Másfél évtizeddel ezelőtt mindenki nagy várakozásokkal tekintett az Ipar 4.0 forradalma elé, hiszen az ígéretek rendkívül csábítónak tűntek. Amikor azonban megkezdődött az első – már az Ipar 4.0 alapelvei mentén tervezett – rendszerek bevezetése, sokan szembesültek azzal, hogy az informatikai (IT) és a gyártási (OT) rendszerek integrációja nem olyan egyszerű, mint gondolták volna.
◼︎ IT- és OT-rendszerek integrációja
A nehézség nem is annyira a technológiai oldalon jelentkezett, mondja Bóna Péter, a Com-Forth Kft. ügyvezető igazgatója. Azok a protokollok, protokollfordító és egyéb, a különböző rendszerek integrációját, interoperabilitását támogató eszközök (mint az OPC UA vagy az MQTT), amelyek lehetővé teszik az informatikai és a gyártási rendszerek kommunikációját, már a negyedik ipari forradalom kikiáltásakor, 2011-ben is léteztek.
Sokkal kevésbé került fókuszba akkoriban két másik kérdés: a kiberbiztonság, illetve a humán tényező, jelen esetben az IT- és OT-csapatok együttműködésének kérdése. Tíz évvel ezelőtt még nagyon kevesen gondoltak arra, hogy az OT-rendszereket is meg kell védeni a külső és belső támadásoktól. „Az Ipar 4.0 egyik alapígérete ugyanis pont az volt, hogy nem kell lecserélni a már meglévő, régi OT rendszereket, hanem azokat hálózatba lehet kötni, és távolról elérni. De ha adatokat akarunk gyűjteni róluk, akkor gondoskodnunk kell a védelmükről is”, magyarázza Bóna Péter.
A biztonság nem olcsó
Klasszikus helyzet például, hogy a gyártórendszeren nincs semmilyen végpontvédelem, mert amikor telepítették, még nem tartották szükségesnek, vagy kockázatosnak tűnt üzembiztonsági szempontból. Amikor hálózatba kapcsolják, az IT-szervezet kérheti, hogy legyen rajta végpontvédelem, mert egyébként komoly kiberbiztonsági kockázatnak teszi ki a teljes hálózatot. Az OT-szakemberek viszont joggal tiltakozhatnak: nekik a termelékenység a legfontosabb KPI, emiatt nem akarnak semmit telepíteni a gyártóeszköz SCADA-rendszerére, mert azzal reális veszélye lehet a termeléskiesésnek is – láttunk már erre élő példákat.
| Jobb félni, mint megijedni
A tipikus iparvállalat még mindig nem fél eléggé a kibertámadásoktól – figyelmeztet Bóna Péter. Bíznak a tűzfalban, esetleg abban, hogy a gyártórendszer nincs a nyilvános hálózatra kötve. Pedig elég egy karbantartó számítógépét megfertőzni, mert arról már átkerülhet a kártevő az OT-rendszerre. Azt mindenki maga eldöntheti, hogy mekkora károkat okozna a cégének, ha napokra, esetleg hetekre leáll a termelés egy támadás miatt. |
Természetesen megoldható a biztonságos adatcsere az IT- és az OT-rendszerek között, hiszen léteznek ma már korszerű, OT-környezet számára fejlesztett tűzfalak, IPS/IDS megoldások és végpontvédelmek, de az átfogó OT védelem többnyire a hálózat mikroszegmentációját is megköveteli, tehát akár azt, hogy mindegyik (vagy majdnem mindegyik) gyártóberendezés mellé kerüljön egy tűzfal és/vagy behatolásvédelmi (IPS) rendszer. Mindez jelentősen megdrágítja az informatikai és a gyártási oldal integrálását – olyan költség ez, amellyel a legtöbben nem számoltak az adatgyűjtő rendszerek tervezésekor.
A NIS2 itt is újat hoz
Az ellentéteteket csak akkor lehet jól feloldani, ha sikerül megvalósítani az IT- és az OT-csapatok együttműködését; még jobb, ha integrálják is valamilyen szinten a két csoportot. „Ki kell tenni az érveket az asztalra, meg kell értetni a másik féllel, hogy milyen megfontolások állnak a félelmek mögött. Szükség van olyan döntéshozatali mechanizmusra is, amely minden kockázatot mérlegelve hozza meg a döntést. Lehet, hogy a kiberbiztonsági kockázatok látszólag eltörpülnek a potenciális leállások, termeléskimaradás mellett, de az is elképzelhető, hogy a nem védett rendszer jelenti a komolyabb kockázatot. Ebben pedig a vezetőknek is óriási felelősségük van”, vázolja a megoldás lehetőségét Bóna Péter.
A közös nyelv megtalálása annál is fontosabb lenne, mert a NIS2 irányelv nem csak az informatikai, hanem az OT-rendszerek kapcsán is megfogalmaz elvárásokat és előírja többek között a kockázatok felmérését és kezelését is.
