Bezpieczeństwo OT/ICS

Usługa bezpieczeństwa OT/ICS to zabezpieczenie sieci zakładowej, sterowników PLC, paneli HMI i systemów SCADA, które prowadzą fizyczny proces. Prace obejmują spis zasobów, podział sieci na strefy, kontrolę dostępu zdalnego, pasywny monitoring ruchu oraz plan reagowania, a kontrolowane testy bezpieczeństwa są jednym z etapów, nie całością zlecenia. Zakres dobiera się do procesu, bo w zakładzie liczy się dostępność instalacji i bezpieczeństwo ludzi.

Harmonogram prac OT układa się wokół planu przeglądów zakładu, bo dostęp do sterowników bywa możliwy dopiero w postoju. Pasywne rozpoznanie i spis zasobów idą równolegle z normalną produkcją, natomiast zmiany w konfiguracji sieci i próby aktywne czekają na okno serwisowe. Przy kilku halach albo rozproszonych obiektach praca dzieli się na wizyty, a jej długość wyznacza dostępność automatyków po stronie zakładu.

Obowiązki wynikające z NIS2 obejmują podmiot jako całość, więc systemy sterowania podlegają im tak samo jak infrastruktura biurowa. Przepisy nie wskazują jednej normy technicznej, tylko wymagają zarządzania ryzykiem, kontroli dostępu, ciągłości działania i zgłaszania incydentów, a zbiór norm ISA/IEC 62443 służy zwykle jako sposób wykazania, że po stronie OT te wymagania są spełnione. O tym, czy zakład podlega obowiązkom, rozstrzyga sektor i wielkość podmiotu.

Pojedynczy zakład prowadzi ochronę OT wokół jednej sieci i jednego zespołu utrzymania ruchu, więc spis zasobów, oddzielenie ruchu produkcyjnego od biurowego i kontrola zdalnego serwisu domykają większość ryzyka. Grupa fabryk dokłada wspólne standardy stref, jednolite reguły dostępu dla integratorów oraz centralne zbieranie zdarzeń z obiektów o różnym poziomie automatyki. Rośnie wtedy waga uzgodnień organizacyjnych, bo każdy zakład ma własny kalendarz postojów.

Najczęstsze potknięcie to zamówienie prac OT bez udziału utrzymania ruchu i automatyków, którzy odpowiadają za linię. Dostawca dostaje wtedy dostęp do sieci, ale nie do wiedzy o procesie, więc podatności trafiają do raportu bez informacji, co ich naprawa zrobi z produkcją. Efektem jest lista znalezisk, której nikt nie wdraża, bo każda zmiana wymaga zgody osób pominiętych na starcie.

Przygotowanie po stronie zakładu to zebranie dokumentacji, która już istnieje: schematów sieci, list sterowników, kopii konfiguracji oraz wykazu zdalnych dostępów udzielonych integratorom i producentom maszyn. Potrzebna jest też osoba z utrzymania ruchu, która zna proces, może autoryzować wejście do szafy sterowniczej i zna kalendarz najbliższych postojów. Im więcej tego materiału leży na stole przed startem, tym mniej czasu idzie na odtwarzanie stanu sieci od zera.

Raport z audytu OT porządkuje się według skutku dla procesu, a nie według ocen technicznych, bo część podatności da się zamknąć segmentacją bez dotykania sterownika. Poprawki niewymagające postoju, jak odcięcie zbędnych przejść między strefami czy uporządkowanie kont zdalnego serwisu, idą pierwsze. Reszta trafia do planu prac przypisanego do konkretnych przeglądów, razem z decyzją, kto prowadzi monitoring anomalii po zakończeniu projektu.

Większość prac OT prowadzi się bez wpływu na linię, bo rozpoznanie opiera się na nasłuchu kopii ruchu sieciowego, a nie na odpytywaniu sterowników. Ryzyko pojawia się przy testach aktywnych i zmianach w konfiguracji sieci, dlatego planuje się je na postój, na stanowisko testowe albo na kopię konfiguracji. Warunkiem jest pisemne uzgodnienie, które metody i na których urządzeniach są dopuszczone.

Przy ograniczonym budżecie najwięcej daje spis zasobów w sieci sterowania i uporządkowanie zdalnego dostępu, bo obie prace nie wymagają nowych urządzeń. Kolejne pieniądze idą zwykle na oddzielenie ruchu produkcyjnego od biurowego oraz kopie zapasowe konfiguracji sterowników, które skracają powrót po awarii. Monitoring anomalii i pełny projekt stref można odłożyć do momentu, gdy podstawy są zamknięte.

Umowa na prace OT powinna nazywać urządzenia i segmenty objęte zakresem, metody dopuszczone na pracującej linii oraz osobę po stronie zakładu, która zatwierdza każdą próbę aktywną. Osobno opisuje się postępowanie przy podejrzeniu wpływu na proces: kto przerywa pracę, jak wygląda kontakt poza godzinami i kto odtwarza konfigurację. Przy monitoringu ciągłym dochodzą czasy reakcji na alert i zasady przekazywania zdarzeń do utrzymania ruchu.