Pięć fundamentalnych różnic: (1) **Priorytet CIA** — IT używa CIA (Confidentiality > Integrity > Availability), OT odwraca: AIC (Availability > Integrity > Confidentiality); zatrzymanie linii produkcyjnej kosztuje $100K-$10M/h, więc availability nadrzędny. (2) **Lifecycle sprzętu** — IT 3-5 lat, OT 15-30 lat; PLC z 1995 wciąż w produkcji; oznacza unsupported OS (Windows XP/7), unpatched firmware. (3) **Patch cadence** — IT patch w 30-dniowym cyklu; OT change management requires shutdown windows (np. annual outage), patch tylko po validation w test environment, czasem **nigdy** (vendor support EOL). (4) **Protokoły** — IT używa TCP/IP, HTTPS, modern auth; OT używa Modbus, PROFINET, EtherNet/IP, DNP3, OPC, BACnet — często **bez encryption i bez authentication** (zaprojektowane w erze pre-internet). (5) **Personel** — IT zarządza CISO/SOC; OT zarządza operations engineering / plant manager (mechanical, electrical, control engineers — nie cybersecurity). **Konsekwencje**: w OT 'install antivirus' może crashować PLC; aktywne skanowanie nmap może zablokować HMI; popularny EDR może powodować false positives na legalne PLC traffic. **Rule of one**: nigdy nie wprowadzaj zmian w produkcyjnym OT bez zatwierdzenia operations engineer i zaplanowanego rollback.

**Purdue Enterprise Reference Architecture (PERA)** — referencyjny model segmentacji sieci OT/IT, zdefiniowany w latach 90. przez Theodore Williams z Purdue University; **de facto standard** dla OT security. Sześć poziomów: (0) **Level 0 — Physical Process** — czujniki, aktuatory, silniki, zawory; pomiar i wykonywanie fizycznego procesu. (1) **Level 1 — Basic Control** — PLC (Programmable Logic Controllers), RTU (Remote Terminal Units), DCS (Distributed Control Systems); wykonują logikę kontroli (np. 'jeśli temp > 80, otwórz zawór'). (2) **Level 2 — Area Supervisory Control** — HMI (Human-Machine Interface), SCADA workstations; operatorzy patrzą na proces, dostosowują setpointy. (3) **Level 3 — Site Manufacturing Operations** — MES (Manufacturing Execution Systems), historian databases (PI System, Wonderware), batch management. (3.5) **DMZ (Industrial Demilitarized Zone)** — kluczowa strefa pomiędzy OT a IT; jump servers, patch management, anti-virus update servers, data diodes. (4) **Level 4 — Site Business Planning & Logistics** — ERP, scheduling, email, normalne IT enterprise. (5) **Level 5 — Enterprise Network** — corporate IT, internet. **Zasada**: ruch sieciowy płynie tylko między sąsiednimi poziomami przez zdefiniowane ścieżki w DMZ; **nigdy direct Level 5 → Level 1**. Standard **IEC 62443-3-2** rozszerza Purdue o concepty Zones (grupy z podobnym risk profile) i Conduits (kontrolowane ścieżki komunikacji).

**IEC 62443** to seria standardów ISA/IEC dla bezpieczeństwa systemów automatyki przemysłowej i kontroli (IACS); de facto globalny standard cyberbezpieczeństwa OT, mandatory w NIS2 dla infrastruktury krytycznej. Struktura serii: (1) **62443-1** (general) — terminologia, koncepty. (2) **62443-2** (policies & procedures) — 2-1 IACS Security Program, 2-3 patch management, 2-4 Service provider requirements. (3) **62443-3** (system) — 3-2 risk assessment dla zone/conduit, 3-3 system security requirements. (4) **62443-4** (component) — 4-1 secure development lifecycle dla vendorów, 4-2 component requirements. **Security Levels (SL 1-4)**: SL1 (protection przed casual misuse), SL2 (intentional, low resources), SL3 (sophisticated attackers, moderate resources), SL4 (state-sponsored, extensive resources). Każdy zone ma assigned target SL. **Foundational Requirements (FR 1-7)**: FR1 (Identification & Authentication Control), FR2 (Use Control), FR3 (System Integrity), FR4 (Data Confidentiality), FR5 (Restricted Data Flow), FR6 (Timely Response to Events), FR7 (Resource Availability). **Certyfikacja**: ISASecure (most common), TÜV Rheinland, Bureau Veritas; certyfikat dla produktów (PLC, HMI), processes, organizations. **W praktyce**: większość OT vendorów (Siemens, Rockwell, Schneider, ABB, Honeywell) certyfikuje produkty według IEC 62443-4-2; integratorzy (Yokogawa, Endress+Hauser) certyfikują systems według 62443-3-3; ICS asset owners (KGHM, Orlen, PGE) compliance z 62443-2-1 i 2-4.

Osiem przełomowych ataków: (1) **Stuxnet (2010)** — joint US-Israel APT atakujący irański Natanz; pierwszy w historii malware atakujący SCADA (Siemens S7); zniszczył 1000+ centrifuges przez over-spinning; cofnął program nuklearny Iranu o 2-3 lata. **Wprowadziło 'cyber-kinetic' jako koncept**. (2) **Havex / Energetic Bear (2013-2014)** — APT przeciwko energy sector w USA i Europie; OPC server enumeration, ICS reconnaissance; przypisany Rosji. (3) **BlackEnergy 3 / Ukraina 2015** — atak na Ukrenergo wyłączył prąd dla 230K mieszkańców na 6 godzin; wstrzyknięcie SCADA, manipulacja HMI, KillDisk wiper; pierwsza udokumentowana cyber-attacked outage. (4) **Industroyer / CrashOverride (2016)** — atak na Kyiv power; pierwszy purpose-built ICS malware; protokoły IEC 60870-5-101/104, IEC 61850, OPC DA; modułowy framework. (5) **TRITON / TRISIS (2017)** — atak na Saudi Arabia petrochemical (Tasnee); celował **Schneider Triconex Safety Instrumented System** — najbardziej alarmujący bo SIS to 'last line of defense' przed eksplozją; atak nieudany ale potencjał katastrofalny; przypisany Rosji (CNIIHM/Triton Group). (6) **Industroyer2 (2022)** — wariant celujący w Ukrainę po inwazji; połączony z CaddyWiper; zatrzymany przed pełną aktywacją. (7) **Colonial Pipeline (2021)** — DarkSide ransomware na IT enterprise systems; **Colonial sam wyłączył OT** preventatively (nie atak na OT bezpośrednio); 5500 mil pipeline shutdown 5 dni; gas shortage East Coast; pokazało IT-OT interdependence. (8) **Pipedream / INCONTROLLER (2022)** — toolkit dla ICS attacks ujawniony przez Mandiant przed użyciem; targets Schneider M580/M340 i Omron PLCs; potencjalna evolucja state-sponsored capabilities. **Wniosek**: większość ataków OT zaczyna się przez IT (phishing, supply chain) → lateral movement do DMZ → OT — czysto OT-native attacks rzadkie.

Główne protokoły OT i ich security profile: (1) **Modbus (1979)** — najstarszy, najpowszechniejszy; **brak encryption, brak authentication**; każdy w sieci może wysłać 'write coil' command na PLC. Modbus TCP (port 502) widoczny w shodan.io tysiące razy. Mitigation: Modbus over TLS (rzadko deployed), VPN, segmentation. (2) **PROFINET / PROFIBUS (Siemens)** — popular w Europie; PROFINET RT (Real-Time, port udp 34962-34964) i IRT (Isochronous Real-Time); PROFINET Security Class 1-3 wprowadza encryption ale rzadko enabled. (3) **EtherNet/IP (Rockwell/Allen-Bradley)** — popular w USA; CIP protocol; default port 44818; ekspozycja CVE-2020-15637 (Vehicle CIP) i innych. (4) **DNP3 (Distributed Network Protocol 3)** — power utilities, water; DNP3 Secure Authentication (SA) wprowadzone 2007 ale adoption <10%. (5) **OPC UA / Classic OPC** — OPC Classic (DCOM-based, deprecated, security-poor); OPC UA (modern, encryption, authentication) — preferred dla nowych deployments. (6) **IEC 60870-5-101/104** — power utilities Europe; IEC 60870-5-7 wprowadza authentication ale rzadko deployed. (7) **IEC 61850** — substations; nowoczesny ale GOOSE messaging brak authentication by default. (8) **BACnet** — building automation (HVAC, lighting); BACnet/SC (Secure Connect) wprowadzone 2018; large attack surface w smart buildings. (9) **HART/WirelessHART** — process control field instruments; security limited. **Universal mitigations**: protocol-aware firewalls (Tofino, Bayshore Networks, Belden Tofino, Claroty), unidirectional gateways (Waterfall — fizyczne data diodes), VPN dla remote access, network segmentation. **Nigdy** nie wystawiaj OT protocol portów do internetu; w shodan.io są dziesiątki tysięcy ekspozycji.

Trzy poziomy regulacyjne: (1) **NIS2 (UE Directive 2022/2555, transposition do 17 października 2024)** — rozszerzona wersja NIS, obejmuje 'essential entities' (energy, transport, banking, healthcare, water, digital infrastructure, public administration) + 'important entities' (postal, waste, food, manufacturing, digital providers). Wymagania: risk management measures (Art. 21), incident reporting (24h early warning, 72h incident notification, 1 month final report), supply chain security, MFA wszędzie, encryption, training, business continuity. **Kary**: do **€10M lub 2% obrotu** (essential), **€7M lub 1.4%** (important). Polska implementacja: nowelizacja **Ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC)**, prawdopodobnie 2025. (2) **CER Directive (Critical Entities Resilience, transposition do 17 października 2024)** — fizyczne i organizacyjne resilience dla CER entities; uzupełnia NIS2 cyber wymogami z fizycznymi. (3) **NIS2 + IEC 62443** — w praktyce większość ICS asset owners używa IEC 62443 jako framework spełniający NIS2 wymagania. **Sektorowe regulacje**: (a) **NERC CIP** (USA, energy) — kompleksowy zestaw 14 standardów dla bulk electric system; CIP-005 (network perimeter), CIP-007 (system management), CIP-013 (supply chain). (b) **TSA Pipeline Security Directives** (USA, post-Colonial Pipeline 2021) — mandatory cybersecurity dla pipelines. (c) **EO 14028** (Cybersecurity Improving Nation's Security, 2021) — federal. (d) **Polska KSC nowelizacja 2024-2025** — implementacja NIS2 i CER. (4) **Sektorowe wytyczne**: ENISA (UE), ICS-CERT/CISA (USA), KNF (Polska, finance), URE (Polska, energy). **Compliance roadmap**: (i) classify entity (essential/important); (ii) gap analysis vs NIS2 i IEC 62443; (iii) remediation plan; (iv) incident response plan + tabletop exercises; (v) continuous monitoring i annual review.

Dwanaście top priorities według NIST SP 800-82r3 i IEC 62443: (1) **Asset inventory** — kompletna lista wszystkich OT assets (PLC, RTU, HMI, switches, historians); narzędzia: Claroty, Nozomi, Dragos, Forescout. Krytyczne: nie znasz tego, czego nie widzisz. (2) **Network segmentation (Purdue)** — strict zones/conduits; firewalls między poziomami, jump servers w DMZ, no direct IT→OT paths. (3) **Passive monitoring** — używaj **passive** OT IDS (Claroty CTD, Nozomi Guardian, Dragos Platform) — active scanning może crashować PLC. (4) **Protocol-aware firewalls** — Modbus/PROFINET/DNP3 deep packet inspection; whitelist legitimate commands, block 'write' commands z untrusted sources. (5) **Patch management OT-specific** — WSUS dla Windows-based HMI/historian, vendor-specific dla firmware; testowanie w sandbox lab przed prod; quarterly maintenance windows. (6) **Privileged Access Management** — wszystkie engineering connections przez jump servers + MFA + session recording (CyberArk PSM, BeyondTrust); brak shared credentials. (7) **Anti-malware OT-approved** — tylko vendor-certified (Symantec ICS Protection, McAfee MOVE, Trend Micro Industrial Endpoint Security). (8) **Removable media controls** — USB drives najczęstszy wektor (Stuxnet); kioski sanityzacji, whitelist autorize media, fizyczna USB blokery. (9) **Backup & recovery** — air-gapped backups konfiguracji PLC, ladder logic, HMI projects, historian data; regularne restore exercises. (10) **Incident Response OT plan** — odrębny od IT; collaborator z plant operations; runbook dla 'PLC compromise', 'HMI lockout', 'SIS bypass'. (11) **Supply chain security** — IEC 62443-2-4 dla service providers; SBOMs dla nowych systems; vendor risk assessments. (12) **Awareness training OT-specific** — operatorów uczy się różnic IT vs OT, common attack patterns (USB drops, vendor laptop), reporting procedures. **Dojrzały OT security program** = 18-36 miesięcy do baseline maturity, $500K-$5M+ initial investment dla mid-size manufacturer; ROI: avoided downtime ($1-50M/incident) + compliance + cyber insurance reductions.