Sterowniki PLC, systemy SCADA, panele operatorskie, przemysłowe switche czy urządzenia Edge są podłączane do sieci zakładowych, systemów MES, chmury i usług zdalnego dostępu. Serwisant jest w stanie diagnozować instalacje z dowolnego miejsca na świecie, dane z produkcji trafiają do systemu analitycznego, a sterownik może komunikować się z kilkudziesięcioma innymi urządzeniami.
Z punktu widzenia funkcjonalności – to ogromny krok naprzód. Jednak z perspektywy cyberbezpieczeństwa każdy kolejny interfejs, usługa i połączenie to potencjalny punkt wejścia.
I właśnie dlatego bezpieczeństwo OT przestaje być tematem, którym można zająć się „na końcu projektu”. Coraz częściej staje się jednym z jego podstawowych założeń.
DWIE REGULACJE, JEDEN CEL
W dyskusjach o cyberbezpieczeństwie infrastruktury przemysłowej regularnie pojawiają się dwa skróty: NIS2 oraz CRA.
Łatwo je ze sobą pomylić, bo oba akty prawne dotyczą cyberbezpieczeństwa. „Patrzą” jednak na problem z dwóch różnych stron – odnoszą się do różnych obszarów i rozwiązują odmienne problemy.
Najprościej można powiedzieć, że dyrektywa NIS2 (Network and Information Security Directive 2) odnosi się do organizacji, natomiast CRA (Cyber Resilience Act) skupia się na produkcie.
Dyrektywa NIS2 nakłada obowiązki na podmioty działające w sektorach uznanych za kluczowe lub ważne dla funkcjonowania gospodarki. W praktyce oznacza to konieczność uwzględnienia systemów automatyki i infrastruktury OT w procesach zarządzania ryzykiem cybernetycznym.
Przedsiębiorstwa muszą więc wiedzieć, jakie urządzenia znajdują się w ich infrastrukturze, jakie połączenia komunikacyjne wykorzystują, kto ma do nich dostęp i w jaki sposób reagować na incydenty. Dotyczy to również aktualizacji i zapewnienia ciągłości działania.
Dlatego określenie „produkt zgodny z NIS2” jest pewnym uproszczeniem. NIS2 nie certyfikuje konkretnego sterownika PLC czy switcha. Odnosi się do organizacji i sposobu, w jaki zarządza ona cyberbezpieczeństwem całego środowiska.
Cyber Resilience Act podchodzi do tematu z drugiej strony. Koncentruje się na produktach wprowadzanych na rynek europejski, zawierających elementy cyfrowe, i określa wymagania, jakie muszą spełniać producenci w zakresie bezpieczeństwa swoich rozwiązań.
W praktyce oba światy spotykają się bardzo szybko.
Nawet najlepiej zabezpieczony sterownik nie zapewni bezpieczeństwa całemu systemowi, jeśli zostanie pozostawiony przez wiele lat z domyślnym hasłem, niekontrolowanym dostępem zdalnym lub bez aktualizacji. I odwrotnie – świetnie przygotowana infrastruktura nie zrekompensuje znanych i niezałatanych podatności obecnych w jej komponentach. Bezpieczny produkt i bezpieczna organizacja muszą więc iść w parze.
CYBER RESILIENCE ACT – BEZPIECZEŃSTWO OD PIERWSZEJ LINIJKI KODU
CRA wszedł formalnie w życie w 2024 r. Obowiązki związane z raportowaniem podatności zaczęły obowiązywać od roku 2026, natomiast pozostałe wymagania będą obowiązywały od grudnia 2027 r.
CRA wprowadza istotne zmiany w podejściu do projektowania produktów cyfrowych.
Jednym z kluczowych założeń jest Security by Design, które w automatyce ma bardzo konkretne konsekwencje. Zgodnie z tą koncepcją bezpieczeństwo należy uwzględnić już podczas projektowania urządzenia, oprogramowania i komunikacji – nie może być ono elementem realizowanym na końcu tego procesu.
Drugim założeniem jest Security by Default. Po wyjęciu urządzenia z pudełka użytkownik nie powinien być zmuszony do wdrażania piętnastopunktowej listy działań zabezpieczających, zanim produkt stanie się względnie bezpieczny. Domyślna konfiguracja powinna ograniczać ryzyko, zamiast je zwiększać. Dotyczy to m.in. metod uwierzytelniania, kontroli dostępu, usług sieciowych i ustawień fabrycznych.
CRA zwraca również szczególną uwagę na zarządzanie podatnościami. Wykrycie luki bezpieczeństwa w bibliotece nie może kończyć się na publikacji komunikatu informacyjnego. Producent ma obowiązek monitorować podatności, oceniać ich wpływ na swoje produkty, koordynować działania naprawcze oraz dostarczać aktualizacje przez deklarowany okres wsparcia produktu.
Dla świata automatyki jest to szczególnie istotne. W przeciwieństwie do urządzeń konsumenckich, komponenty przemysłowe pracują często przez kilkanaście lat. Podejście „Działa, więc go nie ruszamy” nie jest już wystarczającą strategią bezpieczeństwa.
IEC 62443 – MOST MIĘDZY REGULACJAMI A PRAKTYKĄ
Regulacje wyznaczają kierunek, nie powiedzą nam jednak, jak zaprojektować konkretną sieć. W jaki sposób segmentować sieci przemysłowe? Jak przeprowadzić analizę ryzyka? Jak zabezpieczyć komunikację pomiędzy urządzeniami? Jakie wymagania powinny spełniać komponenty?
Odpowiedzi na te pytania dostarcza seria norm IEC 62443, która pozwala uporządkować cyberbezpieczeństwo systemów automatyki z punktu widzenia całego systemu, a nie tylko pojedynczego urządzenia.
Obszary zastosowania normy IEC 62443:
- IEC 62443-2-1 – zarządzanie bezpieczeństwem po stronie operatora,
- IEC 62443-2-4 – integratorzy i dostawcy usług,
- IEC 62443-3-2 – analiza ryzyka, strefy i kanały komunikacyjne,
- IEC 62443-3-3 – techniczne wymagania bezpieczeństwa dla systemów,
- IEC 62443-4-1 – bezpieczny proces tworzenia produktu,
- IEC 62443-4-2 – wymagania bezpieczeństwa dla komponentów.
Fundamentalna zasada brzmi: bezpieczeństwo OT nie jest funkcją pojedynczego urządzenia, lecz całego systemu.
STEROWNIK PLC MOŻE BYĆ BEZPIECZNY. CAŁA SIEĆ – NIEKONIECZNIE
Załóżmy prosty przypadek: producent dostarcza sterowniki i przemysłowy switch. Integrator łączy urządzenia w sieć, konfiguruje komunikację i uruchamia system. Instalacja trafia do użytkownika i przez kolejne lata pracuje na rzecz produkcji.
Kto odpowiada za bezpieczeństwo? Odpowiedź brzmi: każdy. W środowisku przemysłowym każdy uczestnik ma własną rolę i własne obowiązki.
Producent
Po stronie producenta leżą m.in.:
- bezpieczny proces rozwoju produktu,
- bezpieczeństwo wykorzystywanych komponentów,
- zarządzanie podatnościami,
- dostarczanie aktualizacji,
- prowadzenie działań PSIRT (Product Security Incident Response Team),
- przygotowanie SBOM (Software Bill of Materials),
- dokumentacja zgodności i bezpieczeństwa.
Integrator
Za sposób wykorzystania poszczególnych komponentów w rzeczywistym systemie odpowiada integrator. Do jego zadań należy m.in.:
- projektowanie architektury systemu,
- segmentacja sieci,
- konfiguracja urządzeń,
- zarządzanie dostępami,
- wdrażanie bezpiecznego dostępu zdalnego.
To właśnie na tym etapie „bezpieczny produkt” może zostać wykorzystany w sposób zwiększający ryzyko całego systemu.
Użytkownik końcowy
Ostatnim elementem jest użytkownik eksploatujący instalację. To on odpowiada za:
- zarządzanie ryzykiem,
- politykę aktualizacji,
- kontrolę dostępu,
- monitorowanie środowiska OT,
- reagowanie na incydenty.
Pamiętajmy, że nawet najlepsza konfiguracja z dnia uruchomienia nie będzie wiele warta, jeśli przez następnych osiem lat nikt do niej nie zajrzy.
JAK NA NOWE WYMAGANIA ODPOWIADA WAGO?
Dla producenta automatyki nowe regulacje oznaczają konieczność dostosowania nie tylko produktów, ale również procesów związanych z ich rozwojem i utrzymaniem.
Aby sprostać nowym wymaganiom, firma WAGO rozwija działania w kilku kluczowych obszarach.
Secure Development Lifecycle
Proces tworzenia produktów realizowany jest zgodnie z wymaganiami normy IEC 62443-4-1. Oznacza to uwzględnianie kwestii bezpieczeństwa już na etapie projektowania, rozwoju oraz testowania rozwiązań.
PSIRT i zarządzanie podatnościami
Product Security Incident Response Team (PSIRT) to zespół zajmujący się obsługą podatności, ich raportowaniem oraz koordynowaniem działań naprawczych. Szczególną rolę odgrywa tu monitorowanie komponentów wykorzystywanych w produktach, bowiem w świecie oprogramowania jedna podatność w bibliotece może nagle stać się problemem dla wielu urządzeń.
Przygotowanie do CRA i certyfikacja IEC 62443
Portfolio produktów cyfrowych WAGO jest sukcesywnie dostosowywane do wymagań Cyber Resilience Act. Równolegle firma rozwija ofertę urządzeń certyfikowanych zgodnie z IEC 62443-4-2, na poziomie Security Level 2.
Pierwszym takim urządzeniem jest sterownik CC100 Secure, a kolejne certyfikowane produkty mają stopniowo poszerzać portfolio, aby ułatwiać integratorom i użytkownikom ocenę bezpieczeństwa komponentów wykorzystywanych w sieci OT.
CYBERBEZPIECZEŃSTWO PRZESTAŁO BYĆ DODATKIEM
W automatyce długo można było myśleć o bezpieczeństwie w dość prosty sposób: wystarczy odseparować sieć, ograniczyć dostęp i mieć nadzieję, że problem pozostanie po stronie działu IT. Dzisiaj to już za mało.
Sterowniki mają swoją historię aktualizacji, switche mają konfigurację i usługi sieciowe. Komputery inżynierskie pracują pod kontrolą systemów operacyjnych. Zdalny dostęp wymaga założenia konta, a wraz z nim właściwego zarządzania tożsamością i uprawnieniami.
Wszystkie te elementy muszą współgrać – najlepiej bez zatrzymywania produkcji.
CRA i NIS2 wprowadzają wymóg, który dla branży automatyki stanowi najistotniejszą zmianę od lat: cyberbezpieczeństwo przestaje być jednorazowym zadaniem, a staje się elementem całego życia systemu. Można to sprowadzić do prostego łańcucha:
producent ⇒ integrator ⇒ użytkownik
Producent dostarcza produkt, zapewnia jego bezpieczeństwo oraz wsparcie. Integrator buduje z niego działający i odpowiednio zabezpieczony system. Użytkownik utrzymuje ten system przez kolejne lata.
Jeżeli jedno z tych ogniw zawiedzie, bezpieczeństwo całego systemu zostanie osłabione.
To jest najważniejsza zmiana, którą CRA i NIS2 wnoszą do świata automatyki przemysłowej: cyberbezpieczeństwo przestaje być dodatkiem do systemu OT. Staje się jednym z warunków jego prawidłowego funkcjonowania.
Krzysztof Nosal
Starszy Specjalista ds. Automatyki w WAGO Elwag
Źródło: WAGO ELWAG Sp. z o.o.
Więcej na www.wago.com
