Amikor egy üzem felépül, a hálózat jellemzően a legegyszerűbb módon készül el: minden egy hálózatra kerül. Az irodai gépek, a gyártóvezérlők, a kamerák, a Wi-Fi – mind ugyanabban a közös, „lapos” hálózatban. Működik, mindenki eléri, amit kell, szóval senki nem foglalkozik vele tovább.
A baj az, hogy ez a kényelem komoly kockázatot rejt. Ebben a cikkben elmagyarázom, miért veszélyes a lapos ipari hálózat, és mit lehet vele kezdeni – anélkül, hogy a gyártáshoz hozzá kellene nyúlni.
Mi az a „lapos” hálózat, és miért probléma?
A lapos hálózat azt jelenti, hogy minden eszköz ugyanabban a hálózati szegmensben van, határok nélkül. Az irodai laptop ugyanúgy „lát” a hálózaton egy gyártóvezérlőt (PLC-t), mint a nyomtatót.
Ez két komoly problémát okoz:
Egy fertőzés szabadon terjed. Ha egy munkatárs véletlenül megnyit egy zsarolóvírusos e-mailt az irodai gépén, a kártevő a lapos hálózaton akadálytalanul elérheti a gyártóvezérlőket is. Nincs köztük határ, ami megállítaná. Ami egy irodai incidensnek indult, az pillanatok alatt termelésleállássá válhat – és egy álló gyártósor óránként sokba kerül.
A távoli hozzáférés ellenőrizetlen. A gépeket gyakran a beszállító szervizeli távolról. Ez önmagában hasznos – de ha senki nem tudja pontosan, hogyan, milyen jogosultsággal és milyen nyitott kapun keresztül érik el a rendszert kívülről, az egy ellenőrizetlen biztonsági rés. Egy ilyen nyitott távelérés a támadók egyik kedvenc belépési pontja.
A megoldás: szétválasztás és kontrollált elérés
A jó hír, hogy ezt nem kell eltűrni, és a megoldáshoz nem kell a gyártási logikához nyúlni. A hálózat IT oldalán elvégezhető pár alapvető lépés, ami nagyságrendekkel csökkenti a kockázatot:
Az irodai (IT) és a gyári (OT) hálózat szétválasztása. A két világot külön szegmensbe kell tenni – ezt VLAN-okkal és tűzfal-szabályokkal lehet megoldani. A kettő között nem szűnik meg teljesen az átjárás, de kontrollálttá válik: csak az mehet át, aminek tényleg át kell.
Biztonságos távelérés kialakítása. A beszállítók távoli hozzáférését nem megszüntetni kell, hanem rendezni: izolált alhálózat, VPN-en keresztüli, naplózott belépés. Így a szerviz továbbra is működik, de tudható és ellenőrizhető, ki, mikor és mihez fér hozzá.
Dokumentáció. Végül az egészet le kell írni: mi hol van, hogyan kapcsolódik, ki éri el. Ez auditnál, hibakeresésnél és bővítésnél is aranyat ér – nem fejből kell menjen.
Hol a határ? Egy fontos tisztázás
Fontos kimondani: ez nem PLC-programozás vagy gépautomatizálás. A gépekhez, a vezérlési logikához a gépgyártó és az automatizálási mérnök ért – ahhoz nem szabad civilként hozzányúlni.
Amiről itt szó van, az a hálózat IT oldala: a szétválasztás, a biztonságos elérés, a hálózatbiztonság és a dokumentáció. Ez egy külön réteg, amit a nagy automatizálási cégek jellemzően nem visznek le egy kisebb üzemhez, a helyi gyengeáramos szerelők pedig nem IT-mélységben kezelnek. Pont a kettő közötti rés az, ahol egy hálózati és ipari IT tapasztalattal rendelkező szakember a helyén van.
A NIS2 ezt is sürgeti
Érdemes tudni, hogy a NIS2 irányelv és a hazai szabályozás egyre több vállalkozástól vár el rendezett, dokumentált, szétválasztott működést. Még ha a céged közvetlenül nem is esik a hatálya alá, egy nagyobb vevő vagy partner auditja is megkövetelheti ezt. Jobb előre rendezni, mint kapkodva, amikor már kérik.
(Ehhez kapcsolódik a kiberbiztonsági dokumentumcsomag és az IT biztonsági felmérés is.)
Hogyan tovább?
Ha a céged üzemében az irodai és a gyári hálózat egy közös hálózaton lóg, az első lépés egy felmérés: kiderül, mennyire szétválasztott a rendszer, és hol a legnagyobb kockázat.
👉 Ipari IT/OT hálózat rendezése Békéscsabán és környékén – nézd meg, hogyan zajlik.
Ipari IT vagy hálózati kérdésed van? Írj nekem, szívesen segítek.