Segmentacja sieci OT wg IEC 62443: poradnik dla zakładu przemysłowego

Po co segmentować sieć OT i co z tego ma audyt

Płaska sieć przemysłowa działa dobrze do pierwszego incydentu. Jedno przejęte stanowisko inżynierskie, jeden zapomniany dostęp zdalny dostawcy albo jeden laptop serwisowy podłączony do przełącznika w rozdzielni wystarczą, by atakujący dotarł do sterowników i paneli operatorskich. Segmentacja nie zapobiega każdemu włamaniu, ale ogranicza jego zasięg i skraca czas ustalenia, co zostało dotknięte.

Dla podmiotu kluczowego liczy się także strona formalna. Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) obowiązuje od 3 kwietnia 2026 r. i wprowadza system zarządzania bezpieczeństwem informacji, w tym analizę zasobów, szacowanie ryzyka i monitoring. Kary z art. 73 ust. 3–5 dla podmiotu kluczowego sięgają 10 mln EUR lub 2% przychodów, a w najpoważniejszych przypadkach do 100 mln zł; co do zasady można je nakładać od 3 kwietnia 2028 r. Pierwszy audyt cyberbezpieczeństwa przypada po 24 miesiącach od wejścia przepisów w życie, więc czas na uporządkowanie sieci OT jest, ale nie jest nieograniczony.

Segmentacja jest tu wygodna, bo jej wynik jest materialny: schemat, tabela stref, zestaw reguł zapory i protokół z testu. Audytor nie musi wierzyć na słowo, że sieć jest podzielona. Może porównać dokumentację z konfiguracją.

Strefy i kanały w IEC 62443-3-2

Część 3-2 serii ISA/IEC 62443 opisuje ocenę ryzyka i podział instalacji na strefy oraz kanały. Norma jest dobrowolna, ale stanowi uznany punkt odniesienia dla środków zarządzania ryzykiem, których oczekuje się w podejściu NIS2. Wspiera spełnienie wymogu, nie zastępuje go.

Strefa: grupa zasobów o wspólnych wymaganiach

Strefa zbiera zasoby, które mają podobne ryzyko i wymagają tego samego poziomu ochrony: na przykład sterowniki jednej linii, system bezpieczeństwa instalacji, stacje inżynierskie albo serwery historyzacji. O przynależności do strefy decyduje skutek ewentualnego incydentu, nie położenie szafy w hali.

Kanał: kontrolowane połączenie między strefami

Kanał opisuje każdą dozwoloną komunikację między strefami: protokół, kierunek, porty, uwierzytelnienie i rejestrowanie. Wszystko, czego w tabeli kanałów nie ma, jest zabronione. Taka lista białych reguł jest zarazem dokumentem projektowym i dowodem do audytu.

Poziom SL-T: ile ochrony potrzebuje strefa

Po ocenie ryzyka każdej strefie przypisuje się docelowy poziom bezpieczeństwa SL-T w skali 1–4. Później porównuje się go z poziomem osiągniętym (SL-A) i możliwościami komponentów (SL-C). Różnica między SL-T a SL-A to lista działań, którą zarząd może zatwierdzić i budżetować.

Model Purdue jako mapa startowa

Model Purdue nie jest wymogiem normy, ale ułatwia pierwszy podział. Poziom 0 to proces fizyczny i czujniki, poziom 1 to sterowniki i urządzenia wykonawcze, poziom 2 to nadzór i panele operatorskie, poziom 3 to systemy operacji produkcyjnych, a poziomy 4 i 5 to sieć przedsiębiorstwa i świat zewnętrzny. Między poziomami 3 i 4 ustawia się strefę zdemilitaryzowaną (DMZ), często opisywaną jako poziom 3.5.

Zasada robocza jest prosta: żadna rozmowa nie przechodzi z IT do OT bez zatrzymania w DMZ. Serwer wymiany danych, serwer aktualizacji i brama zdalnego dostępu stoją w DMZ, a po stronie OT otwiera się wyłącznie połączenia inicjowane z wnętrza. Szczegółowy opis poziomów znajdziesz w rekomendacjach o modelu Purdue, a tutaj ważne jest jedno: Purdue to schemat do rysowania stref, nie gotowy projekt.

Jak przeprowadzić projekt segmentacji w siedmiu krokach

Kolejność ma znaczenie. Zakład w ruchu ciągłym nie może sobie pozwolić na eksperyment na żywym procesie, dlatego pierwsze trzy kroki są bierne.

• Inwentaryzacja zasobów OT: sterowniki, panele, stacje, przełączniki, urządzenia sieciowe i łącza zdalne, z producentem, wersją i właścicielem.
• Pasywne rozpoznanie ruchu z portu lustrzanego: kto z kim rozmawia, jakimi protokołami i jak często.
• Ocena ryzyka i zdefiniowanie stref według skutków dla bezpieczeństwa ludzi, ciągłości procesu i środowiska.
• Przypisanie SL-T każdej strefie i opis kanałów w tabeli: źródło, cel, protokół, port, kierunek, uzasadnienie.
• Projekt techniczny: VLAN-y, zapory przemysłowe, DMZ, zdalny dostęp przez bramę z uwierzytelnianiem wieloskładnikowym.
• Pilotaż na jednej linii w oknie postojowym, z planem wycofania zmian.
• Odbiór: test reguł, aktualizacja dokumentacji i przekazanie utrzymania właścicielowi sieci OT.

Dowód do audytu NIS2: co powinno powstać po drodze

Audytor oczekuje śladu decyzji, nie tylko urządzeń. Dobrze przygotowany zakład ma po segmentacji komplet dokumentów, które można pokazać w jednym segregatorze lub folderze elektronicznym.

• Rejestr zasobów OT z przypisaniem do stref.
• Schemat stref i kanałów z datą i wersją oraz podpisem właściciela ryzyka.
• Tabela kanałów z uzasadnieniem biznesowym każdej reguły.
• Wyniki oceny ryzyka z przypisanymi SL-T oraz plan domykania luk do SL-A.
• Eksport konfiguracji zapór i przełączników oraz protokół testu reguł.
• Procedura zmiany reguł i rejestr zatwierdzonych wyjątków.

Najczęstsze błędy

Pierwszy błąd to podział wyłącznie na VLAN-y bez filtrowania ruchu między nimi: przełącznik rozdziela rozgłaszanie, ale nie broni dostępu. Drugi to DMZ, przez którą przechodzi dostęp serwisowy bez rejestrowania i bez wygaszania kont dostawców. Trzeci to systemy bezpieczeństwa instalacji wstawione do tej samej strefy co stacje operatorskie. Czwarty to dokumentacja sporządzona jednorazowo, bez procedury zmian, więc po roku nie odpowiada rzeczywistości.

Piąty błąd jest cichy: pomijanie systemów pomocniczych, takich jak lokalizacja ludzi, kontrola wejść czy monitoring. Jeśli takie rozwiązanie działa jako niezależna nakładka z własnym kanałem komunikacji, w tabeli kanałów powinno mieć osobną strefę i jawnie opisane punkty styku z siecią procesową.