Nová éra průmyslové bezpečnosti: legislativní tlak jako výhoda

Čtyři síly, které transformují průmyslovou bezpečnost

Co tuto urychlenou transformaci v průmyslu pohání? Mezinárodní odborná komunita identifikuje čtyři hlavní tržní síly, které dnes definují bezpečnost OT:

• Digitální transformace: OT prostředí zažívá strukturální posun. Adopce cloudu a nástup vzdálené správy znamenají, že dříve izolované systémy jsou nyní součástí komplexních digitálních ekosystémů. Tradiční ochrana perimetru tak ztrácí na účinnosti.
• Systémové riziko a profesionalizace útoků: Přestože sofistikované útoky s podporou cizích států existují, mnohem častější a plošnější hrozbou jsou dnes kriminální organizace využívající ransomware. Útočníci si uvědomují, že přerušení výroby má pro firmy nejfatálnější ekonomické dopady, a proto cílí na propojená aktiva, ze kterých se šíří do provozu, případně zneužívají zranitelnosti v dodavatelském řetězci.
• Zpřísňující se regulace: Evropská směrnice NIS2 a návazná národní legislativa rozšiřují působnost státního dohledu a zavádějí sankce za nedodržení bezpečnostních standardů napříč širokou škálou průmyslových segmentů. Vlády tak přesouvají kyberbezpečnost z roviny doporučení do roviny vymahatelných povinností.
• Služby jako nový standard (Service-Centric Models): Vzhledem ke komplexitě problematiky a celosvětovému nedostatku specializovaných talentů organizace ustupují od nákupu izolovaných bezpečnostních produktů. Nahrazují je modelem integrovaných řízených služeb (managed services), které zajišťují kontinuální dohled a měřitelné výsledky.

Od defenzivy k provozní odolnosti

Zatímco tradiční IT bezpečnost se soustředila primárně na prevenci, v moderním průmyslu je ústředním pojmem provozní odolnost (resilience).

Odolnost je definována jako schopnost předvídat, absorbovat a zotavit se z narušení bez ztráty kontroly nad operacemi a bez kompromitování bezpečnosti pracovníků, nikoliv jako nereálná snaha zabránit úplně každému incidentu. Pro OT prostředí je totiž absolutní prioritou zachování stabilních a dostupných fyzických procesů.

Základní otázky, které by si mělo klást nejvyšší vedení, proto zní:

1. Dokážeme detekovat anomálie v síti dostatečně brzy na to, abychom mohli proaktivně jednat?
2. Umíme izolovat případný incident dříve, než způsobí plošný výpadek závodu?
3. Máme otestované postupy, jak rychle a bezpečně obnovit provoz v koordinovaném režimu?

Specifická úskalí při zabezpečení průmyslové výroby

Implementace bezpečnostních opatření v průmyslu naráží na odlišné překážky, než jaké známe z běžného korporátního IT:

• Zastaralé technologie (systémy Legacy): Mnoho provozních systémů bylo navrženo v době, kdy kybernetické hrozby nebyly relevantní. Zařízení často využívají nepodporované operační systémy, které nelze standardním způsobem aktualizovat.
• Odlišné priority IT a OT: Zatímco IT oddělení běžně provádí aktualizace a restarty systémů, operační technologie musí primárně chránit dostupnost a bezpečnost práce. Jakékoliv bezpečnostní opatření musí být citlivě integrováno, aby neohrozilo plynulost výroby.
• Řízení přístupu třetích stran: Průmyslové řídicí systémy se při údržbě silně spoléhají na vzdálený přístup dodavatelů a výrobců zařízení. Pokud tyto přístupy nejsou centralizovaně řízeny a monitorovány, představují významnou bezpečnostní mezeru.

Strategický postup pro management

Pro splnění legislativních nároků a budování reálné provozní odolnosti doporučuje současná odborná praxe rozvoj následujících kompetencí:

1. Zajištění plné viditelnosti: Základním předpokladem je přesná inventarizace aktiv, pochopení jejich vzájemných závislostí a prioritizace rizik s důrazem na nejkritičtější systémy.
2. Implementace vrstvené ochrany: Zavedení robustní segmentace sítě, přísná kontrola vzdáleného přístupu a zabezpečení koncových bodů s cílem minimalizovat prostor pro šíření hrozeb.
3. Integrace řízení a odpovědnosti: Zajištění bezpečnosti vyžaduje formálně definované role, sjednocené firemní politiky a úzkou křížovou spolupráci mezi inženýringem, IT bezpečností, provozem a top managementem.

Závěr: Bezpečnost jako integrální součást firemní kultury

Nová legislativní úprava definuje firmám jasný formální rámec. Splnění požadavků zákona by však nemělo být jediným cílem. Hlavním motivem je ochrana podnikového know-how, zajištění stability výroby a garance spolehlivosti vůči zákazníkům v prostředí, kde jsou kybernetické hrozby standardní součástí podnikatelského rizika. Odolnost proto musí být vnímána jako komplexní organizační schopnost vyžadující aktivní zapojení vedení, jasnou strategii a neustálou adaptaci na nové podmínky.