Odporność cyfrowa przemysłu zaczyna się od bezpieczeństwa IT i OT
| Z TEGO ARTYKUŁU DOWIESZ SIĘ: JAK HISTORYCZNIE OSOBNO ROZWIJAŁY SIĘ DZIAŁY IT I OT? DLACZEGO RÓŻNICE MIĘDZY IT ORAZ OT STAJĄ SIĘ CORAZ BARDZIEJ ARCHAICZNE I POZORNE? DLACZEGO OD WDROŻENIA NARZĘDZI CYBEZBEZPIECZEŃSTWA WAŻNIEJSZA JEST FAZA ANALIZY I PROJEKTOWANIA? DLACZEGO ZAKŁADY PRODUKCYJNE WDRAŻAJĄ ZASADĘ ZERO TRUST? JAKA JEST ODPOWIEDZIALNOŚĆ ZA CYFROWĄ OCHRONĘ IT I OT? |
OT i IT coraz bardziej się przenikają
Zacznijmy od podstawowych definicji: technologia informacyjna (IT) obejmuje zasoby komputerowe, sieciowe i aplikacyjne służące do zarządzania danymi biznesowymi. Z kolei technologia operacyjna (OT) dotyczy monitorowania procesów fizycznych i sterowania nimi – od linii produkcyjnych po sieci energetyczne czy transportowe.
Na pierwszy rzut oka mowa więc o dwóch, całkowicie różnych obszarach funkcjonowania przedsiębiorstwa czy zakładu przemysłowego. W OT chodzi przecież w największym skrócie o utrzymania ciągłość produkcji, w IT zaś: o obsługę oprogramowania i ochronę danych. Ta dwutorowość jest widoczna na wielu poziomach: często spotykanym braku integracji architektury IT i OT, barierach kompetencyjnych (inżynierowie OT mogą nie rozumieć niuansów sieci IT, zaś specjaliści IT — logiki przemysłowej), wreszcie: pozornie rozbieżnych celach obu działów. O ile bowiem IT promuje standardy korporacyjne (np. skanowanie, hasła, aktualizacje), to inżynierowie produkcji obawiają się jakichkolwiek zmian lub procedur zakłócających bądź spowalniających proces produkcyjny.
Historycznie działy IT i OT funkcjonowały w firmach przemysłowych jako osobne, odseparowane od siebie jednostki. IT odpowiadało za aplikacje biznesowe, systemy ERP (oprogramowanie służące do kompleksowego zarządzania zasobami i procesami w firmie) czy infrastrukturę sieciową, a OT zajmowało się ciągłością produkcji, sterowaniem procesami i obsługą maszyn. Obecnie, w dobie pędzącej cyfryzacji, rozwoju Przemysłu 4.0 oraz narastającej fali cyberzagrożeń, taki model staje się nie tylko nieefektywny, ale wręcz dysfunkcyjny.
Okazuje się bowiem, że cyfrowe bezpieczeństwo systemów OT coraz częściej staje się elementem właśnie zarządzania ryzykiem biznesowym i ochroną cyfrowych danych.
> Więcej na: Prawo i hakerzy wymuszają zmiany. Szykuje się rewolucja w polskich fabrykach
„Bezpieczeństwo w przemyśle jest obecnie pojęciem bardzo wielowymiarowym: możemy mówić o sieciach IT, by płynnie przejść w obszarach OT, a następnie — bezpieczeństwa fizycznego infrastruktury. To system naczyń połączonych. Zwłaszcza, że motywy działań cyberprzestępców zaczynają coraz częściej wykraczać poza potencjalne korzyści finansowe: chodzi im o destabilizację sytuacji w kraju, wywołanie niepokojów społecznych, sparaliżowanie całych łańcuchów dostaw. Mowa bowiem między innymi o dużych, strategicznych organizacjach” – wyjaśnia Paweł Dobrzański, Chief Defense Advisor, członek zarządu T-Mobile Business Solutions.
Odpowiedzią na to wyzwanie jest oferta kompleksowej usługi doradczo-technologicznej SOC (Security Operations Center), przygotowana przez T-Mobile, jednego z największych, globalnych operatorów telekomunikacyjnych, oraz Tekniska, renomowane przedsiębiorstwo specjalizujące się w dostarczaniu rozwiązań IT w sektorze OT oraz przemysłowej transmisji danych.
Współczesna ewolucja cyberbezpieczeństwa na styku IT i OT zmierza bowiem w stronę pełnej, inteligentnej symbiozy, która wykracza poza proste łączenie sieci.
> Więcej na: Stały monitoring bezpieczeństwa z usługą Security Operations Center (SOC)
Szybko nie znaczy dobrze — zwłaszcza w cyberbezpieczeństwie
„W środowisku IT mamy bardzo często do czynienia z atakami przeprowadzanymi na wręcz podstawowym poziomie. Wiele firm jest bowiem kompletnie nieprzygotowanych na incydenty bezpieczeństwa i tak naprawdę nie potrzeba zbyt dużej wiedzy, żeby się gdzieś dostać, ukraść jakieś dane czy zdestabilizować sytuację firmy. Natomiast sieci OT zwykle są dużo bardziej chronione i w jakiś sposób wyseparowane. Problemem w ich przypadku jest jednak tzw. legacy, czyli złe nawyki, przyzwyczajenia oraz dług technologiczny, ciągnący w dół także wielkie przedsiębiorstwa i fabryki. Jednak finalnie atak cyberprzestępców na obszar IT i OT wygląda zupełnie inaczej — inne ma także konsekwencje”- wyjaśnia Paweł Dobrzański.
Generalnie uderzenie w IT jest więc łatwiejsze niż w OT, jednak to właśnie ono stanowi swoistą „bramę” do systemów technologii operacyjnej firmy. Wynika to zazwyczaj z niewystarczającej ochrony perymetru czy brzegu sieci OT, lub też niepełnej segmentacji IT i OT.
Problem zaczyna się już od samego etapu projektowania architektury sieci IT i OT. W starszych przedsiębiorstwach tworzone one były wielokrotnie w czasach, w których termin „cybezbezpieczeństwo” nie funkcjonował w powszechnym użyciu, a świadomość oraz skala tego typu zagrożeń były znikome. Jednak nawet w „młodych”, pozornie innowacyjnych firmach, odporność cyfrowa na styku IT i OM bywa niewystarczająca — gdy trwa wyścig z czasem i pojawia się potrzeba jak najszybszego uruchomienia linii produkcyjnej, kwestie związane z cyberbezpieczeństwem są spychane na drugi, jak nie trzeci plan.
„To wielki błąd, co pokazały bolesne doświadczenia takich gigantów przemysłowych, jak Norsk Hydro czy Maersk, które podnosiły się całymi miesiącami po atakach hakerskich na systemy OT, angażując tysiące pracowników z firm zewnętrznych. To pokazuje, że skala potencjalnych strat jest na tyle ogromna, że warto rzeczywiście pomyśleć o kompleksowym cyberbezpieczeństwie dużo wcześniej” – podkreśla Zuzanna Wieczorek.
Norweska firma Norsk Hydro, jeden z największych na świecie producentów aluminium, padła ofiarą cyberataku z użyciem wirusa szyfrującego dane dla okupu o nazwie LockerGoga. Atak wymusił zamknięcie niektórych placówek spółki. Najpierw odkryto zakłócenia w sieci i firma doświadczyła problemów z niektórymi systemami zarządzania. Początkowo w niektórych zakładach firmy przełączono się na obsługę ręczną. Dotyczyło to kilku zakładów Hydro w Europie i USA. Tam, gdzie to możliwe, produkcja została wstrzymana. Na terenie wszystkich oddziałów spółki nie wolno było używać komputerów.
> Sprawdź: Norsk Hydro przywraca pierwsze systemy po cyberataku
Z kolei firma A.P. Moller-Maersk straciła około 300 mln dolarów w efekcie strat poniesionych w wyniku ataku wirusa Petya, który „zainfekował” głównie komputery wyposażone w przestarzałe systemy operacyjne. Największy na świecie operator morskiego transportu kontenerowego przez złośliwe oprogramowanie musiał ograniczyć działalność, w tym zawiesić funkcjonowanie systemu do zarządzania statkami. Przez kilka dni niektóre załogi nie dostawały nowych zleceń.
> Sprawdź: Maersk stracił 300 mln dol. przez cyberatak
Kolejnym dominującym trendem jest powszechna adaptacja architektury Zero Trust (ZTA) w głąb hali produkcyjnej. Tradycyjne podejście, zakładające, że wnętrze sieci przemysłowej jest bezpieczne, ustępuje miejsca zasadzie całkowitego braku zaufania do każdego urządzenia, użytkownika i każdej sesji. Podejście to wymusza rozwój zaawansowanej segmentacji mikrosieci oraz systemów tożsamości maszynowej – każde urządzenie końcowe musi posiadać cyfrowy dowód tożsamości i podlegać stałej weryfikacji.
„Cała konstrukcja i architektura sieci, którą tworzymy wspólnie z naszymi klientami, musi przewidywać błąd człowieka na wielu etapach. Nikt nie jest bowiem doskonały, a przeprowadzane przez nas testy wskazują, że w żadnej organizacji nie udaje się osiągnąć 100-procentowego poziomu właściwych reakcji na incydent bezpieczeństwa. Walczymy więc o to, żeby na każdym etapie funkcjonowania w naszym wirtualnym świecie pracownik był weryfikowany. Musi to być jednak zaprojektowane w sposób racjonalny i nieprzeszkadzający mu w wykonywaniu określonych zadań służbowych. Partnerom biznesowym stale przypominamy także o zaletach i wartościach ciągłego edukowania oraz szkolenia swej kadry” – podkreśla przedstawiciel T-Mobile Business Solutions.
> Więcej na: Cyberświadomość: najpierw wytłumacz i naucz, dopiero potem kontroluj i wymagaj
Pełna odpowiedzialność zarządów za poziom cyfrowej ochrony
Do presji ze strony hakerów dołącza teraz presja regulacyjna. Dyrektywa NIS2, wdrażana w Polsce przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, obejmuje coraz więcej firm przemysłowych przepisami dotyczącymi infrastruktury krytycznej. Przedsiębiorstwa zakwalifikowane jako podmioty kluczowe lub ważne muszą wdrożyć systemy zarządzania ryzykiem oraz raportować incydenty bezpieczeństwa. Co najistotniejsze, muszą również ponosić osobistą odpowiedzialność na poziomie zarządu.
> Więcej na: Odkrywamy fakty i obalamy mity dotyczące NIS2 cz. II: przepisy muszą starać się nadążać za rzeczywistością
„Ja to często powtarzam w różnych rozmowach, że w każdej firmie właścicielem ryzyka jest zarząd, który, jak sama nazwa wskazuje, musi świadomie zarządzać: także ryzykiem w obszarze cyber. Oznacza to, że nie może on przenosić tej odpowiedzialności na jakiegoś kierownika IT czy dział OT” – zaznacza prezes zarządu i dyrektor techniczny Tekniska.
Nie oznacza to jednak, że zarząd musi sam mierzyć się ze skomplikowanymi, technicznymi kwestiami. Najważniejsza jest świadomość ryzyka oraz faktu, że ataki cyber mogą na wiele dni sparaliżować funkcjonowanie zakładu produkcyjnego, co wiąże się ze stratami tak finansowymi, jak i wizerunkowymi. Jednak przy opracowywaniu optymalnych strategii minimalizowania tego typu zagrożenia może i powinien on rozważyć współpracę z doświadczonymi partnerami technologicznymi.
„Nie chcę, żeby patrzono na nas jako na zespół, który jest w stanie po prostu przyjść, coś technicznego wdrożyć, zniknie, a w organizacji będzie już trochę bezpieczniej. My jesteśmy tak naprawdę bardzo poważnym doradcą biznesowym. Zaczynamy od bardzo poważnych, niemal egzystencjalnych, rozmów na temat firmy: chcemy ją poznać, zrozumieć” – wyjaśnia Paweł Dobrzański.
Ekspert zaznacza, że nie ma sensu wdrożenie danej technologii czy narzędzia bez wcześniejszego uporządkowania całej struktury firmy. Jeśli posiada ona dużo fabryk czy oddziałów — warto zidentyfikować te najbardziej strategiczne bądź krytyczne i to im nadać priorytet.
> Więcej na: Mierzmy wspólnie wysoko, ale bez porywania się z motyką na słońce — o relacjach biznesu z firmami technologicznymi
„Naszym celem jest wymierny wzrost bezpieczeństwa danej organizacji, a to oznacza nie tylko wdrożenie danych systemów czy technologii, ale także zbudowanie zespołu, który będzie te narzędzia umiał wykorzystywać. Który zrozumie dlaczego to wdrożył, będzie wiedział, jak je rozwijać, jak optymalizować swoje procesy biznesowe, produkcyjne, przemysłowe w sposób bezpieczny i odpowiedzialny. Do osiągnięcia tego stanu firmy przemysłowe potrzebują właśnie kompetentnych, doświadczonych, zaufanych partnerów i doradców — co oferujemy. A wtedy wszyscy będziemy spać spokojnie” – konkluduje ekspert T-Mobile Business Solutions.
„Narzędzi, które wzmacniają bezpieczeństwo zarówno IT, jak i OT, jest bardzo dużo — i można na nie wydać nieograniczoną ilość pieniędzy. My jednak wyznajemy podejście pragmatyczne: należy wyjść od zrozumienia procesów w swej firmie i ryzyk z nimi związanych, a dopiero później dobrać odpowiednie, optymalne narzędzia” – ocenia prezes zarządu i dyrektor techniczny Tekniska.
Narzędzi jest dużo i można zawsze, wiesz, ilość pieniędzy można zawsze nieograniczoną wydać. Natomiast ja jestem bardzo pragmatyczna i myślę, że trzeba wyjść od ryzyka, od swojego procesu, od rozumienia tego, co jest dla mnie krytyczne, od ciągłości działania. I dla każdej firmy to będą inne narzędzia, w zależności od tego, jak ona wygląda. Ale przede wszystkim architektura, segmentacja i potem dopiero narzędzia, które sprawiają, że my w ogóle wiemy to, czym zarządzamy, co mamy.
Data publikacji: 03.08.2026
