Keď sa vo výrobe zastaví linka, príčinou môže byť aj počítač, ktorý jej posiela pokyny. Stroje sú mechanicky v poriadku, ale bez správnych údajov nemôžu pokračovať. Kyberbezpečnosť vo výrobe pomáha chrániť aj tieto počítače a ich spojenia.
Pri rozhodovaní o rozpočte tak môžete dostať viac návrhov. Jeden má lepšie zabezpečiť pripojenie servisnej firmy. Ďalší má obmedziť spojenia medzi zariadeniami, aby sa problém nešíril po celej sieti. Tretí má priebežne sledovať, čo sa v sieti deje. Každý môže byť užitočný, ale prvý krok závisí od toho, kde má vaša prevádzka slabé miesto.
Prednosť má investícia, ktorá rieši zistený problém dôležitý pre chod vašej výroby a o ktorú sa dokážete starať aj po nasadení. Ak vám chýbajú spoľahlivé údaje o stave, najprv môže byť potrebné získať ich.
Nasledujúce situácie vám pomôžu rozpoznať vlastnú prevádzku a porozumieť návrhom odborníkov. Na príklade baliacej linky uvidíte aj to, prečo sa poradie nákupov môže zmeniť. Technické riešenie pripraví odborník; vy potrebujete vedieť, čo jeho návrh zlepší a koho z firmy k nemu prizvať.
Rýchle zhrnutie
- Keď sa k výrobe pripája externý servis
- Keď vo výrobe bežia staršie zariadenia
- Keď zastavenie jednej časti preruší celý proces
- Keď o výrobnej sieti nemáte spoľahlivý prehľad
- Ako sa rozhodnúť medzi tromi investíciami
- Koľko bude ochrana stáť počas používania
- Koho prizvať k návrhu ochrany vašej prevádzky
Keď sa k výrobe pripája externý servis
Servisný technik sa pripojí na diaľku, pozrie chybu stroja a pomôže údržbe obnoviť jeho chod. Takéto spojenie môže skrátiť čakanie na opravu. Potrebuje sa však dostať iba tam, kde má pracovať, a na čas, keď spojenie potrebuje.
Ak sa cez rovnaký prístup dostane aj k ďalším linkám alebo mu prístup zostáva otvorený po práci, prednosť môže dostať jeho úprava. Odborník overí, kto sa pripája, ku ktorým zariadeniam sa dostane a čo na nich môže meniť. Potom navrhne, ako prístup obmedziť a zaznamenať vykonanú prácu. Pritom musí zachovať možnosť servisu, keď ho výroba potrebuje.
Prečo je to dôležité
Keď už viete, že servis má zbytočne široký prístup, môžete riešiť priamo túto slabinu. Nástroj, ktorý iba sleduje komunikáciu v sieti, sám nezmení, kam sa technik dostane a čo smie robiť.
K návrhu preto patrí aj údržba a servisný partner. Vedia vysvetliť, čo technik pri oprave potrebuje; bezpečnostný odborník podľa toho navrhne vhodné spojenie. Rovnakú pozornosť potrebujú aj vzdialené prístupy vlastných ľudí do riadenia.
Keď vo výrobe bežia staršie zariadenia
Starší počítač môže stále spoľahlivo riadiť linku, hoci výrobca už neopravuje bezpečnostné chyby v jeho softvéri. Pri výmene treba myslieť aj na stroj, ktorý riadi. Nový počítač a softvér s ním musia fungovať, čo si môže vyžiadať prípravu odstávky a skúšku pred opätovným spustením.
Samotný vek preto nestačí na rozhodnutie o nákupe. Potrebujete vedieť, či výrobca zariadenie ešte podporuje, s čím sa musí spájať a čo by jeho výpadok znamenal pre výrobu. Až potom má zmysel porovnať jeho ďalšiu ochranu s plánovanou výmenou.
Ak musí zostať v prevádzke, odborník môže obmedziť jeho spojenia s ostatnými zariadeniami a určiť, kto sa k nemu smie pripojiť. Sledovanie komunikácie pomôže zachytiť podozrivé dianie. Takáto ochrana sťažuje využitie chýb, ktoré v pôvodnom softvéri zostávajú. Dôležitá je aj použiteľná záloha riadiaceho systému a overenie, ako ho z nej znova spustiť.
Keď podpora končí a ďalšie bezpečné používanie sa nedá rozumne zabezpečiť, väčší zmysel môže mať výmena. Jej dôsledky posúdi dodávateľ technológie spolu s prevádzkou a bezpečnostným odborníkom. Zo samotného sledovania siete sa nedozviete, či bude nový počítač správne spolupracovať so strojom. Ďalšie možnosti vysvetľuje článok o starších systémoch vo výrobe.
Keď zastavenie jednej časti preruší celý proces
Predstavte si výrobu, v ktorej jedno pracovisko pripravuje výrobok a ďalšie ho balí. Ak sa obe zastavia naraz, príčiny môžu byť rôzne. Od nich závisí aj účinná ochrana.
Bezpečnostný problém sa môže cez spoločnú sieť dostať z počítača prvého pracoviska k druhému. Odborník vtedy môže sieť rozdeliť na časti a medzi nimi povoliť iba potrebné spojenia. Takéto rozdelenie sa nazýva separácia siete a pomáha obmedziť šírenie problému.
Baliareň však môže stáť aj s celkom funkčným počítačom. Ak prvé pracovisko nedodá výrobky alebo potrebné údaje, nemá v čom pokračovať. Rozdelenie siete túto závislosť výroby neodstráni.
Prečo je to dôležité
Ak potrebujete udržať časť výroby v chode aj pri výpadku inde, návrh musí riešiť príčinu spoločného zastavenia. Samotná úprava siete na to nemusí stačiť.
Človek z prevádzky preto s dodávateľom technológie posúdi, či možno pripraviť náhradný spôsob práce alebo záložnú súčasť. Bezpečnostný odborník zase navrhne separáciu siete tak, aby zachoval potrebné spojenia. Obe práce sa môžu dopĺňať.
Keď o výrobnej sieti nemáte spoľahlivý prehľad
Do výroby pribúdajú stroje a menia sa servisné spojenia. Po rokoch nemusíte presne vedieť, čo všetko je v sieti a ktoré zariadenia si posielajú údaje. Vtedy môže byť prvou užitočnou investíciou zistenie stavu, aby návrh ochrany vychádzal zo skutočnej prevádzky.
Odborník môže použiť zariadenie nazývané sonda. Tá číta kópiu údajov, ktoré si zariadenia posielajú po sieti. Ide o pasívne meranie. Ukáže napríklad, ktoré spojenia bude treba zachovať pri rozdelení siete.
Výsledok sa vzťahuje na sledovanú časť siete a na čas merania. Zariadenie, ktoré vtedy neposiela údaje, sa nemusí objaviť. Rovnako môže uniknúť servisné spojenie, ktoré počas merania nikto nepoužil. Preto ani prázdny záznam o takom spojení nepotvrdzuje, že ho firma nemá.
Iné otázky vyžadujú inú kontrolu. Kto smie meniť nastavenia stroja, overí odborník v účtoch a prístupových právach. Či záloha naozaj umožní znova spustiť výrobu, treba overiť s prevádzkou. Samotný záznam komunikácie tieto odpovede nedá.
Pri návrhu merania tak potrebujete rozumieť tomu, na ktorú vašu otázku odpovie a čo ešte zostane skontrolovať. Možnosti priebežného sledovania rozoberá článok o výbere monitoringu výrobnej siete.
Ako sa rozhodnúť medzi tromi investíciami
Uvažujme o modelovej baliacej prevádzke. Vedenie vyberá medzi úpravou servisného prístupu, rozdelením siete a jej trvalým sledovaním, teda monitoringom. Nasledujúce zistenia sú vymyslené pre tento príklad.
Odborník zistí, že servisný technik sa môže pripojiť aj k ďalším linkám a prístup má otvorený stále. Údržba pritom vie, ktorý stroj potrebuje servisovať. Ako prvá preto prichádza úprava prístupu. Rieši konkrétny zistený problém a zachová potrebný servis.
Ďalšia kontrola ukáže, že kancelárske počítače sa dostanú k riadiacim zariadeniam v širšom rozsahu, než potrebujú. Nasleduje návrh rozdelenia siete. Odborník pred zmenou overí potrebné spojenia, aby zostal funkčný napríklad prenos výrobných objednávok z kancelárie.
Monitoring potom môže priebežne sledovať komunikáciu v pokrytej časti siete a upozorňovať na odchýlky. Niekto však musí upozorneniu porozumieť, preveriť ho a zariadiť potrebný zásah. V tomto príklade tak dohľad dopĺňa už upravené prístupy a sieť.
Poradie by sa pri iných zisteniach zmenilo. Ak by odborník potvrdil správne obmedzené prístupy aj spojenia, ale firma by nevedela zachytiť zmeny počas prevádzky, monitoring by mohol dostať prednosť. Ak by chýbal už základný obraz siete, meranie by mohlo predchádzať aj návrhu jej rozdelenia.
Pri každom návrhu teda potrebujete zrozumiteľnú odpoveď: čo sme zistili a čo navrhovaná investícia zmení. Odborník vysvetlí technickú stránku. Vy spolu s prevádzkou posúdite význam pre výrobu a rozpočet.
Koľko bude ochrana stáť počas používania
V ponuke vidíte cenu nástroja a práce pri jeho nasadení. O ochranu sa však treba starať aj neskôr. Keď odíde servisný technik alebo nastúpi nový dodávateľ, niekto musí upraviť jeho prístup. Keď pribudne stroj, niekto musí preveriť a prípadne zmeniť pravidlá spojení v sieti.
Pri monitoringu treba počítať s licenciami podľa zvoleného riešenia, so servisom aj s ľuďmi, ktorí preveria upozornenia. Túto prácu môže robiť váš tím, externý partner alebo obaja podľa dohody. Ak už údržba a IT využívajú celý čas na chod výroby, ďalšia povinnosť potrebuje aj človeka, ktorý ju bude mať kedy vykonať.
Prečo je to dôležité
Cena pri nasadení vám ešte nepovie, koľko práce a peňazí si ochrana vyžiada neskôr. Pri porovnaní ponúk potrebujete vedieť aj to, čo zostane na vašich ľuďoch a čo zabezpečí partner.
Drahší návrh tak môže obsahovať prácu, ktorú by ste pri lacnejšom platili osobitne. Preto má porovnanie ukázať počiatočný výdavok, opakované platby aj čas vášho tímu. S týmto prehľadom viete posúdiť, či sa o riešenie dokážete dlhodobo starať.
Koho prizvať k návrhu ochrany vašej prevádzky
Pri spoločnom rozhovore potrebujete bezpečnostného odborníka, človeka z prevádzky alebo údržby a správcu IT či siete. Pri zmene riadenia stroja patrí k stolu aj jeho dodávateľ. Prevádzka vysvetlí, čo musí zostať v chode, správca pozná nastavenia a bezpečnostný odborník navrhne ochranu. Preto sa návrh opiera o ich spoločné poznanie.
Ak vám chýba prehľad o tom, ako spolu zariadenia komunikujú, KFB môže pomôcť technickým bezpečnostným auditom siete (BAS). Služba začína úvodnou online konzultáciou. KFB zapožičia a nastaví sondu a počas merania poskytuje odborný dohľad. Potom pripraví analytickú správu a predstaví výsledky: vysvetlí zachytené zistenia a odporučí ďalší postup.
BAS sa vzťahuje na sledovanú časť siete a zachytenú komunikáciu. Výmena stroja, skúška obnovy zo zálohy alebo úprava servisných prístupov môže potrebovať ďalšiu odbornú prácu. Jej rozsah a toho, kto ju vykoná, treba dohodnúť podľa konkrétnej úlohy.
KFB ponúka aj samostatnú kontrolu stavu a nastavení priemyselných riadiacich systémov. Pri nej preverí aktuálny stav systému a to, či jeho nastavenia zodpovedajú stanoveným odporúčaniam a pravidlám. Táto služba sa nazýva verifikácia zabezpečenia priemyselných riadiacich systémov. Pri výbere odbornej pomoci tak záleží aj na tom, či potrebujete sledovať komunikáciu, alebo preveriť stav a nastavenia systému.
Ďalší krok
Ak vám pri výbere investície chýba prehľad o komunikácii výrobných zariadení, obráťte sa na KFB a dohodnite si rozsah BAS pre vašu prevádzku.