IT alebo OT špecialista? Ako porovnať skutočné náklady kyberbezpečnostného projektu vo výrobe

Vo vymyslenom výrobnom závode sa chystá lepšie zabezpečenie siete, ktorá prepája stroje. Cieľom je obmedziť nepotrebné spojenia a zachovať tie, ktoré stroje potrebujú na výrobu a servis. Firma sa rozhoduje, komu túto prácu zverí a koľko ju celý projekt bude stáť.

Jeden dodávateľ sa venuje informačným technológiám, skrátene IT: počítačom, serverom a sieťam. Druhý sa špecializuje na prevádzkové technológie, skrátene OT: zariadenia a systémy, ktoré sledujú alebo riadia výrobu. Pri výrobnej sieti treba vedieť nastaviť ochranu aj rozpoznať, ktoré spojenia stroje potrebujú.

IT ponuka A stojí 12 000 €, OT ponuka B 25 000 €. Lacnejšia ponuka môže byť správnou voľbou, ak vaši ľudia dokážu pripraviť potrebné podklady a majú na to čas. Vyššia cena môže dávať zmysel, ak dodávateľ prevezme potrebnú prácu, ktorú by inak robili oni. Rozdiel 13 000 € sa preto porovnáva aj s tým, čo pri každej ponuke zostane na vašom tíme.

Ceny, hodiny aj rozdelenie práce v tomto príklade sú hypotetické. Neslúžia ako cenník KFB, trhové údaje ani prísľub úspory.

Rýchle zhrnutie

1. Dve ponuky: kto pripraví návrh a kto nastaví sieť
2. Čas vašich ľudí: čo urobia a čo kvôli projektu odložia
3. Porovnanie nákladov: čo má obhájiť príplatok 13 000 €
4. Kedy dáva zmysel IT, OT alebo ich kombinácia
5. Desať otázok pre dodávateľov
6. Doplnkový prehľad: kde treba poznať výrobu
7. Časté otázky

Dve ponuky: kto pripraví návrh a kto nastaví sieť

Stroje si po sieti posielajú údaje. Niektoré spojenia potrebujú pri výrobe, iné používa servis. Kým niekto obmedzí komunikáciu, musí zistiť, ktoré spojenia majú zostať. Inak môže obmedziť aj spojenie potrebné na chod stroja.

Rozdelenie siete na časti a určenie povolených spojení medzi nimi sa nazýva segmentácia. Návrh vychádza z toho, kto s kým potrebuje komunikovať; tento postup opisuje aj príručka OT bezpečnosti NIST. Samotné nastavenie siete je ďalšia práca. Vyžaduje človeka, ktorý vie návrh správne uskutočniť.

V našom príklade chce dodávateľ A od zákazníka pripravený zoznam zariadení a potrebných spojení. Váš automatizér, teda človek, ktorý sa stará o riadenie strojov, zisťuje, na čo jednotlivé spojenia slúžia. S údržbou a výrobcom stroja doplní chýbajúce údaje. Vaše IT pripraví informácie o sieti a prístupoch.

Dodávateľ A z týchto podkladov pripraví dohodnuté nastavenie ochrany a nastaví sieť. Váš tím s ním overí, či stroje po zmene fungujú tak, ako potrebujú. Ak pri skúške vyjde najavo chýbajúce spojenie, automatizér vysvetlí jeho účel a dodávateľ upraví nastavenie.

Dodávateľ B v tomto príklade preberá väčšiu časť zisťovania. Spracuje dostupné údaje o zariadeniach a ich komunikácii, pripraví zoznam spojení a návrh, ktoré majú zostať povolené. Následne nastaví ochranu a pripraví podklady na overenie výsledku.

Ani B však nepozná váš závod bez vašich ľudí. Automatizér mu vysvetlí, čo jednotlivé stroje robia, a potvrdí, či zoznam zahŕňa potrebné výrobné a servisné spojenia. Výroba dohodne čas skúšok a spolu s technikmi potvrdí výsledok. Externý špecialista môže prevziať prípravu; správnosť záverov o vašej výrobe naďalej potvrdzuje zákazník.

Takto sme rozdelili prácu iba v hypotetickom príklade. Konkrétny IT dodávateľ môže prevziať aj zisťovanie a OT dodávateľ môže žiadať rozsiahle podklady od vás. Preto má väčší význam rozpis práce v ponuke než označenie firmy.

Aby sa ceny dali porovnať, obe ponuky musia smerovať k rovnakému výsledku. Potrebujete vedieť, čo dostanete, ako sa výsledok overí a čo cena obsahuje: zariadenia, licencie, prácu výrobcov strojov, skúšky, dokumentáciu aj následnú podporu.

Pri jednorazovej úprave siete sa porovnáva rovnaký rozsah úpravy. Pri pravidelnej správe aj rovnaké obdobie a dohodnuté časy dostupnosti služby. Ponuka bez prijateľného postupu zásahu a skúšok nie je porovnateľná len preto, že má nižšiu cenu.

Čas vašich ľudí: čo urobia a čo kvôli projektu odložia

V ponuke môže stáť „bežná súčinnosť zákazníka“. V našom príklade to znamená, že automatizér zisťuje účel spojení, IT pripravuje údaje o sieti a údržba pomáha pri strojoch. Vedúci výroby dohodne, kedy možno skúšať zmeny. Sú to konkrétne hodiny práce, ktoré na dodávateľskej faktúre nevidíte.

Ak váš automatizér počas projektu pripravuje podklady, v tom istom čase sa nemôže venovať plánovanej údržbe alebo úpravám linky. Pri porovnaní ponúk preto pomáha vedieť aj to, ktorú prácu projekt odsunie a akú hodnotu pre firmu má. Takto sa vysvetľuje hodnota času vašich ľudí.

Jeho bežnú mzdu firma platí aj bez projektu. Nie je teda automaticky novým výdavkom. Novým výdavkom môžu byť napríklad platené nadčasy alebo ďalšia objednaná pomoc. Odsunutá práca je samostatná otázka: čo firma nestihne, keď človek pracuje na bezpečnostnom projekte?

Ak máte voľný čas a nič dôležité neodkladáte, príprava vo vlastnom tíme môže byť výhodná. Ak ten istý človek rieši poruchy a modernizáciu linky, ďalšiu úlohu nemusí mať kedy vykonať. Projekt potom potrebuje aj odpoveď na otázku, kedy bude dostupný, nielen koľko stojí jeho hodina.

Zvlášť dôležitý môže byť jediný automatizér, ktorý pozná staršie úpravy stroja. Externý dodávateľ vie spracovať časť podkladov, ale vysvetlenie a potvrdenie týchto úprav môže stále potrebovať od neho.

Čas spotrebuje aj opakované overovanie. Tím vyskúša návrh, nájde chýbajúce spojenie, dodávateľ ho doplní a nasleduje nová skúška. Jedno takéto kolo nazývame overovacím cyklom. Viac kôl môže potrebovať aj OT špecialista; záleží na podkladoch a na tom, čo pri skúškach vyjde najavo.

Odhad hodín má preto uvádzať, s akou dokumentáciou a s koľkými skúškami počíta. Rovnaký počet hodín rozložený do viacerých výrobných okien môže znamenať iný termín dokončenia.

Porovnanie nákladov: čo má obhájiť príplatok 13 000 €

Nasledujúci rozpis patrí k našim dvom ponukám. Je celý hypotetický: ceny, hodiny a počet overovacích cyklov sú modelové vstupy, nie meranie skutočného projektu. Predpokladáme rovnaký výsledok a porovnateľný rozsah.

Pri A potrebuje váš tím spolu 85 hodín, pri B 27 hodín. B teda v modeli uvoľní 58 interných hodín. Výrobca zariadenia odpracuje o 6 hodín menej. Za ponuku B však zaplatíte o 13 000 € viac.

Z týchto čísel ešte nevyplýva, že B je výhodnejšia. Ak váš tím má čas a neodsunie nič hodnotné, uvoľnených 58 hodín nemusí obhájiť príplatok. Ak chýba čas na dôležitú prácu, ich hodnota môže byť vyššia. Rozhoduje, ktoré hodiny sa uvoľnia a čo vďaka tomu vaši ľudia stihnú.

Práca výrobcu stroja je iná položka. Je to externá firma, nie váš zamestnanec. Do porovnania patrí skutočná cena jeho nezahrnutej práce. Ak už prácu pokrýva ponuka alebo servisná zmluva, druhýkrát sa nepripočíta.

Na porovnanie oboch ponúk môže slúžiť tento súčet:

Cena dodávateľa + ďalšie výdavky na projekt + hodnota práce, ktorú vaši ľudia kvôli projektu odložia.

Ďalšími výdavkami môžu byť nezahrnuté licencie, objednaná práca výrobcu alebo nadčasy. Pri každej položke je dôležité vedieť, či už patrí do ceny dodávateľa. Inak by ste za tú istú prácu v porovnaní zaplatili dvakrát.

Hodnotu odsunutých úloh nemusíte vedieť určiť na euro presne. Môžete použiť rozpätie odhadov alebo ponechať hodiny vedľa peňažného rozpočtu. Aj tak sa ukáže, či váš tím dokáže lacnejšiu ponuku uskutočniť v potrebnom termíne.

Ak ako náhradný odhad hodnoty vlastného času použijete interný hodinový náklad, tým ste už tieto hodiny ocenili. Celá hodnota odsunutých úloh sa za tie isté hodiny znova nepripočíta. Existujúca mzda, náhradný odhad hodnoty času a odsunutá práca tak netvoria tri samostatné náklady za jednu hodinu.

Podobne sa nedajú k hodinám z tabuľky pridať ďalšie hodiny len preto, že ponuka uvádza tri overovacie cykly. Čas skúšok už musí patriť do odhadu práce ľudí. Počet cyklov pomáha porovnať organizáciu projektu; sám osebe nie je ďalšou účtovanou položkou.

Ak skúšky vyžadujú plánované prerušenie výroby, prípadný náklad tohto prerušenia patrí osobitne vedľa času ľudí. Neznámu pravdepodobnosť poruchy však nemožno zmeniť na vymyslenú eurovú úsporu drahšieho dodávateľa.

Tento súčet je pomôcka na porovnanie, nie predpoveď úspory. Pri našich ponukách má príplatok 13 000 € zmysel až vtedy, keď ho obháji potrebná prevzatá práca a jej hodnota. Jeden cyklus pri B je stále predpoklad, ktorý treba preveriť pre konkrétny závod.

Kedy dáva zmysel IT, OT alebo ich kombinácia

IT dodávateľ môže byť najlepšou voľbou, ak máte aktuálne podklady a ľudí, ktorí poznajú stroje a majú čas spolupracovať. Platí to aj pri segmentácii výrobnej siete: dodávateľ musí vedieť uskutočniť overený návrh a váš tím pokryje potrebné výrobné rozhodnutia a skúšky.

Ak už máte použiteľný skupinový štandard alebo hotovú dokumentáciu, nemusíte platiť za ich nové vytváranie. Pri kancelárskej úlohe môže byť OT špecialista celkom zbytočný. Aj pri výrobnej zákazke môže byť drahou vrstvou navyše, ak opakuje hotovú prácu, robí bežné nastavenia za vyššiu cenu alebo pridáva služby, ktoré projekt nepotrebuje.

Externý OT špecialista môže dávať zmysel, keď neviete, ako sú stroje prepojené, chýbajú podklady a vaši ľudia nemajú čas ich pripraviť. Pri starších technológiách bez podpory môže byť potrebná aj účasť výrobcu. Ponuka má ukázať, ktorú chýbajúcu prácu partner prevezme a čo stále potrebuje od vás.

Oboch dodávateľov možno skombinovať. OT špecialista zistí výrobné potreby a pripraví návrh. IT dodávateľ podľa neho nastaví sieť a zariadenie, ktoré riadi povolenú komunikáciu, teda firewall. Takéto rozdelenie sa označuje ako hybrid.

Hybrid môže byť výhodný, keď potrebujete výrobnú znalosť pri návrhu a následné nastavenie dokáže za výhodnú cenu vykonať IT partner. Pribudne však dohoda medzi dvomi firmami. Preto jeho rozpočet zahŕňa aj odovzdanie podkladov, spoločné skúšky a riešenie zmien.

Pri tomto rozdelení má byť jasné, kto zodpovedá za návrh, kto za nastavenie a kto overí, že nastavenie zodpovedá návrhu. Rovnako kto vedie skúšky s výrobou, kto upraví návrh pri chýbajúcom spojení a kto rozhodne o návrate k pôvodnému stavu. Bez týchto dohôd môže čas strávený koordináciou zjesť očakávanú úsporu.

Pri incidente potrebuje aj tím, ktorý na diaľku sleduje bezpečnostné udalosti, dostupného človeka oprávneného rozhodnúť o odpojení výrobného zariadenia. Takúto výrobnú úlohu treba pokryť v každom modeli. Spoluprácu bezpečnostných, IT a výrobných ľudí opisuje aj NIST.

V našom príklade tak môže vyhrať A, B aj hybrid. A, ak vaši ľudia zvládnu zostávajúcu prácu a príplatok B neprinesie zodpovedajúcu hodnotu. B, ak prevezme potrebnú prípravu a uvoľnený čas obháji vyššiu cenu. Hybrid, ak cielený OT návrh a IT realizácia vyjdú lepšie aj po započítaní koordinácie.

Porovnanie môže viesť aj k výberu proti KFB. Ak iný dodávateľ splní potrebný rozsah a jeho spôsob realizácie vyjde pre vašu firmu výhodnejšie, máte vecný dôvod vybrať si ho.

Desať otázok pre dodávateľov

Rovnaké otázky položené obom dodávateľom pomôžu doplniť ponuky. Odpovede preto patria vedľa ceny: ukážu, čo každý dodávateľ urobí a čo ponechá na vašich ľuďoch.

1. Ktorých našich ľudí budete potrebovať: automatizáciu, IT, údržbu alebo niekoho ďalšieho?
2. Koľko hodín od každého očakávate a z čoho tento odhad vychádza?
3. O ktorých veciach musí rozhodnúť naša firma?
4. O ktorých veciach rozhodnete vy?
5. Aké podklady máme pripraviť pred začiatkom práce?
6. Koľko kôl overovania návrhu a skúšok predpokladáte a koľko ich zahŕňa cena?
7. Ako postupujete, keď sa zistí potrebné výrobné spojenie, ktoré v dokumentácii chýba?
8. Kto bude hovoriť s výrobcom stroja a kto zaplatí jeho prácu, ak nie je v cene?
9. Kto zodpovedá za návrh a kto za jeho uskutočnenie?
10. Čo sa stane s cenou a rozdelením práce, ak počas projektu zistíme, že treba iný rozsah?

„Bežná súčinnosť“ je na rozhodnutie málo. Zrozumiteľná odpoveď pomenuje človeka, jeho úlohu a odhad času. Rozdiel medzi ponukami potom ukáže aj prácu, ktorú z faktúry nevidno.

Doplnkový prehľad: kde treba poznať výrobu

Nie každý bezpečnostný projekt vo fabrike sa týka siete strojov. Pri e-maile, kancelárskych účtoch a bežných počítačoch môže stačiť IT dodávateľ. Počítač pri výrobnej linke však môže obsluhovať stroj. Preto o potrebnej znalosti výroby rozhoduje jeho funkcia, nie iba to, že vyzerá ako kancelársky počítač. Základné rozlíšenie opisuje NIST v príručke OT bezpečnosti.

Pri ďalších úlohách pomáha oddeliť bežnú technickú prácu od otázok, na ktoré musí odpovedať niekto so znalosťou výroby:

• Dokumentácia a preukázanie súladu. Niekto vedie dokumenty, záznamy o kontrolách a prístupoch. Ak opisujú zásahy do strojov, musia zachytiť aj pravidlá servisu a povolené výnimky vo vašej výrobe.
• Školenia. Pri kancelárskych používateľoch môže ísť o heslá a podvodné e-maily. Pri obsluhe a technikoch je potrebné vysvetliť aj konkrétne postupy pri práci s linkou a pri servise.
• Súpis zariadení. Zoznam počítačov a serverov ukáže, čo v sieti máte. Pri výrobnej časti treba doplniť, ku ktorému stroju zariadenie patrí a akú úlohu plní.
• Audit alebo posúdenie stavu. Dodávateľ kontroluje napríklad účty, nastavenia a ochranné opatrenia. Pri strojoch musí niekto vysvetliť, čo zistený nedostatok znamená pre chod výroby.
• Návrh usporiadania siete a prístupov. Technický návrh musí zachovať spojenia potrebné na výrobu a servis. Práve pri ich určovaní vstupuje znalosť závodu.
• Segmentácia siete. Dodávateľ rozdelí sieť a nastaví, čo spolu smie komunikovať. Potrebuje pritom overený zoznam potrebných spojení, ako v našom príklade.
• Bezpečnejšie nastavenie zariadení. Dodávateľ obmedzí nepotrebné služby a oprávnenia. Pri stroji treba overiť, ktoré funkcie potrebuje, aby mohol pracovať.
• Nasadenie zmien. Niekto uskutoční návrh. S výrobným tímom overí výsledok a má pripravený postup návratu do pôvodného stavu, ak skúška ukáže problém.
• Pravidelná správa. Zahŕňa správu účtov, nastavení a nástrojov. Zmeny a servisné výnimky pri strojoch potrebujú aj posúdenie dôsledkov pre výrobu.
• Sledovanie udalostí v sieti, teda monitoring. Dodávateľ zbiera a vyhodnocuje udalosti. Na rozhodnutie, čo udalosť znamená pre linku a komu ju oznámiť, potrebuje človeka so znalosťou jej chodu.
• Reakcia na incident. Bezpečnostný tím skúma napadnuté systémy. Zároveň musí mať spojenie na človeka, ktorý vie rozhodnúť, čo možno odpojiť a za akých podmienok obnoviť výrobu.

Aj softvérová oprava počítača pri linke môže vyžadovať posúdenie vplyvu na stroj, skúšku a pripravenú obnovu. Taký postup opisuje NIST pri opravách softvéru v OT. Neznamená to, že každú opravu musí vykonať externá OT firma. Potrebná znalosť a čas môžu byť vo vašom tíme.

Ak porovnávate monitoring, samostatnými položkami sú jeho príprava, to, ktorú časť siete bude sledovať, a výstupy. Tým sa venuje článok Ako prebieha monitoring OT siete.

Časté otázky

Potrebuje výrobná firma OT špecialistu na každý bezpečnostný projekt?

Nie. Pri e-maile, kancelárskych účtoch a bežných počítačoch môže stačiť IT dodávateľ. Pri zásahu súvisiacom s chodom strojov je potrebná znalosť výroby; tú môže dodať aj interný tím.

Môže IT dodávateľ rozdeliť a zabezpečiť výrobnú sieť?

Áno, ak vie vykonať potrebnú technickú prácu a pracuje podľa overeného návrhu. Niekto musí pokryť potrebné výrobné spojenia, podmienky zásahu a skúšky. Označenie IT samo túto schopnosť nepreukazuje ani nevylučuje.

Ako porovnať čas vlastných ľudí s cenou dodávateľa?

Porovnanie zahŕňa ich hodiny, dostupnosť a hodnotu úloh, ktoré kvôli projektu odložia. Bežná mzda nie je automaticky nový výdavok. Ak interný hodinový náklad slúži ako odhad hodnoty času, hodnota odsunutých úloh sa za tie isté hodiny znova nepripočíta.

Zaobíde sa externý OT špecialista bez našich technikov?

Nie. Môže pripraviť podklady a návrh, ale ľudia poznajúci závod vysvetľujú a potvrdzujú, čo stroje potrebujú. Preto má ponuka uvádzať aj ich zostávajúcu prácu. OT označenie samo osebe nezaručuje menej interných hodín.

Kedy sa oplatí spojiť OT návrh s IT realizáciou?

Keď návrh potrebuje výrobnú znalosť a nastavenie dokáže výhodne vykonať IT partner. Úspora musí obstáť aj po započítaní koordinácie. Rozdelenie potrebuje jasné zodpovednosti za návrh, nastavenie, skúšky a zmeny.

Dokazuje modelových 58 uvoľnených hodín, že drahšia ponuka je lepšia?

Nie. Pri príplatku 13 000 € rozhoduje hodnota týchto interných hodín a cena šiestich ušetrených hodín výrobcu. Ak má vlastný tím voľný čas a neodkladá dôležitú prácu, lacnejšia ponuka môže byť výhodnejšia.

Ďalší krok

Podkladom na rozhodnutie môže byť jeden spoločný rozpis oboch ponúk: rovnaký výsledok, cena, práca dodávateľa a zostávajúce úlohy vašich ľudí. Z neho bude zrejmé, čo vyššia cena kupuje a či to vaša firma potrebuje.