Bezpieczeństwo OT – gdy hala produkcyjna spotyka się z IT

Czym jest OT i skąd bierze się konwergencja z IT

OT, czyli Operational Technology, to świat sterowników PLC, systemów SCADA, paneli HMI i maszyn produkcyjnych. Przez dekady środowisko to działało w izolacji - własna sieć, własne protokoły, brak połączenia z internetem. Bezpieczeństwo zapewniał po prostu brak dostępu z zewnątrz.

Ten model się kończy. Firmy chcą mieć wgląd w wydajność linii produkcyjnej z poziomu panelu w biurze, zdalny serwis maszyny wymaga połączenia z internetem, a systemy ERP muszą pobierać dane produkcyjne w czasie rzeczywistym. To zjawisko nazywa się konwergencją IT/OT i choć daje realne korzyści biznesowe, otwiera też drzwi do środowiska, które nigdy nie było projektowane z myślą o cyberbezpieczeństwie.

• Sterowniki PLC sprzed 15-20 lat bez żadnych zabezpieczeń
• Systemy SCADA działające na przestarzałych wersjach Windows
• Panele HMI podłączone do sieci firmowej bez segmentacji
• Zdalny dostęp serwisowy od producenta maszyny, otwarty 24/7

Dlaczego małe firmy produkcyjne są łakomym kąskiem

Wiele MŚP zakłada, że hakerzy interesują się wyłącznie dużymi koncernami. W praktyce małe zakłady produkcyjne są atrakcyjnym celem z prostego powodu - mają słabsze zabezpieczenia niż duże fabryki, a przestój linii produkcyjnej boli je równie mocno, co dużego gracza. To idealne warunki do ataku ransomware, gdzie presja na szybką zapłatę okupu jest ogromna, bo każda godzina postoju to realne straty finansowe.

Do tego dochodzi specyfika łańcucha dostaw - mała firma produkcyjna często jest podwykonawcą większego kontrahenta. Atak na jej systemy OT może być tylko krokiem do infiltracji sieci partnera biznesowego. Ataki na infrastrukturę przemysłową rosną z roku na rok, a coraz częściej trafiają właśnie w mniejsze zakłady, które nie mają dedykowanego zespołu bezpieczeństwa.

NIS2 a obowiązki wobec środowisk OT

Dyrektywa NIS2 wprost obejmuje sektor produkcyjny i wiele branż przemysłowych, nie ograniczając się już wyłącznie do dużych operatorów infrastruktury krytycznej. Jeśli firma kwalifikuje się jako podmiot kluczowy lub ważny, obowiązki dotyczące zarządzania ryzykiem, zgłaszania incydentów i zabezpieczenia łańcucha dostaw obejmują całe środowisko IT, w tym systemy sterujące produkcją.

W praktyce oznacza to, że nie da się już oddzielić bezpieczeństwa biura od bezpieczeństwa hali produkcyjnej. Audyt zgodności z NIS2 powinien objąć również systemy OT - inwentaryzację urządzeń, ocenę ryzyka podłączonych sterowników oraz plan reagowania na incydent, który uwzględnia scenariusz zatrzymania produkcji.

Jak zabezpieczyć środowisko OT krok po kroku

Zabezpieczenie OT nie polega na instalowaniu antywirusa na sterowniku PLC - to najczęściej fizycznie niemożliwe. Skuteczna ochrona opiera się na innych filarach:

1. Inwentaryzacja - trzeba wiedzieć, jakie urządzenia OT w ogóle istnieją w sieci, jakim protokołem się komunikują i kto ma do nich dostęp.
2. Segmentacja sieci - oddzielenie sieci produkcyjnej od biurowej za pomocą VLAN-ów i firewalla to absolutne minimum. Żadna stacja robocza z działu księgowości nie powinna mieć bezpośredniego dostępu do sterownika linii produkcyjnej.
3. Kontrolowany dostęp zdalny - serwis maszyny od producenta powinien łączyć się przez dedykowane, monitorowane konto, aktywowane tylko na czas naprawy, a nie stały tunel VPN otwarty bez ograniczeń.
4. Monitoring ruchu - nawet jeśli nie da się załatać starego sterownika, można wykrywać nietypowy ruch sieciowy wokół niego i reagować, zanim dojdzie do szkody.
5. Plan ciągłości działania - scenariusz na wypadek zatrzymania produkcji powinien być tak samo przećwiczony, jak plan disaster recovery dla serwerowni.

Najczęstsze błędy przy zabezpieczaniu OT

Największym błędem jest przekonanie, że skoro maszyna działa stabilnie od lat, to jest bezpieczna. W rzeczywistości stabilność i bezpieczeństwo to dwie różne rzeczy - stary sterownik może działać bez zarzutu przez dekadę, jednocześnie będąc otwartą furtką dla atakującego.

Inne częste problemy to płaska sieć bez podziału na strefy, brak jakiejkolwiek dokumentacji, kto i po co ma dostęp do systemów produkcyjnych, oraz pomijanie OT w szkoleniach z cyberbezpieczeństwa - operatorzy maszyn równie dobrze jak pracownicy biurowi powinni wiedzieć, czym jest phishing i dlaczego nie wolno podłączać nieznanego pendrive'a do panelu HMI.