Cyberbezpieczeństwo rafinerii i zakładów petrochemicznych: dlaczego sterownik przemysłowy stał się pierwszą linią obrony

Materiał sponsorowany

W przypadku rafinerii, zakładów petrochemicznych i innych obiektów strategicznych takim elementem może być rozdzielnia SN, oddziałowa stacja zasilająca lub sterownik pracujący w systemie zasilania instalacji technologicznej. Zakłócenie jego pracy może prowadzić do przestoju, awarii, błędnej reakcji obsługi, a w skrajnych sytuacjach także do ryzyk środowiskowych i ekonomicznych. Dlatego cyberbezpieczeństwo automatyki przemysłowej przestaje być dodatkiem do projektu, a staje się jednym z wymogów stawianych rozwiązaniom pracującym w infrastrukturze krytycznej.

Współczesne sterowniki i urządzenia zabezpieczeniowe nie są już wyłącznie elementami wykonującymi funkcje technologiczne. Coraz częściej współpracują z systemami nadrzędnymi, narzędziami inżynierskimi, systemami monitorowania bezpieczeństwa oraz innymi urządzeniami automatyki. Oznacza to, że ich niezawodność powinna być rozumiana szerzej: jako połączenie poprawnego działania funkcji podstawowych z odpornością na nieuprawniony dostęp, podsłuch komunikacji, manipulację danymi i błędy eksploatacyjne.

OT to nie IT – ciągłość zasilania jest kluczowa dla bezpieczeństwa procesu

W świecie IT bezpieczeństwo często kojarzy się z aktualizacjami, oprogramowaniem ochronnym i procedurami zarządzania dostępem. W środowisku OT sytuacja wygląda inaczej. Infrastruktura energetyczna w zakładzie przemysłowym pracuje w sposób ciągły, a urządzenia sterowania i zabezpieczeń muszą działać stabilnie przez całą dobę. Okna serwisowe są rzadkie, planowane z wyprzedzeniem i podporządkowane ciągłości procesu.

Dlatego cyberbezpieczeństwo w OT musi być wdrażane w sposób przewidywalny, odporny i możliwy do zweryfikowania. Mechanizmy ochrony powinny być wbudowane w urządzenie, działać lokalnie i wspierać audytowalność, nawet wtedy, gdy połączenie z centralnymi systemami jest ograniczone albo niedostępne. W praktyce najbardziej niebezpieczne są często nie spektakularne scenariusze ataków, lecz proste słabości: współdzielone konta, słabe hasła, brak kontroli dostępu serwisowego, brak dziennika zdarzeń oraz brak możliwości ustalenia, kto i kiedy dokonał zmian.

Właśnie dlatego coraz więcej inwestorów oczekuje, że zabezpieczenia będą obecne już na poziomie sterownika pracującego w infrastrukturze zasilania. Urządzenie powinno nie tylko realizować swoją funkcję, ale także umożliwiać kontrolę dostępu, rejestrować istotne zdarzenia, wspierać analizę incydentów i bezpiecznie komunikować się z systemami nadrzędnymi.

Rafineria i infrastruktura krytyczna – dlaczego zakłady petrochemiczne są bardziej wymagające

Duże obiekty rafineryjne i zakłady petrochemiczne należą do najbardziej wymagających środowisk przemysłowych. Wynika to nie tylko ze skali instalacji, ale przede wszystkim z charakteru procesów technologicznych i konsekwencji ewentualnych zakłóceń. Przerwa w działaniu może mieć wpływ na bezpieczeństwo energetyczne, stabilność rynku, koszty operacyjne oraz ciągłość dostaw.

W takich projektach wymagania wobec automatyki i sterowników są wyższe niż w standardowych zakładach przemysłowych. Liczy się nie tylko funkcjonalność technologiczna, ale również możliwość kontroli i rozliczenia dostępu, udokumentowania zdarzeń, spełnienia wymogów audytowych oraz przygotowania systemu pod procedury bezpieczeństwa inwestora. Cyberbezpieczeństwo automatyki przestaje być więc elementem opcjonalnym i coraz częściej staje się formalnym wymaganiem projektowym lub przetargowym.

Cyberbezpieczeństwo sterownika: nie chodzi o „gadżety", tylko o audytowalność

W wielu organizacjach cyberbezpieczeństwo OT jest dziś oceniane przez pryzmat trzech pytań: czy system da się kontrolować, czy da się go audytować i czy da się wykryć incydent. To właśnie te obszary stają się kluczowe w wymaganiach dużych inwestorów, zwłaszcza w obiektach infrastruktury krytycznej.

W sterownikach e²TANGO-600, e²TANGO-800, e²TANGO-1000 oraz e²TANGO-1200 przygotowano wariant oprogramowania z elementami rozszerzonego cyberbezpieczeństwa, przeznaczony do środowisk o podwyższonych wymaganiach, takich jak infrastruktura krytyczna, obiekty rafineryjne czy przemysł procesowy. Jego celem jest wsparcie audytowalności, rozliczalności dostępu, bezpiecznej komunikacji oraz integracji z procesami monitorowania bezpieczeństwa OT.

W świecie OT najlepszy incydent to taki, który nigdy się nie wydarzył, a drugi najlepszy to taki, po którym dokładnie wiemy, kto, kiedy i co zrobił. Dlatego w e²TANGO nie zakładamy, że wszyscy użytkownicy zawsze będą ostrożni — od tego są role, logi i szyfrowanie, żeby nawet poniedziałek rano nie był zagrożeniem dla zakładu.
autor oprogramowania

Audytowalność oznacza możliwość jednoznacznego ustalenia, kto miał dostęp do urządzenia, kiedy nastąpiło logowanie, jakie działania wykonano, czy doszło do prób nieautoryzowanego dostępu oraz jakie zmiany konfiguracji zostały wprowadzone. Dla inwestorów infrastruktury krytycznej jest to fundament procedur bezpieczeństwa, odbiorów technicznych i późniejszej eksploatacji.

Bezpieczne logowanie i zarządzanie uprawnieniami

Jednym z podstawowych obszarów bezpieczeństwa jest kontrola dostępu. W e²TANGO hasło użytkownika musi mieć minimum 12 znaków oraz wykorzystywać różne kategorie znaków, takie jak małe i wielkie litery, cyfry oraz znaki specjalne. Takie wymaganie znacząco zwiększa odporność na przypadkowe odgadnięcie hasła i ogranicza skuteczność prostych, automatycznych prób łamania dostępu. Ważnym uzupełnieniem jest limitowana liczba prób logowania, która nie pozwala na nieograniczone testowanie kolejnych kombinacji.

Samo bezpieczne logowanie to jednak dopiero pierwszy etap ochrony. Równie istotne jest to, co użytkownik może zrobić po uzyskaniu dostępu do urządzenia. Dlatego e²TANGO udostępnia kontrolę dostępu opartą na rolach, czyli RBAC. Mechanizm ten pozwala tworzyć role użytkowników, przypisywać im określone uprawnienia, a następnie nadawać te role konkretnym osobom. W praktyce oznacza to, że operator może mieć dostęp do funkcji podglądu i obsługi procesu, serwis do diagnostyki, a administrator lub specjalista EAZ do konfiguracji krytycznej, zmian nastaw i zarządzania użytkownikami.

W sterownikach e²TANGO możliwe jest skonfigurowanie 5 ról oraz zdefiniowanie do 10 użytkowników. Takie podejście porządkuje zarządzanie dostępem i ogranicza ryzyko przypadkowej lub nieuprawnionej zmiany nastaw. Jest to szczególnie ważne w obiektach przemysłowych, w których z urządzeniami pracują różne grupy osób: operatorzy, służby utrzymania ruchu, automatycy, administratorzy systemów oraz personel serwisowy.

Łącze serwisowe: TLS i mutual TLS

Kolejnym istotnym obszarem bezpieczeństwa jest łącze serwisowe, wykorzystywane między innymi do konfiguracji, diagnostyki i obsługi urządzenia. W e²TANGO komunikacja serwisowa może być realizowana z wykorzystaniem TLS, czyli mechanizmu znanego z bezpiecznych połączeń internetowych. W praktyce oznacza to, że dane przesyłane pomiędzy użytkownikiem a urządzeniem są chronione przed podsłuchem oraz nieautoryzowaną modyfikacją.

Ma to duże znaczenie w środowiskach, w których do infrastruktury mogą być podłączane różne stacje inżynierskie, systemy nadzoru lub narzędzia serwisowe. TLS pomaga ograniczyć ryzyko sytuacji, w której osoba trzecia przechwytuje komunikację albo próbuje podszyć się pod jedną ze stron połączenia. Tego typu scenariusz określa się jako atak typu man-in-the-middle, czyli atak pośrednika. Z perspektywy użytkownika najważniejszy jest prosty wniosek: komunikacja serwisowa nie jest zwykłym, otwartym kanałem wymiany informacji, lecz chronionym połączeniem zwiększającym bezpieczeństwo obsługi urządzenia.

Rozwinięciem tego podejścia jest mutual TLS, często określany skrótem mTLS, czyli wzajemne uwierzytelnianie stron połączenia. W standardowym modelu bezpiecznego połączenia użytkownik lub aplikacja sprawdza, czy komunikuje się z właściwym urządzeniem. Mutual TLS idzie krok dalej, ponieważ również urządzenie może zweryfikować, czy po drugiej stronie znajduje się uprawniony klient. Można to porównać do sytuacji, w której nie tylko serwisant sprawdza, z jakim urządzeniem się łączy, ale również urządzenie potwierdza, czy serwisant korzysta z właściwego, zaufanego narzędzia.

W praktyce mTLS zwiększa odporność na podszywanie się pod uprawnioną aplikację lub stację serwisową. Pomaga także ograniczyć ryzyko przypadkowych połączeń z nieautoryzowanych systemów. W środowiskach przemysłowych i energetycznych, gdzie konsekwencje błędnej konfiguracji mogą być poważne, dwustronna weryfikacja stron połączenia ma bardzo konkretną wartość: pozwala budować większe zaufanie do tego, że komunikacja odbywa się pomiędzy właściwymi uczestnikami.

Dziennik zdarzeń: w OT brak logów oznacza brak dowodów

W środowiskach przemysłowych logi są często jedynym sposobem na odtworzenie sekwencji zdarzeń po incydencie. Jeżeli system nie rejestruje działań użytkowników i zdarzeń bezpieczeństwa, w praktyce trudno udowodnić, co dokładnie się wydarzyło, kto wykonał daną operację i czy doszło do nieautoryzowanej ingerencji.

W sterownikach e²TANGO dziennik zdarzeń zawiera informacje dotyczące zdarzeń bezpieczeństwa oraz krytycznych informacji systemowych. Pozwala to odtworzyć sekwencję działań i analizować incydenty w dowolnym momencie. Sterownik przechowuje do 2048 zdarzeń w buforze kołowym, a co istotne, nie ma możliwości usunięcia ani wyczyszczenia dziennika zdarzeń przechowywanego w pamięci urządzenia. Logi można pobrać na pamięć zewnętrzną.

Brak możliwości kasowania logów ma bardzo praktyczne znaczenie. Cyberatak lub nieautoryzowana ingerencja często przebiega według prostego schematu: uzyskanie dostępu, zmiana parametrów pracy, usunięcie śladów. Jeżeli logów nie da się wyczyścić, system jest bardziej odporny na manipulację, a incydent łatwiej wykryć i udokumentować.

Integracja z SOC i bezpieczne przekazywanie logów

Coraz więcej organizacji buduje własne centra monitorowania bezpieczeństwa, czyli SOC, lub współpracuje z zewnętrznymi operatorami takich usług. W takim modelu bezpieczeństwo nie polega wyłącznie na blokowaniu dostępu, ale na ciągłej obserwacji zdarzeń, wykrywaniu anomalii i analizie sygnałów pochodzących z wielu systemów.

Dlatego rośnie znaczenie integracji sterowników z systemami monitorowania bezpieczeństwa, takimi jak SIEM. Jednym z powszechnych standardów przesyłania logów do systemów zewnętrznych jest syslog. e²TANGO umożliwia przekazywanie zdarzeń do zewnętrznych systemów monitoringu i analizy bezpieczeństwa, dzięki czemu informacje z urządzenia nie pozostają wyłącznie lokalną informacją, ale mogą zostać uwzględnione w szerszym nadzorze nad obiektem.

Dodatkową wartość zapewnia syslog over TLS, czyli przesyłanie logów przez zabezpieczony kanał komunikacyjny. Jest to istotne, ponieważ informacje diagnostyczne i zdarzeniowe również mogą mieć znaczenie z punktu widzenia bezpieczeństwa. Jeżeli logi byłyby przesyłane bez ochrony, mogłyby zostać przechwycone lub zmodyfikowane w drodze do systemu centralnego. Zastosowanie TLS pomaga ograniczyć to ryzyko i zwiększa wiarygodność danych wykorzystywanych później do analizy.

Bezpieczna komunikacja IEC 61850

W obiektach przemysłowych i energetycznych szczególne znaczenie ma również bezpieczeństwo komunikacji zgodnej z IEC 61850, wszędzie tam, gdzie standard ten jest wykorzystywany w automatyce stacyjnej i wymianie danych pomiędzy urządzeniami elektroenergetycznymi oraz systemami nadrzędnymi. W takim środowisku ważne jest nie tylko to, aby dane były przesyłane poprawnie, lecz także to, aby pochodziły od właściwego źródła i nie zostały zmienione przez nieuprawnioną stronę.

Urządzenia e²TANGO wspierają uwierzytelnianie stron komunikacji z wykorzystaniem certyfikatów. Jest to podejście zgodne z założeniami rodziny norm IEC 62351, opisującej mechanizmy zabezpieczania komunikacji w systemach elektroenergetycznych, w tym komunikacji IEC 61850. Dla osób niezajmujących się na co dzień cyberbezpieczeństwem certyfikat można porównać do cyfrowego dokumentu tożsamości. Pozwala on potwierdzić, że dana strona komunikacji jest tym, za kogo się podaje.

Drugim ważnym aspektem jest zastosowanie szyfrowania TLS. Dane wymieniane w systemach automatyki elektroenergetycznej mogą dotyczyć stanu urządzeń, pomiarów, zdarzeń, sygnalizacji lub innych informacji wykorzystywanych przez systemy nadrzędne. Ochrona tej komunikacji przed podsłuchem jest ważna, ale równie istotna jest ochrona przed nieuprawnioną modyfikacją przesyłanych informacji.

TLS pomaga zapewnić integralność komunikacji, czyli pewność, że dane odebrane przez system są zgodne z tym, co zostało wysłane przez urządzenie. Bez takiej ochrony osoba atakująca komunikację mogłaby próbować wstrzykiwać fałszywe zdarzenia, zmieniać treść przesyłanych komunikatów albo usuwać informacje istotne z punktu widzenia pracy systemu. W efekcie dyspozytor lub operator systemu nadrzędnego mógłby otrzymać nieprawdziwy obraz sytuacji: zobaczyć zdarzenie, które w rzeczywistości nie wystąpiło, albo nie zobaczyć zdarzenia wymagającego reakcji.

Zastosowanie TLS znacząco ogranicza takie ryzyko, ponieważ próba ingerencji w przesyłane dane zostaje wykryta, a zmodyfikowana komunikacja nie jest traktowana jako wiarygodna. Dzięki temu dane przesyłane pomiędzy urządzeniami e²TANGO a systemami nadrzędnymi są lepiej chronione zarówno przed podsłuchem, jak i przed manipulacją.

Cyberbezpieczeństwo jako wymaganie przetargowe. SIWZ i NIS2 zmieniają rynek

Zmienia się nie tylko świadomość zagrożeń, ale również formalne podejście inwestorów do cyberbezpieczeństwa automatyki przemysłowej. Coraz częściej wymagania dotyczące kontroli dostępu, rozliczalności działań, rejestrowania zdarzeń oraz integracji z monitoringiem bezpieczeństwa pojawiają się w dokumentacji przetargowej, zarówno w sektorze energetycznym, jak i w przemyśle procesowym.

Rosnące wymagania regulacyjne w Unii Europejskiej, w tym wynikające z dyrektywy NIS2, powodują, że organizacje infrastruktury krytycznej coraz częściej oczekują od dostawców OT rozwiązań wspierających audyt, monitorowanie i kontrolę dostępu. W praktyce urządzenia OT oceniane są nie tylko pod kątem funkcji technologicznych, ale także zdolności do wspierania procedur bezpieczeństwa inwestora.

Podsumowanie

Rosnąca liczba cyberataków na sektor energetyczny i przemysłowy sprawia, że wymagania wobec automatyki przemysłowej będą stale rosnąć. Dla infrastruktury krytycznej sterownik staje się elementem systemu bezpieczeństwa, a nie tylko urządzeniem realizującym funkcje technologiczne.

Mechanizmy takie jak dziennik zdarzeń odporny na manipulacje, integracja z syslog i syslog over TLS, kontrola dostępu oparta na rolach, polityka haseł, bezpieczne łącze serwisowe TLS, mutual TLS oraz zabezpieczona komunikacja IEC 61850 stanowią fundament rozwiązań gotowych do pracy w środowiskach o wysokich wymaganiach. W e²TANGO mechanizmy te tworzą warstwowe podejście do bezpieczeństwa: od kontroli logowania i uprawnień, przez ochronę komunikacji, po możliwość analizy zdarzeń po incydencie.

Dla dużych obiektów rafineryjnych, zakładów petrochemicznych i innych instalacji infrastruktury krytycznej oznacza to większą kontrolę nad dostępem do urządzeń, lepszą widoczność zdarzeń oraz ograniczenie ryzyka wynikającego z nieuprawnionej ingerencji lub niechronionej wymiany informacji. Cyberbezpieczeństwo nie jest tu dodatkiem oderwanym od codziennej eksploatacji, lecz praktycznym elementem zwiększającym zaufanie do całego systemu.

Więcej informacji

Kontakt: [email protected]

Opis rozwiązania

Dokumentacja techniczna/ karta katalogowa