Hlavní strana -> Časopis IT Systems -> Rok 2026 -> IT Systems 7-8/2026 -> 8 postupů k ochraně provozních technologií (OT)
IT SYSTEMS 7-8/2026 , IT Security

8 postupů k ochraně provozních technologií (OT)

Štěpán Bínek

Provozní technologie (Operational Technology – OT) jsou kritickou součástí každého výrobního podniku. Na jejich správném provozu závisí plynulá výroba, logistika, prodej, celková ziskovost, a tedy vlastně i samotná existence společnosti. Jejich spolehlivé zabezpečení v roce 2026 není jen volitelnou záležitostí, ale životní nutností. Průzkum společnosti SANS „State of ICS/OT Cybersecurity Survey“ z roku 2025 odhalil, že 22 % organizací zaznamenalo v uplynulém roce v oblasti OT kybernetický incident. 40 % těchto incidentů narušilo provoz a u téměř 20 % z nich trvalo úplné odstranění následků déle než měsíc.


Kyberbezpečnost v průmyslové výrobě dosáhla bodu zlomu – prakticky každé zařízení je dnes nějakým způsobem digitalizováno. Podobu zabezpečení průmyslových zařízení mění tři faktory. 
  • Incidenty jsou častější a mají závažnější dopady. Průzkum firmy Dragos „2026 OT Cybersecurity Year in Review“ uvádí, že v roce 2025 došlo k meziročnímu nárůstu o 49 % v počtu ransomwarových skupin zaměřených na průmyslové organizace, což postihlo 3 300 společností.
  • Útočná plocha se rozšiřuje rychleji než obrana. Konvergence IT a OT, rozšiřující se vzdálený přístup pro dodavatele a subdodavatele, nasazení IIoT a rostoucí počet starších systémů s nepodporovanými operačními systémy – to vše rozšiřuje útočnou plochu OT. Polovina všech incidentů v oblasti OT měla původ v neoprávněném externím přístupu.
  • Regulace se sbližuje na podobné úrovni. Nařízení NIS 2 v EU, rozšířené požadavky NERC CIP v Severní Americe, australský zákon SOCI a další normy – to vše tlačí provozovatele kritické infrastruktury k zavedení podobných kontrolních opatření: zdokumentovaná správa oprav, zajištění kontinuity provozu, hlášení incidentů, bezpečný vzdálený přístup a obnovu provozu. 

8 osvědčených postupů k ochraně OT

Společnost Acronis představila osm postupů pokrývající technický základ, který se v produkčních prostředích OT ukazuje jako spolehlivý. Osvědčené postupy v oblasti bezpečnosti provozních technologií (OT) představují soubor technických a organizačních opatření, která chrání průmyslová prostředí před kybernetickými hrozbami a zároveň zohledňují specifická omezení OT. 

Postup č. 1: Vedení úplné a průběžně aktualizované evidence OT aktiv

Nelze chránit to, co není vidět. Je třeba mít ověřený seznam všech zařízení na bázi PC, všech PLC, všech RTU, všech IED, všech HMI, všech serverů SCADA, všech systémů pro ukládání historických dat, inženýrských pracovních stanic, propojovacích serverů a integrovaných průmyslových zařízení v síti OT. Každý záznam by měl obsahovat verzi operačního systému, verzi firmwaru, aplikaci OEM, model hardwaru, síťovou adresu, datum poslední úpravy a aktuální úroveň oprav.

Postup 2: Segmentace sítě OT pomocí Purdueova modelu a normy IEC 62443

Segmentace sítě omezuje rozsah dopadu případného úspěšného narušení. Útočník, který se dostane na úroveň 4, by neměl mít možnost přímo proniknout na úroveň 2. Referenční architektura Purdue a model zón a kanálů podle normy IEC 62443-3-2 představují zavedený rámec pro implementaci tohoto přístupu v průmyslových prostředích.

Postup 3: Zabezpečení vzdáleného přístupu zohledňující OT

Každé externí připojení do sítě OT (údržba dodavatelem, servis výrobcem, přístup subdodavatele, vzdálené operace zaměstnanců) je považováno za privilegovanou relaci, která vyžaduje výslovné oprávnění, vícefaktorové ověření, časově omezený přístup, záznam relace a auditní protokolování. 

Postup 4: Monitorování OT sítí s detekcí hrozeb

Obecné monitorování IT bezpečnosti nerozumí průmyslovým protokolům (Modbus, DNP3, OPC, EtherNet/IP, PROFINET, BACnet, IEC 61850). Je třeba nainstalovat senzory pro pasivní monitorování sítě OT na strategických místech v rámci modelu Purdue, přičemž nejintenzivnější pokrytí je třebana úrovních 2 a 3, kde dochází k většině aktivit útočníků. 

Postup 5: Zavedení kompenzačních kontrolních opatření pro starší systémy, u nichž již není možné instalovat opravy

Mnoho koncových bodů OT již nikdy nebude aktualizováno. U systémů Windows XP, Server 2003, Windows 7, některých verzí Linuxu a vestavěného firmwaru na starších automatizačních zařízeních skončila podpora. Realistickým modelem ochrany není instalace oprav, ale kompenzace. U každého systému, u kterého nelze nainstalovat opravy, je potřeba zavést víceúrovňový soubor kompenzačních opatření.

Postup 6: Imagové zálohování a obnova řízená operátorem pro každé OT zařízení postavené na PC

Zálohování již není poslední linií obrany. Je primárním cílem útoku. Model ochrany musí počítat s tím, že samotná záloha bude napadena. Pro každé zařízení v prostředí OT založené na PC (HMI, server SCADA, inženýrská pracovní stanice, systém pro ukládání historických dat, jump server) je nutné udržovat imagové zálohy s možností obnovy na jedno klinutí, obnovení na odlišném hardwaru, skenování integrity záloh a s alespoň jednou nezměnitelnou kopií dat.

Postup 7: Začlenění OT do analýzy dopadů na byznys a plánu reakce na incidenty

Plány kybernetického zabezpečení OT, často fungují izolovaně od obecnějších podnikových analýz dopadu (BIA), reakcí na incidenty a zajištění kontinuity podnikání. Regulační orgány, pojišťovny a představenstva ale očekávají, že OT bude plnohodnotnou součástí podnikového řízení rizik, nikoli samostatným programem. Pro každou úroveň Purdue a každý kritický systém OT je nutné konkrétní cíle RTO a RPO. Například pro jedno rozhraní HMI s vhodnou backup platformou je dosažitelné dvouhodinové RTO. Avšak pokud se neplánuje s ohledem na rozsah incidentu, pak pro celou vrstvu SCADA může být výsledkem RTO až 2 týdny. 

Postup 8: Sladění OT bezpečnosti s regulačními rámci

Na průmyslová prostředí se v současné době současně vztahuje několik regulačních rámců, jako např.  NIS 2 v EU (v platnosti od října 2024) či NERC CIP v Severní Americe. Zmíněný průzkum SANS uvádí, že 58 % respondentů má alespoň jedno zařízení, na které se vztahuje povinné dodržování předpisů v oblasti kyberbezpečnosti, a 26 % z nich uvedlo možné porušení předpisů při auditu.
Směrnice NIS 2 ukládá klíčovým a důležitým subjektům povinnost zavést vhodná technická a organizační opatření, včetně analýzy rizik, řešení incidentů, zajištění kontinuity činnosti a zabezpečení síťových a informačních systémů. Postupy 1 (inventarizace), 2 (segmentace), 4 (monitorování), 6 (zálohování a obnova) a 7 (reakce na incidenty) představují základní technické kontrolní mechanismy podporující směrnici. Nicméně správné zabezpečení OT není jen v zájmu dodržování předpisů, ale u průmyslových provozů dnes především o zachování obchodní kontinuity.
 
Štěpán Bínek
Autor článku je manažer prodeje cloudových řešení Acronis, ZEBRA SYSTEMS.
Chcete získat časopis IT Systems s tímto a mnoha dalšími články z oblasti informačních systémů a řízení podnikové informatiky? Objednejte si předplatné nebo konkrétní vydání časopisu IT Systems z našeho archivu.

Inzerce

Jednotná správa tisíců kamer

Spojení všech značek do jediného systému

Modernizace rozsáhlých kamerových systémů v průmyslových areálech či ve městech často naráží na technologickou roztříštěnost. Provozovatelé běžně využívají kamery různých značek v oddělených softwarových prostředích, což zvyšuje náklady i riziko chyb. Ideálním řešením by bylo sjednotit kamery napříč výrobci do jednoho centrálního rozhraní. A právě takový systém na český a slovenský trh exkluzivně dodává Konica Minolta, která jej doplňuje ještě o servisní program VideoCare.