Aký je rozdiel medzi IT a OT sieťou?

IT zahŕňa kancelárske informačné technológie, kde je hlavnou prioritou dôvernosť a systémy sa pravidelne aktualizujú. OT zahŕňa prevádzkovú technológiu, kde je hlavnou prioritou dostupnosť a životný cyklus zariadení môže byť desať až dvadsať rokov.

Prečo nemožno riadiace systémy strojov jednoducho aktualizovať?

Riadiaci systém je súčasťou zariadenia a aktualizácia môže vyžadovať súhlas výrobcu alebo nové overenie. Oprava často nie je dostupná, pretože dodávateľ už daný typ nepodporuje.

Ktorý bod medzi IT a OT je najrizikovejší?

Často ide o vzdialený servisný prístup dodávateľa stroja, ktorý bol otvorený pri uvedení zariadenia do prevádzky, odvtedy nebol preskúmaný a poskytuje priamy prístup do výrobnej siete.

Ako segmentácia IT/OT súvisí s NIS2?

Segmentácia a riadenie prístupov patria medzi technické a organizačné bezpečnostné opatrenia, prístupy dodávateľov súvisia s riadením rizík dodávateľského reťazca. Podrobnosti v prehľade NIS2.

Just B/ IT a OT

Oddelenie IT a OT vo výrobe

Kancelárske IT a prevádzková technológia predstavujú dva rozdielne svety s odlišnými prioritami a životným cyklom. V mnohých výrobných podnikoch však fungujú v tej istej sieti. Práve tu vzniká cesta, po ktorej sa incident z e-mailu dostane až na výrobnú linku.

Dva svety s opačnými prioritami

Kancelárske informačné technológie

E-mail, ERP, zdieľanie súborov a správa technických údajov.

Hlavná priorita: dôvernosť
Aktualizácie: pravidelné a plánovateľné
Životný cyklus: 3 – 5 rokov
Odstávka: nepríjemná, ale zvládnuteľná

Prevádzková technológia

Riadiace systémy strojov, SCADA, meracie systémy a systémy zberu údajov.

Hlavná priorita: dostupnosť
Aktualizácie: podliehajú schváleniu výrobcu
Životný cyklus: 10 – 20 rokov
Odstávka: okamžitý výpadok výroby

Rozdiel nie je iba technický detail. Inštalácia opravy na kancelárskom počítači je rutinná úloha; rovnaký zásah do riadiaceho systému obrábacieho centra môže vyžadovať nové schválenie alebo kvalifikáciu, a oprava často ani neexistuje, pretože dodávateľ už dané zariadenie nepodporuje. Ochrana preto nie je iba otázkou aktualizácie, ale predovšetkým otázkou, kto a odkiaľ môže zariadenie dosiahnuť.

Štyri miesta, kde sa IT a OT stretávajú

Vzdialený servisný prístup

Dodávateľ stroja požiadal o prístup pri uvedení zariadenia do prevádzky. Odvtedy ho nikto nepreveril. Prístup býva trvalo otvorený, používa zdieľané heslo, nie je riadne zaznamenávaný a vedie priamo do výrobnej siete. Ide o jeden z najčastejších vstupných bodov a zároveň o jeden z najjednoduchšie riešiteľných problémov.

Spoločná sieť

Kancelárske a výrobné zariadenia sú v rovnakom sieťovom segmente, pretože tak bola infraštruktúra pôvodne jednoduchšia. Ransomware preniknutý cez e-mail sa potom bez prekážky dostane aj k riadeniu výroby.

Prístupy dodávateľov a hostí

Servisní technici, integrátori a audítori dostávajú prístup, ale jeho ukončenie sa často nesleduje. NIS2 výslovne zahŕňa bezpečnosť dodávateľského reťazca, preto nejde iba o prevádzkovú, ale aj o regulačnú otázku.

Záloha, ktorej obnova nebola otestovaná

Zálohovanie je aktívne a stavové hlásenie je zelené. Či možno riadenie výroby zo zálohy skutočne obnoviť a ako dlho to potrvá, sa bez testu ukáže až počas incidentu.

Prípad Norsk Hydro z roku 2019 ukázal, že výrobu možno udržať manuálnymi náhradnými postupmi — ale iba tam, kde už takýto postup existoval. Organizácia by mala vedieť, ktoré procesy dokáže prevádzkovať 24 až 48 hodín v manuálnom režime.

Čo robíme

Návrh segmentácie IT/OT

Vytvorenie sieťového diagramu skutočných prepojení, určenie hraníc segmentov a komunikačných bodov a zostavenie prioritizovaného zoznamu nedostatkov.

Riadenie prístupov a vzdialených spojení

Preskúmanie existujúcich servisných prístupov, ich uzatvorenie alebo presmerovanie do riadenej komunikačnej cesty s časovým obmedzením a zaznamenávaním udalostí.

Riadenie prístupov dodávateľov

Kto, k čomu, na akom základe a dokedy pristupuje — evidencia, pravidelné preskúmanie a zmluvné požiadavky.

Testovanie zálohovania a obnovy

Nemeráme iba existenciu zálohy, ale aj čas potrebný na obnovu, s protokolom — to je to, čo počas auditu obstojí ako dôkaz.

Kedy nás nepotrebujete

Ak máte vlastný tím pre bezpečnosť OT a aktuálny plán segmentácie, táto práca u nás nebude lacnejšia ani rýchlejšia. Ak však pri ktoromkoľvek zo štyroch bodov zaznie odpoveď „to by sme mali preveriť“, má zmysel začať diskusiu.

Východiskom býva technické posúdenie: čo je dnes v sieti, kto k čomu pristupuje a čo sa stane pri výpadku jedného segmentu. Výstupom je prioritizovaný zoznam nedostatkov.

info@just-b-ltd.com

Časté otázky

Aký je rozdiel medzi IT a OT sieťou?: IT zahŕňa kancelárske informačné technológie, kde je hlavnou prioritou dôvernosť a systémy sa pravidelne aktualizujú. OT zahŕňa prevádzkovú technológiu, kde je hlavnou prioritou dostupnosť a životný cyklus zariadení môže byť desať až dvadsať rokov.
Prečo nemožno riadiace systémy strojov jednoducho aktualizovať?: Riadiaci systém je súčasťou zariadenia a aktualizácia môže vyžadovať súhlas výrobcu alebo nové overenie. Oprava často nie je dostupná, pretože dodávateľ už daný typ nepodporuje.
Ktorý bod medzi IT a OT je najrizikovejší?: Často ide o vzdialený servisný prístup dodávateľa stroja, ktorý bol otvorený pri uvedení zariadenia do prevádzky, odvtedy nebol preskúmaný a poskytuje priamy prístup do výrobnej siete.
Ako segmentácia IT/OT súvisí s NIS2?: Segmentácia a riadenie prístupov patria medzi technické a organizačné bezpečnostné opatrenia, prístupy dodávateľov súvisia s riadením rizík dodávateľského reťazca. Podrobnosti v prehľade NIS2.

Súlad s NIS2 → · Bezplatné sebahodnotenie → · Profil rozsahu auditu →