Konto serwisowe dostawcy to najczęściej najsłabszy punkt dostępu do sieci przemysłowej. Powstaje w umowie serwisowej, a nie w polityce bezpieczeństwa: działa tygodniami, nie ma właściciela po stronie zakładu i prowadzi prosto do stacji inżynierskich i sterowników. PAM w OT (zarządzanie dostępem uprzywilejowanym w środowisku technologii operacyjnej) zamienia ten stały dostęp w pięć decyzji podejmowanych przy każdej sesji: kto ją zatwierdza, kto ją ogląda, jakimi protokołami się odbywa, skąd jest inicjowane połączenie i jak długo trzyma się zapis.
Podstawy — VPN kontra bastion, narzędzia typu TeamViewer, MFA — opisaliśmy w artykule o bezpiecznym zdalnym dostępie do SCADA. Tu zajmujemy się warstwą wyżej: dostępem uprzywilejowanym osób, których nie zatrudniasz.
Dlaczego dostęp dostawców jest największą luką w bezpieczeństwie OT?
Bo to jedyna droga do sterowników, która z założenia przechodzi przez segmentację: dostawca musi dostać się do środka strefy OT, a zwykle robi to na własnych warunkach. Producent linii czy integrator systemu sterowania ma w umowie zdalną diagnostykę i szybką reakcję na awarię. W praktyce oznacza to modem komórkowy w szafie sterowniczej, stałe konto w firmowym VPN albo jedno hasło do stacji inżynierskiej, które zna cały zespół serwisowy dostawcy.
Każdy z tych kanałów ma tę samą wadę: zakład nie wie, kto konkretnie z niego korzysta. Gdy technik odchodzi z firmy dostawcy, nikt w zakładzie się o tym nie dowiaduje. Dostawca jest w praktyce administratorem, którego nie zatrudniasz, nie szkolisz i nie możesz zwolnić.
CISA wraz z FBI, EPA i Departamentem Energii USA w zestawieniu „Primary Mitigations to Reduce Cyber Threats to Operational Technology” (6 maja 2025) wymienia zabezpieczenie zdalnego dostępu do OT wśród podstawowych działań i zaleca ponowną ocenę kompromisów przyjętych przy zdalnym dostępie. Pytanie nie brzmi więc, czy dostawca ma mieć dostęp, tylko czy dostęp jest decyzją zakładu, czy przyzwyczajeniem dostawcy.
Czym dostęp uprzywilejowany w OT różni się od dostępu administratora w IT?
Różni się skutkiem błędu: w IT pomyłka administratora kończy się zwykle awarią usługi, w OT może zatrzymać proces fizyczny, uszkodzić urządzenie albo stworzyć zagrożenie dla ludzi. Wynikają z tego trzy różnice.
Ciągłość procesu. Sieć przemysłowa nie ma okna serwisowego na żądanie. Zmiana w sterowniku jest bezpieczna tylko w określonym stanie linii, a o tym stanie wie utrzymanie ruchu, nie dział IT. NIST SP 800-82 Rev. 3 („Guide to Operational Technology (OT) Security”, wrzesień 2023) mówi wprost: zdalny dostęp nie może omijać ani osłabiać zabezpieczeń bezpieczeństwa funkcjonalnego i cyberbezpieczeństwa.
Wiek systemów. Według tej samej publikacji system OT może pozostawać w eksploatacji ponad dwadzieścia lat. Stacja z niewspieranym systemem operacyjnym nie przyjmie agenta, a sterownik nie zna konta imiennego. Kontrola musi więc działać na drodze do systemu, jako pośrednik sesji.
Inna definicja uprawnienia. W OT uprzywilejowany jest każdy, kto może zmienić stan procesu: nastawę na panelu HMI, projekt w sterowniku, pracę napędu z poziomu SCADA. Konto operatora bez praw administratora Windows bywa groźniejsze niż administrator serwera plików, więc inwentaryzację prowadzi się według tego, co konto może zrobić z procesem, a nie według grup w katalogu użytkowników.
Jakie konta i protokoły trzeba objąć kontrolą w sieci przemysłowej?
Wszystkie, przez które da się zmienić stan procesu albo konfigurację systemu sterowania — niezależnie od tego, czy formalnie mają uprawnienia administratora. W typowym zakładzie układają się one w pięć grup:
| Punkt dostępu | Typowy protokół | Co dostawca tam robi | Na co uważać |
|---|---|---|---|
| Stacja inżynierska | RDP, VNC | wgrywa projekt sterownika | przesłany plik projektu zmienia logikę procesu |
| Serwer SCADA, historian | RDP, SSH | diagnostyka, aktualizacje | wspólne konto „serwis” dla wielu osób |
| Panel HMI | VNC | podgląd i zmiana nastaw | VNC bez hasła lub z hasłem domyślnym |
| Urządzenia sieciowe OT | SSH, Telnet, HTTP | konfiguracja przełączników i zapór | Telnet przesyła hasło otwartym tekstem |
| Sterowniki | protokoły przemysłowe, np. Modbus TCP | odczyt rejestrów, zapis wartości | brak uwierzytelniania w samym protokole |
Ostatni wiersz jest najtrudniejszy. NIST SP 800-82 Rev. 3 zauważa, że wiele protokołów OT nie oferuje żadnego uwierzytelniania — kto ma dostęp sieciowy do sterownika, ten może do niego pisać. Ustalić, kto wysłał polecenie, da się wtedy tylko w punkcie pośrednim, przez który ruch musi przejść. Do listy dopisz jeszcze konta lokalne urządzeń, często jedno „admin” z hasłem z instrukcji.
Kto powinien zatwierdzać sesję serwisanta i jak działa zasada czterech oczu w OT?
Sesję zatwierdza właściciel procesu — kierownik utrzymania ruchu albo dyżurny inżynier zmiany — a nie dział IT, bo tylko on wie, czy linia w tej chwili może przyjąć zmianę. Dział bezpieczeństwa ustala reguły i utrzymuje narzędzie. Zasada czterech oczu oznacza w OT, że przy zmianie zdolnej wpłynąć na proces uczestniczy druga osoba: zatwierdza sesję przed startem albo obserwuje ją na żywo.
NIST SP 800-82 Rev. 3 (§ 3.3.7) oczekuje od narzędzia zdalnego serwisu planowania, autoryzacji i audytu prac, weryfikacji tożsamości serwisantów oraz otwierania połączenia z początkiem prac i zamykania go zaraz po ich zakończeniu. W praktyce: wniosek z numerem zgłoszenia i zakresem, akceptacja przez ruch, okno czasowe, po którym dostęp wygasa sam, i zapis sesji. Poziom nadzoru warto powiązać z tym, co dostawca może zmienić:
| Rodzaj prac | Kto zatwierdza | Nadzór w trakcie |
|---|---|---|
| Odczyt diagnostyki, pobranie logów | dyżurny inżynier | zapis sesji wystarcza |
| Zmiana nastaw i parametrów | kierownik utrzymania ruchu | zapis sesji, powiadomienie zmiany |
| Zmiana logiki sterownika, wgranie projektu | kierownik utrzymania ruchu i drugi inżynier | obserwacja na żywo z możliwością przerwania |
| Aktualizacja oprogramowania układowego | kierownik utrzymania ruchu, po teście na rezerwie | obserwacja na żywo, plan wycofania gotowy przed startem |
Tabela to punkt wyjścia do rozmowy z ruchem: poziom kontroli wynika z ryzyka dla procesu, a nie z zaufania do dostawcy.
Jak udostępnić system dostawcy bez otwierania portów przychodzących do strefy OT?
Trzeba odwrócić kierunek połączenia: zestawia je brama po stronie zakładu, jako połączenie wychodzące, a dostawca łączy się do punktu pośredniego w strefie zdemilitaryzowanej (DMZ) lub w chmurze. Wśród zaleceń dla tymczasowego dostępu zdalnego NIST SP 800-82 Rev. 3 (§ 6.2.10) wymienia właśnie inicjowanie połączenia od strony środowiska OT, obok odbierania dostępu, gdy przestaje być potrzebny, monitorowania aktywności zdalnej i informowania personelu ruchu o planowanych pracach.
Serwisant loguje się do punktu styku, uwierzytelnia się wieloskładnikowo i widzi wyłącznie zasoby, do których ma zatwierdzony dostęp. Punktem styku jest brama dostępu uprzywilejowanego pełniąca rolę jump servera. Strefa OT nie przyjmuje żadnego połączenia z internetu, a stary sterownik nigdy nie „widzi” adresu dostawcy. CISA dodaje, że zasoby OT należy w ogóle usunąć z publicznego internetu i stosować minimalne uprawnienia dla konkretnego zasobu i zakresu prac.
Dwie rzeczy łatwo przeoczyć. Tunel wychodzący też jest drogą do środka, więc powinien być aktywny tylko w zatwierdzonym oknie. A odwrócenie kierunku nie zwalnia z segmentacji: brama stoi w strefie pośredniej między siecią biurową a przemysłową, zgodnie z modelem Purdue, a nie w środku sieci sterowania.
Co nagrywać podczas sesji serwisowej i jak długo przechowywać zapis?
Nagrywać trzeba wszystko, co pozwala odtworzyć zmianę stanu procesu: obraz sesji graficznej, polecenia wpisywane w konsoli, przesłane pliki (projekty sterowników, obrazy oprogramowania układowego) oraz metadane — kto, kiedy, skąd, na podstawie którego zgłoszenia i z czyją akceptacją. Nagrywanie sesji uprzywilejowanych jest w OT narzędziem diagnostycznym w równym stopniu co dowodowym: gdy trzy dni po wizycie serwisu linia zachowuje się inaczej, nagranie pokazuje, który parametr zmieniono i o której.
Najczęstszy błąd to obraz bez metadanych zatwierdzenia. Taki zapis jest filmem, a nie dowodem: widać, co się działo, ale nie da się wykazać, że mieściło się to w uzgodnionym zakresie prac. Druga pułapka to brak zapisu transferu plików — przy stacji inżynierskiej logikę procesu zmienia wgrany plik projektu, a nie ruchy myszy.
Okres przechowywania jest decyzją organizacji i trzeba go uzasadnić. W OT wyznaczają go trzy terminy, a obowiązuje najdłuższy:
- Czas ujawnienia skutku — przy sezonowym cyklu produkcji lub rzadkich postojach remontowych efekt zmiany może wyjść po wielu miesiącach.
- Odpowiedzialność umowna dostawcy — dopóki trwa gwarancja na prace, nagranie jest materiałem w ewentualnym sporze.
- Postępowanie po incydencie — zapis musi przetrwać do zamknięcia analizy i zgłoszeń wobec organu.
Nagranie zawiera dane osobowe serwisanta, więc okres musi obronić się także na gruncie RODO, a dostęp do archiwum trzeba ograniczyć jak dostęp do samych systemów.
Jak NIS2 i ustawa o KSC przekładają się na kontrolę dostępu dostawców w OT?
Dyrektywa (UE) 2022/2555 nie używa słowa PAM, ale trzy litery jej art. 21 ust. 2 spotykają się właśnie na koncie serwisowym dostawcy: lit. d (bezpieczeństwo łańcucha dostaw, w tym stosunki z bezpośrednimi dostawcami lub usługodawcami), lit. i (bezpieczeństwo zasobów ludzkich, polityka kontroli dostępu i zarządzanie aktywami) oraz lit. j (w stosownych przypadkach uwierzytelnianie wieloskładnikowe lub ciągłe). W polskim porządku prawnym te same obszary wymienia art. 8 ust. 1 pkt 2 ustawy o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym nowelizacją z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252, obowiązuje od 3 kwietnia 2026 r.) — m.in. lit. e (bezpieczeństwo i ciągłość łańcucha dostaw) i lit. n (polityki kontroli dostępu).
Przepisy nie mówią, jak to zrobić, tylko co trzeba umieć wykazać:
| Wymaganie | Co oznacza dla konta dostawcy | Czym to wykażesz |
|---|---|---|
| NIS2 art. 21 ust. 2 lit. d; uKSC art. 8 ust. 1 pkt 2 lit. e | dostęp dostawcy jest elementem oceny relacji z nim, a nie wyłącznie sprawą techniczną | umowa z wymaganiami dostępu, lista dostawców z dostępem i ich kont |
| NIS2 art. 21 ust. 2 lit. i; uKSC art. 8 ust. 1 pkt 2 lit. n | każde konto ma właściciela, zakres i termin ważności | rejestr wniosków i akceptacji, przeglądy uprawnień z datą |
| NIS2 art. 21 ust. 2 lit. j | serwisant uwierzytelnia się wieloskładnikowo przed dostępem do strefy OT | konfiguracja bramy, wykaz wyjątków z uzasadnieniem |
Ostatnia kolumna jest tym, o co zapyta audytor. Jak oceniać samych dostawców OT pod kątem lit. d, opisujemy w tekście o bezpieczeństwie łańcucha dostaw OT w świetle NIS2.
Czego PAM w OT nie załatwi i gdzie potrzebne są inne zabezpieczenia?
PAM kontroluje tylko sesje, które przez niego przechodzą — nie widzi dostępu, który go omija. W zakładach regularnie pojawiają się trzy takie drogi.
Pierwsza to dostęp fizyczny: serwisant podłącza własny laptop kablem do sieci sterowania albo wkłada pendrive do stacji operatorskiej. Potrzebne są wtedy procedury wejścia, stacje do skanowania nośników i kontrola portów — piszemy o tym w artykule o laptopie serwisanta i nośnikach USB w OT.
Druga to kanały ukryte: modem zamontowany przy uruchomieniu maszyny albo narzędzie zdalnego pulpitu zainstalowane „tymczasowo” na stacji operatorskiej. Wdrożenie PAM, które nie zaczyna się od ich wyszukania, buduje drzwi z zamkiem obok otwartej bramy.
Trzecia to ruch wewnątrz strefy. PAM rozlicza człowieka łączącego się z zewnątrz, ale nie ochroni protokołu bez uwierzytelniania przed zainfekowaną stacją, która już jest w sieci sterowania. Tu potrzebne są segmentacja, strefy i kanały oraz monitorowanie ruchu przemysłowego, czyli projektowanie architektury bezpieczeństwa OT, w którym PAM jest jednym z elementów.
Jak wygląda PAM w OT na przykładzie Fudo Enterprise?
Fudo Enterprise to platforma PAM działająca jako pośrednik (proxy) między użytkownikami a serwerami, bez instalowania agentów — użytkownik łączy się natywnym klientem albo przez przeglądarkę. Traktujemy ją jako przykład implementacji wzorca z poprzednich sekcji; fakty poniżej pochodzą z publicznej dokumentacji producenta.
Protokoły. Lista obsługiwanych protokołów obejmuje m.in. RDP, VNC, SSH, Telnet, Telnet 5250, HTTP i Modbus, czyli punkty dostępu z tabeli wyżej. Modbus działa jednak wyłącznie w trybie proxy i nie obsługuje dołączania do trwającej sesji. Zapisu na sterownik przez Modbus nie obejrzysz więc na żywo — taką sesję zabezpiecza się zatwierdzeniem przed startem i krótkim oknem czasowym.
Zatwierdzanie i nadzór. Przy wymaganej akceptacji użytkownik musi poprosić o dostęp przed połączeniem, a wskazane osoby mają określony czas na decyzję; producent wiąże tę funkcję z zasadą czterech oczu. Dla sejfu (grupy zasobów) można wymagać nadzoru na żywo z określoną liczbą nadzorców, a administrator może dołączyć do sesji, wstrzymać ją lub zakończyć.
Zapis. Platforma zapisuje pełny ruch sesji z metadanymi (odtwarzanie i wyszukiwanie pełnotekstowe), rejestruje ruchy myszy, naciśnięcia klawiszy i przesyłane pliki, a dane mogą być znakowane czasem, co zwiększa ich wartość dowodową.
Kierunek połączenia. Reverse proxy otwiera wychodzący tunel SSH do serwera poza siecią zakładu, np. w DMZ, a ruch użytkowników wraca tunelem do zasobów wewnętrznych. Dla stron trzecich producent oferuje przeglądarkową usługę Fudo ShareAccess, która według dokumentacji wymaga wyłącznie połączeń wychodzących z instancji Fudo Enterprise.
W naszej ocenie to zestaw dobrze dopasowany do przemysłu i energetyki: pośrednik bez agentów, protokoły OT i odwrócony kierunek połączenia odpowiadają na trzy problemy, które w OT blokują klasyczne narzędzia. Szczegóły platformy opisuje strona Fudo Enterprise.
Jak zapisać wymagania PAM w umowie serwisowej z dostawcą?
Umowa musi zamienić stały dostęp w usługę uruchamianą na żądanie — łatwiej to wynegocjować przy nowym kontrakcie niż wymusić w trwającym. Minimalny zestaw zapisów:
- Imienne konta. Każdy technik ma własne konto, konta współdzielone są zakazane, a odejście osoby dostawca zgłasza w ustalonym terminie.
- Jeden kanał. Dostęp zdalny wyłącznie przez bramę wskazaną przez zakład; modemy i własne narzędzia zdalnego pulpitu są naruszeniem umowy.
- Zgłoszenie przed sesją. Numer zgłoszenia, zakres prac i okno czasowe; prace awaryjne mają szybszą ścieżkę akceptacji, ale nie są z niej zwolnione.
- Zgoda na zapis i nadzór. Dostawca akceptuje nagrywanie sesji i jej przerwanie przez zakład.
- Stacja serwisanta. Aktualny system, ochrona przed złośliwym oprogramowaniem, uwierzytelnianie wieloskładnikowe.
- Obowiązek informacyjny. Dostawca niezwłocznie zgłasza incydent po swojej stronie, który może dotyczyć dostępu do zakładu.
Takie zapisy chronią także dostawcę: nagranie z zatwierdzonym zakresem prac jest jego najlepszą obroną, gdy po wizycie coś pójdzie źle z zupełnie innego powodu.
Od czego zacząć wdrożenie PAM w zakładzie przemysłowym?
Od inwentaryzacji dostępu, a nie od wyboru narzędzia: najpierw lista dostawców, ich kont i kanałów, dopiero potem projekt bramy. Kolejność, która sprawdza się w praktyce:
- Spis dostawców i kanałów — kto ma dostęp, do czego, którędy (VPN, modem, narzędzie zdalne, konto lokalne) i na podstawie jakiej umowy.
- Zamknięcie kanałów ukrytych — zapomniane modemy i narzędzia zdalnego pulpitu wyłączone lub przeniesione pod kontrolę.
- Macierz zatwierdzeń — dla każdego obszaru procesu właściciel akceptujący sesje i poziom nadzoru zależny od rodzaju prac.
- Brama w strefie pośredniej — połączenie inicjowane od strony zakładu, uwierzytelnianie wieloskładnikowe, zapis sesji z metadanymi zatwierdzenia.
- Pierwsi dostawcy — start od jednego lub dwóch dostawców z najszerszym dostępem, potem kolejni przy odnowieniu umów.
Jeśli chcesz przejść tę drogę z zespołem, który zna PAM i realia utrzymania ruchu, zobacz nasze wdrożenie PAM oraz projektowanie architektury bezpieczeństwa OT. Więcej o ochronie sieci przemysłowych znajdziesz w hubie bezpieczeństwo OT/ICS.
Najczęściej zadawane pytania
Czym PAM w OT różni się od PAM w środowisku IT?
Skutkiem błędu i ograniczeniami systemów. W IT błędne polecenie administratora kończy się zwykle awarią usługi, w OT może zatrzymać proces fizyczny albo uszkodzić urządzenie. Systemy przemysłowe żyją dłużej niż dwadzieścia lat (NIST SP 800-82 Rev. 3, wrzesień 2023), często bez możliwości instalacji agentów, a wiele protokołów przemysłowych nie ma żadnego uwierzytelniania. Dlatego PAM w OT działa jako pośrednik sesji, a zatwierdzanie dostępu należy do właściciela procesu, nie do działu IT.
Kto powinien zatwierdzać zdalną sesję dostawcy do systemów OT?
Osoba odpowiedzialna za proces, do którego dostawca się łączy — najczęściej kierownik utrzymania ruchu albo dyżurny inżynier zmiany. Dział IT lub bezpieczeństwa definiuje zasady i utrzymuje narzędzie, ale nie wie, czy w danej chwili linia może przyjąć zmianę. NIST SP 800-82 Rev. 3 zaleca, żeby personel ruchu wiedział o każdej planowanej aktywności zdalnej w środowisku OT.
Czy do zdalnego serwisu OT trzeba otwierać porty przychodzące w zaporze?
Nie musisz. Wzorzec zalecany w NIST SP 800-82 Rev. 3 to inicjowanie połączenia od strony środowiska OT: brama w zakładzie zestawia połączenie wychodzące do punktu pośredniego w DMZ lub w chmurze, a dostawca łączy się do tego punktu. Strefa OT nie przyjmuje wtedy połączeń z internetu, a tunel można aktywować tylko na czas zatwierdzonego okna serwisowego.
Jak długo przechowywać nagrania sesji serwisowych w OT?
Okres przechowywania jest decyzją organizacji i trzeba go uzasadnić. W OT wyznaczają go trzy terminy: czas, po którym skutek zmiany może się ujawnić w procesie, okres odpowiedzialności umownej dostawcy za wykonane prace oraz potrzeby postępowania po incydencie. Nagranie zawiera dane osobowe serwisanta, więc uzasadnienie musi obronić się także na gruncie RODO.
Czy NIS2 wymaga wdrożenia systemu PAM?
Dyrektywa (UE) 2022/2555 nie nazywa PAM wprost. Artykuł 21 ust. 2 wymaga jednak bezpieczeństwa łańcucha dostaw w relacjach z bezpośrednimi dostawcami (lit. d), polityki kontroli dostępu (lit. i) i — w stosownych przypadkach — uwierzytelniania wieloskładnikowego (lit. j). W Polsce odpowiednikiem jest art. 8 ust. 1 pkt 2 znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252). Konto serwisowe dostawcy w OT jest miejscem, gdzie te trzy wymagania spotykają się jednocześnie.
