Im bardziej zaawansowany jest system zarządzania energią w zakładzie, tym większe staje się jego eksponowanie na ryzyko ataku cyfrowego. Bez świadomej polityki cyberbezpieczeństwa infrastruktury OT, inwestycje w sterowalność i EMS mogą paradoksalnie zwiększać ryzyko zatrzymania produkcji.

Dlaczego cyberbezpieczeństwo OT jest dziś osobnym tematem

Przez wiele lat polityka cyberbezpieczeństwa w polskich zakładach przemysłowych była tematem działu IT — i koncentrowała się na ochronie sieci biurowej, danych korporacyjnych, systemów ERP. Cyberbezpieczeństwo systemów sterowania przemysłowego (Operational Technology, OT — w tym SCADA, PLC, HMI, automatyki energetycznej) traktowane było jako temat odrębny, niedostatecznie zauważalny, często wręcz niezdefiniowany w kompetencyjnej strukturze organizacji.

Sytuacja zmienia się z trzech powodów. Po pierwsze, postępująca digitalizacja zakładów oznacza, że systemy OT są coraz silniej zintegrowane z siecią korporacyjną — co zwiększa powierzchnię ataku. Po drugie, dyrektywa NIS2, wdrażana w państwach członkowskich UE, nakłada na operatorów infrastruktury krytycznej i zakłady strategiczne konkretne obowiązki w zakresie cyberbezpieczeństwa OT. Po trzecie — i to jest decydujące — incydenty w europejskim przemyśle pokazują, że ataki na OT realnie się zdarzają, mają realne konsekwencje, i potrafią zatrzymywać produkcję na tygodnie.

Typowe luki cyberbezpieczeństwa OT w polskich zakładach

W praktyce audytowej najczęściej identyfikujemy następujące luki:

• Brak segmentacji sieci — system SCADA dostępny z sieci biurowej, czasem nawet z Internetu. To jest scenariusz, w którym jeden zainfekowany komputer w księgowości może spowodować zatrzymanie linii produkcyjnej.
• Domyślne hasła w urządzeniach automatyki — sterowniki, falowniki, układy automatyki energetycznej często pracują na fabrycznych hasłach producenta.
• Przestarzałe firmware'y — urządzenia w sieci OT pracują na firmware'ach sprzed lat, bez aktualizacji bezpieczeństwa.
• Brak monitoringu sieci OT — w sieci biurowej każdy IT-owiec ma SIEM, EDR, alerty. W sieci OT — często nie ma nic. Atak może trwać miesiącami zanim ktoś go zauważy.
• Niezabezpieczone porty serwisowe — dostępne fizycznie w obiektach, często bez kontroli kto i kiedy z nich korzystał.
• Brak planów reagowania na incydent — w razie ataku, kto kogo informuje, kto podejmuje decyzję o izolacji sieci, kto zarządza komunikacją kryzysową.

Każda z tych luk — w pojedynkę — wydaje się problemem technicznym. Razem stanowią systemową lukę odporności zakładu.

Co powinno znaleźć się w polityce cyberbezpieczeństwa OT zakładu strategicznego

Współczesne dobre praktyki cyberbezpieczeństwa OT — formalizowane w normach IEC 62443, NIST 800-82, oraz w aktach delegowanych do dyrektywy NIS2 — wskazują kilka kluczowych elementów polityki, jakie powinien posiadać zakład strategiczny:

1. Segmentacja sieci OT od sieci IT

Fizyczna lub logiczna separacja, z dokładnie zdefiniowanymi i monitorowanymi przejściami między strefami. Standard „Purdue Model” jest punktem wyjścia.

2. Inwentaryzacja urządzeń OT

Pełna lista urządzeń, ich firmware'ów, konfiguracji, kont serwisowych, znanych podatności.

3. Monitoring i wykrywanie anomalii

Systemy klasy IDS/IPS dedykowane dla OT, monitorujące ruch w sieci sterowania, wykrywające nietypowe wzorce komunikacji.

4. Zarządzanie tożsamością i dostępem

Indywidualne konta serwisowe, polityki silnych haseł, dwuskładnikowa autoryzacja dla dostępów krytycznych, rejestracja sesji.

5. Plany ciągłości działania (BCP) i reagowania na incydent

Procedury postępowania w razie wykrycia incydentu — kto kogo informuje, kto wykonuje izolację, kto komunikuje się z dostawcami systemów, kto zarządza komunikacją zewnętrzną.

6. Cykliczne testy i ćwiczenia

Penetracyjne testy systemów OT (w trybie kontrolowanym, w warunkach przeglądów technicznych). Ćwiczenia praktyczne procedur reagowania.

7. Zgodność regulacyjna

Mapowanie obowiązków wynikających z NIS2, KSC (Krajowy System Cyberbezpieczeństwa), oraz innych aktów regulujących sektory krytyczne.

Cyberbezpieczeństwo a inwestycje w EMS i automatykę

Tu pojawia się ważny paradoks. Inwestycje w nowoczesne systemy zarządzania energią (EMS), monitoring 15-minutowy, automatykę bilansującą, BESS sterowany rynkowo — zwiększają cyfrową powierzchnię zakładu. Każdy nowy element automatyki to potencjalnie nowy wektor ataku.

To nie znaczy, że nie należy tych inwestycji realizować. To znaczy, że muszą być one realizowane w ramach świadomej polityki cyberbezpieczeństwa OT — z odpowiednią segmentacją, monitoringiem, i procedurami.

Z naszego doświadczenia, inwestycje w sterowalność energetyczną zakładu i inwestycje w cyberbezpieczeństwo OT powinny być planowane razem, jako elementy jednego programu. Rozdzielenie ich na osobne projekty — prowadzone przez różne zespoły, w różnych horyzontach czasowych — prowadzi do sytuacji, w której z jednej strony rośnie zaawansowanie systemów, z drugiej rośnie ekspozycja na ryzyko. Zakład, który ma najlepszy w branży EMS, ale brak segmentacji sieci, jest mniej odporny niż zakład, który ma proste sterowanie ale dobrze zaprojektowaną architekturę bezpieczeństwa.

Konkluzja

W zakładach o znaczeniu strategicznym dla gospodarki, cyberbezpieczeństwo infrastruktury energetycznej przestaje być tematem osobnym, technicznym, zarządzanym przez IT. Staje się integralnym elementem polityki odporności energetycznej — równoległym do inwestycji w niezależność, sterowalność, magazynowanie i modernizację infrastruktury.

Jego pominięcie nie jest opcją.