Dlaczego audyt OT to nie jest audyt IT w fabryce?
Wiele firm produkcyjnych, które decydują się na audyt cyberbezpieczeństwa, zleca go firmie specjalizującej się w IT. To fundamentalny błąd. Środowisko OT (Operational Technology) rządzi się innymi regułami niż IT, a standardowe narzędzia i metodyki audytu IT mogą wręcz uszkodzić systemy produkcyjne.
Nmap skanujący sieć OT potrafi crashować sterowniki PLC. Nessus wysyłający pakiety testowe do systemu SCADA może wywołać fałszywe alarmy lub restart procesu. Audytor, który nie rozumie modelu Purdue i protokołów przemysłowych, nie zidentyfikuje krytycznych luk — bo nie wie, czego szukać.
Audyt bezpieczeństwa OT/ICS wymaga specjalistycznej wiedzy łączącej cyberbezpieczeństwo z inżynierią automatyki przemysłowej.
Co obejmuje audyt bezpieczeństwa OT?
1. Inwentaryzacja aktywów OT
Zaskakująco wiele firm nie wie, co dokładnie jest podłączone do ich sieci produkcyjnej. Audyt obejmuje:
- Sterowniki PLC/RTU — modele, producenci, wersje firmware, daty wdrożenia
- Systemy SCADA/HMI — wersje oprogramowania, systemy operacyjne, poziom patchowania
- Infrastruktura sieciowa — przełączniki, routery, firewalle (lub ich brak) w sieci OT
- Stacje inżynierskie — oprogramowanie, podłączenia do obu sieci (dual-homed?)
- Historian serwery — lokalizacja w architekturze (IT, OT, DMZ?)
- Urządzenia IoT — czujniki, kamery, moduły komunikacyjne na hali produkcyjnej
- Połączenia zewnętrzne — VPN dostawców, moduły zdalnego dostępu, modemy 4G/5G
2. Ocena architektury sieci i segmentacji
Mapowanie aktualnej topologii sieci w odniesieniu do modelu Purdue:
- Czy istnieje DMZ między IT i OT?
- Czy strefy Purdue są zaimplementowane?
- Czy komunikacja między strefami jest kontrolowana (firewalle, ACL)?
- Identyfikacja dual-homed urządzeń (interfejs w IT i OT)
- Identyfikacja niekontrolowanych ścieżek IT→OT
- Ocena conduits zgodnie z IEC 62443
3. Analiza podatności
Pasywna identyfikacja podatności bez wpływu na procesy:
- Znane CVE w wykrytych wersjach oprogramowania SCADA/HMI
- Podatności firmware sterowników PLC (bazy CISA ICS-CERT)
- Niezałatane systemy operacyjne (Windows XP/7 w stacjach OT)
- Domyślne hasła i brak uwierzytelniania w urządzeniach OT
- Otwarte porty i usługi sieciowe w sieci OT
4. Ocena kontroli dostępu
- Jak zarządzane są konta do systemów OT?
- Czy stosowane jest MFA dla dostępu zdalnego?
- Czy konta serwisowe dostawców są zarządzane (tworzenie, usuwanie, rotacja)?
- Czy dostęp fizyczny do szaf sterowniczych jest kontrolowany?
- Czy istnieją procedury onboarding/offboarding dla dostępu OT?
5. Ocena zarządzania zmianami
- Czy zmiany konfiguracji PLC są dokumentowane i wersjonowane?
- Kto ma uprawnienia do programowania sterowników?
- Czy istnieje golden config baseline dla PLC?
- Jak zarządzane są aktualizacje firmware?
- Czy testowane są patche przed wdrożeniem na produkcję?
6. Ocena gotowości na incydenty
- Czy istnieje plan IR specyficzny dla OT?
- Czy personel wie, co robić w przypadku cyberataku na produkcję?
- Czy istnieją offline kopie konfiguracji PLC i programów sterowników?
- Czy przetestowano procedury odtwarzania?
- Jak szybko można przywrócić produkcję po incydencie?
7. Ocena zgodności regulacyjnej
- Gap analysis wobec wymagań NIS2
- Ocena zgodności z IEC 62443 (target SL vs actual SL)
- Weryfikacja wymagań ISO 27001 rozszerzonych o OT
- Ocena spełnienia wymagań branżowych (np. FDA dla pharma)
Metodyka audytu OT
Faza 1: Planowanie i przygotowanie (tydzień 1)
- Kick-off meeting z zespołem IT, OT i zarządem
- Zbieranie dokumentacji: schematy sieci, listy urządzeń, polityki
- Definiowanie zakresu: które linie/zakłady, które systemy
- Uzgodnienie zasad bezpieczeństwa: co audytor może i nie może robić w sieci OT
- Planowanie okien serwisowych (jeśli potrzebne aktywne testy)
Faza 2: Discovery i mapowanie (tydzień 1-2)
- Pasywne skanowanie sieci — przechwytywanie ruchu SPAN/TAP do identyfikacji urządzeń i przepływów
- Fizyczny obchód — wizyta na hali produkcyjnej, identyfikacja urządzeń, weryfikacja fizycznego bezpieczeństwa
- Przegląd konfiguracji — offline analiza konfiguracji firewalli, przełączników, systemów SCADA
- Wywiady — rozmowy z inżynierami OT, operatorami, IT o praktykach i procedurach
Faza 3: Analiza i ocena (tydzień 2-3)
- Mapowanie aktywów i topologii
- Analiza podatności (pasywna)
- Ocena segmentacji i przepływów
- Identyfikacja luk w kontroli dostępu
- Ocena procesów i procedur
- Gap analysis wobec standardów
Faza 4: Raportowanie (tydzień 3-4)
- Raport techniczny — szczegółowe wyniki z dowodami
- Executive summary — kluczowe ryzyka i rekomendacje dla zarządu
- Priorytetyzowane rekomendacje — quick wins, krótkoterminowe, długoterminowe
- Roadmapa — plan remediacji z timeline i szacunkowymi kosztami
- Prezentacja wyników — dla zarządu, IT i OT
Typowe wyniki audytu OT w polskich fabrykach
Na podstawie doświadczeń z audytów w polskim przemyśle, najczęstsze znaleziska to:
- Brak segmentacji IT/OT (90%+ fabryk) — płaska sieć łącząca biuro z halą
- Domyślne hasła na PLC (70%+) — sterowniki z fabrycznymi credentials
- Brak inwentaryzacji aktywów OT (80%+) — nikt nie wie dokładnie co jest w sieci
- Niezałatane systemy (90%+) — Windows XP/7 na stacjach HMI
- Niekontrolowany zdalny dostęp dostawców (60%+) — permanentne VPN bez monitoringu
- Brak planu IR dla OT (85%+) — plan IT nie obejmuje scenariuszy produkcyjnych
- Dual-homed historian (70%+) — serwer z interfejsem w IT i OT = bypass segmentacji
Jak przygotować fabrykę do audytu?
- Zbierz dokumentację — schematy sieci (nawet nieaktualne), listy urządzeń, polityki IT
- Wyznacz kontakty — inżynier OT, administrator IT, kierownik produkcji
- Zidentyfikuj okna serwisowe — jeśli audyt wymaga aktywnych testów
- Przygotuj dostępy — konta do systemów zarządzania, dostęp do szaf sterowniczych
- Poinformuj personel — audytorzy będą rozmawiać z operatorami i inżynierami
Chcesz poznać rzeczywisty stan bezpieczeństwa OT w Twojej fabryce? Umów audyt bezpieczeństwa OT/ICS — dostarczymy pełny obraz ryzyk i priorytetyzowany plan remediacji.
Cyberbezpieczeństwo w Twojej branży
Dowiedz się więcej o cyberbezpieczeństwie w Twojej branży:
Tematy powiązane
Zobacz również:
