NIS2 a IEC 62443 v OT: kybernetická bezpečnost není soukromou věcí správce systému

V průmyslových podnicích byla kybernetická bezpečnost dlouho považována za součást kancelářského IT. Firewall, antivir, hesla, zálohy – a výrobní či energetický systém fungoval odděleně, podle vlastní technické logiky.

S konvergencí IT a OT tato dělicí čára zmizela. PLC, střídače, automatizace budov, SCADA, gatewaye a vzdálená servisní připojení dnes mohou být součástí téhož digitálního rizikového prostoru. Důsledky však zůstávají fyzické: zastavená výroba, chybná regulace, výpadek dodávek energie nebo nedostupná služba.

Proto NIS2 povyšuje řízení kybernetických rizik na úroveň vedení a celé organizace. IEC 62443 pak poskytuje přístup k průmyslové bezpečnosti a soubor požadavků, s jejichž pomocí lze prostředí OT uspořádat i technicky.

NIS2 není nákupní seznam technologií

Směrnice Evropské unie NIS2 vytvořila jednotnější rámec kybernetické bezpečnosti pro 18 kritických odvětví. Střední a velké podniky, které spadají do její působnosti, musí zavést vhodná opatření k řízení rizik a postupy hlášení incidentů. Směrnice rovněž výslovně zdůrazňuje odpovědnost vrcholového vedení.

Jde o důležitou změnu: kybernetickou bezpečnost nelze neomezeně delegovat na správce systému nebo externího poskytovatele. Vedení musí rozumět tomu, které digitální závislosti ohrožují základní provoz, a musí je řídit.

NIS2 neurčuje, který firewall od kterého výrobce je třeba koupit. Očekává fungování založené na řízení rizik, mimo jiné:

• zvládání incidentů;
• kontinuitu činností a obnovu;
• bezpečnost dodavatelského řetězce;
• řízení zranitelností;
• řízení přístupu;
• kryptografii a bezpečnost komunikace;
• bezpečnostní povědomí;
• hodnocení účinnosti opatření.

Zda konkrétní organizace skutečně spadá do působnosti a jaké národní požadavky se na ni vztahují (v Maďarsku NIS2 provádí zákon XXIII z roku 2023), je třeba určit individuálně podle odvětví, velikosti, poskytované služby a použitelného národního práva. Řízení technických rizik je však v obchodním zájmu podniku i tehdy, pokud nakonec povinným subjektem není.

Proč je riziko v OT zvláštní?

Systémy OT mají dlouhý životní cyklus. Nejsou výjimkou deset až dvacet let stará zařízení, již nepodporované operační systémy nebo řídicí systémy, které lze bez zastavení výroby jen obtížně aktualizovat.

Kromě toho v OT platí:

• dostupnost a fyzická bezpečnost mají přednost;
• změny je nutné testovat kvůli technologickému riziku;
• mnohá zařízení nebyla nikdy navržena pro nepřátelské síťové prostředí;
• vzdálený přístup výrobce nebo servisní firmy je běžný;
• evidence zařízení bývá často neúplná;
• odpovědnost je rozdělena mezi IT, automatizaci, provoz a dodavatele.

Pouhé převzetí běžné bezpečnostní politiky IT proto nestačí.

Role IEC 62443

Řada norem ISA/IEC 62443 řeší kybernetickou bezpečnost průmyslových automatizačních a řídicích systémů v celém jejich životním cyklu. Nezaměřuje se jen na provozovatele: stanoví požadavky a role také pro výrobce zařízení, systémového integrátora a vlastníka aktiv (asset owner).

Jedním z klíčových prvků tohoto přístupu je vymezení zón podle rizika a řízených komunikačních spojení (conduitů) mezi nimi.

Do jedné zóny mohou patřit zařízení s podobným rizikem a podobnými bezpečnostními požadavky. Datové toky mezi zónami pak mohou probíhat jen po stanovených cestách a protokolech a podle daných pravidel.

Takové uvažování je mnohem přesnější než „máme firewall směrem do internetu“. Útok nebo porucha totiž může vzniknout i zevnitř – přes vzdálené servisní připojení, z notebooku dodavatele nebo z kompromitovaného IT systému.

První nepříjemný úkol: soupis zařízení a datových spojení

Nelze chránit to, o čem nevíme, že existuje.

Prvním skutečným krokem k bezpečnosti OT proto obvykle není instalace nového produktu, ale zmapování skutečného prostředí:

• jaká PLC, HMI, měřidla, střídače a gatewaye jsou v provozu;
• s jakou verzí firmwaru a softwaru;
• v jaké síti jsou dostupné;
• s kým a jakým protokolem komunikují;
• kdo k nim má přístup na místě a na dálku;
• jaký obchodní nebo fyzický proces na nich závisí;
• co se stane při jejich výpadku nebo kompromitaci.

Soupis by neměl zůstat statickou tabulkou v Excelu. Vyplatí se do dohledatelného systému propojit i změny, odpovědnosti, události a dokumenty.

Vzdálený přístup je typickým slabým místem

Průmyslové systémy často potřebují podporu výrobce nebo integrátora. Problémem není vzdálený přístup jako takový, ale přístup nekontrolovaný, trvalý a přímý.

U obhajitelného řešení je třeba stanovit:

• kdo smí spojení iniciovat;
• zda je nutné vícefaktorové ověření;
• který konkrétní systém je dostupný;
• v jakém časovém okně;
• zda je nutné schválení na místě nebo vedením;
• zda lze relaci zaznamenávat;
• jak lze oprávnění odebrat;
• co se stane při ukončení smlouvy s dodavatelem.

Řešení typu „AnyDesk je na počítači, kdyby bylo potřeba“ je pohodlné, ale není to bezpečnostní architektura.

Dodavatelský řetězec je součástí OT

V průmyslovém systému neurčuje bezpečnost jen vlastní tým. Výrobce hardwaru, dodavatel firmwaru, integrátor, telekomunikační operátor i cloudová platforma mohou být součástí řetězce rizik.

V technické specifikaci a ve smlouvách by proto měly být uvedeny například:

• období podpory a aktualizací;
• způsob hlášení zranitelností;
• požadavky na přístup a protokolování;
• informace o komponentách a verzích;
• součinnost během incidentu;
• vrácení dat a konfigurací.

Zde se pohled NIS2 na dodavatelský řetězec setkává s přístupem IEC 62443 založeným na životním cyklu a rolích.

Zdroje

• Evropská komise – směrnice NIS2
• Směrnice Evropského parlamentu a Rady (EU) 2022/2555
• ISA/IEC 62443 Series of Standards
• NIST SP 800-82 Rev. 3 – Guide to Operational Technology Security

Poznámka: článek slouží jako obecná odborná informace a nepředstavuje právní poradenství ani poradenství v oblasti souladu s předpisy.