IT és OT szétválasztása a gyártásban
Az irodai informatika és az üzemi technológia két különböző világ, eltérő prioritásokkal és eltérő élettartammal. A legtöbb gyártó vállalatnál mégis ugyanazon a hálózaton futnak. Ez az a pont, ahol egy levelezésből induló incidens eljut a gyártósorig.
Két világ, ellentétes prioritásokkal
Irodai informatika
Levelezés, ERP, fájlmegosztás, műszaki adatkezelés.
- Elsődleges szempont: bizalmasság
- Frissítés: rendszeres, tervezhető
- Élettartam: 3–5 év
- Leállás: kellemetlen, de elviselhető
Üzemi technológia
Gépvezérlők, SCADA, mérő- és adatgyűjtő rendszerek.
- Elsődleges szempont: rendelkezésre állás
- Frissítés: gyártói jóváhagyáshoz kötött
- Élettartam: 10–20 év
- Leállás: azonnali termeléskiesés
A különbség nem technikai finomság. Egy irodai gépen a javítócsomag telepítése rutinfeladat; egy megmunkálóközpont vezérlőjén ugyanez újraminősítést vonhat maga után, és sok esetben nincs is javítócsomag, mert a szállító a berendezést már nem támogatja. A védelem ezért nem a javításról szól, hanem arról, hogy ki és honnan éri el a berendezést.
Négy pont, ahol a két világ összeér
A távoli karbantartói kapcsolat
A gépszállító a bevezetéskor kért elérést a berendezéshez. Azóta senki nem vizsgálta felül. Jellemzően állandóan nyitva van, megosztott jelszóval, naplózás nélkül, és közvetlenül az üzemi hálózatra visz. Ez a leggyakoribb belépési pont, és egyben a legkönnyebben rendezhető.
A közös hálózat
Az irodai és az üzemi eszközök ugyanabban a szegmensben vannak, mert így volt egyszerű kiépíteni. Egy zsarolóvírus, amely a levelezésen keresztül jut be, ekkor akadály nélkül eléri a gyártásirányítást is.
Beszállítói és vendég hozzáférések
Karbantartók, integrátorok, auditorok kapnak hozzáférést, de a megszűnésüket senki nem követi. A NIS2 az ellátási láncot kifejezetten számonkéri, tehát ez nemcsak működési, hanem megfelelési kérdés is.
A mentés, amit nem próbáltak vissza
A mentés fut, a jelentés zöld. Hogy a gyártásirányítás valóban visszaállítható-e belőle, és mennyi idő alatt, az csak az éles helyzetben derül ki — ha nem tesztelték.
A Norsk Hydro 2019-es esete azt mutatta, hogy a termelés fenntartható manuális kerülőutakkal — de csak ott, ahol az eljárás előre létezett. Érdemes tudni, mely folyamat működtethető 24–48 órán át kézi módban.
Mit csinálunk
IT/OT szegmentáció tervezése
Hálózati diagram a tényleges kapcsolatokról, szegmenshatárok és átjárási pontok kijelölése, gap-lista prioritással.
Hozzáféréskezelés és távoli kapcsolatok
A meglévő karbantartói elérések felmérése, lezárása vagy kontrollált csatornára terelése, naplózással és időkorláttal.
Beszállítói hozzáférések rendezése
Ki, mihez, milyen jogalapon és meddig fér hozzá — nyilvántartás, felülvizsgálati rend és szerződéses kikötések.
Mentés és visszaállítás tesztelése
Nem a mentés meglétét, hanem a visszaállítás idejét mérjük, jegyzőkönyvvel — ez az, ami auditon bizonyítékként megáll.
Amikor nem kell hozzánk fordulni
Ha van saját OT-biztonsági csapata és naprakész szegmentációs terve, ez a munka nálunk nem lesz olcsóbb vagy gyorsabb. Ha viszont a fenti négy pont közül bármelyikre az a válasz, hogy „ezt meg kellene néznünk", akkor érdemes beszélni.
A kiindulás jellemzően egy felmérés: mi van ma a hálózaton, ki éri el, és mi történik, ha egy szegmens kiesik. Ebből lesz a prioritásos gap-lista.
[email protected]Gyakori kérdések
- Mi a különbség az IT és az OT hálózat között?
- Az IT az irodai informatika, ahol a bizalmasság a fő szempont és a rendszerek rendszeresen frissülnek. Az OT az üzemi technológia, ahol a rendelkezésre állás a fő szempont, és a berendezés élettartama tíz-húsz év.
- Miért nem lehet egyszerűen frissíteni a gépvezérlőket?
- A vezérlő a berendezés része, a frissítés gyártói jóváhagyáshoz és sokszor újraminősítéshez kötött. Gyakran nincs is javítócsomag, mert a szállító már nem támogatja a típust.
- Mi a legkockázatosabb pont a kettő között?
- Jellemzően a gépszállító távoli karbantartói kapcsolata: a bevezetéskor nyitották meg, azóta nem vizsgálták felül, és közvetlen elérést ad az üzemi hálózatra.
- Hogyan kapcsolódik ez a NIS2-höz?
- A szegmentáció és a hozzáféréskezelés az audit technológiai és kontrollműködési területéhez tartozik, a beszállítói hozzáférések pedig az ellátási lánchoz. Részletek a NIS2 áttekintésben.