Industrijska okolja so vse bolj povezana, s tem pa tudi vse bolj izpostavljena kibernetskim tveganjem. Kar je najhuje, tak napad pogosto ni videti kot klasičen vdor. Pogosto se pokaže kot previsok tlak v ceveh, ustavljen proces ali fizična škoda na infrastrukturi.

 

Peter Ceferin, Smart Com: »Samo pregled sredstev brez omrežnega konteksta ni dovolj. Vedeti moramo, kaj neko sredstvo počne, kam komunicira in ali to počne legitimno.«

Konec leta 2024 je to izkusilo dansko vodovodno podjetje Tureby Alkestrup Waterworks, ki oskrbuje kakih petsto gospodinjstev v okolici prestolnice København. Napadalci so posegli v sistem za nadzor vodnega tlaka. Posledica niso bili le nedosegljivi strežniki ali ukradeni podatki, temveč počene cevi in začasna ustavitev dobave vode. Takšni primeri kažejo, zakaj je varnost operativne tehnologije drugačna od klasične informacijske varnosti.V OT-/ICS-okoljih napad ne ostane nujno v digitalni razsežnosti. Če napadalec razume komunikacijske poti, dostopne točke in šibke točke nadzornega sistema, lahko digitalni poseg hitro postane fizična motnja. Prav zato so nevidne povezave v industrijskih omrežjih eno največjih tveganj sodobne infrastrukture.

 

Peter Ceferin iz podjetja Smart Com je na dogodku Pandorina skrinjica digitalizacije v industriji opozoril predvsem na tisto, kar je v industrijskih omrežjih najtežje obvladovati: nevidne povezave, skrite komunikacijske poti in pomanjkanje celostnega vpogleda v dogajanje. »Okvara nekega sistema se relativno hitro vidi oziroma čuti, medtem ko tisto, česar ne vidimo, začutimo šele potem, ko je prepozno,« je poudaril Ceferin.

 

Incidentov je več, a zaznavanje se izboljšuje

Po podatkih iz poročila SANS State of ICS/OT Security 2025 je potrjenih kibernetskih incidentov v OT-okoljih že več kot petina vseh. Dejanska številka je po njegovih besedah verjetno še večja, saj del incidentov ostane neprijavljen ali skrit. Ob tem pa se kaže tudi pomemben pozitiven trend: zaznavanje incidentov se izboljšuje. Razlogi za to so predvsem večja vpeljava vidljivosti, več spremljanja prometa, več testiranja odzivov in boljše povezovanje med IT- in OT-svetom.

 

Glavni napadalni vektorji v industrijskih okoljih ostajajo nepooblaščen zunanji dostop, napake ali zlorabe notranjih uporabnikov, izsiljevalska koda, druga škodljiva programska oprema ter kompromitacija dobaviteljske verige. Skupni imenovalec teh tveganj je povezanost. Industrijska okolja niso več zaprti sistemi, temveč postajajo del širše digitalne infrastrukture, do katere imajo dostop tudi zunanji izvajalci, dobavitelji, vzdrževalci in partnerski sistemi.

 

Ceferin je posebej omenil pomen Purduejevega modela, ki omogoča razumevanje različnih plasti industrijskega okolja, ločevanje IT- in OT-nivojev ter nadzor kritičnih prehodov med conami. »Nižje ko gremo, bližje smo fizičnim procesom; nečemu, kar se vklaplja, izklaplja, vrti. Tam se lahko povzroči največ škode,« je opozoril.

 

Segmentacija kot temelj obrambe

Temelj kibernetsko ubranljive arhitekture je segmentacija. Z njo organizacija omeji komunikacijske poti med conami in nivoji ter zmanjša možnost lateralnega gibanja napadalca po omrežju. Če pride do incidenta v enem delu sistema, se ta zaradi segmentacije težje razširi drugam.

 

Ceferin je to ponazoril s primerjavo z ladjo: če voda vdre v en segment, se ladja po zaslugi pregrad še ne potopi. Podobno mora biti zasnovano tudi OT-omrežje: posamezni deli morajo biti ločeni, tako da napaka ali napad v enem delu ne ogrozi celotnega sistema.

 

Vidljivost? Brez nje ni nič!

Segmentacija je učinkovita samo, če organizacija razume svoje okolje. Pred uvedbo požarnih pregrad, varnostnih politik ali mikrosegmentacije mora vedeti, katere naprave komunicirajo med seboj, kateri protokoli se uporabljajo, katere povezave so legitimne in katere pomenijo tveganje. Prav zato je drugi ključni element vidljivost.

 

V OT-svetu vidljivost ne pomeni zgolj popisa naprav. Tako imenovani asset inventory je pomemben, vendar sam po sebi ni dovolj. »Samo pregled sredstev brez omrežnega konteksta ni dovolj. Vedeti moramo, kaj neko sredstvo počne, kam komunicira in ali to počne legitimno,« je dejal Ceferin.

 

Anomalije so lahko znamenje težav

Pri tem imajo pomembno vlogo sistemi za pasivno spremljanje dogajanja in zaznavanje anomalij, ki znajo prepoznati industrijske protokole, komunikacijske vzorce in odstopanja od normalnega delovanja.

 

Če sistem zazna nenavadno spremembo procesne spremenljivke, to še ne pomeni nujno kibernetskega incidenta, je pa signal, da je treba dogodek preveriti. V nekaterih primerih gre lahko za operativno anomalijo, v drugih pa za poskus manipulacije.

 

Oddaljeni dostop mora biti nadzorovan in sledljiv

Tretji ključni element ubranljive arhitekture je nadzor komunikacijskih poti in varovan oddaljeni dostop. Požarne pregrade in sistemi IPS morajo biti prilagojeni OT-okoljem, kar pomeni, da morajo razumeti tudi industrijske protokole.

 

Še pomembnejši pa postaja nadzor nad dostopi zunanjih izvajalcev in privilegiranih uporabnikov. Klasičen VPN in večfaktorska avtentikacija danes nista več dovolj. Za resen nadzor je potreben sistem PAM, torej Privileged Access Management, ki omogoča dodeljevanje privilegijev, snemanje sej, prekinitev dostopa ob sumljivem ravnanju in revizijsko sled. »Oddaljeni dostop mora biti nadzorovan in sledljiv,« je poudaril Ceferin. »Požarna pregrada ščiti pot, PAM pa nadzoruje dostop.«

 

Referenčna arhitektura: vidljivost, segmentacija in nadzor dostopa

Smart Com v referenčni arhitekturi OT-/ICS-okolij združuje tri zaščitne plasti: vidljivost in zaznavanje z rešitvami Nozomi Networks, segmentacijo in uveljavljanje pravil z industrijskimi požarnimi pregradami Fortinet NGFW/OT ter nadzor privilegiranega dostopa z rešitvijo Wallix PAM OT.

 

Namen takšne arhitekture ni zgolj uvajanje posameznih varnostnih orodij, temveč vzpostavitev celostnega sistema, ki omogoča odkrivanje naprav, razumevanje komunikacij, zaznavanje anomalij, nadzor dostopov in uveljavljanje varnostnih politik. A tehnologija sama ni dovolj. OT-okolja zahtevajo stalno spremljanje, organizacije pa se pogosto soočajo s pomanjkanjem internih virov, imajo večje število lokacij in uporabljajo vse kompleksnejše zunanje dostope.

 

Zato postajajo pomembne upravljane storitve, pri katerih je največja dodana vrednost interpretacija dogodkov, prilagajanje pravil, presoja tveganj in operativni odziv. Cilj je, da zaščitne plasti ne ostanejo samo skupek tehnologij, ampak postanejo operativna varnostna funkcija.

 

Članek je bil objavljen na portalu Časnika Finance, junij 2026.