Sterownik PLC na linii pakującej ma czternaście lat. Działa bez zarzutu, a jego producent skończył wsparcie dawno temu. Nikt go nie aktualizuje, bo aktualizacja wymagałaby zatrzymania linii i przetestowania całego ciągu, a okno postojowe jest raz w roku. Dział IT wie o jego istnieniu, ale nie ma do niego dostępu, bo to sieć utrzymania ruchu.
Taki sterownik to zwykle pierwszy punkt, w którym wdrożenie wymagań ustawy KSC w zakładzie produkcyjnym przestaje przypominać wdrożenie w biurze. Pytanie brzmi: jak podejść do systemu zarządzania bezpieczeństwem informacji tam, gdzie połowa środowiska nie jest informatyką w klasycznym sensie. Pokażę cztery punkty, od których warto zacząć.
Punkt pierwszy: ustal, która usługa podlega ochronie
Ustawa nie każe chronić wszystkiego. Art. 8 mówi o systemie zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi przez podmiot. Zakres wyznacza więc usługa i procesy, które na nią wpływają.
W bankowości czy energetyce ta usługa nazywa się sama. W produkcji jest trudniej, bo produkcja nie jest usługą w potocznym sensie. Trzeba więc samodzielnie zdefiniować, co jest tu świadczeniem: ciągłość wytwarzania i dostaw wyrobu, integralność danych produkcyjnych, dostępność systemów sterowania, a często wszystkie trzy naraz w różnym stopniu.
To zadanie warto wykonać przed wyborem jakichkolwiek narzędzi. Od niego zależy, które systemy wejdą do zakresu, a więc ile całe wdrożenie będzie kosztowało. Zakres ustalony zbyt szeroko przepala budżet, ustalony zbyt wąsko nie obroni się przed audytem.
Punkt drugi: potraktuj środowisko OT jak osobny świat
Większość regulacji cyberbezpieczeństwa powstawała z myślą o środowiskach biurowych. Zakład pracuje w dużej mierze na technologii operacyjnej: sterownikach PLC, systemach SCADA, sieciach przemysłowych. Rządzą się one inną logiką:
- Cykl życia urządzeń liczy się w dekadach, nie w latach.
- Możliwość aktualizacji oprogramowania bywa ograniczona albo żadna, a każda zmiana wymaga ponownej walidacji procesu.
- Wrażliwość na przestoje jest ogromna, więc typowe działania naprawcze bywają droższe niż sam incydent.
- Wiele urządzeń powstało bez podstawowych mechanizmów uwierzytelniania i szyfrowania.
Ustawa nie przewiduje osobnego reżimu dla OT. To nie znaczy jednak, że wymagania trzeba przenosić do hali jeden do jednego. Art. 8 nakazuje wdrożenie środków odpowiednich i proporcjonalnych do oszacowanego ryzyka, z uwzględnieniem najnowszego stanu wiedzy, kosztów wdrożenia, wielkości podmiotu i narażenia na ryzyka. Podobnie uwierzytelnianie wieloskładnikowe jest wymagane „w stosownych przypadkach”, a nie bezwarunkowo.
Proporcjonalność nie jest jednak wymówką. Jest decyzją, którą trzeba udokumentować w analizie ryzyka. Zdanie „nie aktualizujemy tego sterownika, bo tak jest wygodniej” nie obroni się przed audytorem. Zdanie „nie aktualizujemy, bo producent zakończył wsparcie, a ryzyko ograniczamy segmentacją sieci i monitorowaniem ruchu, co opisaliśmy w decyzji z datą” obroni się bez trudu.
Punkt trzeci: łańcuch dostaw to łańcuch dostaw ICT
Tu warto wyprostować rozpowszechnione uproszczenie. Mówi się, że przepisy każą producentom oceniać cyberbezpieczeństwo swoich dostawców. To prawda tylko w części.
Art. 8 wymaga zapewnienia bezpieczeństwa i ciągłości łańcucha dostaw produktów, usług i procesów ICT, od których zależy świadczenie usługi, z uwzględnieniem relacji z bezpośrednim dostawcą sprzętu lub oprogramowania. Przepis mówi o dostawcach technologii, a nie o wszystkich dostawcach w ogóle. Dostawca blachy czy komponentu mechanicznego nie wchodzi tu z automatu.
Dla zakładu produkcyjnego oznacza to konkretną listę do zrobienia: integrator automatyki, dostawca systemu MES, dostawca SCADA, serwisant zdalnie łączący się z maszyną, dostawca systemu ERP, firma świadcząca usługi zarządzane. Przy ocenie ustawa każe brać pod uwagę podatności związane z dostawcą, ogólną jakość jego produktów oraz wyniki skoordynowanych ocen bezpieczeństwa prowadzonych na poziomie unijnym.
Serwisant ze zdalnym dostępem do maszyny jest zwykle najkrótszą drogą z internetu do hali. Od niego warto zacząć.
Punkt czwarty: wielkość nie jest gwarancją spokoju
Producent poniżej progów wielkości też może zostać objęty obowiązkami. Organ właściwy do spraw cyberbezpieczeństwa może w drodze decyzji uznać podmiot z załącznika za kluczowy albo ważny niezależnie od jego wielkości, jeżeli spełniona jest jedna z przesłanek szczególnych. Wśród nich są dwie istotne dla producentów: sytuacja, w której zakłócenie usługi wywołałoby ryzyko systemowe zaprzestania świadczenia usług przez inne podmioty kluczowe lub ważne, oraz sytuacja, w której usługa ma istotne znaczenie na poziomie wojewódzkim lub krajowym albo dla dwóch lub więcej sektorów.
Dostawca komponentów o krytycznym znaczeniu dla energetyki, obronności czy transportu mieści się w tym opisie nawet wtedy, gdy zatrudnia czterdzieści osób. Warunkiem jest jednak to, by prowadził działalność wskazaną w załączniku nr 1 lub 2. Decyzja nie wyciąga podmiotów spoza list.
Terminy po takiej decyzji są własne: obowiązki z rozdziału 3 ustawy trzeba wykonać w ciągu 12 miesięcy, a pierwszy audyt zapewnić w ciągu 24 miesięcy od dnia doręczenia decyzji. Decyzja podlega natychmiastowemu wykonaniu.
Powtórzmy krótko
- Zakres wdrożenia wyznacza usługa i procesy, które na nią wpływają. W produkcji trzeba ją najpierw nazwać samemu.
- Środowisko OT wymaga innych środków niż biuro, a ustawa daje na to miejsce przez zasadę proporcjonalności. Warunkiem jest udokumentowana analiza ryzyka.
- Obowiązek dotyczący łańcucha dostaw odnosi się do dostawców ICT, a nie do wszystkich kontrahentów.
- Mały producent w łańcuchu dostaw podmiotów kluczowych nie może zakładać, że wielkość go chroni.
Zrób listę wszystkich połączeń zdalnych do maszyn i systemów produkcyjnych. Kto się łączy, z czego, na jakiej podstawie i kto to konto wyłączy, gdy umowa serwisowa się skończy. To jedno ćwiczenie odsłania zwykle więcej niż pierwszy tydzień warsztatów, a wynik przyda się później w dokumentacji łańcucha dostaw ICT.
Co dalej
Podmioty, które podlegały pod przepisy w dniu ich wejścia w życie, mają na wykonanie obowiązków z rozdziału 3 ustawy 12 miesięcy, a na pierwszy audyt 24 miesiące. Pierwszy termin audytowy przypada 3 kwietnia 2028 r. Brzmi odlegle, dopóki nie policzy się, ile trwa jedno okno postojowe w roku. Jeśli nie macie jeszcze pewności, czy zakład w ogóle podlega, zacznij od strony klasyfikacji sektorowej, którą opisaliśmy w osobnym wpisie, albo od samoidentyfikacji w NIS2 Testerze. Jeśli wiecie już, że podlegacie, i zastanawiacie się, jak rozłożyć wdrożenie w czasie, napisz do nas.
