ochronę maszyn, sterowników, sieci przemysłowych, systemów sterowania, danych produkcyjnych oraz ludzi i procesów, od których zależy bezpieczne funkcjonowanie zakładu.

Po lekturze zrozumiesz, czym bezpieczeństwo OT różni się od bezpieczeństwa IT, jak identyfikować najważniejsze ryzyka, jak segmentować sieć przemysłową, bezpiecznie organizować dostęp zdalny, zarządzać podatnościami oraz przygotować zakład na incydent. Artykuł pomoże również ustalić kolejność inwestycji i dobrać zabezpieczenia do dojrzałości organizacji.

Czym jest cyberbezpieczeństwo urządzeń przemysłowych?

Cyberbezpieczeństwo urządzeń przemysłowych to zbiór technologii, procesów i zasad służących ochronie systemów OT, ICS oraz IIoT przed nieautoryzowanym dostępem, zakłóceniem pracy, manipulacją, utratą danych i fizycznymi skutkami cyberataku.

Zakres ochrony obejmuje między innymi:

• sterowniki PLC, PAC i RTU,
• systemy DCS oraz SCADA,
• panele operatorskie HMI,
• komputery i stacje inżynierskie,
• serwery historyzujące dane,
• roboty przemysłowe i obrabiarki CNC,
• przemienniki częstotliwości, serwonapędy i kontrolery ruchu,
• systemy bezpieczeństwa SIS,
• czujniki, bramy i urządzenia IIoT,
• sieci Ethernet przemysłowego i sieci bezprzewodowe,
• systemy MES, APS, WMS i platformy analityczne,
• połączenia między produkcją, systemami IT i chmurą,
• dokumentację techniczną, receptury, programy PLC i konfiguracje urządzeń.

W praktyce przedmiotem ochrony nie jest wyłącznie samo urządzenie. Chroniony jest cały proces przemysłowy: od sygnału z czujnika, przez logikę sterownika, aż po system raportowania, utrzymanie ruchu i decyzje operatora.

OT, ICS i IIoT – podstawowe pojęcia

OT, czyli Operational Technology, obejmuje systemy monitorujące lub sterujące procesami fizycznymi.

ICS, czyli Industrial Control Systems, to systemy sterowania przemysłowego, takie jak SCADA, DCS, PLC i związana z nimi infrastruktura.

IIoT, czyli Industrial Internet of Things, oznacza przemysłowe urządzenia połączone z siecią, które gromadzą lub wymieniają dane, często z platformami chmurowymi.

Granice tych kategorii coraz częściej się zacierają. Sterownik może komunikować się z systemem MES, platforma IIoT może pobierać dane z linii produkcyjnej, a dostawca maszyny może zdalnie diagnozować jej działanie. Każde takie połączenie zwiększa możliwości operacyjne, ale tworzy też kolejną potencjalną ścieżkę ataku.

Dlaczego cyberbezpieczeństwo maszyn różni się od bezpieczeństwa IT?

W środowisku biurowym głównym celem jest zazwyczaj ochrona poufności, integralności i dostępności informacji. W środowisku przemysłowym priorytety są inne.

Najważniejsze są zwykle:

1. bezpieczeństwo ludzi,
2. bezpieczeństwo procesu i środowiska,
3. ciągłość produkcji,
4. integralność parametrów sterowania,
5. dostępność maszyn,
6. jakość produktu,
7. poufność danych i własności intelektualnej.

Błąd w systemie IT może uniemożliwić odczytanie poczty. Błąd w systemie OT może zatrzymać linię, uszkodzić urządzenie, zmienić skład produktu albo doprowadzić do sytuacji niebezpiecznej dla pracowników.

Najważniejsze różnice między IT i OT

Obszar	Środowisko IT	Środowisko OT
Główny cel	Ochrona informacji	Bezpieczna i ciągła praca procesu
Cykl życia	Zwykle kilka lat	Często 10–25 lat lub dłużej
Aktualizacje	Regularne i stosunkowo częste	Zależne od testów, okien serwisowych i zgody producenta
Restart	Zwykle akceptowalny	Może zatrzymać produkcję lub stworzyć zagrożenie
Protokoły	Najczęściej standardowe i zabezpieczone	Często starsze, własnościowe lub bez uwierzytelniania
Widoczność zasobów	Zwykle wysoka	Często niepełna lub rozproszona
Testy bezpieczeństwa	Możliwe skanowanie aktywne	Aktywne testy mogą zakłócić pracę urządzeń
Reakcja na incydent	Izolacja systemu i odtworzenie	Najpierw bezpieczeństwo procesu i kontrolowane zatrzymanie
Odpowiedzialność	Głównie dział IT	Produkcja, automatyk, utrzymanie ruchu, IT, BHP i dostawcy

Z tego powodu nie należy bezpośrednio przenosić wszystkich praktyk z IT do hali produkcyjnej. Skan podatności, automatyczna aktualizacja lub natychmiastowe odłączenie urządzenia mogą być technicznie uzasadnione, ale operacyjnie niebezpieczne.

Jakie urządzenia i dane trzeba chronić?

Punktem wyjścia nie jest zakup narzędzia, lecz ustalenie, co rzeczywiście znajduje się w środowisku produkcyjnym.

Najważniejsze kategorie urządzeń

Inwentaryzacja powinna objąć co najmniej:

• sterowniki i moduły wejść/wyjść,
• stacje operatorskie i inżynierskie,
• serwery SCADA, DCS i MES,
• systemy bezpieczeństwa funkcjonalnego,
• urządzenia sieciowe: przełączniki, routery, zapory i punkty dostępowe,
• serwery licencji, czasu, kopii zapasowych i aktualizacji,
• komputery przemysłowe,
• urządzenia mobilne używane przez serwis,
• interfejsy pomiędzy IT, OT i chmurą,
• modemy komórkowe oraz urządzenia zdalnego dostępu,
• maszyny dostarczone jako zamknięte systemy przez integratorów,
• urządzenia zapasowe przechowywane w magazynie.

Dla każdego zasobu warto zapisać właściciela biznesowego i technicznego, producenta, model, wersję oprogramowania lub firmware’u, adresację, lokalizację, funkcję w procesie, krytyczność, zależności oraz dostępne sposoby komunikacji.

Dane wymagające ochrony

W środowisku przemysłowym istotne są nie tylko dane osobowe i finansowe. Warto chronić również:

• programy sterowników i robotów,
• konfiguracje HMI, SCADA, DCS oraz napędów,
• receptury i parametry procesu,
• ustawienia systemów bezpieczeństwa,
• dokumentację elektryczną i technologiczną,
• dane o wydajności i jakości produkcji,
• historię alarmów oraz zdarzeń,
• hasła serwisowe, certyfikaty i klucze,
• projekty stacji inżynierskich,
• obrazy systemów i kopie konfiguracji,
• dokumentację dostawców,
• dane umożliwiające odtworzenie produkcji po awarii.

Utrata poufności receptury jest problemem biznesowym. Nieautoryzowana zmiana receptury może być już problemem jakościowym lub zagrożeniem dla bezpieczeństwa.

Najczęstsze zagrożenia dla maszyn i systemów przemysłowych

Atak na zakład nie zawsze zaczyna się od sterownika PLC. Częściej pierwszym celem jest komputer użytkownika, konto dostawcy, serwer dostępowy lub system IT połączony z produkcją.

Ransomware i przenikanie ataku z IT do OT

Ransomware może zaszyfrować serwery, stacje inżynierskie, systemy MES, repozytoria projektów lub systemy kopii zapasowych. Nawet jeśli sam sterownik nadal działa, organizacja może zatrzymać produkcję z powodu braku widoczności procesu, danych jakościowych, receptur lub możliwości bezpiecznego sterowania.

Szczególnie ryzykowne są:

• płaskie sieci łączące biuro i produkcję,
• wspólne konta administracyjne,
• współdzielone usługi katalogowe bez dodatkowych zabezpieczeń,
• brak przemysłowej strefy DMZ,
• otwarty ruch między segmentami,
• kopie zapasowe dostępne z tej samej domeny.

Nieautoryzowany dostęp zdalny

Dostęp serwisowy bywa uruchamiany tymczasowo, ale pozostaje aktywny przez lata. Zagrożenie tworzą zwłaszcza:

• modemy i routery podłączone poza kontrolą działu bezpieczeństwa,
• aplikacje zdalnego pulpitu instalowane bez zgody,
• współdzielone konta dostawców,
• brak uwierzytelniania wieloskładnikowego,
• stałe tunele VPN z szerokim dostępem,
• połączenia bez rejestrowania sesji,
• domyślne lub niezmieniane hasła.

Dostawca powinien uzyskiwać dostęp tylko do wskazanego systemu, na określony czas i po zatwierdzeniu przez uprawnioną osobę.

Błędy pracowników i działania wewnętrzne

Nie każdy incydent jest celowym atakiem. Źródłem problemu może być:

• podłączenie zainfekowanego nośnika USB,
• błędna zmiana konfiguracji,
• użycie prywatnego laptopa serwisowego,
• podłączenie nowej maszyny bez oceny bezpieczeństwa,
• utrata hasła albo tokenu,
• przypadkowe wyłączenie zabezpieczenia,
• wysłanie dokumentacji technicznej niewłaściwemu odbiorcy.

Ochrona OT wymaga zatem procedur, szkoleń i kontroli zmian, a nie tylko zabezpieczeń sieciowych.

Ataki na łańcuch dostaw

Maszyna może zostać dostarczona z podatnym systemem operacyjnym, aktywnym kontem serwisowym lub nieudokumentowanym modułem komunikacyjnym. Ryzyko może pochodzić z oprogramowania producenta, aktualizacji, biblioteki zewnętrznej albo infrastruktury integratora.

Wymagania cyberbezpieczeństwa powinny pojawić się już w zapytaniu ofertowym i umowie, a nie dopiero podczas odbioru maszyny.

Manipulacja procesem

Najbardziej zaawansowany atak może dotyczyć nie danych, lecz logiki procesu. Napastnik może próbować:

• zmienić program PLC,
• wyłączyć alarm,
• zmodyfikować wartość zadaną,
• podmienić wskazania operatora,
• zmienić konfigurację napędu,
• zakłócić działanie systemu bezpieczeństwa,
• powodować krótkie, trudne do wykrycia odchylenia jakościowe.

Dlatego monitoring powinien uwzględniać nie tylko ruch sieciowy, lecz także zmiany konfiguracji, logiki i parametrów procesu.

Od czego zacząć ochronę środowiska OT?

Skuteczny program powinien wynikać z ryzyka i krytyczności procesu. Nie wszystkie urządzenia wymagają takich samych zabezpieczeń.

1. Inwentaryzacja zasobów i połączeń

Organizacja powinna wiedzieć:

• jakie urządzenia działają w sieci,
• gdzie się znajdują,
• za jaki proces odpowiadają,
• z czym się komunikują,
• kto nimi zarządza,
• jak można uzyskać do nich dostęp,
• jaka będzie konsekwencja awarii lub przejęcia.

W środowisku produkcyjnym bezpieczniejsza jest najczęściej pasywna identyfikacja urządzeń na podstawie ruchu sieciowego. Aktywne skanowanie powinno zostać przetestowane i zatwierdzone przez właścicieli procesu.

Sama lista adresów IP nie jest pełną inwentaryzacją. Potrzebny jest kontekst: funkcja urządzenia, krytyczność, wersja oprogramowania, zależności oraz właściciel.

2. Klasyfikacja krytyczności

Urządzenia warto oceniać nie tylko według wartości finansowej. Należy uwzględnić wpływ na:

• zdrowie i życie ludzi,
• środowisko,
• możliwość bezpiecznego zatrzymania procesu,
• wielkość utraconej produkcji,
• jakość produktu,
• zobowiązania wobec klientów,
• czas i koszt odtworzenia,
• zgodność z prawem,
• reputację organizacji.

Sterownik niewielkiej instalacji pomocniczej może być bardziej krytyczny niż kosztowny robot, jeśli jego awaria zatrzyma cały zakład.

3. Analiza ryzyka

Ryzyko można opisać jako połączenie:

• prawdopodobieństwa wystąpienia scenariusza,
• podatności systemu,
• ekspozycji,
• możliwości wykrycia,
• konsekwencji dla procesu.

Analiza powinna opierać się na scenariuszach. Zamiast pytać wyłącznie „czy urządzenie ma podatność?”, lepiej zapytać: „co się stanie, jeżeli dostawca utraci konto, napastnik przejmie stację inżynierską i zmieni program sterownika?”.

Ocena CVSS nie wystarcza. Podatność o wysokiej punktacji może dotyczyć nieużywanej funkcji, a luka oceniona niżej może umożliwiać istotną zmianę procesu.

Segmentacja sieci przemysłowej

Segmentacja ogranicza możliwość swobodnego przemieszczania się napastnika i zmniejsza zasięg awarii.

Strefy i kanały komunikacyjne

Popularnym podejściem jest podział środowiska na strefy o podobnym poziomie ryzyka i funkcji, a następnie kontrolowanie komunikacji pomiędzy nimi.

Oddzielić można między innymi:

• sieć korporacyjną,
• przemysłową strefę DMZ,
• systemy zarządzania produkcją,
• poszczególne linie lub instalacje,
• systemy bezpieczeństwa,
• urządzenia IIoT,
• środowisko dostępu zdalnego,
• systemy laboratoryjne i testowe,
• infrastrukturę zarządzającą.

Komunikacja między strefami powinna być dozwolona tylko wtedy, gdy jest potrzebna do realizacji konkretnej funkcji.

Rola przemysłowej strefy DMZ

DMZ pośredniczy między IT i OT. Mogą się w niej znajdować:

• serwer pośredniczący do zdalnego dostępu,
• repozytorium aktualizacji,
• serwer transferu plików,
• replika danych historycznych,
• systemy monitoringu,
• serwer uwierzytelniający przeznaczony dla OT,
• usługi wymiany danych z chmurą.

Bezpośrednie połączenie komputera biurowego ze sterownikiem lub panelem HMI powinno być wyjątkiem, a nie standardem.

Mikrosegmentacja i zapory przemysłowe

W krytycznych instalacjach warto ograniczać komunikację również wewnątrz sieci produkcyjnej. Zapora może dopuścić wyłącznie konkretny protokół między stacją inżynierską a określonym sterownikiem.

Reguły powinny wynikać z udokumentowanych przepływów, a nie z zasady „zezwól na wszystko w sieci OT”.

Kontrola dostępu i zarządzanie tożsamością

Każde konto powinno mieć właściciela, zakres uprawnień i uzasadnienie biznesowe.

Podstawowe zasady dostępu

Należy stosować:

• indywidualne konta zamiast kont współdzielonych,
• zasadę najmniejszych uprawnień,
• rozdzielenie kont zwykłych i administracyjnych,
• wieloskładnikowe uwierzytelnianie, jeśli technologia na to pozwala,
• centralne przechowywanie kont uprzywilejowanych,
• regularne przeglądy uprawnień,
• automatyczne wygaszanie dostępu czasowego,
• natychmiastowe odbieranie dostępów po zakończeniu współpracy,
• rejestrowanie operacji administracyjnych.

Nie każde starsze urządzenie obsłuży nowoczesne mechanizmy uwierzytelniania. Wtedy należy zastosować zabezpieczenia kompensacyjne, np. serwer pośredniczący, ograniczenie źródłowych adresów IP, fizyczną blokadę portu lub kontrolę sesji.

Bezpieczny dostęp zdalny

Dobra architektura dostępu zdalnego obejmuje:

1. zatwierdzenie potrzeby dostępu,
2. uwierzytelnienie wieloskładnikowe,
3. połączenie przez kontrolowany punkt dostępowy,
4. ograniczenie dostępu do wskazanej maszyny,
5. aktywację na określony czas,
6. rejestrowanie sesji i działań,
7. możliwość natychmiastowego przerwania połączenia,
8. przegląd wykonanych zmian.

Stały VPN zapewniający dostawcy dostęp do całej podsieci produkcyjnej jest łatwy w obsłudze, ale trudny do kontroli.

Zarządzanie podatnościami i aktualizacjami

W OT zarządzanie podatnościami nie oznacza automatycznego instalowania każdej poprawki.

Jak oceniać podatność urządzenia przemysłowego?

Przed podjęciem decyzji należy ustalić:

• czy dana wersja rzeczywiście jest używana,
• czy podatna funkcja jest aktywna,
• czy urządzenie jest osiągalne ze strefy zagrożenia,
• czy istnieje publicznie dostępny exploit,
• czy podatność jest aktywnie wykorzystywana,
• jaki byłby wpływ wykorzystania luki na proces,
• czy producent zatwierdził poprawkę,
• czy możliwe jest przetestowanie aktualizacji,
• jakie zabezpieczenie kompensacyjne można zastosować.

Kiedy nie można zainstalować poprawki?

Aktualizacja może być odłożona, gdy:

• wymaga zatrzymania procesu bez dostępnego okna serwisowego,
• producent nie potwierdził zgodności,
• system jest objęty gwarancją lub certyfikacją,
• poprawka koliduje z aplikacją sterującą,
• urządzenie nie ma już wsparcia,
• istnieje ryzyko utraty konfiguracji.

Odroczenie nie powinno jednak oznaczać ignorowania problemu. Można ograniczyć komunikację, wyłączyć zbędną usługę, odseparować urządzenie, zwiększyć monitoring lub zezwolić na dostęp wyłącznie przez kontrolowaną stację pośredniczącą.

Systemy niewspierane

Starszy system operacyjny nie zawsze może zostać szybko wymieniony. Powinien jednak zostać objęty planem postępowania zawierającym:

• izolację sieciową,
• listę dozwolonych połączeń,
• ograniczenie portów i usług,
• zakaz bezpośredniego dostępu do internetu,
• kontrolę nośników wymiennych,
• kopię obrazu i konfiguracji,
• zapasowy sprzęt lub maszynę wirtualną,
• harmonogram migracji,
• formalną akceptację ryzyka.

Utwardzanie urządzeń i systemów

Hardening polega na ograniczeniu funkcji i usług do niezbędnego minimum.

Najważniejsze działania to:

• zmiana haseł domyślnych,
• usunięcie lub zablokowanie nieużywanych kont,
• wyłączenie zbędnych usług i protokołów,
• ograniczenie możliwości uruchamiania nieautoryzowanych aplikacji,
• blokada portów USB, jeśli nie są potrzebne,
• kontrola zmian w konfiguracji,
• szyfrowanie tam, gdzie jest wspierane i bezpieczne operacyjnie,
• bezpieczna konfiguracja BIOS lub UEFI,
• synchronizacja czasu,
• zabezpieczenie szaf sterowniczych,
• kontrola dostępu fizycznego,
• dokumentowanie konfiguracji bazowej.

W przypadku urządzeń wbudowanych należy również sprawdzić nieudokumentowane interfejsy, konta serwisowe, funkcje chmurowe i możliwość zdalnej administracji.

Monitoring i wykrywanie incydentów w OT

Organizacja nie ochroni środowiska, którego nie obserwuje.

Co warto monitorować?

Monitoring powinien obejmować:

• nowe lub nieznane urządzenia,
• zmiany komunikacji między strefami,
• próby logowania,
• użycie kont uprzywilejowanych,
• połączenia z internetem,
• uruchomienie nietypowych usług,
• zmianę programu PLC,
• zmianę konfiguracji HMI lub napędu,
• transfer plików do stacji inżynierskiej,
• użycie nośnika USB,
• zdalne sesje serwisowe,
• nietypowe wartości i sekwencje procesowe,
• wyłączenie systemu bezpieczeństwa lub alarmu.

Pasywny system detekcji sieciowej może rozpoznawać protokoły przemysłowe i budować obraz normalnej komunikacji bez wysyłania pakietów do urządzeń.

Kontekst procesowy jest niezbędny

Alarm techniczny nie zawsze oznacza incydent. Zmiana programu sterownika może być zaplanowaną pracą serwisową. Z kolei pozornie poprawna komunikacja może prowadzić do niebezpiecznej zmiany parametru.

Dlatego alerty powinny być oceniane wspólnie przez specjalistów bezpieczeństwa, automatyków i właścicieli procesu.

Kopie zapasowe i odtwarzanie produkcji

Kopia zapasowa jest użyteczna tylko wtedy, gdy można ją odtworzyć w wymaganym czasie.

Co należy kopiować?

Plan powinien uwzględniać:

• programy PLC, robotów i sterowników ruchu,
• projekty HMI, SCADA i DCS,
• konfiguracje przełączników, zapór i urządzeń IIoT,
• obrazy stacji inżynierskich i serwerów,
• receptury,
• bazy danych i historyczne dane procesu,
• licencje, certyfikaty oraz klucze,
• dokumentację techniczną,
• wersje oprogramowania instalacyjnego,
• instrukcje odtworzeniowe.

Warto przechowywać kopie w różnych lokalizacjach i technologiach, w tym co najmniej jedną kopię odseparowaną lub odporną na modyfikację.

RTO i RPO w środowisku przemysłowym

RTO określa maksymalny akceptowalny czas odtworzenia systemu.

RPO określa, ile danych organizacja może utracić, licząc od ostatniej poprawnej kopii.

Parametry powinny być ustalane dla konkretnych procesów. Inne wymagania może mieć serwer raportowy, a inne stacja sterująca linią o wysokiej wartości produkcji.

Test odtworzeniowy powinien potwierdzić nie tylko odzyskanie plików, lecz także możliwość uruchomienia systemu, komunikację z urządzeniami, zgodność wersji oraz poprawność procesu.

Reagowanie na incydenty przemysłowe

Plan reagowania IT nie wystarcza dla zakładu produkcyjnego. Musi uwzględniać bezpieczeństwo procesu i procedury technologiczne.

Kolejność działań podczas incydentu

Typowy model obejmuje:

1. wykrycie i weryfikację zdarzenia,
2. ocenę wpływu na ludzi i proces,
3. podjęcie decyzji o kontynuowaniu, ograniczeniu lub zatrzymaniu produkcji,
4. kontrolowaną izolację zagrożonych segmentów,
5. zabezpieczenie dowodów i danych,
6. usunięcie przyczyny,
7. odtworzenie systemów w ustalonej kolejności,
8. walidację techniczną i procesową,
9. wznowienie produkcji,
10. analizę przyczyn i wdrożenie działań naprawczych.

Automatyczne odcięcie całego środowiska OT może zwiększyć zagrożenie. Decyzje o izolacji powinny uwzględniać stan instalacji, możliwość ręcznego sterowania i procedury bezpiecznego zatrzymania.

Kto powinien uczestniczyć?

Zespół reagowania powinien obejmować przedstawicieli:

• produkcji,
• automatyki i utrzymania ruchu,
• IT i cyberbezpieczeństwa,
• bezpieczeństwa procesowego lub BHP,
• kierownictwa zakładu,
• działu prawnego i komunikacji,
• dostawców kluczowych systemów,
• ciągłości działania.

Scenariusze należy ćwiczyć. Ćwiczenie typu tabletop pozwala sprawdzić proces decyzyjny bez ingerowania w aktywną instalację.

Bezpieczeństwo dostawców i nowych maszyn

Najtańszym momentem na wdrożenie zabezpieczeń jest etap projektowania i zakupu.

Wymagania przed zakupem

Zapytanie ofertowe lub umowa powinny określać:

• zasady tworzenia i zarządzania kontami,
• brak niezmienialnych haseł domyślnych,
• obsługę aktualizacji bezpieczeństwa,
• deklarowany okres wsparcia,
• procedurę zgłaszania podatności,
• sposób bezpiecznego dostępu zdalnego,
• listę wymaganych portów i protokołów,
• możliwość eksportu konfiguracji i logów,
• wymagania dotyczące kopii zapasowych,
• dokumentację komponentów oprogramowania,
• sposób informowania o incydentach,
• terminy usuwania krytycznych podatności,
• możliwość wyłączenia usług chmurowych lub telemetrycznych,
• zgodność z architekturą i politykami zakładu.

Warto wymagać dokumentacji SBOM, czyli zestawienia komponentów oprogramowania, o ile jest ona dostępna i może być aktualizowana przez cały cykl życia produktu.

Odbiór maszyny

Przed dopuszczeniem do produkcji należy sprawdzić:

• rzeczywistą topologię połączeń,
• aktywne konta i usługi,
• wersje systemów i firmware’u,
• możliwość odtworzenia konfiguracji,
• obecność modemów i interfejsów bezprzewodowych,
• zasady aktualizacji,
• sposób działania dostępu serwisowego,
• zgodność z wymaganiami segmentacji,
• kompletność dokumentacji,
• odpowiedzialność za przyszłe zmiany.

Odbiór funkcjonalny nie powinien zastępować odbioru cyberbezpieczeństwa.

Normy, regulacje i dobre praktyki

Program ochrony OT można budować w oparciu o kilka uzupełniających się ram.

IEC 62443

Seria IEC 62443 koncentruje się na cyberbezpieczeństwie systemów automatyki i sterowania przemysłowego. Obejmuje wymagania dla właścicieli instalacji, integratorów, dostawców usług oraz producentów komponentów.

W praktyce wspiera między innymi:

• podział na strefy i kanały komunikacyjne,
• ocenę ryzyka,
• określanie poziomów bezpieczeństwa,
• bezpieczny cykl rozwoju produktu,
• wymagania dla komponentów i systemów,
• zarządzanie bezpieczeństwem instalacji.

NIST Cybersecurity Framework i NIST SP 800-82

NIST Cybersecurity Framework porządkuje działania w sześciu funkcjach:

• Govern,
• Identify,
• Protect,
• Detect,
• Respond,
• Recover.

NIST SP 800-82 dostarcza bardziej szczegółowych zaleceń dla systemów OT. Ramy NIST mogą być pomocne przy budowaniu programu, ocenie dojrzałości i komunikacji z zarządem.

ISO/IEC 27001

ISO/IEC 27001 dotyczy systemu zarządzania bezpieczeństwem informacji. Może obejmować środowisko produkcyjne, ale nie zastępuje wyspecjalizowanych praktyk OT. Najlepsze rezultaty daje połączenie zarządzania ryzykiem według ISO z technicznym podejściem właściwym dla automatyki przemysłowej.

NIS2, Cyber Resilience Act i wymagania sektorowe

NIS2 rozszerza wymagania dotyczące zarządzania ryzykiem, incydentów, ciągłości działania i bezpieczeństwa łańcucha dostaw w objętych nią sektorach. Zakres obowiązków organizacji zależy od sektora, wielkości, roli oraz krajowych przepisów wdrażających dyrektywę.

Cyber Resilience Act wprowadza wymagania dla produktów z elementami cyfrowymi, w tym dotyczące bezpieczeństwa produktu, obsługi podatności i raportowania. Część obowiązków zaczyna obowiązywać wcześniej niż pełny zestaw wymagań, dlatego producenci i importerzy powinni odpowiednio wcześnie przygotować procesy.

Zastosowanie mogą mieć również regulacje sektorowe, przepisy dotyczące maszyn, ochrony danych, infrastruktury krytycznej i bezpieczeństwa funkcjonalnego. Zakres prawny zawsze należy weryfikować dla konkretnej organizacji i aktualnego stanu przepisów.

Tabela decyzyjna: jakie zabezpieczenia wdrożyć w pierwszej kolejności?

Sytuacja	Największe ryzyko	Pierwsze działania	Kolejny krok
Brak pełnej listy urządzeń	Niewidoczne zasoby i połączenia	Pasywna inwentaryzacja, mapowanie sieci, przypisanie właścicieli	Klasyfikacja krytyczności i ciągłe wykrywanie zmian
Płaska sieć IT/OT	Szybkie rozprzestrzenienie ataku	Zapora na granicy, blokada zbędnego ruchu, kontrola połączeń	DMZ przemysłowa i segmentacja linii
Wielu dostawców ma stały VPN	Przejęcie konta i niekontrolowany dostęp	MFA, ograniczenie zakresu, dostęp czasowy	Serwer pośredniczący, PAM i nagrywanie sesji
Starsze, niewspierane systemy	Znane podatności bez poprawek	Izolacja, lista dozwolonych połączeń, kopia obrazu	Plan migracji i formalna akceptacja ryzyka
Brak sprawdzonych kopii PLC i HMI	Długotrwały przestój po awarii	Wykonanie i odseparowanie kopii	Regularne testy odtworzeniowe
Częste używanie USB	Wprowadzenie złośliwego oprogramowania	Dedykowana stacja kontroli nośników, procedura użycia	Blokada portów i bezpieczny transfer plików
Brak monitoringu OT	Późne wykrywanie ataku	Zbieranie logów z punktów dostępowych i zapór	Pasywna detekcja protokołów przemysłowych
Nowa linia produkcyjna	Wbudowanie podatności na wiele lat	Wymagania bezpieczeństwa w projekcie i umowie	Odbiór cyberbezpieczeństwa przed uruchomieniem
Ograniczony budżet	Rozproszone, mało skuteczne inwestycje	Inwentaryzacja, kopie, dostęp zdalny, segmentacja	Monitoring i systematyczne zarządzanie podatnościami
Proces o znaczeniu krytycznym	Skutki dla ludzi lub środowiska	Analiza scenariuszy, separacja systemów bezpieczeństwa	Redundancja, ćwiczenia i monitoring integralności procesu

Plan wdrożenia cyberbezpieczeństwa OT

Pierwsze 30 dni

• wyznacz właściciela programu OT,
• ustal kontakty do produkcji, automatyki, IT i kluczowych dostawców,
• zidentyfikuj połączenia z internetem i dostęp zdalny,
• zmień najważniejsze hasła domyślne,
• zabezpiecz istniejące kopie projektów PLC, HMI i SCADA,
• sprawdź, czy istnieje procedura zgłaszania incydentów,
• zablokuj nieużywane, szczególnie ryzykowne połączenia.

Od 30 do 90 dni

• zbuduj rejestr zasobów,
• sklasyfikuj najważniejsze procesy,
• wykonaj mapę przepływów IT–OT,
• uporządkuj konta dostawców,
• wdroż MFA dla dostępu zdalnego,
• przeprowadź test odtwarzania wybranego systemu,
• przygotuj plan segmentacji,
• ustal proces oceny podatności.

Od 3 do 12 miesięcy

• uruchom DMZ przemysłową,
• segmentuj linie i systemy krytyczne,
• wdroż monitoring sieci OT,
• utwórz proces kontroli zmian,
• zintegruj alerty OT z obsługą incydentów,
• wprowadź wymagania bezpieczeństwa do zakupów,
• przeprowadź ćwiczenia reagowania,
• przygotuj plan wymiany niewspieranych systemów.

Działania ciągłe

• aktualizuj inwentaryzację,
• przeglądaj uprawnienia,
• analizuj nowe podatności,
• testuj kopie i procedury awaryjne,
• sprawdzaj reguły zapór,
• oceniaj dostawców,
• szkol operatorów i automatyków,
• mierz czas wykrywania, reakcji i odtworzenia.

Mierniki skuteczności programu OT

Liczba zainstalowanych narzędzi nie jest miarą bezpieczeństwa. Lepsze wskaźniki to:

• procent zinwentaryzowanych urządzeń,
• procent zasobów z przypisanym właścicielem,
• udział krytycznych systemów objętych segmentacją,
• liczba nieautoryzowanych połączeń zdalnych,
• czas odebrania dostępu byłemu pracownikowi lub dostawcy,
• procent krytycznych konfiguracji objętych kopią,
• skuteczność testów odtworzeniowych,
• średni czas oceny nowej podatności,
• liczba niewspieranych systemów bez planu migracji,
• średni czas wykrycia i opanowania incydentu,
• liczba zmian programów PLC bez zatwierdzonego zlecenia,
• procent nowych maszyn przechodzących odbiór cyberbezpieczeństwa.

Wskaźniki powinny wspierać decyzje, a nie zachęcać do ukrywania problemów. Przykładowo spadek liczby alertów może oznaczać poprawę bezpieczeństwa, ale może też wynikać z awarii monitoringu.

Liczby i statystyki dotyczące cyberbezpieczeństwa przemysłowego

Dane z różnych raportów nie zawsze są bezpośrednio porównywalne. Część opisuje incydenty obsługiwane przez konkretną firmę, część ankiety, a część publicznie ujawnione przypadki. Mimo to pokazują one skalę problemu:

• Produkcja odpowiadała za około 25,7% incydentów obsługiwanych w 2023 roku w jednym z dużych globalnych zestawień reagowania na cyberataki. Był to trzeci rok z rzędu, w którym sektor produkcyjny zajmował pierwsze miejsce.
• W 2024 roku odnotowano około 1693 ataki ransomware na organizacje przemysłowe, co oznaczało wzrost o około 87% rok do roku w monitorowanym zbiorze zdarzeń.
• Średni globalny koszt naruszenia danych, liczony dla wszystkich sektorów, osiągnął w 2024 roku około 4,88 mln USD. W zakładzie produkcyjnym dodatkowym kosztem może być przestój, utrata materiału i ponowne uruchomienie procesu.
• Czynnik ludzki uczestniczył w około 68% analizowanych naruszeń bezpieczeństwa w jednym z największych przekrojowych raportów za 2024 rok. Kategoria obejmowała m.in. socjotechnikę, błędy i niewłaściwe użycie uprawnień.
• Dyrektywa NIS2 obejmuje 18 grup sektorów sklasyfikowanych jako sektory kluczowe lub inne sektory krytyczne.
• Cykl życia urządzenia przemysłowego często wynosi 10–25 lat, przez co maszyny pozostają w użyciu znacznie dłużej niż typowe systemy biurowe.
• Właściwe przygotowanie kopii powinno obejmować nie tylko pliki, ale również wersje środowisk inżynierskich, licencje, firmware i procedury uruchomienia. Popularna zasada 3-2-1 oznacza trzy kopie danych, dwa rodzaje nośników i jedną kopię poza głównym środowiskiem.

Najważniejszym wnioskiem nie jest sama liczba ataków. Zakłady produkcyjne są atrakcyjnym celem, ponieważ presja na szybkie wznowienie pracy zwiększa koszt incydentu i może skłaniać organizację do pochopnych decyzji.

Najczęstsze błędy

Traktowanie OT jak zwykłej sieci biurowej

Automatyczne skany, aktualizacje i restarty mogą zakłócić proces. Każde działanie techniczne powinno zostać ocenione pod kątem wpływu operacyjnego.

Zakładanie, że odizolowana maszyna jest bezpieczna

Nawet urządzenie bez połączenia z internetem może otrzymać dane z laptopa serwisowego, nośnika USB, systemu nadrzędnego albo zdalnego modułu producenta.

Poleganie wyłącznie na zaporze sieciowej

Zapora ogranicza ruch, ale nie zastępuje kopii zapasowych, kontroli kont, monitoringu, bezpiecznej konfiguracji ani reagowania na incydenty.

Brak właściciela ryzyka

Cyberbezpieczeństwo OT nie może być wyłączną odpowiedzialnością IT. Decyzje dotyczące produkcji wymagają udziału automatyków, utrzymania ruchu i właścicieli procesu.

Aktualizowanie wszystkiego albo niczego

Obie skrajności są błędne. Aktualizacje powinny być priorytetyzowane według ekspozycji, możliwości wykorzystania podatności i konsekwencji dla procesu.

Kupowanie narzędzi przed poznaniem środowiska

Platforma monitorująca nie rozwiąże problemu, jeśli organizacja nie ma właścicieli zasobów, procedur reakcji i osób zdolnych do interpretacji alarmów.

Brak testów odtwarzania

Informacja „backup zakończył się sukcesem” nie potwierdza, że linia może zostać uruchomiona po awarii.

Mity dotyczące cyberbezpieczeństwa przemysłowego

„Nasza sieć OT nie ma internetu, więc jest bezpieczna”

Brak bezpośredniego internetu zmniejsza ekspozycję, ale nie eliminuje ryzyka połączeń pośrednich, nośników USB, laptopów serwisowych ani błędów wewnętrznych.

„Sterowników PLC nikt nie atakuje”

Atakujący nie musi znać logiki procesu, aby zatrzymać produkcję. Wystarczy, że zaszyfruje stację inżynierską, serwer licencji lub system wizualizacji.

„Antywirus ochroni całą linię”

Antywirus jest jedną z warstw. Nie zabezpieczy urządzenia bez obsługi agenta, nie zatrzyma wszystkich zmian konfiguracji i nie zastąpi segmentacji.

„MFA rozwiązuje problem dostępu zdalnego”

MFA ogranicza ryzyko przejęcia konta, ale nadal potrzebne są ograniczenia zakresu, czasu, urządzenia docelowego i rejestrowanie sesji.

„Bezpieczeństwo spowalnia produkcję”

Źle zaprojektowane zabezpieczenia mogą utrudniać pracę. Dobrze zaprojektowane zwiększają stabilność, porządkują zmiany i skracają czas usuwania awarii.

Wyjątki i sytuacje wymagające szczególnego podejścia

Nie każdą rekomendację można wdrożyć identycznie.

• Systemy bezpieczeństwa SIS wymagają szczególnej separacji, kontroli zmian i zgodności z wymaganiami bezpieczeństwa funkcjonalnego.
• Instalacje pracujące ciągle mogą mieć bardzo rzadkie okna serwisowe, dlatego potrzebują testów poza środowiskiem produkcyjnym i zabezpieczeń kompensacyjnych.
• Maszyny objęte gwarancją mogą wymagać zgody producenta na modyfikację systemu.
• Urządzenia medyczne, energetyczne lub transportowe mogą podlegać dodatkowym regulacjom sektorowym.
• Małe zakłady nie zawsze potrzebują rozbudowanego centrum operacji bezpieczeństwa. Nadal powinny jednak mieć inwentaryzację, segmentację, bezpieczny dostęp zdalny i sprawdzone kopie.
• Systemy odłączone od sieci wymagają kontroli dostępu fizycznego, nośników i urządzeń serwisowych.
• Chmura przemysłowa może poprawić skalowalność i monitoring, ale wymaga kontroli tożsamości, konfiguracji, przepływu danych oraz zależności od dostawcy.

Powiązane obszary do rozwinięcia w ramach klastra tematycznego

Strona może pełnić funkcję centrum prowadzącego do bardziej szczegółowych poradników:

• segmentacja sieci OT krok po kroku,
• bezpieczny zdalny dostęp do maszyn,
• inwentaryzacja urządzeń OT i IIoT,
• zarządzanie podatnościami sterowników PLC,
• kopie zapasowe systemów SCADA, HMI i PLC,
• plan reagowania na incydenty w zakładzie,
• wymagania cyberbezpieczeństwa przy zakupie maszyny,
• IEC 62443 w praktyce,
• NIS2 dla firm produkcyjnych,
• bezpieczeństwo nośników USB w produkcji,
• monitoring sieci przemysłowej,
• ocena ryzyka dostawców automatyki.

FAQ

Czy każda maszyna przemysłowa może zostać zaatakowana?

Każde urządzenie mające interfejs cyfrowy może być źródłem ryzyka. Poziom zagrożenia zależy od sposobu podłączenia, podatności, dostępnych kont, wykorzystywanych protokołów i znaczenia urządzenia dla procesu.

Czy urządzenia OT trzeba aktualizować tak samo jak komputery biurowe?

Nie. Aktualizacje trzeba wdrażać, ale po ocenie wpływu, testach i uzgodnieniu z właścicielem procesu. Jeśli poprawka nie może zostać zainstalowana, należy zastosować zabezpieczenia kompensacyjne.

Czy można bezpiecznie połączyć sieć OT z internetem?

Bezpośrednie połączenie urządzeń sterujących z internetem powinno być unikane. Jeśli wymiana danych jest konieczna, należy wykorzystać segmentację, DMZ, kontrolowane bramy, silne uwierzytelnianie i monitoring.

Czy sterownik PLC potrzebuje programu antywirusowego?

Większość sterowników nie obsługuje klasycznego programu antywirusowego. Ochronę zapewnia się przez segmentację, kontrolę dostępu, ograniczenie komunikacji, monitoring zmian i zabezpieczenie stacji inżynierskich.

Jak często wykonywać kopie programów PLC?

Częstotliwość powinna wynikać z tempa zmian i wymaganego RPO. Kopię należy wykonywać co najmniej po każdej zatwierdzonej zmianie programu lub konfiguracji. Trzeba też zachować wersję wcześniej działającą.

Jak zabezpieczyć dostęp serwisanta?

Dostęp powinien być indywidualny, zatwierdzany, ograniczony czasowo, chroniony MFA i kierowany przez serwer pośredniczący. Sesję należy rejestrować, a po zakończeniu prac zweryfikować wykonane zmiany.

Czy można skanować sieć przemysłową skanerem podatności?

Można, ale dopiero po ocenie ryzyka, testach i zgodzie właściciela procesu. Starsze urządzenia mogą źle reagować na nietypowy ruch. Bezpiecznym punktem wyjścia jest obserwacja pasywna.

Kto odpowiada za cyberbezpieczeństwo OT?

Odpowiedzialność jest wspólna. Zarząd akceptuje ryzyko i zapewnia zasoby, produkcja odpowiada za proces, automatycy za systemy sterowania, IT za część infrastruktury, a zespół bezpieczeństwa za standardy, monitoring i koordynację reakcji.

Ile kosztuje zabezpieczenie sieci przemysłowej?

Koszt zależy od liczby zakładów, złożoności sieci, wieku urządzeń i wymaganej dostępności. Najpierw warto wykonać działania o wysokim wpływie i relatywnie niskim koszcie: inwentaryzację, porządkowanie kont, kontrolę dostępu zdalnego, kopie oraz podstawową segmentację.

Jak sprawdzić, czy firma jest przygotowana na atak?

Należy przeprowadzić ćwiczenie obejmujące utratę dostępu do systemów IT, niedostępność stacji inżynierskiej, przejęcie konta dostawcy lub zaszyfrowanie systemu MES. Ćwiczenie powinno zweryfikować odpowiedzialności, komunikację, możliwość bezpiecznego zatrzymania procesu i realny czas odtworzenia.

Podsumowanie

Ochrona urządzeń przemysłowych wymaga połączenia wiedzy z zakresu automatyki, sieci, bezpieczeństwa informacji i zarządzania produkcją. Najważniejsze nie jest wdrożenie pojedynczego narzędzia, lecz zbudowanie warstwowego systemu ochrony.

Podstawę stanowią: aktualna inwentaryzacja, ocena krytyczności, segmentacja, kontrolowany dostęp zdalny, zarządzanie podatnościami, monitoring zmian, sprawdzone kopie oraz przećwiczony plan reakcji. Cyberbezpieczeństwo powinno być też częścią zakupu i całego cyklu życia maszyny.

Organizacja nie musi wdrażać wszystkiego jednocześnie. Powinna jednak znać swoje najważniejsze procesy, scenariusze awarii i kolejność działań, które najbardziej ograniczą ryzyko dla ludzi, produkcji i danych.