Egy új gyártósor tervezésekor a mérnököket a kapacitás, a ciklusidő, a helyigény és az üzembiztonság foglalkoztatja. A kiberbiztonság sokszor csak az üzembe helyezés után kerül szóba, amikor az IT először látja, mit kötöttek rá a hálózatra. Addigra a hálózati topológia, a vezérlők típusa, a szállítói távoli elérés és az operációs rendszerek verziója mind eldőlt.
Ez a cikk arról szól, mit érdemes egy beruházás terveiben megnézni, mielőtt a kivitelezés elindul, és milyen biztonsági követelményeket érdemes a rendszerintegrátor és a gépszállító szerződésébe írni. A kiindulópont az IEC 62443 szabványcsalád, amely az ipari automatizálási és vezérlőrendszerek biztonságát a tervezéstől az üzemeltetésig lefedi.
Miért olcsóbb a tervben javítani
A tervben egy hiba javítása néhány vonal áthúzása egy rajzon. Az üzembe helyezett soron ugyanez leállást, újraprogramozást és újbóli üzembe helyezést jelent. A gyógyszeriparban a GMP-előírások szerint a módosítás után az érintett számítógépes rendszer validálását is felül kell vizsgálni, és szükség esetén meg kell ismételni.
Vannak döntések, amelyeket utólag szinte lehetetlen visszacsinálni:
- A lapos hálózat. Ha minden gép egy szegmensben van, a későbbi szétválasztáshoz új IP-címek, módosított PLC-programok és HMI-beállítások kellenek.
- A régi operációs rendszer a szállított berendezésben. Ha egy HMI vagy mérnöki állomás olyan Windows-verzióval érkezik, amelynek a támogatása már lejárt vagy hamarosan lejár, a sor teljes élettartama alatt ezzel kell együtt élni.
- A szállító saját távoli elérése. Ha a berendezés beépített mobilhálózati routerrel érkezik, azt később a garancia elvesztésének kockázata nélkül nehéz kivenni.
A tervezési fázisban ezekről még alkudni lehet. Az átadás után már csak kompenzáló intézkedésekkel lehet a kockázatot csökkenteni.
Mit érdemes a tervdokumentációban ellenőrizni
A biztonsági átnézéshez nem kell kész kiviteli terv. A koncepció- vagy ajánlatkérési szintű dokumentáció is elég, ha a hálózatról és a kapcsolatokról van benne rajz és leírás. Ezeket a kérdéseket érdemes feltenni:
Hálózat és határok
- Van-e hálózati topológiarajz, és látszik-e rajta, hol ér össze az új sor a meglévő OT-hálózattal és a vállalati IT-rendszerrel?
- Közvetlenül kapcsolódik-e valamelyik gép az irodai hálózathoz, vagy minden forgalom egy köztes zónán, ipari DMZ-n halad át?
- Van-e vezeték nélküli kapcsolat, és ha igen, mire használják, és hogyan van elválasztva?
Adatforgalom
- Milyen adat megy a sorról a MES- és az ERP-rendszer felé, és milyen jön vissza? Melyik oldal kezdeményezi a kapcsolatot?
- Küld-e a berendezés adatot a szállító felhőszolgáltatásába állapotfigyeléshez vagy prediktív karbantartáshoz?
- Milyen protokollokat használnak a vezérlők egymás között és a felügyeleti szint felé?
Eszközök és fiókok
- Milyen PLC-k, HMI-k, ipari számítógépek és hálózati eszközök kerülnek be, milyen szoftver- és firmware-verzióval? Meddig támogatja ezeket a gyártójuk?
- Hogyan kezelik a gyári alapértelmezett fiókokat és jelszavakat?
- Hogyan jutnak el a frissítések az eszközökre, és ki dönti el, mikor telepíthetők?
Üzemeltetés
- Hová kerülnek az eszközök naplói, és honnan kapják a pontos időt?
- Van-e mentés a PLC-programokról és a konfigurációkról, és ki őrzi?
- Ki fér hozzá fizikailag a vezérlőszekrényekhez és az USB-portokhoz?
Ha valamelyik kérdésre a dokumentáció nem ad választ, az önmagában is eredmény: ezt a pontot a szállítónak még meg kell terveznie.
Zónák és csatornák már a tervben (IEC 62443-3-2)
Az IEC 62443-3-2 a rendszertervezés biztonsági kockázatértékeléséről szól. A lényege, hogy a rendszert zónákra és csatornákra kell bontani. Egy zónába a hasonló biztonsági igényű eszközök kerülnek, a csatorna pedig a zónák közötti kommunikáció útja, amelyen a forgalom ellenőrizhető.
A szabvány hét lépést ír elő:
- A vizsgált rendszer határainak és eszközeinek meghatározása.
- Kezdeti kockázatértékelés: a legrosszabb eset következményei, védelmi intézkedések nélkül.
- A rendszer felosztása zónákra és csatornákra.
- Annak vizsgálata, hogy a kezdeti kockázat meghaladja-e az elfogadhatónak tartott szintet.
- Részletes kockázatértékelés zónánként, és ennek alapján a cél biztonsági szint (SL-T) kijelölése.
- A követelmények, feltételezések és korlátok dokumentálása a zónákra és a csatornákra.
- Az eredmény jóváhagyása az eszköztulajdonos, vagyis az üzem részéről.
Az utolsó lépés miatt a zónamodellt és a hozzá tartozó követelményeket az üzem hagyja jóvá, és ezt a jóváhagyott változatot lehet az ajánlatkérésbe átvinni.
Ha a zónamodell már a tervben megvan, a hálózati tervező tudja, hol kell tűzfal vagy szegmenshatár, és a szállítók ajánlata is erre épülhet. A biztonsági szint egy zónára megadott elvárt védelmi szint, a szabvány négy szintet különböztet meg. Az ehhez tartozó technikai követelményeket rendszerszinten az IEC 62443-3-3, eszközszinten az IEC 62443-4-2 sorolja fel. A modell alapjait az IEC 62443 alapjairól szóló cikk írja le részletesebben.
Követelmények a rendszerintegrátornak és a gépszállítónak
A szállító azt fogja leszállítani, ami az ajánlatkérésben és a szerződésben szerepel. Ha a biztonsági elvárás csak annyi, hogy „a rendszer feleljen meg a vonatkozó szabványoknak”, az átvételkor semmit nem lehet rajta számon kérni. Egy követelmény akkor ér valamit, ha az átvételen tételesen ellenőrizhető.
Az IEC 62443 két része ad ehhez fogódzót. Az IEC 62443-2-4 a rendszerintegrátorokra és a karbantartást végző szolgáltatókra vonatkozó biztonsági képességeket írja le, az IEC 62443-4-1 pedig a termékgyártó biztonságos fejlesztési folyamatát. Egy ajánlatkérésben rá lehet kérdezni, hogy a szállító ezek szerint dolgozik-e, és ezt mivel igazolja.
Konkrét, ellenőrizhető követelmények
- A berendezés a megadott zónamodellbe illeszkedik, és csak a dokumentált portokon és protokollokon kommunikál.
- A gyári alapértelmezett jelszavakat az átadás előtt lecserélik, a fiókok személyre szólnak, a nem használt fiókokat törlik.
- A nem használt szolgáltatásokat, portokat és USB-csatlakozókat letiltják, és ezt keményítési jegyzőkönyvben rögzítik.
- Az operációs rendszerek és a firmware-ek a szállításkor támogatott verziók, és a szállító megadja a várható támogatási idejüket.
- A szállító leírja, hogyan és milyen határidővel tájékoztat a termékeit érintő sebezhetőségekről, és mennyi idő alatt hagy jóvá egy biztonsági frissítést a saját rendszerén.
- A szállító engedélyezi az üzem által választott végpontvédelem és naplógyűjtés használatát, vagy megnevezi, mit hagy jóvá a rendszerével együtt. Sok szállító csak az általa jóváhagyott szoftvert engedi a gépein, és ha ez a pont kimarad, később minden ilyen telepítéshez és a frissítések kezeléséhez is az ő engedélye kell.
- A szoftverkomponensekről a szállító listát ad át, ha van, gépi formában is (SBOM).
Szabályozási háttérként érdemes tudni, hogy az új uniós géprendelet, az (EU) 2023/1230, 2027. január 20-tól alkalmazandó, és az alapvető egészségvédelmi és biztonsági követelmények között már szerepel a vezérlőrendszer védelme az olyan szándékos vagy véletlen manipuláció ellen, amely veszélyes helyzethez vezethet. A gépszállítóknak tehát a saját szabályozási kötelezettségük miatt is választ kell tudniuk adni az ilyen kérdésekre.
Távoli hozzáférés és szállítói támogatás a szerződésben
A legtöbb gépszállító garanciális és támogatási időszakra távoli hozzáférést kér. Ha a szerződés erről hallgat, a szállító a saját megoldását telepíti: VPN-eszközt, távelérési szoftvert vagy mobilhálózati routert a vezérlőszekrénybe.
A szerződésben ezeket érdemes rögzíteni:
- A távoli hozzáférés csak az üzem által kijelölt hozzáférési ponton keresztül történhet. Saját modem, mobilhálózati router vagy állandóan futó távelérési szoftver nem kerülhet a berendezésbe.
- Minden technikus saját, többfaktoros hitelesítésű fiókot kap. Közös fiók nincs.
- A hozzáférés jóváhagyáshoz és időablakhoz kötött, és csak az adott munkához szükséges eszközre szól.
- A belépések naplózhatók, a munkamenetek rögzíthetők, és ehhez a szállító hozzájárul.
- A szállító értesíti az üzemet, ha egy jogosult technikusa távozik, hogy a fiókja megszüntethető legyen.
- Rögzítve van, milyen gyorsan reagál a szállító egy üzemzavarra, és mi a teendő, ha a távoli hozzáférés éppen nem elérhető.
Hogy egy ilyen hozzáférési pont hogyan működik a gyakorlatban, azt a beszállítói távoli hozzáférésről szóló cikk mutatja be.
Átadás-átvétel: mit kell dokumentálni
A gyári átvételi teszt (FAT) és a helyszíni átvételi teszt (SAT) a működést ellenőrzi. Ha a biztonsági követelmények bekerültek a szerződésbe, ezeken a teszteken a biztonsági pontokat is végig lehet nézni: be vannak-e zárva a nem használt portok, lecserélték-e az alapértelmezett jelszavakat, és csak a dokumentált kapcsolatok élnek-e. A tesztek után a szállítóktól a következő dokumentumokat érdemes átvenni:
| Dokumentum | Mire kell később |
|---|---|
| Megvalósulási hálózati rajz és IP-címterv | Hibakeresés, bővítés, a szegmentálás karbantartása |
| Eszközlista típussal, firmware- és szoftververzióval | Sebezhetőségek követése, frissítések tervezése |
| Kommunikációs mátrix: ki kivel, milyen porton és protokollon beszél | Tűzfalszabályok, szokatlan forgalom felismerése |
| Tűzfalszabályok indoklással | Szabálykészlet-felülvizsgálat, felesleges nyitások zárása |
| Fióklista és jogosultságok, a jelszavak átadásának jegyzőkönyve | Hozzáférés-kezelés, kilépő munkatársak fiókjainak törlése |
| Keményítési jegyzőkönyv | Annak igazolása, mi lett letiltva és miért |
| PLC-programok és konfigurációk mentése, visszaállítási leírás | Helyreállítás meghibásodás vagy incidens után |
| Nyitott eltérések listája | A le nem zárt kockázatok nyomon követése |
Az utolsó sort gyakran elhagyják. Ha egy követelmény az átadásig nem teljesült, írásban rögzíteni kell, ki és milyen határidővel pótolja, vagy milyen kompenzáló intézkedés helyettesíti. A visszaállítási leírásnál pedig érdemes ragaszkodni ahhoz, hogy a mentésből egyszer próbaképpen tényleg visszaállítsák a rendszert, mielőtt a sor éles termelésbe áll.
Kapcsolódó szolgáltatás: Biztonsági terv-felülvizsgálat beruházáskor →
