Gamybos įmonė kibernetinio saugumo prasme turi dvi puses. Pirmoji – gamykla: gamybos linijos, robotai, PLC (programuojamieji loginiai valdikliai), SCADA (angl. Supervisory Control and Data Acquisition – priežiūros ir duomenų surinkimo) ir MES (angl. Manufacturing Execution System – gamybos vykdymo) sistemos, kurias reikia apsaugoti nuo prastovų. Antroji – produktas: mašinos, valdikliai ar įrenginiai su programine įranga, kuriuos parduodate klientams ir kuriems dabar taikomi ES reikalavimai. Dirbame su abiem.
Susisiekite dėl nemokamos konsultacijos
Kodėl gamybai reikia kitokio saugumo
Gamybos įranga eksploatuojama dešimtmečius. Šalia naujos linijos dažnai veikia valdikliai su nebepalaikoma programine įranga, HMI (angl. Human-Machine Interface – operatoriaus sąsajos) terminalai su sena operacine sistema ir įrangos tiekėjo modemas, apie kurį žino tik vienas technikas. Tokioje aplinkoje „tiesiog atnaujinti“ dažnai neįmanoma, o įprastas IT skenavimas gali sustabdyti liniją.
Didžiausios rizikos, kurias matome gamyboje:
- Išpirkos reikalaujančios programos, plintančios iš IT į OT. Biuro kompiuteris užkrečiamas per el. laišką, o dėl nepakankamo tinklų atskyrimo gamyba sustoja kartu su apskaita.
- Nekontroliuojama tiekėjų nuotolinė prieiga. Bendros paskyros, nuolat įjungti VPN (angl. Virtual Private Network – virtualaus privataus tinklo) ryšiai ir nuotolinio valdymo programos be kelių veiksnių autentifikavimo.
- Nežinomas turtas. Be OT įrangos inventoriaus neįmanoma įvertinti pažeidžiamumų ir planuoti atnaujinimų.
- Atkūrimo spragos. PLC programų ir HMI projektų atsarginės kopijos neegzistuoja, saugomos tame pačiame tinkle arba niekada nebuvo išbandytos.
Gamyklos apsauga: OT saugumas be prastovų
Gamyklose pradedame nuo OT kibernetinio saugumo audito, kuris parodo faktinę situaciją: kokia įranga veikia, kaip ji sujungta, kas ir kaip pasiekia ją iš išorės. Vertinimą atliekame saugiais metodais – dokumentai, pokalbiai, konfigūracijų peržiūra ir pasyvus srautų stebėjimas.
Toliau taikome IEC 62443 metodiką: gamybą suskirstome į saugumo zonas (pvz., atskiros linijos, saugos sistemos, duomenų kaupimas), nustatome kontroliuojamus kanalus tarp jų ir tikslinius saugumo lygius. Taip segmentavimo investicijos tampa pagrįstos, o ne atsitiktinės. Svarbus akcentas – saugi tiekėjų prieiga: vardinės paskyros, prisijungimas tik suderintam laikui, kelių veiksnių autentifikavimas ir žurnalai.
Produkto sauga: CRA, IEC 62443-4-2 ir Mašinų reglamentas
Jei gaminate mašinas, valdiklius, jutiklius ar kitus įrenginius su programine įranga, jums taikomi nauji ES reikalavimai:
- CRA (Kibernetinio atsparumo aktas). Nuo 2026 m. rugsėjo 11 d. privalote per 24 valandas pranešti apie aktyviai išnaudojamus pažeidžiamumus, o nuo 2027 m. gruodžio 11 d. – įrodyti atitiktį esminiams kibernetinio saugumo reikalavimams, kad galėtumėte ženklinti produktą CE ženklu. Plačiau – CRA atitiktis gamintojams.
- Mašinų reglamentas (ES) 2023/1230. Taikomas nuo 2027 m. sausio 20 d. ir pakeičia Mašinų direktyvą. Jame atsiranda reikalavimai apsaugoti valdymo sistemas ir saugos funkcijas nuo sugadinimo, įskaitant tyčinį poveikį – kibernetinis saugumas tampa mašinos saugos dalimi.
- IEC 62443-4-1 ir 4-2. Saugaus kūrimo ciklo ir komponentų reikalavimų standartai, kurie praktiškai padeda įgyvendinti ir įrodyti abiejų reglamentų reikalavimus.
Padedame klasifikuoti produktus, įdiegti SBOM (programinės įrangos komponentų sąrašo) generavimą, pažeidžiamumų valdymą ir pranešimų procesą, parengti techninės dokumentacijos struktūrą.
NIS2 ir tiekimo grandinė
Mašinų ir įrangos, elektronikos, elektros įrangos bei motorinių transporto priemonių gamyba patenka į NIS2 (ES Tinklų ir informacinių sistemų saugumo direktyvos 2) sektorius. Vidutinėms ir didelėms tokių sektorių įmonėms Lietuvos kibernetinio saugumo įstatymo reikalavimai taikomi tiesiogiai. Net jei jums jie netaikomi, jų beveik neabejotinai pareikalaus jūsų stambieji klientai – per tiekėjų klausimynus ir sutarčių sąlygas. Atliekame kibernetinio saugumo auditą pagal NIS2 ir ISO/IEC 27001 bei teikiame CISO paslaugas.
Kaip pradėti: pirmieji žingsniai
Gamyklai, kuri dar neturi struktūruotos OT saugumo programos, dažniausiai rekomenduojame tokią seką. Pirma – OT turto inventorizacija ir nuotolinių prieigų sąrašas: be jų neįmanoma įvertinti nei rizikos, nei pažeidžiamumų. Antra – greiti, pigūs žingsniai: nebenaudojamų prieigų išjungimas, gamyklinių slaptažodžių pakeitimas, PLC programų ir HMI projektų atsarginių kopijų sukūrimas ir saugojimas atskirai nuo gamybos tinklo. Trečia – rizikos vertinimas ir zonų modelis pagal IEC 62443, kuris parodo, kur verta investuoti į segmentavimą ir stebėseną. Ketvirta – procesai: pakeitimų valdymas, tiekėjų prieigos tvarka ir OT scenarijai incidentų valdymo plane.
Gamintojams lygiagrečiai vyksta produktų kryptis: CRA taikymo srities ir produktų klasių įvertinimas, 14 straipsnio pranešimų procesas, SBOM įdiegimas kūrimo grandinėje ir planas iki 2027 m. gruodžio 11 d. Abi kryptys naudoja tą pačią IEC 62443 kalbą, todėl viena kitą papildo.
Ką gaunate
- aiškų gamyklos OT turto ir ryšių vaizdą;
- prioritetizuotą rizikų sąrašą, susietą su prastovos kaina;
- zonų ir kanalų modelį bei segmentavimo planą;
- saugios tiekėjų prieigos taisykles ir procesą;
- gamintojams – CRA ir Mašinų reglamento pasirengimo planą su terminais;
- santrauką vadovybei finansų kalba: kiek kainuoja rizika ir kiek – jos mažinimas.
Dažniausiai užduodami klausimai
Mūsų įranga sena ir jos atnaujinti negalima. Ar tai beviltiška? Ne. Kai atnaujinimas neįmanomas, taikomos kompensacinės priemonės: segmentavimas, griežta prieigos kontrolė, srautų stebėsena ir patikrintos atsarginės kopijos. IEC 62443 numato būtent tokį požiūrį.
Ar galima pradėti nuo vienos gamybos linijos? Taip, ir dažnai tai yra racionaliausias kelias. Vienos linijos vertinimas leidžia patikrinti metodiką, o jos rezultatai vėliau perkeliami į likusią gamyklą.
Mes ne gamintojai, o integratoriai. Ar CRA mums aktualus? Jei rinkai tiekiate savo vardu pažymėtą produktą su skaitmeniniais elementais, laikomi gamintoju. Jei tik projektuojate sprendimus iš kitų gamintojų komponentų, jums labiau aktualus IEC 62443-2-4 ir užsakovų reikalavimai. Ribą padėsime nustatyti per pirmą pokalbį.
Aptarkime jūsų gamybą
Papasakokite, ką gaminate ir kokia įranga veikia jūsų gamykloje, – pasiūlysime pirmą žingsnį, kuris greičiausiai sumažins riziką.