Jeszcze kilka lat temu czujnik, sterownik czy moduł komunikacyjny był przede wszystkim elementem wykonującym określone zadanie w maszynie. Dziś urządzenia coraz częściej wymieniają dane z innymi elementami infrastruktury, przekazują je do systemów nadrzędnych, platform IIoT i chmury, a także mogą być dostępne zdalnie. Oznacza to, że nie są już odizolowanymi punktami instalacji – stają się aktywnym uczestnikiem komunikacji przemysłowej, a tym samym częścią jej architektury cyberbezpieczeństwa.
W praktyce wymusza to zmianę podejścia do projektowania i wyboru urządzeń. Bezpieczeństwo nie może być już sprowadzone wyłącznie do ochrony serwerowni czy zastosowania firewalla na granicy sieci. Znaczenie mają również mechanizmy uwierzytelniania i kontroli dostępu, zabezpieczenie transmisji, możliwość aktualizacji oprogramowania oraz sposób zarządzania podatnościami przez cały cykl życia produktu.
NOWE WYMAGANIA DLA URZĄDZEŃ POŁĄCZONYCH Z SIECIĄ
11 września 2026 r. zaczęły obowiązywać wymagania unijnego Cyber Resilience Act (CRA), dotyczące raportowania aktywnie wykorzystywanych podatności i poważnych incydentów – główne zapisy rozporządzenia będą zaś stosowane od 11 grudnia 2027 r. Dla producentów oznacza to konieczność uwzględniania cyberbezpieczeństwa w całym cyklu życia produktu, a dla użytkowników przemysłowych pojawia się dodatkowe kryterium przy wyborze urządzeń i dostawców.
- Z punktu widzenia producenta, CRA oznacza odejście od założenia, zgodnie z którym bezpieczeństwo kończy się w momencie dostarczenia urządzenia do klienta. Produkt z elementami cyfrowymi musi być projektowany z uwzględnieniem zagrożeń, a producent powinien stosować określone procesy identyfikowania i obsługi podatności, dostarczania aktualizacji bezpieczeństwa oraz reagowania na aktywnie wykorzystywane luki. Dla użytkownika przemysłowego oznacza to, że przy ocenie urządzenia trzeba brać pod uwagę nie tylko jego funkcjonalność i protokoły komunikacyjne, ale również sposób zapewnienia bezpieczeństwa produktu przez cały okres jego użytkowania - mówi Jakub Kawalec, Inżynier Projektu IIoT w firmie ifm electronic.
OD CZUJNIKA DO CHMURY
Im więcej urządzeń uczestniczy w wymianie danych, tym większego znaczenia nabiera ochrona całego przepływu informacji. W rozwiązaniach IIoT ifm dane mogą być przekazywane z poziomu czujników przez urządzenia brzegowe do platformy moneo, a następnie do innych systemów wykorzystywanych przez klienta. edgeGateway może łączyć się m.in. z moneo Cloud, Microsoft Azure IoT Hub i AWS IoT Core, a także zapewniać komunikację z wykorzystywanymi systemami za pośrednictwem OPC UA i MQTT.
W takim modelu bezpieczeństwo musi obejmować kolejne elementy łańcucha komunikacyjnego. ifm electronic stosuje m.in. separację sieci IT i OT na poziomie edgeGateway, uwierzytelnianie certyfikatami oraz ograniczenie komunikacji do określonych portów i adresów URL. Dane przesyłane między edgeGateway a moneo są szyfrowane z wykorzystaniem protokołu TLS i odpowiednich algorytmów kryptograficznych. Platforma moneo jest hostowana na Microsoft Azure i korzysta również z jego mechanizmów bezpieczeństwa.
Takie podejście wpisuje się w architekturę Zero Trust, w której samo podłączenie urządzenia do sieci nie oznacza automatycznego zaufania. Dostęp powinien być przyznawany tylko konkretnym użytkownikom i urządzeniom, a komunikację należy ograniczyć do niezbędnego zakresu.
Szczególnego znaczenia nabiera to w przypadku zdalnego serwisu. Możliwość połączenia się ze sterownikiem PLC, panelem HMI czy innym urządzeniem bez konieczności wizyty technika na miejscu pozwala skrócić czas diagnozy i ograniczyć przestoje. Jednocześnie zdalny dostęp staje się kolejnym kanałem komunikacji z infrastrukturą OT, dlatego jego zabezpieczenie musi być integralną częścią rozwiązania.
- Największym błędem jest traktowanie zdalnego dostępu wyłącznie jako funkcji umożliwiającej serwisantowi połączenie z maszyną. W środowisku przemysłowym równie ważne jest to, czego ten użytkownik nie może zobaczyć, ani do czego nie może się dostać. Dlatego dostęp powinien być ograniczony do wcześniej wskazanych urządzeń, przyznawany konkretnym użytkownikom i możliwy do natychmiastowego zakończenia. Właśnie w tym miejscu wygoda serwisu spotyka się z wymaganiami cyberbezpieczeństwa - podkreśla Jakub Kawalec.
Tak działa moneo remoteConnect firmy ifm. Rozwiązanie umożliwia zdalny dostęp do urządzeń wykorzystujących komunikację IP, w tym sterowników, paneli HMI czy przemysłowych komputerów. Połączenie między komputerem serwisanta i edgeGateway jest szyfrowane end-to-end, a użytkownik uzyskuje dostęp wyłącznie do wcześniej udostępnionych urządzeń. Zastosowanie split tunnelling pomaga ograniczyć dostęp do pozostałych elementów sieci lokalnej.
W praktyce oznacza to możliwość zdalnej diagnostyki, konfiguracji sterowników czy aktualizacji oprogramowania bez otwierania całej sieci produkcyjnej. remoteConnect wykorzystuje również technologię WireGuard do tworzenia szyfrowanego połączenia VPN.
BEZPIECZEŃSTWO KOMUNIKACJI ZACZYNA SIĘ PRZED PIERWSZYM POŁĄCZENIEM
Rozwój przemysłowego IIoT oznacza, że liczba punktów komunikacji będzie nadal rosła. W tej sytuacji cyberbezpieczeństwa nie można traktować jako warstwy dodawanej do gotowej infrastruktury. Musi być ono uwzględniane już przy wyborze urządzeń, sposobie ich integracji z siecią oraz projektowaniu przepływu danych i zdalnego dostępu.
Cyber Resilience Act formalizuje ten kierunek, ale dla przemysłu jego znaczenie wykracza poza samą zgodność z regulacjami. Bezpieczna komunikacja zaczyna się od urządzenia, które generuje dane i dołącza do sieci, a następnie musi być utrzymana na każdym kolejnym poziomie – od warstwy OT i edge, przez platformę IIoT, aż po chmurę i zdalny dostęp. W coraz bardziej połączonej fabryce bezpieczeństwo pojedynczego urządzenia staje się więc elementem bezpieczeństwa całego systemu.
Źródło: ifm electronic Sp. z o.o.
Więcej na www.ifm.com
