Budoucnost průmyslové kybernetické bezpečnosti ve výrobě

Výrobní linka se v pondělí ráno nezastaví kvůli fyzické poruše stroje. Obrazovky operátorů se neaktualizují, vedoucí směny nevidí stavy a údržba neví, zda došlo k chybě v řízení, síti nebo datovém připojení. Mezitím do ERP stále přicházejí objednávky, sklad pracuje a zákaznický servis nemůže poskytnout spolehlivé informace o dodávkách. Budoucnost průmyslové kybernetické bezpečnosti se právě v těchto situacích stává obchodní otázkou.

Pro výrobní a průmyslové podniky dlouho znamenala kybernetická bezpečnost především kancelářskou informatiku: e-maily, uživatelské účty, servery a finanční data. Dnes je výrobní prostředí propojeno s ostatními systémy podniku. Výrobní data, informace o zásobách, historie údržby, vztahy s dodavateli a vzdálená podpora jsou stále častěji součástí stejného obchodního provozu.

To může přinést výhody: rychlejší rozhodování, přesnější plánování a lepší sledovatelnost. Na druhou stranu, špatně řízené propojení může způsobit nejen ztrátu dat. Může zastavit výrobu, změnit parametry procesu, poškodit zajištění kvality nebo jednoduše odstranit přehlednost potřebnou pro vedení.

Budoucnost průmyslové kybernetické bezpečnosti není otázkou produktů

Častým reflexem po incidentu nebo auditu je, že podnik hledá nový ochranný software, firewall nebo monitorovací nástroj. Tyto mají své místo, ale samy o sobě neodpovídají na důležitější otázky: bez kterých systémů nemůže závod vyrábět? Kdo a za jakým účelem k nim má přístup? Jaká data nebo instrukce mezi nimi proudí? Co se stane, když se spojení přeruší na hodinu, den nebo týden?

V průmyslovém prostředí nelze bezpečnost oddělit od kontinuity provozu. Plánované odstavení kancelářského systému může být nepříjemné. Neočekávaný výpadek systému řízení výroby nebo dohledu nad stroji však může znamenat zmetky, zpoždění, smluvní rizika a dokonce i problémy s bezpečností práce.

Proto správným výchozím bodem není, jakou technologii by měl podnik zakoupit. Nejprve je třeba pochopit, jak závod skutečně funguje. V mnoha organizacích se procesní diagram a realita liší: externí partner podporuje staré zařízení vzdáleným přístupem, inženýr přenáší data ze svého notebooku, nebo se používá společný uživatelský účet, protože to urychluje střídání směn.

Tyto praktiky nevznikají nutně z nedisciplinovanosti. Obvykle jsou to praktická řešení, která rychle reagovala na dřívější provozní problém. Časem se však stávají neviditelnými závislostmi.

Útoková plocha roste tam, kde se systémy propojují

Sbližování výrobní technologie a podnikové informatiky je z obchodního hlediska oprávněné. Vedení chce mít výrobní data v reálném čase. Údržba by chtěla diagnostikovat na dálku. Informace o zásobách a výrobě musí být k dispozici v ERP, logistice a v mnoha případech i v komunikaci se zákazníky.

Problémem není samotná integrace. Problémem je, pokud nikdo nevidí souvislosti jako systém. Infekce vycházející z fakturačního systému, kompromitovaný dodavatelský účet nebo neaktualizované řešení vzdáleného přístupu se stávají skutečně závažnými, pokud mohou nekontrolovaně proniknout do provozní sítě.

Budoucí průmyslová bezpečnost se proto méně týká ochrany izolovaných zařízení a více vědomého řízení propojení. Je třeba vědět, který systém s kterým komunikuje, jaká data předává, kdo může iniciovat spojení a zda je vůbec potřebné.

To znamená i provozní disciplínu. Ne všechna data musí být ve všech systémech a ne všichni externí účastníci musí mít trvalý přístup. Pro dodavatele je mnohem lépe zvládnutelný časově omezený a protokolovaný vzdálený přístup než společně používaný přístup vytvořený před lety, jehož vlastník již ve firmě nepracuje.

Nejprve viditelnost, poté ochrana

V mnoha továrnách není největším rizikem známá zranitelnost, ale neznámé zařízení. Staré PLC, průmyslové PC, měřicí systémy, kamery, síťová zařízení a jedinečné aplikace mohou fungovat bez aktuální evidence. Zařízení dělá svou práci, a proto se ho nikdo nedotýká. To je z provozního hlediska pochopitelné, ale z hlediska bezpečnosti a udržitelnosti nebezpečné.

Viditelnost nemusí nutně znamenat okamžitý velký projekt. Může začít tím, že podnik zmapuje kritická zařízení a jejich obchodní roli. Který řídicí systém zastaví celou buňku, pokud se vypne? Který server ukládá receptury nebo výrobní předpisy? Které spojení je nezbytné pro každodenní provoz a které je jen pohodlným řešením?

Z toho lze vytvořit mnohem realističtější prioritní pořadí než z obecného technologického kontrolního seznamu. U stroje, který nelze zastavit nebo aktualizovat, je třeba jiná obranná metoda než u běžné kancelářské pracovní stanice. Může se stát, že síťová izolace, přísné řízení přístupu a nepřetržité sledování mají větší hodnotu než riziková aktualizace na místě.

Segmentace je úkolem provozního plánování

Síťová segmentace se často jeví jako technický termín, ale ve skutečnosti jde o provozní hranice. Není důvod, aby kancelářský uživatelský počítač měl stejný přímý přístup k výrobním systémům jako kontrolovaná pracovní stanice používaná údržbářským inženýrem. Stejně tak není nutné, aby každá výrobní linka komunikovala se zařízeními všech ostatních oblastí.

Cílem není postavit kolem výroby digitální zeď a znemožnit práci. Nadměrná omezení mohou způsobit riziko, pokud zaměstnanci hledají obchvaty nebo při naléhavém řešení problémů neexistuje funkční postup. Dobré uspořádání sleduje provozní procesy: určuje potřebné datové cesty, dokumentuje výjimky a umožňuje kontrolu přístupů.

Dobře navržená hranice snižuje pravděpodobnost, že problém zasáhne celou společnost. Pokud je zasažena jedna oblast, ostatní oblasti mají větší šanci zůstat funkční. To není jen bezpečnostní výhoda, ale základ pro kontinuitu podnikání.

Obnova je důležitější než slib dokonalosti

Neexistuje žádná ochrana, která by vyloučila všechny chyby, škodlivé činnosti nebo problémy s dodavateli. Proto se zralé průmyslové organizace nepřipravují pouze na zamezení průniku, ale také na to, jak pokračovat v provozu během a po incidentu.

Plán obnovy musí odpovídat na konkrétní provozní otázky. Které systémy lze znovu spustit a v jakém pořadí? Existují testované, oddělené zálohy? Jsou výrobní konfigurace, recepty a řídicí programy dostupné, pokud původní systém není použitelný? Kdo rozhoduje o zastavení, restartu a informování zákazníků?

Záloha sama o sobě není zárukou. Pokud nikdy nebyla obnovena, je spíše předpokladem než funkční schopností. Totéž platí pro scénáře incidentů. Pravidlo existující pouze na papíře má malou hodnotu, pokud vedoucí směny, IT a externí údržba nevědí, co dělat v prvních třiceti minutách.

Soulad má hodnotu, pokud zlepšuje provoz

Na průmyslové podniky je kladeno stále více požadavků ze strany zákazníků, pojišťoven a regulátorů. Požadavky NIS2, audity dodavatelů a bezpečnostní dotazníky velkých podnikových partnerů se mnoha vedoucím jeví jako administrativní zátěž. To je pochopitelné, zejména pokud dokumentace není v souladu se skutečným provozem.

Soulad se však stává zvládnutelným, pokud není řešen jako samostatný projekt. Aktuální evidence zařízení, jasné rozdělení odpovědností, kontrolované přístupy, testované zálohy a dokumentované změny činí každodenní provoz předvídatelnějším. Nejsou užitečné jen pro audit.

Úkolem vedení není osobně kontrolovat každý technický detail. Úkolem je mít určenou odpovědnost, sledovat rozhodnutí o rizicích a pravidelně získávat zpětnou vazbu o tom, co se změnilo v kritických systémech. Kybernetická bezpečnost není pouze ukazatelem výkonnosti IT oddělení, pokud se důsledky projeví ve výrobě.

Člověk je součástí ochrany, ne příčinou chyby

V diskusích o ochraně průmyslových systémů je snadné označovat pracovníky za riziko. Ve skutečnosti většina rizikových řešení vyplývá z toho, že lidé musí provozovat výrobu, zatímco postupy jsou pomalé, nejasné nebo neodpovídají skutečné práci.

Pokud vedoucí směny používá společné heslo, protože žádost o oprávnění trvá tři dny, nejde jen o vzdělávací problém. Je třeba přehodnotit proces. Pokud údržbář přináší vlastní datové nosiče, protože neexistuje určená a rychlá metoda pro předání potřebných souborů, pak provozní pravidlo a provozní potřeba nejsou v souladu.

Dobrá bezpečnostní praxe je jasná, proveditelná a podporuje práci. Zaměstnanec by měl vědět, co dělat v podezřelé situaci, ale také by měl cítit, že jeho hlášení nevede k obviňování, ale k rychlé pomoci.

Průmyslový podnik příštích let nebude bezpečnější tím, že nakoupí více systémů. Bude odolnější, protože přesně chápe své kritické procesy, má pod kontrolou tok informací a přístupů a je schopen kontrolovaně obnovit provoz, i když se něco nečekaně změní.