OT (Operational Technology) to systemy sterujące fizycznymi procesami w zakładzie produkcyjnym — sterowniki PLC, systemy SCADA, roboty przemysłowe — w odróżnieniu od IT, które zarządza danymi i informacją. Cyberbezpieczeństwo OT wymaga innego podejścia niż IT, bo priorytety są odwrócone: w IT na pierwszym miejscu jest poufność danych, w OT — ciągłość i bezpieczeństwo fizyczne procesu produkcyjnego.
Na skróty
Czego dowiesz się z artykułu:
- Czym OT różni się od IT pod względem priorytetów bezpieczeństwa
- Model Purdue jako punkt wyjścia do segmentacji sieci OT
- Plan pierwszych kroków wdrożenia zabezpieczeń OT w zakładzie produkcyjnym
- Najczęstsze błędy przy przenoszeniu praktyk IT do środowiska OT
Dla kogo ten artykuł:
- Kierownicy IT i OT w zakładach produkcyjnych planujący pierwsze wdrożenie zabezpieczeń
- Specjaliści bezpieczeństwa przechodzący z klasycznego IT do środowiska przemysłowego
- Menedżerowie odpowiedzialni za zgodność z NIS2 w sektorze produkcyjnym
Czas czytania: 6 minut
Czym OT różni się od IT pod względem priorytetów bezpieczeństwa
Klasyczne bezpieczeństwo IT porządkuje priorytety według triady CIA: poufność (confidentiality), integralność (integrity), dostępność (availability) — w tej kolejności. W środowisku OT kolejność jest odwrócona: dostępność (ciągłość działania linii produkcyjnej) i bezpieczeństwo fizyczne są priorytetem numer jeden, bo przerwa w działaniu systemu sterującego może oznaczać zatrzymanie produkcji lub, w skrajnym przypadku, zagrożenie dla ludzi.
Ta różnica ma praktyczne konsekwencje: standardowa łatka bezpieczeństwa, która w IT jest instalowana automatycznie w nocy, w OT może wymagać zaplanowanego okna serwisowego, bo restart sterownika PLC zatrzymuje linię produkcyjną. IEC w standardzie 62443, poświęconym bezpieczeństwu sieci przemysłowych, podkreśla, że mechaniczne przenoszenie praktyk IT do OT bez uwzględnienia tej różnicy priorytetów jest jednym z częstszych źródeł problemów przy wdrożeniach.
Model Purdue jako punkt wyjścia do segmentacji sieci OT
Model Purdue dzieli architekturę zakładu produkcyjnego na poziomy — od poziomu 0 (fizyczne czujniki i urządzenia wykonawcze) przez poziom 1 (sterowniki PLC), poziom 2 (systemy nadzoru SCADA/HMI), poziom 3 (zarządzanie operacjami produkcyjnymi) aż po poziom 4-5 (sieć korporacyjna IT). Kluczowa zasada bezpieczeństwa OT wynikająca z tego modelu to segmentacja: ruch sieciowy między poziomami powinien przechodzić przez kontrolowane, monitorowane punkty styku, a nie płynąć swobodnie między siecią korporacyjną a warstwą sterowania procesem.
Strefa zdemilitaryzowana (DMZ) między poziomem 3 a poziomem 4 to najczęściej rekomendowany element architektury — pozwala wymieniać dane operacyjne z systemami IT (np. raportowanie produkcji) bez bezpośredniego połączenia sieci korporacyjnej z warstwą sterującą fizycznym procesem.
Plan pierwszych kroków wdrożenia zabezpieczeń OT
- Zinwentaryzuj wszystkie urządzenia OT w sieci — zaskakująco często zakłady nie mają pełnej, aktualnej listy sterowników i systemów podłączonych do sieci, co uniemożliwia jakiekolwiek dalsze działania.
- Zmapuj obecną architekturę sieci względem modelu Purdue — zidentyfikuj, gdzie sieć IT i OT stykają się bez kontrolowanego punktu przejścia.
- Wprowadź segmentację sieci między poziomami, zaczynając od granicy IT/OT — nawet podstawowa segmentacja ogranicza zasięg potencjalnego incydentu.
- Zaplanuj proces zarządzania łatkami z uwzględnieniem okien serwisowych — łatanie w OT wymaga koordynacji z harmonogramem produkcji, nie może być automatyczne jak w IT.
- Wprowadź monitoring ruchu sieciowego w warstwie OT — wykrywanie anomalii w sieci przemysłowej, która historycznie rzadko była monitorowana pod kątem bezpieczeństwa.
ENISA w materiałach dotyczących systemów ICS/SCADA wskazuje, że wiele incydentów w środowiskach przemysłowych wynika nie z zaawansowanych ataków, lecz z braku podstawowej segmentacji sieci i przestarzałych systemów, które nigdy nie były projektowane z myślą o podłączeniu do sieci korporacyjnej.
Najczęstsze błędy przy przenoszeniu praktyk IT do środowiska OT
Do najczęstszych błędów należą: instalowanie łatek bezpieczeństwa bez uwzględnienia okien serwisowych produkcji, traktowanie segmentacji sieci jako opcjonalnego usprawnienia zamiast fundamentu bezpieczeństwa, oraz zakładanie, że narzędzia skanujące podatności zaprojektowane dla IT są bezpieczne do uruchomienia w sieci OT — agresywne skanowanie może zdestabilizować wrażliwe na obciążenie sterowniki przemysłowe.
Kolejnym błędem jest budowanie zespołu bezpieczeństwa OT wyłącznie z osób pochodzących z klasycznego IT, bez włączenia inżynierów, którzy znają realne ograniczenia procesu produkcyjnego. Decyzje bezpieczeństwa podejmowane bez zrozumienia, dlaczego dany sterownik nie może zostać zrestartowany w dowolnym momencie, prowadzą do rekomendacji technicznie poprawnych, ale niemożliwych do wdrożenia bez zatrzymania produkcji.
Przeczytaj również
- Cyberbezpieczeństwo IT/OT/ICS — kompletny przewodnik dla przemysłu — pogłębiony przewodnik obejmujący NIS2, KSC 2.0 i mapę kompetencji per rola
- Wyzwania bezpieczeństwa cybernetycznego w Przemysł 4.0 — szerszy kontekst wyzwań bezpieczeństwa w transformacji cyfrowej produkcji
Rozwiń kompetencje
Temat tego artykułu jest powiązany ze szkoleniami 5G i IoT — synergia technologii przyszłości oraz Amazon Web Services (AWS) IoT Greengrass — przetwarzanie brzegowe. Sprawdź program i zapisz się, aby rozwinąć kompetencje pod okiem ekspertów EITT.
Najczęściej zadawane pytania
Czym OT różni się od IT pod względem priorytetów bezpieczeństwa?
W IT priorytetem jest poufność danych. W OT priorytetem jest dostępność — ciągłość działania linii produkcyjnej — i bezpieczeństwo fizyczne, bo przerwa w działaniu systemu sterującego może zatrzymać produkcję lub zagrozić ludziom.
Co to jest model Purdue i do czego służy?
To model dzielący architekturę zakładu produkcyjnego na poziomy, od fizycznych czujników po sieć korporacyjną IT. Służy do segmentacji sieci — ruch między poziomami powinien przechodzić przez kontrolowane punkty styku, nie płynąć swobodnie.
Dlaczego nie można łatać systemów OT tak jak systemów IT?
Bo restart lub aktualizacja sterownika PLC może zatrzymać linię produkcyjną — łatanie w OT wymaga zaplanowanego okna serwisowego skoordynowanego z harmonogramem produkcji, w przeciwieństwie do automatycznych aktualizacji typowych dla IT.
Czy standardowe narzędzia do skanowania podatności IT są bezpieczne w sieci OT?
Nie zawsze — agresywne skanowanie zaprojektowane dla systemów IT może zdestabilizować wrażliwe na obciążenie sterowniki przemysłowe, dlatego skanowanie środowiska OT wymaga narzędzi i metod dostosowanych do specyfiki tych systemów.