W obecnych czasach mało które przedsiębiorstwo produkcyjne może obyć się bez automatyzacji. Sterowana komputerowo frezarka, drukarka 3D, system dystrybucji, dziurkarka – prawie wszystkie urządzenia wymagają komputera lub Internetu. Żadnej firmie w dzisiejszych czasach nie da się już uciec od tematu "zabezpieczeń IT".

Spontaniczną decyzją w tym zakresie jest często powierzenie tego zadania wewnętrznemu działowi IT (gdy to możliwe) lub zewnętrznemu dostawcy usług. Nie zawsze jednak takie rozwiązanie jest odpowiednie w przypadku zakładów przemysłowych: prace konserwacyjne i aktualizacje przeprowadzają zazwyczaj producenci z zakładów.

Realistyczne scenariusze
Jedną z pięt achillesowych rozwiązań IT skierowanych dla przemysłu są właśnie dostępy serwisowe, z których korzystają producenci i dostawcy usług. Nagminnie zdarza się, że opierają się na szerokiej autoryzacji i zazwyczaj nie są ściśle monitorowane. Ponadto zakłady produkcyjne są często fizycznie zintegrowane z lokalną siecią IT po to, by dane dotyczące produkcji i sterowania były przekazywane do środowiska produkcyjnego z najkrótszym możliwym opóźnieniem i aby można je było pobierać w czasie rzeczywistym. Jak najskuteczniejsze zabezpieczenie wszystkich dostępów serwisowych oraz monitorowanie ich działania jest więc ważnym zadaniem do wykonania.

Jednak zagrożenie dla danych zakładów produkcyjnych pochodzi nie tylko z zewnątrz, ale również z wewnątrz. Urządzenia pozyskujące w końcowym etapie wszelkie dane produkcyjne są i muszą być łatwo dostępne w ramach zakładu. Większość komputerów wykorzystywanych do sterowania również jest łatwo dostępna. Często niestety nie wiadomo w jaki sposób i do jakich celów jest wykorzystywana.

Czasami pracownicy wykorzystują je do surfowania po Internecie lub nawet pokazują kolegom zdjęcia z wakacji skopiowane z zewnętrznego nośnika pamięci. Z reguły nie mają złych intencji, jednak kwestia niewłaściwego wykorzystywania firmowych komputerów nie wymaga w tym miejscu żadnego komentarza. Korzystanie z firmowych komputerów – niezależnie od profilu firmy – musi być jasno regulowane i oparte na wypracowanych zasadach.

W takim razie co hipotetycznemu hackerowi daje uzyskanie dostępu do systemu sterowania? - Z technicznego punktu widzenia możliwe jest manipulowanie danymi produkcyjnymi w ukierunkowany na dany cel niebezpieczny sposób. W praktyce jednak dzieje się to rzadko - tłumaczy Robert Dziemianko z firmy G DATA, która dostarcza rozwiązania zapewniające bezpieczeństwo IT. - Bardziej prawdopodobny scenariusz to sabotaż spowodowany ograniczonym dostępem lub wstrzymanie produkcji z powodu fizycznego uszkodzenia systemu wskutek celowych błędów operacyjnych bądź awarii komputerów sterujących. W zależności od systemu, w niektórych przypadkach dostępne są setki punktów pomiarowych, zaworów, włączników i elementów sterujących. Na przykład jeśli komuś z zewnątrz uda się w oparciu o własną decyzję zamknąć bądź otworzyć dane zawory lub zmienić przepływ w systemie, może to skutkować niemożliwym do naprawienia uszkodzeniem modułu produkcyjnego lub wręcz całego systemu, a przy najbardziej pesymistycznym obrocie spraw może dojść do uszczerbku na zdrowiu pracowników. Taka sytuacja pociągnęłaby za sobą milionowe straty finansowe - dodaje ekspert z G DATA.

Spowolniona szlifiernia
Personel wsparcia IT często ma do czynienia z sytuacją, gdy komputer sterujący urządzeniem przemysłowym ma zainstalowaną bardzo starą wersję systemu Windows. Aktualizacja jest często niemożliwa z ekonomicznego punktu widzenia, ponieważ oprogramowanie sterujące może nie być obsługiwane przez bieżącą wersję systemu lub należałoby wykupić bardzo kosztowną, nową licencję. Zdarza się również tak, że producent oprogramowania nie jest już obecny na rynku, a więc żadne wsparcie nie jest dostępne. Z tego powodu urządzenia są eksploatowane do momentu, gdy rozpadną się na kawałki (czasem dosłownie). Dlatego też szeroko zakrojone zmiany, szczególnie w kwestiach związanych z zabezpieczeniami, spotykają się z bardzo powolną akceptacją.

W tym miejscu po raz kolejny dochodzi do głosu kluczowy problem: Wiele zakładów przemysłowych w swoim zamyśle nigdy nie miało stać się częścią świata opartego na globalnej sieci. W szczególności w przemyśle, zakłady programowane są do funkcjonowanie przez kilka dziesięcioleci. Dlatego ich stworzenie to ogromny wydatek, a przez pewien czas muszą się same utrzymywać. Sytuacja prezentuje się podobnie jeśli chodzi o szpitale. Duże urządzenie, na przykład takie do przeprowadzania rezonansu magnetycznego, nie jest co rok lub nawet co dwa lata zastępowane nowym, by spełniać kryteria aktualizacji dla celów zabezpieczeń. Częste zmiany z tego punktu widzenia się nie opłacają – do przeprowadzenia aktualizacji często koniecznie jest wstrzymanie pracy całego systemu. Przez ten czas maszyna nie zarabia, a więc prace konserwacyjne planuje się z dużym wyprzedzeniem po to, by w tym samym czasie przeprowadzić również inne naprawy i aby nie było konieczności wstrzymywania pracy zakładu kilka razy w roku.

W takich okolicznościach rodzi się pytanie o zasadność wykorzystania chmury. Początkowa euforia, która niektórych zaślepiła, to już przeszłość i firmy teraz przyglądają się zagadnieniom związanym z chmurą bardziej krytycznie. Korzyści płynące z zastosowania rozwiązań opartych na chmurze są bezsprzeczne. Pomimo zachwytu towarzyszącemu tej kwestii, managerowie IT zawsze muszą mieć „plan B“ na wypadek, gdyby sytuacja z dostawcą usług w chmurze nie potoczyła się tak optymistycznie, jak zakładano. Plan awaryjny musi być gotowy już w momencie migracji „do chmury“. Wybierając zewnętrznego dostawcę nie można skupiać się wyłącznie na cenie. Gdy oferowana cena jest niska należy dokładnie przyjrzeć się temu, jak ze strony dostawcy wygląda kwestia zabezpieczania danych klientów. Koniec końców wybór dostawcy jest kwestią zaufania, której nie da się opisać w oparciu o namacalne fakty.

IW