Bezpieczeństwo OT i IT - razem czy oddzielnie?
Różnice IT vs OT - priorytety, technologie, cykl życia - i jak zbudować współpracę między zespołami bezpieczeństwa.
W wielu organizacjach przemysłowych działy IT i OT funkcjonują jako odrębne światy. Historycznie pracownicy działu OT postrzegali warstwę IT jako zło konieczne - niektórzy dosłownie zamykali szafy sterownicze na klucz przed informatykami. Nie bez powodu: instalacja aktualizacji systemu operacyjnego mogła zakłócić monitoring procesu produkcyjnego, unieruchamiając na przykład system SCADA.
Ale świat się zmienił. Systemy OT coraz częściej łączą się z sieciami korporacyjnymi. Incydenty takie jak atak na Colonial Pipeline czy NotPetya pokazują, że traktowanie bezpieczeństwa IT i OT jako odrębnych zagadnień tworzy luki, które atakujący chętnie wykorzystują.
W tym artykule omawiamy kluczowe różnice między tymi dwoma światami i wyjaśniamy, dlaczego współpraca jest konieczna.
TIP
W 2025 roku 52% organizacji umieściło bezpieczeństwo OT w strukturze CISO - w porównaniu do 16% w 2022 roku. Trend jest wyraźny: odpowiedzialność za bezpieczeństwo OT przesuwa się ze służb utrzymania ruchu do zintegrowanych zespołów cyberbezpieczeństwa. Jednocześnie tylko 35% organizacji deklaruje dojrzały, w pełni zintegrowany model operacji bezpieczeństwa IT-OT.
Różnice między środowiskami IT i OT
1. Warunki pracy
Serwery IT pracują w klimatyzowanych serwerowniach z dedykowanym zasilaniem. Środowisko OT to zupełnie inna rzeczywistość:
- Szafy obiektowe na halach produkcyjnych z dużym zapyleniem i wilgotnością
- Prace dezynfekcyjne z wykorzystaniem piany lub gorącej wody, które oddziałują na obudowy
- Wymagania dotyczące stopnia ochrony (np. IP55 dla szaf sterowniczych)
- Specjalne wymagania dla urządzeń wewnątrz szaf (odporność na wibracje, temperaturę, EMC)
- Ograniczenia dotyczące ilości energii doprowadzanej do stref zagrożonych wybuchem
2. Stosowane technologie
| Aspekt | IT | OT |
|---|---|---|
| Oprogramowanie | Produkty “z półki” (SAP, Office 365) dostosowywane do organizacji | Systemy programowane pod konkretny proces |
| Protokoły | Standardowe (TCP/IP, HTTP, SMTP) | Specyficzne dla producentów (Modbus, Profinet, EtherNet/IP) |
| Dostawcy | Możliwość wyboru spośród wielu dostawców | Preferencja jednego dostawcy (wspólna platforma programistyczna) |
| Język programowania | Python, Java, C# | Języki IEC 61131-3 (LD, ST, FBD) |
| Cykl życia | 3-5 lat | 15-25 lat |
| Patchowanie | Regularne okna serwisowe | Rzadkie, wymaga planowanego przestoju |
W środowisku OT automatycy-programiści preferują rozwiązania od jednego dostawcy, ponieważ wspólna platforma do programowania paneli operatorskich, sterowników PLC i napędów optymalizuje czas wdrożenia.
3. Podejście do projektowania
Projektanci systemów IT analizują system z perspektywy sieci i aplikacji. Bezpieczeństwo kanałów komunikacyjnych i konfiguracji jest wbudowane w proces projektowy.
Projektanci OT postrzegają system jako zbiór urządzeń fizycznych - pomp, zbiorników, zaworów, reaktorów. Ich głównym celem jest wysterowanie komponentów i odczyt sygnałów pomiarowych (temperatura, objętość, przepływ). Historycznie wymagania skupiały się na niezawodności i bezpieczeństwie fizycznym (safety) - nie na bezpieczeństwie informacji (security).
To podejście ulega zmianie - norma IEC 62443 wprowadza wymagania security-by-design dla systemów OT, w tym koncepcję stref i korytarzy - ale wiele istniejących instalacji zostało zaprojektowanych bez uwzględnienia zagrożeń cybernetycznych.
4. Priorytety i cele bezpieczeństwa
| Priorytet | IT | OT |
|---|---|---|
| Główny cel | Poufność danych (CIA: Confidentiality first) | Dostępność i ciągłe działanie (AIC: Availability first) |
| Kluczowe wymaganie | Ochrona danych osobowych i biznesowych | Ciągłość produkcji, unikanie zdarzeń niebezpiecznych |
| Tolerancja opóźnień | Sekundy do minut akceptowalne | Milisekundy - transmisja w czasie rzeczywistym |
| Tolerancja przestojów | Planowane okna serwisowe | Minimalna - każdy przestój = straty produkcyjne |
| Reakcja na incydent | Izolacja i analiza | Utrzymanie bezpiecznego stanu procesu |
W systemach ICS kluczowe są: dostępność, niezawodność i determinizm funkcji. Integralność danych i transmisja w czasie rzeczywistym muszą być zapewnione bez opóźnień i zakłóceń.
5. Dynamika zmian
Projektowany czas życia systemu IT: 3-5 lat, po czym następuje wymiana.
Projektowany czas życia systemu OT: 15-25 lat. Rewizja IEC 62443-2-1 z 2024 roku wprost uznaje, że systemy IACS mogą przekraczać 20-letni cykl życia, wymagając zarządzania sprzętem i oprogramowaniem bez aktywnego wsparcia producenta.
Modernizacja następuje, gdy:
- Analiza ryzyka wykazuje taką potrzebę
- Opłacalność inwestycji jest pozytywna
- Dostępność części zamiennych staje się ograniczona
Modernizacja musi odbyć się bez zbędnych przestojów.
Sieci OT mają charakter statyczny - nie ewoluują w krótkim horyzoncie czasowym. Grupy użytkowników są stabilne. Architektura sieci IT cechuje się dużą zmiennością i skalowalnością.
6. Podejście organizacyjne
W dużych organizacjach dział IT to specjaliści od fragmentów procesu - jedni odpowiadają za bazy danych, inni za komunikację, jeszcze inni za prace konserwacyjne.
W OT pracownicy działu utrzymania ruchu odpowiadają za całość:
- Komunikację między urządzeniami
- Parametryzowanie urządzeń
- Wymianę wadliwych komponentów
- Utrzymanie aktualności dokumentacji
- Bieżące prace konserwacyjne
Skala problemu - dane 2024-2025
Wzajemne oddziaływanie IT i OT to nie kwestia akademicka. Dane z ostatnich lat pokazują realne konsekwencje:
| Wskaźnik | Wartość | Źródło |
|---|---|---|
| Organizacje OT nadal doświadczające intruzji | 48% (poprawa z 94% w 2022) | Fortinet 2025 State of OT |
| Wzrost ataków ransomware na organizacje przemysłowe | +49% (z 80 do 119 grup w 2025) | Dragos 2026 Year in Review |
| Producenci raportujący wzrost incydentów po integracji IT z OT | 80% | KPMG IT-OT Convergence Framework |
| Organizacje z dojrzałym modelem IT-OT SOC | 35% | ISACA |
| CISO nadzorujący bezpieczeństwo OT | 52% (vs 16% w 2022) | ISACA |
| Wartość rynku bezpieczeństwa OT (2025) | 27,03 mld USD | Security Review Magazine |
WARNING
W 2024 roku 80% producentów zgłosiło wzrost incydentów bezpieczeństwa po integracji zasobów IT z sieciami zakładowymi. To nie argument przeciw integracji - to argument za przemyślaną architekturą bezpieczeństwa i warstwową obroną (Defense in Depth).
Dlaczego współpraca jest konieczna
Odmienne perspektywy IT i OT to nie słabość - to szansa. Każdy zespół dostrzega inne zagrożenia, co razem daje pełniejszy obraz ryzyka. Współpraca pozwala:
- Uwzględnić potrzeby obu grup na etapie założeń projektowych
- Uniknąć sytuacji, gdy zabezpieczenia IT zakłócają procesy OT (i odwrotnie)
- Zbudować wspólny język i zrozumienie między zespołami
- Stworzyć spójne polityki bezpieczeństwa obejmujące całą organizację
Praktyczne kroki w kierunku współpracy
| Krok | Opis | Priorytet |
|---|---|---|
| Wspólne ćwiczenia | Scenariusze incydentów obejmujące zarówno IT, jak i OT | Wysoki |
| Wzajemne szkolenia | Automatycy uczą się podstaw cyberbezpieczeństwa, informatycy - specyfiki procesów | Wysoki |
| Wspólna inwentaryzacja | Mapowanie połączeń między sieciami IT i OT | Krytyczny |
| Uzgodnione procedury | Polityki patchowania, zarządzania kontami, reagowania na incydenty uwzględniające oba środowiska | Wysoki |
| Wspólny język | Słownik pojęć zrozumiały dla obu stron (np. “strefa” vs “VLAN”, “pętla regulacji” vs “kontroler”) | Średni |
| Zunifikowane zarządzanie ryzykiem | Wspólna metodologia oceny ryzyka (np. NIST CSF 2.0 z funkcją “Govern”) | Wysoki |
Checklist budowania współpracy IT-OT
- Zidentyfikowanie “właściciela” bezpieczeństwa OT w strukturze organizacyjnej
- Przeprowadzenie wspólnej inwentaryzacji zasobów IT i OT
- Zmapowanie zależności: które systemy IT muszą działać, aby OT mogło kontynuować operacje?
- Opracowanie wspólnych procedur reagowania na incydenty
- Zaplanowanie wspólnych ćwiczeń (co najmniej 1 raz w roku)
- Uzgodnienie polityki patchowania uwzględniającej oba środowiska
- Wdrożenie segmentacji sieci zgodnie z IEC 62443 (strefy i korytarze)
- Ustanowienie wspólnych metryk bezpieczeństwa
- Regularna ocena ryzyka obejmująca cały łańcuch IT-OT
Częstą przeszkodą w realizacji tego celu pozostaje niezrozumienie dwóch różnych perspektyw i odmienne słownictwo branżowe. Ale to właśnie dlatego warto inwestować w budowanie mostów między tymi zespołami - zanim incydent wymusi współpracę w warunkach kryzysu.
SEQRED pomaga organizacjom przemysłowym w budowaniu współpracy IT-OT - od audytów bezpieczeństwa OT zgodnych z IEC 62443, przez testy penetracyjne środowisk przemysłowych, po projektowanie architektury stref i korytarzy.
Źródła:
- Sarah Fluchs - Why OT has different needs than IT
- ISACA - IT/OT Convergence: An Era of Interconnected Risk and Reward (2025)
- KPMG - IT-OT Cyber Security Convergence Framework (2025)
- Security Review Magazine - Outlook 2025: IT and OT Security Strategies
- Industrial Cyber - Rising ICS incidents drive shift to intelligence-driven OT security
- IEC 62443 in 2025: Network Segmentation Requirements and Changes