Zabezpečení provozních technologií experti doporučují řešit na několika úrovních

S rozšiřováním technologií Průmyslu 4.0 se výrazně proměňuje charakter výroby a provozu průmyslových organizací, stejně tak rizika s tím spojená. Zapojení různých inteligentních zařízení spolu s internetem věcí (internet of things, IoT) umožňuje pro provoz, údržbu i management vytvářet nové nástroje, jejichž úkolem je posunout produktivitu, kvalitu i další výrobní ukazatele na dříve nepředstavitelnou úroveň. „Z hlediska managementu je hlavním přínosem digitalizace a automatizace výroby především možnost dělat kompetentní investiční rozhodnutí založená na reálných datech o skutečném využití výrobních prostředků, stejně jako možnost v reálném čase a na základě výrobních dat rozhodnout o nejlepším možném scénáři při neplánovaném výpadku výroby,“ říká Jiří Malíček, obchodní ředitel společnosti Rockwell Automation.

V souvislosti s digitalizací a automatizací se ve výrobních podnicích odehrávají zásadní změny v organizaci řízení a vnímání informačních technologií. Prolínají se dříve striktně oddělené systémy informačních a provozních technologií, firmy nasazují nová cloudová řešení a analytické nástroje a často poprvé se v oboru výrobních technologií objevují prvky mobility – zpravidla v podobě možnosti vzdáleného monitorování a řízení výrobních zařízení. Současný vývoj sice podstatným způsobem zlepšuje provozní operace, ale současně vytváří více potenciálních vstupních bodů pro bezpečnostní hrozby.

Zastaralé systémy, moderní hrozby

Hlavní prioritou dodavatelů systémů pro průmyslovou výrobu byla dostupnost a dlouhodobá udržitelnost těchto systémů. Moderní doba a zejména pak extrémně rychlý pokrok v oblasti digitalizace a automatizace výroby představují pro takové systémy nové výzvy nejenom v oblasti bezpečnosti. „Stále jsou v provozu systémy navržené před desítkami let pro další desetiletí provozu, u kterých se bezpečnost řešila fyzickým oddělením od ostatních systémů. Problém tak nastává ve chvíli, kdy chceme výrobní linku rozšířit o nové funkce a zařízení, zaznamenávat vyrobené kusy do databáze nebo jakkoli takto navrženou linku propojit s okolním světem. Největším rizikem je zde zpravidla opomenutí bezpečnostních zásad pro zajištění důvěrnosti, integrity a dostupnosti systémů v prostředí provozních technologií,“ vysvětluje Petr Zubrický, security expert ve společnosti S&T CZ.

Mnoho výrobních podniků přesouvá problém se zabezpečením nebo případnou modernizaci systémů k dodavateli technologií Průmyslu 4.0. Petr Zubrický však upozorňuje, že zbavení se odpovědnosti a její přenos na dodavatele má ale i své stinné stránky. „Jednoho dne se například z výrobního zařízení může stát jen drahý displej na zobrazení zprávy s výzvou k zaplacení výkupného, protože dojde ke zneužití vzdáleného přístupu k výrobní lince, při kterém útočníci zašifrují klíčová data,“ říká Zubrický.

Oblast provozních technologií (operational technologies, OT) je velice specifická, co se týče dostupnosti a údržby, a proto by průmyslové podniky neměly ani v nejmenším slevovat z nároků na bezpečnost a měly by adekvátně zvyšovat i povědomí o kybernetické bezpečnosti u svých zaměstnanců. „Cílem kyberbezpečnosti je zajistit funkční prostředí pro výrobu bez nežádoucích vlivů. Pokud tedy v podniku máme vrátnici, kde kontrolujeme všechny osoby při vstupu i při odchodu, tak proč bychom neměli kontrolovat také kdo a jak se pohybuje po sítích uvnitř výrobních linek? V sítích propojujících provozní technologie je důležitá především vizibilita,“ vysvětluje Zubrický. Díky mixu různě starých zařízení podniky často ani nevědí, jaká zařízení jsou do OT sítě zapojena, případně kde se v síti nachází a jaký mají vliv na celkový průběh výroby. „Kromě aktualizovaných bezpečnostních prvků je důležité sledovat například i změny v konfiguraci jednotlivých strojů, aby nedošlo k produkci zmetků. Pro průmyslové podniky je samotná výroba kriticky důležitá a jakákoliv neplánovaná odstávka, ať už kvůli útoku nebo chybné konfiguraci, způsobuje firmě obrovské finanční ztráty,“ dodává Petr Zubrický z S&T CZ.

Zabezpečení na více úrovních

V oblasti kyberbezpečnosti je ale nezbytné předpokládat, že jakýkoliv ojedinělý, izolovaný bezpečnostní prvek může být a s největší pravděpodobností i bude překonán. Proto by mělo být zabezpečení řešeno vždy komplexně na více úrovních, zahrnujících pravidla a postupy, fyzické zabezpečení, zabezpečení sítí, zabezpečení počítačů a serverů, kontrolu aplikací a zabezpečení ostatních zařízení.

Z hlediska kyberbezpečnosti platí za nejslabší článek zpravidla lidský faktor. Proto je (nejen) pro výrobní podniky klíčové zavést pravidla a postupy, které budou zásadním způsobem ovlivňovat chování zaměstnanců a jakýchkoli dalších zainteresovaných osob. Například pravidla pro řízení lidské interakce s výrobními prostředky a podnikovými informačními systémy pomohou v prevenci před odcizením důležitých firemních dat. Klíčovou roli v této oblasti hraje pravidelné školení zaměstnanců v oblasti kybernetických hrozeb a jejich rozpoznávání, stejně jako nepřetržitá kontrola dodržování nastavených pravidel.

Pod fyzickým zabezpečením už si nemůžeme představovat jen ostrahu průmyslových objektů ve smyslu zamezení vstupu neautorizovaných osob. Dnes jde o daleko širší problematiku, kdy musí podniky ošetřit fyzický přístup ke vstupním bodům své síťové infrastruktury – ať už jde o různé ovládací panely, síťová zařízení nebo vedení kabelových svazků. „Fyzické komponenty síťové infrastruktury, jako jsou switche, routery či brány do internetu, je nutné chránit proti neoprávněným zásahům, odposlechu nebo poškození. Pro ochranu před vynášením podnikových dat a zavlečením virové nákazy je klíčové omezení přístupu k USB portům počítačů a dalších zařízení. Dále je nutné mít pod kontrolou také přípojná místa síťových kabelů, aby nikdo nemohl do sítě zapojit neautorizovaná zařízení nebo narušit její nepřetržitý provoz odpojením kabelů,“ vyjmenovává Jiří Malíček z Rockwell Automation. Dohled nad pohybem zaměstnanců a dalších osob vstupujících do areálů firem a konkrétních prostor se také výrazně zpřísňuje. Vedle klasických vstupních karet a čipů se stále více využívají i kamerové systémy s pokročilou analýzou videa, včetně například rozpoznávání tváří osob a registračních značek vozů.

Při zabezpečení sítí je nezbytné najít optimální poměr mezi zajištěním bezpečnosti provozu a zachováním flexibility a možnosti dalších inovací. Typickým postupem je vytvoření průmyslové demilitarizované zóny (industrial demilitarized zone, IDMZ), která představuje bariéru mezi administrativními či „business“ systémy a řešeními pro zajištění provozu a výroby. IDMZ omezuje přímý síťový provoz mezi těmito dvěma zónami a pomůže lépe řídit přístup k síti prostřednictvím vynucení autentizace nebo monitorování síťového provozu na výskyt známých typů bezpečnostních hrozeb. Další osvědčenou praktikou je zřízení oddělených virtuálních lokálních sítí (virtual local area network, VLAN) pro různé provozní/výrobní zóny. Výhodou rozdělení sítě na menší části je jejich jednodušší řízení, ale především vzájemná izolace VLAN, která v případě úspěšného kybernetického útoku zabrání jeho rozšíření na další důležitá zařízení. Izolování kompromitované VLAN zajistí, že útok nebude mít zásadní dopad na celý provoz.

Stejně jako v jakékoli jiné síti, zajišťují i v sítích OT detekci a prevenci bezpečnostních hrozeb hardwarové firewally. Úkolem těchto zařízení je hloubková inspekce paketů síťového provozu, včetně těch šifrovaných, na výskyt škodlivého kódu.

Samozřejmě je nutné pamatovat také na bezdrátová zařízení, kterých se dnes v každé podnikové síti vyskytuje stále větší množství. Účinným způsobem řešení bezpečnostních rizik spojených s tímto typem zařízení je nastavení a vynucování pravidel jejich připojení a provozu v síti, včetně striktní autentizace zařízení a spolehlivého šifrování přenášených dat. Výchozí konfigurace nově připojovaných zařízení se může nejen velmi zásadně lišit, ale často nesplňuje ani základní požadavky na zabezpečení. Podnik by proto měl mít nastavené procesy spojené se zaváděním nových zařízení do sítě, stejně jako s jejich vyřazováním z provozu. Veškerá neautorizovaná zařízení je nutné striktně blokovat.

Typickým prostředkem kybernetických útočníků je zneužití neošetřených bezpečnostních mezer v operačních systémech i dalších aplikacích. Nedílnou součástí komplexní bezpečnostní strategie proto musí být také správa aktualizací a bezpečnostních oprav používaného softwaru. Prostor pro napadení omezí i odinstalování nepoužívaných programů, zablokování nepotřebných protokolů a služeb, stejně jako ošetření USB i dalších rozhraní všech používaných zařízení. Svoji roli zde hraje spolehlivý antivirový software s funkcí detekce zatím neznámých hrozeb, stejně jako sestavení seznamu povolených aplikací a nasazení řešení pro detekci narušení bezpečnosti.

„Součástí průmyslového zabezpečení je rovněž kontrola přístupu k důležitým aplikacím na základě rolí konkrétních zaměstnanců. Ke kriticky důležitým aplikacím se zaměstnanci přihlašují uživatelským jménem a heslem či jinou formou autentizace a veškeré přístupy a prováděné změny jsou monitorovány a protokolovány. Dále je nutné řídit fyzický přístup k zařízením, na kterých podnikové aplikace běží,“ doplňuje Jiří Malíček, obchodní ředitel Rockwell Automation.

Zabezpečení OT zatím zaostává

Kyberbezpečnostní hrozby v průmyslových podnicích se budou neustále vyvíjet a měnit, stejně jako způsoby, jak jim předcházet a čelit. Zásadní ale je, aby si firmy uvědomily, že jde o hrozby naprosto reálné, které mohou zásadně narušit, nebo i zcela zastavit výrobu.

„České průmyslové podniky začínají vnímat potřebu a důležitost IT bezpečnosti na úrovni IT technologií. U zabezpečení OT ale více než kde jinde platí: Dokud to funguje, tak se na to nesahá. Tento přístup vychází z faktu, že výrobní linka firmu živí, ale zároveň jde o projev poddimenzovaných rozpočtů na IT v českých průmyslových podnicích. Stále zde platí, že se IT týmy obvykle skládají z několika málo specialistů, kteří mají na starost vše od instalace tiskárny, podpory koncových uživatelů až po správu serverů. Mít k tomu znalosti kyberbezpečnosti a specificky OT protokolů je pak nereálné. Ale i zde vidíme posun a výrobní podniky s jasně definovanými a popsanými rolemi a odpovědnostmi za IT nebo OT,“ dodává Petr Zubrický, S&T CZ.

Zabezpečení výrobních technologií v éře Průmyslu 4.0 rozhodně není snadnou disciplínou, a proto se vyplatí spolupracovat v této oblasti se specialisty na kyberbezpečnost nebo zajištění bezpečnosti OT outsourcovat.

Článek byl publikován ve speciální příloze HN Automatizace a digitalizace.