Gdy dwa światy się zderzają - o integracji IT i OT w elektroenergetyce

Wyobraźmy sobie dwa budynki stojące obok siebie na terenie dużego operatora systemu dystrybucyjnego. W pierwszym siedzą informatycy - zarządzają systemami ERP, bazami danych klientów, platformami rozliczeniowymi. Co kilka tygodni wdrażają nowe wersje oprogramowania, testują łatki bezpieczeństwa, migrują serwery do chmury. W drugim budynku pracują inżynierowie automatycy i dyspozytorzy. Ich świat to ekrany systemu SCADA wyświetlające stan tysięcy stacji transformatorowych, sterowniki PLC reagujące na zwarcia w ułamkach sekund, zdalne terminale RTU zbierające pomiary z rozległej sieci elektroenergetycznej. Te dwa budynki przez lata funkcjonowały niemal niezależnie od siebie. Dziś muszą się połączyć - i to połączenie jest jednym z najtrudniejszych wyzwań, przed jakimi stoi polska energetyka.

Dwie filozofie, jeden cel

Żeby zrozumieć, dlaczego integracja IT i OT jest tak skomplikowana, trzeba najpierw uchwycić fundamentalną różnicę w sposobie myślenia obu światów.

Informatyk, zapytany o priorytety bezpieczeństwa, wymieni na pierwszym miejscu poufność danych. Wyciek bazy klientów, kradzież danych finansowych, nieautoryzowany dostęp do dokumentów - to scenariusze, które nie dają mu spać po nocach. Integralność danych jest na drugim miejscu, a dostępność systemu na trzecim. Jeśli system ERP padnie na kilka godzin, firma poniesie straty, ale nikt nie straci prądu.

Inżynier OT postrzega świat odwrotnie. Dla niego najważniejsza jest dostępność - system SCADA musi działać dwadzieścia cztery godziny na dobę, siedem dni w tygodniu, bez wyjątków. Gdy w grudniowy wieczór temperatura spada poniżej minus piętnastu stopni, a miliony gospodarstw domowych włączają grzejniki, dyspozytor musi mieć pełną kontrolę nad siecią. Każda sekunda przestoju to potencjalne zaciemnienie, zagrożenie dla zdrowia i życia ludzi, straty liczone w milionach złotych. Poufność danych procesowych? Ważna, ale drugorzędna wobec ciągłości działania.

Ta różnica nie jest akademicka - ma bardzo praktyczne konsekwencje. Gdy zespół IT chce wdrożyć łatkę bezpieczeństwa na serwerze, po prostu planuje okno serwisowe na weekend i aktualizuje system. Gdy ten sam zespół proponuje aktualizację oprogramowania stacji roboczej operatora SCADA, inżynier OT reaguje z zrozumiałym niepokojem. Co jeśli nowa wersja sterownika sieciowego zakłóci komunikację ze sterownikami PLC w stacjach elektroenergetycznych? Co jeśli restart wymagany po aktualizacji wypadnie akurat w momencie, gdy trzeba będzie przełączyć zasilanie rezerwowe dla szpitala? To nie jest paranoja - to realna odpowiedzialność za infrastrukturę, od której zależy funkcjonowanie społeczeństwa.

Dlaczego izolacja przestała wystarczać

Jeszcze piętnaście lat temu operator dystrybucyjny mógł sobie pozwolić na luksus całkowitej separacji obu środowisk. System SCADA działał w zamkniętej sieci, połączonej ze stacjami transformatorowymi dedykowanymi łączami. Dane z liczników odczytywano ręcznie, raz na miesiąc. Systemy rozliczeniowe żyły własnym życiem.

Dziś ten model jest nie do utrzymania, a przyczyn jest kilka - i każda z nich sama w sobie wystarczyłaby, żeby wymusić zmianę.

Po pierwsze, energia przestała płynąć tylko w jednym kierunku. Jeszcze dekadę temu elektrownia wytwarzała prąd, sieć przesyłowa transportowała go na duże odległości, a sieć dystrybucyjna dostarczała do odbiorców. Prosty, jednokierunkowy przepływ. Dziś dziesiątki tysięcy prosumentów z panelami fotowoltaicznymi na dachach wprowadzają energię do sieci, magazyny energii ładują się i rozładowują w zależności od cen rynkowych, a farmy wiatrowe generują moc w sposób trudny do przewidzenia. Zarządzanie taką siecią wymaga ciągłej wymiany danych między systemami pomiarowymi w terenie a systemami analitycznymi i bilansującymi, które tradycyjnie należą do domeny IT.

Po drugie, polski rynek energii przechodzi właśnie ogromną transformację związaną z uruchomieniem Centralnego Systemu Informacji Rynku Energii. CSIRE ma stać się centralnym węzłem wymiany danych pomiarowych między wszystkimi uczestnikami rynku. Oznacza to, że dane z inteligentnych liczników AMI - urządzeń głęboko osadzonych w świecie OT - muszą płynnie przechodzić przez systemy przetwarzania danych po stronie IT, a stamtąd trafiać na platformę rynkową. Bez sprawnej integracji IT/OT ten proces po prostu nie zadziała.

Po trzecie, regulatorzy i prawodawcy stawiają coraz wyższe wymagania dotyczące cyberbezpieczeństwa. Dyrektywa NIS2, transponowana do polskiego prawa, wymaga od operatorów usług kluczowych - a więc także od OSD - kompleksowego monitorowania bezpieczeństwa i raportowania incydentów. Nie można skutecznie monitorować cyberbezpieczeństwa, jeśli połowa infrastruktury pozostaje w cieniu, niewidoczna dla narzędzi bezpieczeństwa.

I wreszcie po czwarte - ekonomia. Dane zbierane przez systemy SCADA, DMS i infrastrukturę pomiarową to kopalnia wiedzy o stanie sieci. Połączone z narzędziami analitycznymi IT, mogą posłużyć do predykcyjnego utrzymania transformatorów, optymalizacji planów inwestycyjnych czy szybszej lokalizacji awarii. Operator, który nie potrafi wykorzystać tych danych, traci przewagę konkurencyjną i operacyjną.

Co może pójść nie tak - anatomia zagrożeń

Otwierając drzwi między światami IT i OT, jednocześnie otwieramy je dla potencjalnych intruzów. Warto zrozumieć, jakie konkretne ryzyka niesie ze sobą konwergencja.

Najbardziej oczywiste zagrożenie to rozszerzenie powierzchni ataku. Wyobraźmy sobie, że atakujący uzyskuje dostęp do sieci korporacyjnej operatora - na przykład przez phishingowy e-mail wysłany do pracownika działu kadr. W świecie izolowanym na tym historia by się skończyła - intruz miałby dostęp do danych biznesowych, ale systemy sterowania siecią pozostałyby nieosiągalne. W świecie zintegrowanym, jeśli segmentacja jest niewystarczająca, ten sam atakujący może powoli, krok po kroku, przesuwać się w kierunku systemów OT. Dokładnie tak wyglądał atak na ukraińską sieć energetyczną w grudniu 2015 roku - grupa znana jako Sandworm najpierw przeniknęła do sieci korporacyjnej, a potem, przez tygodnie pozostając niewykrytą, dotarła do systemów SCADA i wyłączyła zasilanie dla ponad dwustu tysięcy odbiorców.

Drugie poważne ryzyko wiąże się z wiekiem systemów OT. W typowej stacji elektroenergetycznej można natknąć się na sterownik PLC z początku lat dwutysięcznych, działający pod kontrolą systemu operacyjnego, dla którego producent dawno zakończył wsparcie. Protokoły komunikacyjne używane w automatyce stacyjnej - jak Modbus czy DNP3 w starszych wersjach - projektowano w czasach, gdy nikt nie myślał o cyberbezpieczeństwie. Nie mają wbudowanego szyfrowania ani mechanizmów uwierzytelniania. Wymiana takiego systemu to nie jest kwestia wgrania nowej wersji oprogramowania - to często projekt za kilka milionów złotych, wymagający odstawienia stacji, montażu nowych urządzeń i wielotygodniowych testów. Operator zarządzający tysiącami takich obiektów musi więc latami żyć z infrastrukturą, która z punktu widzenia cyberbezpieczeństwa jest reliktem przeszłości.

Nie można też ignorować zagrożeń związanych z łańcuchem dostaw. Systemy automatyki w jednej stacji transformatorowej mogą pochodzić od kilku różnych producentów, każdy z własnym oprogramowaniem, własnymi protokołami i własnym podejściem do bezpieczeństwa. Podatność w sterowniku jednego dostawcy może stanowić furtkę do całej infrastruktury. A producenci systemów OT - inaczej niż dostawcy oprogramowania IT - nie zawsze mają dojrzałe procesy zarządzania podatnościami i wydawania poprawek bezpieczeństwa.

Budowanie murów i mostów - architektura bezpieczeństwa

Jak zatem połączyć oba światy, nie narażając infrastruktury krytycznej? Odpowiedź tkwi w starannie zaprojektowanej architekturze warstwowej.

Wyobraźmy sobie stację elektroenergetyczną najwyższego napięcia. Na samym dole, w warstwie procesowej, pracują urządzenia polowe - przekaźniki zabezpieczające, transformatory prądowe i napięciowe, czujniki temperatury oleju transformatorowego. Te urządzenia komunikują się wyłącznie ze sterownikami w warstwie bezpośrednio nad nimi. Nie widzą świata zewnętrznego i świat zewnętrzny nie powinien widzieć ich.

Warstwę wyżej znajdują się sterowniki PLC i jednostki RTU - mózgi automatyki stacyjnej. Zbierają dane z urządzeń polowych, realizują algorytmy automatycznych przełączeń, komunikują się z warstwą nadrzędną za pomocą ściśle zdefiniowanych protokołów. Dostęp do nich jest ograniczony do konkretnych adresów i portów.

Jeszcze wyżej pracują systemy SCADA i interfejsy operatorskie HMI, na których dyspozytorzy widzą stan sieci i wydają polecenia sterujące. To warstwa nadzorcza - serce centrum dyspozycji mocy.

Między tym światem a siecią korporacyjną IT rozciąga się strefa zdemilitaryzowana - przemysłowe DMZ. To tutaj stoi Historian OT, gromadzący historyczne dane procesowe. To tutaj działają serwery pośredniczące, które odbierają dane z systemów SCADA i udostępniają je - w kontrolowany, jednokierunkowy sposób - systemom biznesowym po stronie IT. Jednokierunkowość przepływu można wymusić sprzętowo, stosując tak zwane diody danych - urządzenia, które fizycznie uniemożliwiają przesłanie jakiejkolwiek informacji z sieci IT do sieci OT. Dane mogą wypływać z OT do IT, ale droga powrotna jest fizycznie zablokowana. W praktyce elektroenergetycznej oznacza to na przykład, że system analityczny w sieci IT może odczytywać historyczne pomiary obciążeń transformatorów, ale nie ma żadnej możliwości wysłania komendy do sterownika w stacji.

Na każdej granicy między strefami stoją zapory nowej generacji, rozumiejące protokoły przemysłowe - nie tylko klasyczny ruch webowy czy pocztowy, ale także ramki IEC 61850, telegramy IEC 60870-5-104 czy pakiety DNP3. Taka zapora potrafi na przykład przepuścić polecenie odczytu wartości pomiarowej, ale zablokować polecenie sterujące wyłącznikiem, jeśli pochodzi z nieautoryzowanego źródła.

Coraz więcej operatorów energetycznych sięga również po filozofię Zero Trust, która zakłada, że żadnemu połączeniu nie należy ufać z góry - niezależnie od tego, czy pochodzi z wewnątrz czy z zewnątrz sieci. Każdy użytkownik, każde urządzenie, każda sesja musi udowodnić swoją tożsamość i prawo do wykonania danej operacji. W praktyce oznacza to, że nawet inżynier siedzący fizycznie w centrum dyspozycji, łącząc się ze sterownikiem w stacji transformatorowej, musi przejść wieloskładnikowe uwierzytelnianie, a jego sesja jest nagrywana i analizowana w czasie rzeczywistym. Dostęp przyznawany jest na czas wykonania konkretnego zadania - po jego zakończeniu uprawnienia wygasają automatycznie.

Oczy i uszy obrony - monitorowanie środowiska konwergentnego

Nawet najlepsza architektura nie pomoże, jeśli nikt nie patrzy, co się w niej dzieje. Dlatego kluczowym elementem bezpieczeństwa konwergentnego środowiska jest Centrum Operacji Bezpieczeństwa zdolne do analizowania zdarzeń zarówno ze świata IT, jak i OT.

To zadanie trudniejsze, niż mogłoby się wydawać. Typowy system SIEM używany w korporacyjnym SOC doskonale radzi sobie z logami z firewalli, serwerów Active Directory czy systemów antywirusowych. Ale co zrobić z logiem ze sterownika RTU, który raportuje zmianę konfiguracji zabezpieczenia odległościowego? Albo z nietypowym wzorcem komunikacji między stacją transformatorową a centrum dyspozycji - na przykład serią poleceń sterujących wysłanych o trzeciej w nocy, gdy żaden dyspozytor nie powinien dokonywać przełączeń?

Skuteczne monitorowanie wymaga narzędzi, które rozumieją specyfikę protokołów przemysłowych i potrafią rozpoznać normalny ruch w sieci OT. Systemy klasy IDS/IPS dedykowane dla środowisk przemysłowych uczą się wzorców komunikacji - wiedzą, że sterownik w stacji X komunikuje się z serwerem SCADA co trzydzieści sekund, wysyłając pakiet o określonej strukturze. Każde odstępstwo od tego wzorca generuje alert.

Prawdziwa wartość pojawia się jednak w korelacji zdarzeń z obu światów. Załóżmy, że system SIEM rejestruje nieudane próby logowania do VPN z zewnętrznego adresu IP, a kilka godzin później wykrywa nowy, nieznany adres MAC w segmencie sieci OT. Każde z tych zdarzeń osobno mogłoby umknąć uwadze. Razem tworzą obraz potencjalnego ataku wieloetapowego, który wymaga natychmiastowej reakcji.

Ludzie - najważniejszy i najtrudniejszy element

Można zainwestować miliony w firewalle, systemy detekcji intruzów i centra operacji bezpieczeństwa, a i tak najsłabszym ogniwem pozostaną ludzie. Nie dlatego, że są niekompetentni - przeciwnie, zarówno specjaliści IT, jak i inżynierowie OT w polskich przedsiębiorstwach energetycznych to z reguły wysoko wykwalifikowani fachowcy. Problem polega na tym, że ich kompetencje przez lata rozwijały się w izolacji od siebie.

Inżynier automatyk, który od dwudziestu lat zajmuje się zabezpieczeniami elektroenergetycznymi, nie myśli kategoriami cyberbezpieczeństwa - myśli kategoriami selektywności zabezpieczeń, czasów zadziałania i nastawień przekaźnikowych. Informatyk odpowiedzialny za bezpieczeństwo sieci korporacyjnej nie rozumie, dlaczego nie można po prostu zainstalować agenta antywirusowego na każdej stacji roboczej w stacji elektroenergetycznej - nie wie, że ten agent może zakłócić komunikację ze sterownikami, powodując fałszywe alarmy i niepotrzebne wyłączenia.

Przełamanie tych silosów wymaga systematycznego budowania kompetencji na styku obu dziedzin. Szkolenia krzyżowe, w których inżynierowie OT poznają podstawy analizy ruchu sieciowego i wykrywania włamań, a specjaliści IT uczą się zasad działania automatyki stacyjnej i protokołów przemysłowych, są niezbędne. Certyfikacje takie jak GICSP, łączące wiedzę z cyberbezpieczeństwa i systemów sterowania przemysłowego, pomagają budować wspólny język.

Równie ważne jest przygotowanie organizacji na najgorszy scenariusz. Plan ciągłości działania, który uwzględnia cyberatak na systemy OT, powinien odpowiadać na pytania konkretne i praktyczne. Jak szybko możemy odizolować zainfekowany segment sieci OT, nie przerywając dostaw energii? Kto podejmuje decyzję o przejściu na sterowanie ręczne w stacjach? Jak komunikujemy się z regulatorem i CSIRT sektorowym, gdy nasze główne kanały komunikacji mogą być skompromitowane? Te scenariusze trzeba nie tylko opisać na papierze, ale regularnie ćwiczyć - najlepiej w formie realistycznych symulacji, angażujących zarówno zespoły IT, OT, jak i kadrę zarządzającą.

Otoczenie regulacyjne - rosnące wymagania

Polscy operatorzy systemów dystrybucyjnych funkcjonują w gęstej sieci regulacji, które w ostatnich latach znacząco się zagęściły.

Ustawa o krajowym systemie cyberbezpieczeństwa klasyfikuje OSD jako operatorów usług kluczowych, nakładając na nich obowiązek wdrożenia systemu zarządzania bezpieczeństwem, raportowania incydentów i poddawania się audytom. Dyrektywa NIS2, która rozszerza i zaostrza te wymagania, wprowadza dodatkowo osobistą odpowiedzialność członków zarządu za stan cyberbezpieczeństwa organizacji. To zmiana jakościowa - cyberbezpieczeństwo przestaje być tematem czysto technicznym i staje się kwestią zarządczą najwyższego szczebla.

Na poziomie technicznym kluczowe znaczenie mają standardy IEC 62443 dla bezpieczeństwa systemów automatyki przemysłowej oraz IEC 62351 dla bezpieczeństwa protokołów komunikacyjnych w systemach elektroenergetycznych. Ten ostatni jest szczególnie istotny, bo definiuje mechanizmy uwierzytelniania i szyfrowania dla protokołów takich jak IEC 61850 czy IEC 60870-5-104 - tych samych, które stanowią kręgosłup komunikacji w nowoczesnych stacjach elektroenergetycznych. Coraz więcej organizacji rozszerza też swój system zarządzania bezpieczeństwem informacji oparty na ISO/IEC 27001 o wymagania specyficzne dla środowiska OT.

Od teorii do praktyki - jak zacząć i nie utknąć

Doświadczenie branży pokazuje, że konwergencja IT/OT udaje się wtedy, gdy jest traktowana jako proces ciągłego doskonalenia, a nie jako jednorazowy projekt z datą zakończenia.

Punktem wyjścia powinna być rzetelna inwentaryzacja. Brzmi banalnie, ale w praktyce wielu operatorów nie ma pełnego obrazu swoich aktywów OT - nie wiedzą dokładnie, jakie urządzenia pracują w setkach rozproszonych stacji, jakie wersje oprogramowania na nich działają i jakie połączenia sieciowe między nimi istnieją. Bez tej wiedzy wszelkie wysiłki w zakresie bezpieczeństwa budowane są na niepewnym fundamencie.

Następnie warto zacząć od pilotażu - wybrać jedną strefę, jedną lokalizację, jedno połączenie między IT a OT i na nim przetestować architekturę bezpieczeństwa, procedury monitorowania i procesy reakcji na incydenty. Doświadczenia z pilotażu pozwolą dostroić podejście przed skalowaniem na całą organizację.

Krytycznie ważne jest, by nie przenosić rozwiązań IT do środowiska OT bez adaptacji. Automatyczna aktualizacja oprogramowania, która w sieci biurowej jest standardem, w środowisku OT może skończyć się katastrofą. Skanowanie podatności, rutynowo wykonywane w sieci korporacyjnej, potrafi zakłócić pracę wrażliwych sterowników przemysłowych. Każde narzędzie, każda procedura musi być najpierw przetestowana w środowisku laboratoryjnym odwzorowującym warunki produkcyjne.

Warto też pamiętać, że operator nie jest sam. Wymiana informacji o zagrożeniach i dobrych praktykach w ramach branżowych centrów wymiany informacji oraz grup roboczych łączących różnych OSD pozwala uczyć się na cudzych błędach zamiast popełniać własne. A przede wszystkim - warto przyjąć założenie, że prędzej czy później atak się powiedzie, i przygotować się na minimalizację jego skutków. Nie chodzi o to, żeby zbudować mur nie do przebicia - chodzi o to, żeby mieć plan na wypadek, gdy ktoś jednak przez ten mur przejdzie.

Na zakończenie

Integracja technologii informacyjnych i operacyjnych w przedsiębiorstwie energetycznym to jedno z najważniejszych i najtrudniejszych wyzwań stojących przed polską elektroenergetyką. Łączy w sobie problemy techniczne - jak zabezpieczyć dwudziestoletni sterownik PLC działający na przestarzałym systemie operacyjnym - z problemami organizacyjnymi - jak skłonić dwa zespoły o różnych kulturach i priorytetach do efektywnej współpracy - i z problemami strategicznymi - jak zrównoważyć potrzebę transformacji cyfrowej z koniecznością ochrony infrastruktury, od której zależy codzienne życie milionów ludzi.

Nie ma na to gotowej recepty. Każdy operator musi wypracować własną ścieżkę, uwzględniając specyfikę swojej sieci, zasoby kadrowe i finansowe oraz profil ryzyka. Jedno jest jednak pewne: zwlekanie nie jest strategią. Zagrożenia rosną szybciej niż budżety na cyberbezpieczeństwo, a regulatorzy nie będą czekać. Operatorzy, którzy już dziś budują dojrzałe struktury bezpieczeństwa konwergentnego środowiska IT/OT, za kilka lat będą w zdecydowanie lepszej pozycji niż ci, którzy odkładają ten temat na później.

Stawka jest najwyższa z możliwych - nieprzerwane dostawy energii elektrycznej, bez których współczesne społeczeństwo po prostu nie jest w stanie funkcjonować.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej ani technicznej. Wdrożenie rozwiązań bezpieczeństwa wymaga szczegółowej analizy specyfiki organizacji.