Producent maszyny potrzebuje wejścia do swojego sterownika, żeby zdiagnozować usterkę w godzinę zamiast w trzy dni. Twój zakład potrzebuje pewności, że tym samym wejściem nikt nie wjedzie w sieć produkcyjną w sobotę o trzeciej w nocy. Te dwie potrzeby nie są sprzeczne. Wymagają tylko architektury – zamiast modemu wpiętego „na czas uruchomienia”, który stoi tam od 2019 roku. Poniżej: co zwykle zawodzi, jak zbudować kanał serwisowy, którego nie trzeba wyłączać, i co konkretnie zapisać w umowie z integratorem.
Dlaczego zdalny dostęp jest najczęstszym wejściem do sieci OT
Nie dlatego, że jest źle zrobiony. Dlatego, że z definicji przechodzi przez granicę, której pilnują wszystkie pozostałe zabezpieczenia. Zapora, segmentacja i kontrola nośników chronią przed ruchem przypadkowym; kanał serwisowy jest ruchem uprawnionym, więc przechodzi.
Do tego dochodzą cztery cechy typowej instalacji. Po pierwsze, kanał powstaje przy uruchomieniu, gdy priorytetem jest ruszenie linii, i nigdy potem nie jest projektowany na nowo. Po drugie, poświadczenia są wspólne: jedno konto „serwis” zna czterech inżynierów dostawcy i dwóch byłych pracowników. Po trzecie, jest włączony na stałe, bo tak wygodniej. Po czwarte, nie ma rejestru, więc na pytanie „kto się łączył w zeszłym miesiącu” nikt nie odpowiada.
Skutek nie musi być spektakularny, żeby był drogi. Najczęstszy scenariusz to nie atak ukierunkowany, tylko zainfekowany komputer serwisowy dostawcy, który wnosi złośliwe oprogramowanie do sieci maszyn, albo zmiana wprowadzona zdalnie bez zgłoszenia, po której nikt nie umie odtworzyć poprzedniej wersji programu.
NIS2 i ustawa o krajowym systemie cyberbezpieczeństwa: od czego zależą obowiązki
Dyrektywa NIS2 i wdrażająca ją polska ustawa o krajowym systemie cyberbezpieczeństwa nie nakładają jednakowych obowiązków na wszystkich. Zakres zależy przede wszystkim od tego, czy przedsiębiorstwo zostanie zaklasyfikowane jako podmiot kluczowy albo podmiot ważny, a to wynika z sektora działalności i wielkości firmy, nie z liczby sterowników na hali. Część zakładów produkcyjnych mieści się w zakresie wprost, część trafia tam pośrednio: jako dostawca podmiotu już objętego, który przenosi wymagania w łańcuch dostaw zapisami umownymi.
Nie podajemy tu terminów ani progów. Stan przepisów oraz harmonogram obowiązków rejestracyjnych i sprawozdawczych trzeba sprawdzić w aktualnym tekście ustawy i w komunikatach organu właściwego – to jest dokładnie ten obszar, w którym artykuł sprzed roku bywa mylący, a powoływanie się na niego kosztowne. Potraktuj resztę tego tekstu jako inżynierię, która ma sens niezależnie od klasyfikacji: jeżeli okaże się, że jesteś objęty, będziesz to miał zrobione; jeżeli nie – i tak zmniejszyłeś realne ryzyko postoju.
Jedno jest pewne niezależnie od klasyfikacji: dostawca, który wymaga zdalnego dostępu, jest częścią Twojego łańcucha dostaw, a ryzyko dostawcy to w NIS2 wątek wyraźnie obecny i osobno traktowany. Dlatego rozdział o umowie na końcu tego poradnika jest ważniejszy niż wybór produktu.
Segmentacja: biuro, strefa pośrednia i sieć maszyn
Fundamentem nie jest narzędzie dostępu, tylko to, dokąd ono w ogóle prowadzi. Docelowa struktura ma trzy warstwy:
- Sieć biurowa – poczta, systemy zarządzania, komputery pracowników. Nie ma z niej trasy prowadzącej wprost do sterowników.
- Strefa pośrednia – tu stoi wszystko, co musi rozmawiać w obie strony: bramka danych, serwer historyczny, punkt dostępu serwisowego. Ruch do tej strefy i z niej jest opisany regułami na zaporze.
- Sieć maszyn – sterowniki, panele, napędy. Połączenie inicjowane z zewnątrz wprost do tej strefy nie istnieje; wszystko idzie przez strefę pośrednią.
Serwisant nie loguje się do sterownika. Loguje się do hosta pośredniczącego w strefie pośredniej – maszyny z zainstalowanym środowiskiem inżynierskim, z której dopiero widać wybrane urządzenia. Ten jeden element zmienia rachunek: sesję da się nagrać, oprogramowanie jest kontrolowane, a przenoszenie plików odbywa się w jednym obserwowanym miejscu. Warto też podzielić samą sieć maszyn na segmenty według linii lub gniazd, żeby dostęp przyznany do jednej maszyny nie był dostępem do całej hali.
Jeżeli budujecie równolegle warstwę danych produkcyjnych, zaprojektujcie obie rzeczy razem: przepływ danych z maszyn na zewnątrz i kanał serwisowy do środka korzystają z tej samej strefy pośredniej. Opisujemy to na stronie o zbieraniu danych z maszyn.
Wirtualna sieć prywatna czy platforma zdalnego serwisu
| Kryterium | Klasyczny VPN | Platforma zdalnego serwisu |
|---|---|---|
| Co dostaje serwisant | adres w sieci, zwykle szerszy dostęp, niż potrzebuje | połączenie do wskazanych urządzeń |
| Kto inicjuje połączenie | strona zewnętrzna, do zapory zakładu | urządzenie w zakładzie, wychodząco do serwera pośredniczącego |
| Zgoda na sesję | do dorobienia proceduralnie | zwykle wbudowana, także przełącznikiem na szafie |
| Rejestr sesji | logi zapory, rzadko czytane | zapis: kto, kiedy, do czego i jak długo |
| Wielu dostawców | osobna konfiguracja i osobne reguły dla każdego | jedna platforma, rozdzielone uprawnienia |
| Zależność | od własnego zespołu informatycznego | od dostawcy platformy i jego infrastruktury |
Przykładem platformy w tej kategorii jest Siemens SINEMA Remote Connect: urządzenia w zakładzie zestawiają połączenie wychodzące do serwera, a uprawnienia przypisuje się do osoby i do konkretnego urządzenia. Podobne rozwiązania mają inni dostawcy automatyki i producenci sprzętu sieciowego. Wybór produktu jest wtórny wobec pytania, czy macie strefę pośrednią i zasadę przyznawania dostępu.
Kiedy klasyczny VPN wystarczy: mały zakład, jeden dostawca, jeden zdefiniowany zakres i dyscyplina w utrzymywaniu reguł. Kiedy przestaje wystarczać: gdy dostawców jest kilku, każdy chce własnego tunelu, a nikt nie umie odpowiedzieć, kto łączył się w zeszłym miesiącu i po co.
Zgoda na sesję i rejestrowanie
Zasada, która usuwa większość problemów: dostęp jest domyślnie wyłączony, a włącza go ktoś z zakładu. Realizacje, od najprostszej: przełącznik kluczykowy na szafie, który fizycznie zestawia połączenie; zatwierdzenie sesji w panelu platformy przez wyznaczoną osobę; okno czasowe otwierane na zgłoszenie serwisowe i zamykane automatycznie po jego upływie.
Do tego rejestr, z którego da się odtworzyć: kto się łączył, z jakiego konta, kiedy, do którego urządzenia, jak długo i pod jaki numer zgłoszenia. Przy pracach ingerujących w program dochodzi nagranie sesji albo kopia projektu przed zmianą i po zmianie. Zdanie „coś zmienili zdalnie w piątek i od poniedziałku maszyna gubi cykl” jest znacznie tańsze do wyjaśnienia, gdy jest czym je zweryfikować.
Poświadczenia: koniec wspólnego konta „serwis”
- konta imienne dla każdego inżyniera dostawcy, nigdy jedno wspólne;
- uwierzytelnianie wieloskładnikowe na wejściu do platformy lub do hosta pośredniczącego;
- uprawnienia przypisane do urządzeń, a nie do całej sieci;
- procedura odbierania dostępu przy zmianie kadrowej u dostawcy, z terminem zapisanym w umowie;
- hasła do sterowników i paneli w firmowym menedżerze haseł, nie w pliku projektu i nie na kartce w szafie;
- okresowy przegląd listy kont – kwartalny wystarczy, byle rzeczywiście się odbywał.
Co wpisać do umowy z integratorem
- Kanał dostępu – wskazany z nazwy, z zakazem instalowania własnych modemów, routerów komórkowych i narzędzi zdalnego pulpitu bez pisemnej zgody.
- Zakres – lista urządzeń objętych dostępem, jako załącznik aktualizowany przy każdej zmianie.
- Tryb – dostęp na zgłoszenie, zatwierdzany po stronie zakładu; brak dostępu stałego.
- Konta i uwierzytelnianie – imienne, z listą osób i obowiązkiem zgłoszenia zmiany w ustalonym terminie.
- Rejestrowanie – zgoda na rejestrację sesji i prawo zakładu do wglądu w zapis.
- Zmiany w oprogramowaniu – każda zgłoszona, opisana i przekazana w źródłach, z kopią sprzed zmiany.
- Zgłaszanie incydentów – termin powiadomienia zakładu o incydencie u dostawcy, który może dotyczyć Waszej instalacji.
- Podwykonawcy – imiennie i na tych samych zasadach, bez cichego przekazywania dostępu dalej.
- Zakończenie współpracy – termin odebrania dostępów oraz przekazania kompletu haseł i źródeł.
- Standard na przyszłość – te same zasady jako stały załącznik do każdego kolejnego zamówienia.
Ten załącznik jest tańszy niż audyt i skuteczniejszy niż zapora, bo działa na etapie, na którym architektura jeszcze nie powstała. Jeżeli zamawiacie prace programistyczne, uzgodnijcie go razem z zakresem programowania PLC, HMI i SCADA Siemens.
IEC 62443 jako punkt odniesienia
Normą, do której branża odwołuje się przy projektowaniu bezpieczeństwa systemów sterowania, jest rodzina IEC 62443. Wprowadza podział na strefy i kanały komunikacyjne, poziomy bezpieczeństwa oraz osobne wymagania dla producenta urządzenia, integratora i użytkownika końcowego. Używamy jej jako punktu odniesienia przy projektowaniu segmentacji i zasad dostępu.
Zaznaczamy wprost: nie posiadamy certyfikacji w tym zakresie, a powołanie się na normę nie jest deklaracją zgodności z nią. Jeżeli Twój klient wymaga potwierdzenia certyfikatem, potrzebna jest jednostka certyfikująca, a nie integrator. Rozdzielenie tych dwóch rzeczy w rozmowie handlowej oszczędza później nieporozumień.
Plan minimum na najbliższy kwartał
- Spisz wszystkie istniejące kanały zdalnego dostępu, także te, o których wie jedna osoba z utrzymania ruchu. To zwykle najbardziej zaskakujący punkt całego ćwiczenia.
- Odłącz te, z których nikt nie korzystał od pół roku. Jeżeli coś przestanie działać, dowiesz się w tydzień i przy okazji poznasz przeznaczenie kanału.
- Postaw host pośredniczący i przekieruj przez niego dostęp największego dostawcy.
- Wprowadź konta imienne i zatwierdzanie sesji po stronie zakładu.
- Dołóż załącznik umowny do najbliższego zamówienia i do wszystkich następnych.
Cztery pierwsze punkty to praca na dni, a nie na miesiące, i nie wymagają zmiany dostawcy ani nowego budżetu inwestycyjnego. Piąty nic nie kosztuje i działa najdłużej.