Průmyslová kybernetická bezpečnost na ochranu výroby

Výrobní linka se nezastaví jen proto, že někdo zvolil špatné heslo. Často je prvním příznakem nevysvětlitelná komunikační chyba: údržbář nemůže dosáhnout na řídicí jednotku, výrobní data se nedostanou do ERP, tiskárna štítků nefunguje, nebo vedoucí směny může sledovat, co bylo vyrobeno, pouze na papíře. V takových případech se ukáže, že průmyslová kybernetická bezpečnost není pouze záležitostí IT oddělení. Jde o kontinuitu výroby, kvalitu, dodací lhůty a informace potřebné pro provozní rozhodování.

Výpadek kancelářského systému může být vážným problémem. V průmyslovém prostředí však může špatně řešený incident způsobit odstávku, zmetky, poškození strojů nebo dokonce bezpečnostní riziko. Proto správná otázka není „máme firewall?“, ale které provozní procesy budou narušeny, pokud systém, spojení nebo zařízení nefunguje podle očekávání.

Proč je průmyslová kybernetická bezpečnost jiná?

V obchodních IT systémech je často prioritou důvěrnost: kdo má přístup k finančním datům, zákaznickým údajům nebo smlouvám. V průmyslové technologii - v prostředí PLC, SCADA systémů, výrobních zařízení, senzorů, robotických buněk a monitorovacích řešení - je dostupnost a bezpečnost provozu často na prvním místě.

Restart kancelářského počítače kvůli bezpečnostní aktualizaci může být nepříjemný. Restart výrobního řídicího systému nebo průmyslového počítače připojeného ke staršímu stroji však může přerušit operaci, ovlivnit výrobní dávku nebo spustit delší proces restartu. Proto se opatření osvědčená v kancelářském IT nedají automaticky přenést do provozu.

To neznamená, že průmyslové systémy by měly zůstat beze změny. Znamená to, že každou změnu je třeba plánovat s ohledem na výrobní proces, požadavky dodavatelů strojů, možnosti údržby a obchodní náklady spojené s odstávkou. Cílem ochrany není přidat co nejvíce technologií do sítě, ale zabránit nekontrolovanému šíření chyby nebo útoku.

Největší riziko často spočívá v netransparentnosti

V mnoha továrnách se síť a výrobní prostředí vyvíjely po mnoho let. Přibyl nový stroj, externí partner získal vzdálený přístup, později byla přidána řešení pro sběr dat a poté reportovací spojení s kancelářskými systémy. Tyto jednotlivé kroky mohly být oprávněné. Společně však mohou vytvářet závislosti, které už nikdo nevidí v celém rozsahu.

Směna ví, který stroj je kritický pro který výrobek. Údržba ví, který řídicí systém vyžaduje vzácnou odbornost. IT ví, kde běží servery a jaké existují přístupy. Pokud tyto znalosti nejsou propojeny, při incidentu nebo plánovaném vývoji každý vidí jen svou část.

To vytváří nejistotu i z obchodního hlediska. Pokud je kompromitován vzdálený přístup dodavatele, je známo, ke kterým systémům má přístup? Pokud starý stroj na bázi Windows již nelze aktualizovat, lze jej bezpečně oddělit od ostatních sítí? Pokud výrobní data nedorazí, které rozhodnutí, dodávka nebo faktura se kvůli tomu zpozdí?

Prvním krokem průmyslové kybernetické bezpečnosti proto obvykle není pořízení nového produktu, ale zjištění skutečné situace. Ne idealizované verze síťového schématu, ale toho, co skutečně funguje v továrně.

Nejprve je třeba identifikovat kritický provoz

Dobrý průzkum začíná provozními otázkami. Který výrobní krok nesmí být zastaven ani na několik hodin? Které systémy si předávají data? Kde se stále provádí ruční zadávání dat, přenos dat pomocí USB nebo telefonické konzultace? Kdo může zasáhnout do řízení a s jakým schválením?

Z těchto odpovědí může vzniknout prioritní seznam, který lze řídit na obchodním základě. Ne každé zařízení představuje stejné riziko. Izolovaná měřicí stanice, jejíž chyba způsobí jednu směnu dodatečné práce, vyžaduje jinou ochranu než výpadek centrálního SCADA serveru, který ovlivní několik výrobních linek.

Minimální, ale použitelný základ obvykle pokrývá čtyři oblasti:

• přesná evidence zařízení a spojení,
• ověřitelné přístupy vázané na role,
• vědomé oddělení kancelářských a provozních sítí,
• testované postupy zálohování a obnovy.

Tato opatření nejsou okázalá, přesto často rozhodují o tom, zda je problém zvládnutelný jako provozní porucha nebo se stane několikadenní odstávkou. Záloha například poskytuje ochranu pouze tehdy, pokud lze potřebné konfigurace, výrobní recepty a kritické systémy realisticky obnovit v dostupném čase.

Síťové oddělení není totéž co izolace

Výrobní data potřebuje vedení, kontrola kvality, logistika a často i zákaznický servis. Proto není reálným cílem zcela oddělit provozní síť od všech obchodních systémů. Data se často musí pohybovat: z objednávky se stává výrobní požadavek, z výroby se stává skladová informace, ze skladu pak expedice a fakturace.

Otázkou je, jak se tyto informace pohybují. Pokud spojení tvoří jediná společná síť, sdílené uživatelské účty a staré, nedokumentované vzdálené přístupy, pak může kancelářský incident snadno zasáhnout i provozní prostředí. Pokud jsou však spojení založena na určených, potřebných a zaznamenatelných datových tocích, riziko lze výrazně snížit.

I zde existuje kompromis. Příliš přísné oddělení může zpomalit hledání chyb a údržbu. Příliš otevřený přístup je pohodlnější, ale může mít nepředvídatelné důsledky. Správná úroveň závisí na tom, jak kritický je proces, jak často je potřeba externí podpora a jaké jsou schopnosti obnovy daného závodu.

Vzdálený přístup potřebuje provozní pravidla

Vzdálená podpora od dodavatelů strojů a integrátorů je pro mnoho společností nezbytná. V případě vzácné chyby řízení může ušetřit cenné hodiny, pokud může správný odborník rychle provést diagnostiku. Problémem není samotný vzdálený přístup, ale neomezený, trvalý a obtížně sledovatelný přístup.

V kontrolovaném modelu se přístup otevírá pouze v odůvodněných případech a na stanovenou dobu. Je jasné, který partner má přístup k jakému systému, kdo schválil spojení a co se během práce stalo. To není byrokracie. Po provozní poruše to umožňuje týmu pracovat s zaznamenanými událostmi, nikoli s domněnkami.

Totéž platí pro interní oprávnění. Pokud více směn, údržbářů, správců systému a externích partnerů používá stejný společný účet, přístup je sice rychlý, ale odpovědnost a možnost kontroly mizí. Přístup vázaný na osobu a roli vyžaduje zpočátku větší disciplínu, ale dlouhodobě způsobuje méně rizik a méně sporů.

Schopnost obnovy je důležitější než plán na papíře

Mnoho organizací má dokumentaci pro řešení incidentů. Méně organizací by však dokázalo jednoznačně říci, kdo rozhoduje o kontrolovaném zastavení výrobní linky, odkud se obnovuje řídicí program nebo jak pokračuje zpracování objednávek, pokud nejsou dočasně dostupná výrobní data.

Funkční plán je připraven pro konkrétní situace. Například když ransomware znepřístupní souborový server, zatímco výrobní buňky stále fungují. V takových případech je třeba vyjasnit, zda lze výrobu bezpečně pokračovat, odkud jsou dostupné potřebné recepty, jak se dokumentuje výroba a kdo komunikuje s logistikou.

V praxi se často ukazuje, že nejde o technologické, ale o procesní problémy: není jasný odpovědný za rozhodnutí, kritická konfigurace je na jediném notebooku nebo ruční obchvat zná jen zkušený kolega. Tyto problémy nevyřeší nový bezpečnostní nástroj, ale dokumentované odpovědnosti, kontrolovaný tok informací a pravidelné testování.

Průmyslová kybernetická bezpečnost jako provozní disciplína

Kybernetická bezpečnost se stává udržitelnou, když se stane součástí provozu, nikoli samostatným projektem. Při nákupu nového stroje jsou síťové požadavky, vzdálená podpora, zálohování a odpovědnosti stejně důležité jako výkon nebo servisní smlouva. Při integraci systému nestačí, že data přejdou z bodu A do bodu B: je také třeba vědět, co se stane v případě chybných, chybějících nebo zpožděných dat.

V přístupu CGAT je vhodné tyto otázky vždy zkoumat společně s provozním procesem. Technická ochrana přináší skutečnou hodnotu, pokud se zároveň zlepšuje transparentnost, snižuje závislost na znalostech jediného člověka a vedení získává spolehlivější obraz o stavu výroby.

Dobře chráněný závod není silný tím, že se nikdy nic nepokazí. Je silný tím, že ví, co je kritické, kdo rozhoduje, na jaká data se spoléhá a jak se kontrolovaně vrátí k normálnímu provozu, když k chybě přece jen dojde.