Kybernetická bezpečnost kritické infrastruktury: ochrana energetických a vodárenských systémů (ICS/SCADA)

Kritická infrastruktura v digitální éře

Energetické a vodárenské soustavy patří k nejkritičtějším infrastrukturám společnosti. Digitalizace, dálkové řízení a propojení systémů prostřednictvím sítí IP přinášejí provozní výhody, zároveň však provozovatele vystavují kybernetickým hrozbám. V kontextu „neetického chování na internetu“ se kybernetické útoky na průmyslové řídicí systémy (ICS) a SCADA stávají nástrojem ekonomického vydírání, geopolitického nátlaku i sabotáže s potenciálem způsobit fyzické škody.

Specifika prostředí OT oproti IT

• Priorita bezpečnosti a dostupnosti: v OT (Operational Technology) často převažují bezpečnost a dostupnost nad důvěrností; výpadky mohou ohrozit zdraví a život.
• Životní cyklus zařízení: PLC, RTU a IED mají životnost 10–25 let, což vede ke vzniku „legacy“ segmentů bez moderních bezpečnostních prvků.
• Deterministická komunikace: protokoly jako Modbus, DNP3 či Profinet historicky nepočítaly se šifrováním a autentizací.
• Prostor pro odstávky: aktualizace a opravy jsou omezeny na servisní okna; „neplánované“ zásahy zvyšují riziko výpadku.

Model hrozeb: co je realistické v energetice a vodárenství

• Ransomware a dvojité vydírání: zašifrování IT infrastruktury, následný boční pohyb do OT nebo nátlak prostřednictvím úniku citlivých schémat.
• Převzetí vzdálených přístupů: kompromitované účty dodavatelů a integrátorů pro VPN/SD-WAN.
• Manipulace s procesem: úprava žádaných hodnot, logiky PLC, deaktivace alarmů; ve vodárenství změna dávkování chemikálií, v energetice manipulace s ochrannými relé.
• Dodavatelský řetězec: zneužití aktualizačních kanálů, instalačních médií nebo firmwaru.
• Špionážní a APT aktivity: dlouhodobý průzkum sítě, mapování topologie a příprava na „čas T“.

Bezpečnostní architektura: segmentace a zóny

Doporučuje se vrstvený model s demilitarizovanou zónou (DMZ) mezi IT a OT a přísně řízeným tokem dat.

Referenční rámce a principy

• „Defense-in-depth“: kombinace preventivních, detekčních a reaktivních opatření v každé vrstvě.
• Zero Trust pro OT: žádnému segmentu bezvýhradně nedůvěřovat; autentizace, autorizace a průběžné ověřování toků.
• Princip nejnižších oprávnění: přístup na základě rolí a přístupy just-in-time pro interní i externí techniky.
• Bezpečnostní hygiena: správa zranitelností, inventarizace aktiv, kontrola konfigurací, odpojení nepoužívaných služeb.

Řízení identit a přístupů v OT

• Oddělení identit IT/OT: nesdílet univerzální účty; používat auditovatelné personalizované přístupy.
• Jump servery a bastiony: jediný povolený vstup do OT, se zaznamenáváním relací a schvalováním.
• MFA a silné kryptografické metody: pokud možno i pro inženýrské nástroje a vzdálené služby.
• Proces „break-glass“: nouzové účty s časově omezeným přístupem a důsledným zaznamenáváním.

Viditelnost a monitoring průmyslových sítí

• Pasivní detekce: OT-NIDS se znalostí průmyslových protokolů (Modbus, IEC 60870-5-104, DNP3, OPC UA).
• Základní profil chování: učení se běžné komunikaci mezi PLC a HMI; anomálie spouštějí upozornění.
• Integrace se SIEM/SOAR: korelace událostí napříč IT a OT; playbooky pro rychlou reakci.
• Integrita konfigurací: detekce změn v logice PLC, kontrolní součty firmwaru, „pravidlo dvou osob“ při nahrávání logiky.

Ochrana proti ransomwaru a sabotáži

1. Segmentační brány: mikrosegmentace, pravidla firewallu „deny by default“, blokování laterálního pohybu.
2. Zálohování a obnova: offline, neměnné (immutable) zálohy HMI, projektových souborů PLC a konfigurací relé.
3. „Application allowlisting“: v OT upřednostňovat povolené binární soubory a skripty před přístupem založeným pouze na antiviru.
4. Kontrola maker a skriptů: zakázat nevhodná makra v inženýrských nástrojích; podepisovat projekty.
5. Bezpečné vzdálené přístupy: krátkodobé tunely, zaznamenávání relací, zákaz trvalých VPN s širokým přístupem.

Bezpečnost komunikačních protokolů a datových toků

• Šifrování a integrita: pokud je to možné, nasadit TLS/DTLS nebo šifrované alternativy protokolů (např. zabezpečený DNP3, OPC UA s certifikáty).
• Jednosměrné brány (data diodes): přenos telemetrie směrem ven bez možnosti průniku dovnitř.
• Whitelist příkazů: filtrovat pouze povolené funkční kódy Modbus a definované žádané hodnoty.

Fyzická bezpečnost a bezpečnostní integrita

Kybernetická a fyzická bezpečnost jsou neoddělitelné. Zabezpečení rozvaděčů, kontrola přístupu do strojoven, kamerový systém CCTV, senzory neoprávněné manipulace a pravidelné inventury hardwaru jsou klíčové. Pro ochranné obvody s úrovní bezpečnostní integrity (SIL) platí princip nezávislosti na řídicí síti.

Specifická rizika pro energetiku

• Elektrické ochrany a relé: manipulace může způsobit odpojení úseků sítě nebo poškození zařízení.
• Vyrovnávání zatížení a frekvence: zásahy do AGC/AVR mohou destabilizovat soustavu.
• Distribuované zdroje (DER): fotovoltaika, baterie a nabíječky elektromobilů rozšiřují útočnou plochu prostřednictvím nespravovaných bran IoT.

Specifická rizika pro vodárenství

• Úprava vody: změna dávkování dezinfekčních chemikálií a pH může mít okamžité zdravotní dopady.
• Čerpací stanice a tlaková pásma: nesprávné řízení vede k výpadkům zásobování nebo poškození potrubí.
• Terénní telemetrie: zranitelná RTU ve vzdálených lokalitách; nutnost fyzické ochrany a bezpečných aktualizací.

Program zabezpečení dodavatelského řetězce

• Požadavky ve smlouvách: povinné standardy, audit, oznamování incidentů, SBOM (seznam softwarových komponent) pro software.
• Kontrola integrátorů: oddělené účty, krátkodobé přístupy, zákaz sdílení nástrojů a licenčních hardwarových klíčů.
• Validace firmwaru: podpisy, kontrola hashů, testování v laboratoři před nasazením do produkce.

Reakce na incidenty a forenzní analýza v OT

1. Playbooky pro OT: postupy přizpůsobené bezpečnosti procesů (zastavení škod bez kolapsu výroby).
2. Izolace namísto vypnutí: upřednostňovat logické oddělení segmentu; fyzické odpojení pouze v případě jasné potřeby.
3. Forenzní artefakty: konfigurace PLC, logy HMI, síťové záznamy pcap z portů s port mirroringem, historie událostí.
4. Komunikace: koordinace s regulátorem, týmem IRT, dodavateli a veřejností; minimalizace sekundárních škod.

Testování, validace a cvičení

• Laboratorní prostředí: digitální dvojče a testovací prostředí se skutečnými PLC/RTU pro bezpečné ověřování změn.
• Red teaming & purple teaming: simulace útoků na přechody mezi zónami, zneužití vzdálených přístupů a změnu žádaných hodnot.
• Tabletop cvičení: rozhodovací scénáře pro management a operátory dispečinku.

Měření vyspělosti a KPI

Ochrana osobních údajů a compliance

I v prostředí OT se zpracovávají osobní údaje (přístupy techniků, záznamy relací). Platí zásada minimalizace, jasný právní základ, audit přístupů a omezení doby uchovávání logů. Dokumentace rozhodnutí (přijetí rizika) je nezbytná pro dohled a vyšetřování po incidentu.

Vzdělávací a kulturní rozměr

• Školení operátorů: rozpoznávání anomálií, bezpečné postupy při změnách, povědomí o sociálním inženýrství.
• Standardizované pracovní postupy: princip „čtyř očí“ při nahrávání logiky, kontrolní seznamy před nasazením.
• Kultura oznamování: bez obviňování, s důrazem na rychlé hlášení podezřelých událostí.

Kontrolní seznam pro provozovatele

• Existuje aktuální mapa OT aktiv, spojení a zón?
• Je mezi IT a OT funkční DMZ s jednosměrnými toky tam, kde je to vhodné?
• Jsou všechny vzdálené přístupy vedeny přes bastion s MFA a zaznamenáváním?
• Máte offline a otestované zálohy konfigurací HMI/PLC/relé?
• Probíhá v OT pasivní monitoring s detekcí anomálií a integrací do SIEM?
• Proběhla v posledním roce tabletop a technická cvičení?
• Máte smluvně ošetřené bezpečnostní požadavky na dodavatele a integrátory?

Od reaktivity k odolnosti

Kybernetická bezpečnost energetických a vodárenských infrastruktur vyžaduje přechod od ad hoc reaktivity k systematické odolnosti. Kombinace segmentace, přísné správy přístupů, pasivní detekce, připravenosti na incidenty a bezpečnostní kultury může výrazně snížit pravděpodobnost úspěšného útoku i jeho dopady. V prostředí rostoucích hrozeb a neetických aktérů je právě důsledné, vícevrstvé řízení rizik základním předpokladem bezpečného a spolehlivého provozu.