Segmentacja OT nie powinna być kopią architektury biurowej. Sieci przemysłowe obsługują procesy fizyczne, urządzenia o długim cyklu życia, wyspecjalizowane protokoły i wymagania dostępności, których nie można oceniać wyłącznie przez pryzmat poufności danych. Zmiana łączności może wpływać na sterowanie, bezpieczeństwo ludzi, jakość produkcji i możliwość przywrócenia procesu.
Dobrze zaprojektowana architektura dzieli środowisko na strefy wynikające z funkcji i krytyczności, ogranicza kanały komunikacji oraz stosuje fizyczną izolację tylko tam, gdzie stała ścieżka nie jest potrzebna. NIST SP 800-82 podkreśla znaczenie znajomości procesu, ograniczeń operacyjnych i ochrony wielowarstwowej. Fizyczna granica może wzmocnić wybrane miejsca, ale nie zastępuje inwentaryzacji, zarządzania dostępem ani monitoringu OT.
Najważniejsze wnioski
W skrócie
- Architektura OT musi wynikać z procesu fizycznego, zależności i wymagań bezpieczeństwa funkcjonalnego.
- Strefy grupują zasoby o podobnej funkcji i krytyczności, a kanały dopuszczają tylko uzasadnioną komunikację.
- Fizyczną izolację warto stosować selektywnie na ścieżkach używanych okresowo.
- Procedura operacyjna, zarządzanie zmianą i monitoring są równie ważne jak topologia.
Buduj architekturę na wiedzy o procesie
Rozpocznij od inwentaryzacji urządzeń, oprogramowania, wersji, właścicieli i rzeczywistych przepływów. Dokumentacja projektowa może nie odzwierciedlać zmian wykonanych podczas wieloletniej eksploatacji. Pasywna obserwacja ruchu i rozmowy z automatykami pomagają ustalić, które połączenia są niezbędne, okresowe lub przypadkowe. Aktywne skanowanie powinno być uzgodnione ze względu na wrażliwość części urządzeń.
Każdy przepływ powiąż z funkcją procesu: sterowanie, wizualizacja, receptury, historia, diagnostyka, aktualizacja albo serwis. Określ maksymalne opóźnienie i wpływ utraty łączności. System bezpieczeństwa funkcjonalnego lub sterownik krytyczny może wymagać zupełnie innego traktowania niż serwer raportowy. Ta wiedza stanowi podstawę zarówno segmentacji, jak i decyzji o fizycznym rozłączeniu.
Definiuj strefy i wąskie kanały komunikacji
Grupuj zasoby według funkcji, krytyczności i wspólnych wymagań ochrony. Między strefami twórz kontrolowane kanały, które dopuszczają tylko niezbędne protokoły, źródła i cele. Strefa pośrednia OT DMZ może oddzielać usługi firmowe od systemów sterowania i zapewniać miejsce dla serwerów pośredniczących, aktualizacji oraz zdalnego dostępu.
Unikaj reguł szerokich „na wszelki wypadek”. Jeżeli połączenie jest potrzebne tylko do raportu raz dziennie, nie musi pozostawać dwukierunkowe przez całą dobę. Jeżeli dostawca serwisuje jedną linię, jego sesja nie powinna zapewniać osiągalności całej fabryki. Dokumentuj właściciela i uzasadnienie każdego kanału oraz termin jego ponownego przeglądu.
Wybieraj fizyczne granice selektywnie
Dobrymi kandydatami są ścieżki zdalnego serwisu, połączenia do starszych systemów, wybrane repozytoria kopii zapasowych, stacje inżynierskie i segmenty używane tylko podczas planowanych działań. Fizyczne rozłączenie może zmniejszyć zależność od poprawności reguł w okresie, gdy komunikacja nie ma uzasadnienia.
Nie umieszczaj granicy na ścieżce wymaganej do ciągłego sterowania lub bezpiecznego zatrzymania bez analizy skutków. Należy sprawdzić zachowanie urządzeń po utracie linku, czas renegocjacji, buforowanie danych i wpływ na alarmy. AIRGAPNET może tworzyć kontrolowane okno Ethernet, lecz konkretne zastosowanie wymaga zatwierdzenia przez właściciela procesu i inżynierię bezpieczeństwa.
Zaprojektuj procedurę operacyjną
Określ, kto może wnioskować o otwarcie, kto je zatwierdza, na jaki czas i dla jakiego zadania. Stan granicy powinien być widoczny dla operatorów, a połączenie automatycznie zamykać się po upływie ustalonego czasu. Procedura musi uwzględniać zmianę planu, przerwany serwis, dostęp awaryjny i możliwość natychmiastowej izolacji podczas incydentu.
Zabezpiecz urządzenie serwisowe przed wejściem do strefy: aktualizacje, skanowanie, ograniczone oprogramowanie i dedykowane poświadczenia zmniejszają ryzyko. Podczas sesji zbieraj logi z punktów pośrednich oraz systemów docelowych. Po zakończeniu potwierdź wylogowanie, zamknięcie ścieżki i brak nieautoryzowanych zmian.
Utrzymuj architekturę mimo zmian
Nowa maszyna, aktualizacja systemu SCADA, dostawca lub zmiana receptury mogą wprowadzić dodatkowy przepływ. Zarządzanie zmianą powinno wymagać aktualizacji inwentaryzacji, diagramu, reguł i procedury izolacji. Tymczasowe wyjątki muszą mieć właściciela oraz datę wygaśnięcia, inaczej szybko stają się trwałą częścią architektury.
Regularnie porównuj oczekiwane przepływy z obserwowanym ruchem i stanem fizycznych granic. Testuj awarię zasilania, utratę sterowania, ponowne zestawienie linku i reakcję operatorów. Zmiana personelu wymaga przekazania odpowiedzialności i szkolenia, ponieważ niewłaściwie rozumiana kontrola może być obchodzona z powodów operacyjnych.
Przegląd powinien obejmować także dostawców i umowy serwisowe. Nowa metoda diagnostyki lub zdalnego wsparcia może wprowadzić kanał, którego nie ma na diagramie. Wymagania dotyczące dostępu, rejestrowania sesji i zamknięcia ścieżki warto wpisać do uzgodnień z dostawcą przed rozpoczęciem prac.
Wdrażaj etapami
Wybierz jedną dobrze poznaną i niekrytyczną dla sterowania ścieżkę okresową. Najpierw zmierz jej rzeczywiste użycie, następnie wprowadź logiczne ograniczenia i monitoring, a dopiero potem fizyczną granicę. Przeprowadź test z operatorem, utrzymaniem, bezpieczeństwem i dostawcą systemu. Zapisz czas potrzebny na otwarcie, wyjątki i zachowanie po awarii.
Po udanym pilotażu stosuj wzorzec do podobnych przypadków, ale nie zakładaj automatycznie identycznych wymagań. Każda linia i instalacja może mieć inne zależności. Kryteria wejścia do wdrożenia powinny obejmować aktualny diagram, właściciela procesu, plan testów, drogę wycofania zmiany i zatwierdzenie bezpieczeństwa funkcjonalnego.
Lista decyzyjna
Pytania, na które trzeba odpowiedzieć przed wdrożeniem
- Zweryfikuj inwentaryzację i przepływy z właścicielami procesu OT.
- Podziel środowisko na strefy według funkcji i krytyczności.
- Ogranicz kanały do konkretnych źródeł, celów i protokołów.
- Wybierz tylko okresowe ścieżki, które można bezpiecznie fizycznie rozłączać.
- Przetestuj utratę linku, zasilania, sterowania i dostęp awaryjny.
- Włącz granice do zarządzania zmianą, monitoringu i regularnych przeglądów.
Najczęstsze pytania
Pytania zadawane na początku
Czy sieć OT powinna być całkowicie odłączona od IT?
Nie ma jednej odpowiedzi dla wszystkich środowisk. Wiele procesów potrzebuje kontrolowanej wymiany danych. Celem jest ograniczenie komunikacji do uzasadnionych kanałów i usunięcie stałych ścieżek tam, gdzie nie są potrzebne, bez naruszania bezpiecznej pracy procesu.
Gdzie najczęściej sprawdza się fizyczna izolacja w OT?
Na okresowych ścieżkach serwisowych, przy starszych urządzeniach, wybranych stacjach inżynierskich, repozytoriach backupu i segmentach, które nie wymagają stałej komunikacji. Każdy przypadek wymaga oceny wpływu na proces.
Czy fizyczna granica zastępuje OT DMZ?
Nie. OT DMZ obsługuje kontrolowaną wymianę i usługi pośredniczące, a fizyczna izolacja może usuwać wybraną ścieżkę poza okresem użycia. Mechanizmy mogą działać wspólnie w architekturze wielowarstwowej.
Źródła oficjalne