59,3 proc. aktywności związanej z zagrożeniami wobec sektora produkcyjnego stanowi cyberprzestępczość – wynika z raportu ENISA Threat Landscape 2025. Produkcja była drugim najczęściej obieranym celem cyberprzestępców w Europie – dotyczyło jej 13,3 proc. incydentów przypisywanych cyberprzestępczości. Jednocześnie urządzenia automatyki coraz częściej wymieniają dane z systemami IT, platformami IIoT i usługami chmurowymi. Jak projektować tę komunikację, aby wykorzystać możliwości cyfryzacji bez tworzenia dodatkowych punktów ryzyka?
Czujnik, sterownik czy moduł komunikacyjny coraz rzadziej działa jako niezależny element instalacji. Dane z urządzeń znajdujących się na hali produkcyjnej są przekazywane do systemów nadrzędnych, platform IIoT czy chmury, a zdalny dostęp pozwala diagnozować i serwisować urządzenia bez konieczności wizyty na miejscu. Z punktu widzenia automatyka oznacza to większe możliwości, ale także większą liczbę zależności, które trzeba uwzględnić przy projektowaniu systemu.
Cyberbezpieczeństwo nie powinno być więc dodatkiem do gotowej instalacji. Powinno być jednym z elementów projektowania komunikacji – od pojedynczego urządzenia, przez sieć OT, aż po połączenia z systemami IT i środowiskami chmurowymi.
Bezpieczeństwo zaczyna się od urządzenia
Urządzenie podłączone do sieci staje się jednym z punktów komunikacji w całym systemie. Dlatego przy jego wyborze znaczenie mają nie tylko funkcje pomiarowe czy sterujące, obsługiwane protokoły i możliwości integracji, ale również mechanizmy uwierzytelniania, kontroli dostępu czy aktualizacji oprogramowania.
– W praktyce automatyk powinien patrzeć na urządzenie nie tylko przez pryzmat jego funkcji, ale również jak na element sieci przemysłowej. Jeżeli urządzenie komunikuje się z innymi systemami, trzeba mieć swiadomość, z czym się łączy, jakie dane wymienia i czy jest odpowiednio zabezpieczone. Cyberbezpieczeństwo powinno być więc jednym z parametrów technicznych branych pod uwagę już podczas doboru komponentów, a nie dopiero po uruchomieniu instalacji – mówi Jakub Kawalec, Inżynier Projektu IIoT w ifm electronic.
Znaczenie takiego podejścia będzie rosło również wraz z wymaganiami Cyber Resilience Act (CRA). Od 11 września 2026 r. zaczną obowiązywać pierwsze obowiązki dotyczące m.in. zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów, natomiast od 11 grudnia 2027 r. zaczną obowiązywać główne wymagania dotyczące produktów z elementami cyfrowymi.
Od sieci OT do chmury
Współczesna infrastruktura automatyki tworzy wielopoziomowy łańcuch komunikacji. Dane z czujników mogą trafiać do systemów sterowania, następnie do warstwy edge, platformy IIoT i dalej do środowiska chmurowego. Każde z tych połączeń powinno mieć jasno określony zakres i zasady dostępu.
Przykładem takiej architektury jest wykorzystanie edgeGateway, który może łączyć się z platformą moneo Cloud. Integracja z innymi systemami może być realizowana z wykorzystaniem popularnych protokołów komunikacyjnych, takich jak OPC UA czy MQTT.
Istotnym elementem jest przy tym rozdzielenie poszczególnych obszarów komunikacji. W rozwiązaniach ifm na poziomie edgeGateway stosowana jest separacja IT/OT, uwierzytelnianie za pomocą certyfikatów oraz ograniczenie komunikacji do określonych portów i adresów. Połączenie edgeGateway z moneo jest zabezpieczone protokołem TLS z wykorzystaniem szyfrowania, a platforma moneo jest hostowana w środowisku Microsoft Azure. Takie podejście wpisuje się w koncepcję Zero Trust, zgodnie z którą samo podłączenie urządzenia do określonej sieci nie powinno automatycznie oznaczać dostępu do pozostałych zasobów.
Zdalny dostęp bez otwierania całej sieci
Połączenie automatyki z siecią umożliwia również zdalną diagnostykę i serwisowanie urządzeń. Dla utrzymania ruchu może to oznaczać szybszą reakcję na problemy i ograniczenie konieczności wizyt serwisowych. Jednocześnie każde połączenie z zewnątrz zwiększa znaczenie właściwego zarządzania dostępem do infrastruktury OT.
– Zdalny dostęp nie musi oznaczać otwarcia całej sieci przemysłowej. Kluczowe jest rozdzielenie dostępu do konkretnych urządzeń od dostępu do całej infrastruktury. Serwisant powinien otrzymać tylko takie uprawnienia, jakie są potrzebne do wykonania określonego zadania, a połączenie powinno być odpowiednio zabezpieczone. W ten sposób można połączyć szybką diagnostykę z ograniczeniem ryzyka dla pozostałych elementów instalacji – podkreśla Jakub Kawalec.
Przykładem takiego rozwiązania jest moneo remoteConnect, umożliwiający zdalny dostęp do urządzeń z wykorzystaniem ich adresów IP. Połączenie jest szyfrowane end-to-end, a użytkownik otrzymuje dostęp wyłącznie do wcześniej wybranych urządzeń. Rozwiązanie wykorzystuje technologię WireGuard do tworzenia połączenia VPN.
Bezpieczna komunikacja jako element projektu automatyki
Rozwój IIoT i integracja OT z IT sprawiają, że komunikacja staje się jednym z kluczowych elementów współczesnych systemów automatyki. Bezpieczeństwo trzeba więc uwzględniać nie tylko na poziomie sieci, ale już podczas wyboru urządzeń i projektowania całej architektury.
Dla automatyka oznacza to konieczność odpowiedzi na podstawowe pytania: jakie urządzenia komunikują się ze sobą, jakie dane wymieniają, do jakich zasobów mają dostęp i jak można ograniczyć ten dostęp? Im wcześniej zostaną one uwzględnione, tym łatwiej połączyć funkcjonalność systemu z wymaganym poziomem bezpieczeństwa.
10 lat, które zmieniły polski przemysł. Dariusz Drąg o ewolucji Warsaw Industry Week
