Środowiska OT (Operational Technology) – linie produkcyjne, systemy HVAC, BMS, SCADA, sterowniki PLC, a także monitoring CCTV jako element zabezpieczeń fizycznych – coraz częściej łączą się z siecią IT i chmurą. Każdy taki węzeł to w praktyce mini-serwer, dlatego cyberataki mogą nadejść zarówno z zewnątrz, jak i od wewnątrz. Poniżej zebrano najważniejsze obszary, na które warto zwrócić uwagę, planując i utrzymując cyberbezpieczeństwo OT w organizacji.
-
Priorytety OT: Bezpieczeństwo Ludzi, Dostępność, Jakość
W OT nadrzędne są: bezpieczeństwo procesowe (SHE), dostępność i integralność procesu. Decyzje dotyczące bezpieczeństwa muszą minimalizować przestoje oraz nie wprowadzać ryzyka dla ludzi ani produkcji. Dlatego polityki i narzędzia dobiera się tak, by były nieinwazyjne dla sterowania. Preferowany jest monitoring pasywny i testy w odseparowanych środowiskach.
-
Inwentaryzacja i Klasyfikacja Aktywów
Bez pełnej listy urządzeń (PLC, HMI, napędy, szafy sterownicze, serwery SCADA, kamery, rejestratory) nie da się zarządzać ryzykiem. Warto wdrożyć cykliczne skanowanie pasywne w sieci OT, opis ról urządzeń, właścicieli procesów oraz ich krytyczności. Ta baza stanowi punkt wyjścia dla projektowania systemów zabezpieczeń technicznych i planów przywracania.
-
Segmentacja Stref i Kanałów Komunikacji
Stosuj strefy (production, safety, maintenance, DMZ) oraz kontrolowane „przewężenia” między nimi (firewalle, listy dozwolonych połączeń). Sieć monitoring CCTV traktuj jako odrębną strefę. Elementy cyberbezpieczeństwa CCTV – jak kontrola wyjść (egress) i brak P2P – ograniczają ryzyko „pivotu” do segmentu sterowania. Przy projektowaniu systemów monitoringu uwzględnij brak swobodnego routingu do sieci OT.
-
Zarządzanie Zmianą i Wersją (Konfiguracje, Firmware)
Zmiana w OT to ryzyko przestoju. Potrzebne są: repozytorium konfiguracji, podpisane wersje firmware, kontrola dostępu do zmian, okna serwisowe oraz testy „na sucho”. Aktualizacje planuj etapowo – od elementów o najniższym ryzyku do krytycznych – z jasnym planem wycofania.
-
Dostępy Uprzywilejowane i Serwis Zewnętrzny
Najczęstsze incydenty zaczynają się od kont serwisowych i zdalnego wsparcia dostawców. Wymagaj połączeń tylko przez bramę z kontrolą tożsamości (MFA), sesji nagrywanych i rozliczalnych, kont imiennych oraz zasady najmniejszych uprawnień. Dostęp czasowy, automatycznie wygasający.
-
Monitorowanie i Wykrywanie Anomalii (Pasywnie)
W OT preferuj pasywne NDR/IDS, które rozumieją protokoły przemysłowe (Modbus/TCP, PROFINET, S7, BACnet) oraz ruch wideo (RTSP/ONVIF) z systemów monitoringu CCTV. Uzupełnij SIEM o dzienniki SCADA, kontrolerów i rejestratorów. Zdefiniuj progi alertów (restarty, nietypowe kierunki ruchu, gwałtowne wzrosty przepustowości, nieudane logowania).
-
No-USB, No-Shadow IT, Higiena Mediów
Dysk przenośny z „szybką poprawką” bywa najkrótszą drogą do zainfekowania sterownika. Wprowadź białe listy narzędzi serwisowych, skanowanie nośników i zakaz nieautoryzowanych laptopów w strefie OT.
-
Kopie Zapasowe i Procedury Odtworzeniowe
Backup to nie plik, to proces. Ustal częstotliwość kopii konfiguracji PLC/HMI/SCADA, przechowuj je offline, ćwicz odtwarzanie w realistycznym czasie (RTO/RPO). Dla rejestratorów wideo zaplanuj redundancję i jasne procedury eksportu materiału dowodowego.
- Łańcuch Dostaw i Zgodność
Wymagaj od integratorów i producentów: wsparcia bezpieczeństwa (czas reakcji, cykl życia), podpisanych aktualizacji, informacji o podatnościach, jasnych trybów serwisu. Kryteria wpisuj już na etapie zapytań – to element profesjonalnego projektowania systemów zabezpieczeń technicznych.
-
Role i Odpowiedzialności
- Inwestor / właściciel procesu – ustanawia politykę, budżet i zleca audyty.
- Projektant – uwzględnia segmentację, logowanie, wymagania serwisu zdalnego w dokumentacji projektowej.
- Administrator OT/SCADA – wdraża polityki, utrzymuje narzędzia monitoringu, zarządza zmianą i kopią zapasową.
- Zewnętrzny MSSP/Audytor – prowadzi niezależne przeglądy i testy zgodności.
- Pracownik zabezpieczenia technicznego – realizuje czynności operacyjne (kontrola stanu urządzeń, weryfikacja nagrywania i zasilania, fizyczne zabezpieczenia), ale nie odpowiada za formalne audyty ani decyzje architektoniczne.
-
Szybka Lista Kontrolna „Minimum OT”
- Aktualna inwentaryzacja urządzeń i mapy przepływów.
- Strefy i ściśle kontrolowane łącza między nimi (w tym separacja monitoringu CCTV).
- Zdalny serwis tylko przez bramę z MFA i pełną rozliczalnością.
- Pasywne monitorowanie ruchu OT + centralizacja logów.
- Procedury kopii konfiguracji i ćwiczone odtworzenie.
- Zakaz nieautoryzowanych mediów i urządzeń.
- Uporządkowane projektowanie systemów monitoringu i cyberbezpieczeństwo CCTV spójne z polityką OT.
- Matryca ról i plan audytów.
Wnioski
Dobrze zaprojektowane cyberbezpieczeństwo OT łączy architekturę stref, kontrolę dostępu, monitorowanie pasywne oraz dyscyplinę zmian. Aby wdrożyć powyższe zasady w praktyce – od zapisów przetargowych po codzienną eksploatację – rekomendujemy szkolenie z cyberbezpieczeństwa w TECHOM. Program obejmuje również obszary towarzyszące, takie jak cyberbezpieczeństwo CCTV, projektowanie systemów monitoringu i projektowanie systemów zabezpieczeń technicznych, tak aby zespół operacyjny mógł działać skutecznie, a pracownik zabezpieczenia technicznego realizował właściwie zdefiniowane zadania bez przeciążania go audytami.
