Hlavní strana -> Časopis IT Systems -> Rok 2026 -> IT Systems 9/2026 -> IT a OT: od oddělených světů ke společné infrastruktuře
IT SYSTEMS 9/2026 , IT Security

IT a OT: od oddělených světů ke společné infrastruktuře

Nick Vlasov

Digitalizace průmyslu a rozvoj průmyslového internetu věcí postupně stírají hranice mezi informačními technologiemi (IT) a provozními technologiemi (OT). Propojování těchto dvou světů přináší vyšší efektivitu a lepší přehled o provozních procesech. Z pohledu kybernetické bezpečnosti ale současně zásadně mění podobu rizik, kterým organizace čelí. Systémy, které dříve fungovaly izolovaně, se stále častěji stávají součástí podnikových sítí – a tím i potenciálním cílem kybernetických útoků.


Často se přitom přehlíží, že konvergence IT a OT není jednorázová změna. Každé nové propojení – ať už jde o vzdálený přístup pro údržbu, cloudovou analytickou platformu nebo servisní připojení dodavatele – rozšiřuje prostor, který je třeba chránit.
Konvergenci IT a OT proto nelze chápat jako projekt, který má svůj začátek a konec. Pro IT a bezpečnostní týmy znamená především potřebu mít průběžně přehled o tom, co je k OT prostředí připojeno, jak spolu jednotlivé systémy komunikují a jak se jejich chování v čase mění. Bez této znalosti se organizace může rychle ocitnout v situaci, kdy chrání prostředí, které už dávno neodpovídá původnímu návrhu.

Proč je OT bezpečnost jiná než v IT

Informační technologie tradičně zahrnují systémy určené pro práci s daty, například servery a podnikové aplikace. Operační technologie naproti tomu označují hardware a software, který monitoruje a řídí fyzické procesy – od průmyslových strojů a výrobních linek až po energetická nebo dopravní zařízení. Patří sem průmyslové řídicí systémy (ICS), včetně systémů SCADA a programovatelných logických automatů (PLC).
Pro síťové a bezpečnostní specialisty představuje zásadní problém především dlouhá životnost těchto technologií. Některé systémy jsou navrženy tak, aby v provozu vydržely dvacet i třicet let. PLC na výrobní lince tak může stále používat firmware z roku 2008 a systém SCADA může být závislý na Windows XP.
Takové systémy nelze aktualizovat stejným způsobem jako běžné IT stanice. Instalace aktualizace může vyžadovat úplné odstavení výroby, což není vždy možné bez významného provozního dopadu. Úspěšný útok na OT navíc nemusí znamenat pouze ztrátu nebo zneužití dat. Může mít přímé fyzické následky – od poškození zařízení až po ohrožení pracovníků.
Dalším specifikem je determinismus. Mnohá OT prostředí jsou založena na předvídatelném časování a komunikaci s velmi nízkou latencí. Nasazení bezpečnostních mechanismů běžných v IT, například hloubkové kontroly paketů nebo agresivní ochrany koncových zařízení, proto může v některých případech narušit samotný provoz.
Bezpečnostní opatření je proto nutné vybírat s ohledem na konkrétní technologické prostředí a před jejich nasazením ověřit, že neohrozí jeho stabilitu. 

Jak zabezpečit propojené IT/OT prostředí v praxi

Zabezpečení propojeného prostředí neznamená nasadit jeden další bezpečnostní nástroj. Potřebuje několik vzájemně propojených vrstev – od přehledu o infrastruktuře přes segmentaci až po schopnost včas rozpoznat neobvyklé chování a reagovat na incident. 

1. Začněte tím, že budete vědět, co je v síti

Co nevidíte, nemůžete spolehlivě chránit. Prvním krokem proto musí být co nejúplnější přehled zařízení připojených k OT síti. U každého zařízení by mělo být možné zjistit alespoň výrobce, model a verzi firmwaru.
V OT prostředí je vhodné dát přednost pasivnímu zjišťování zařízení před aktivním skenováním. Některá starší zařízení nemusí agresivní sondování dobře snášet. Síťové tapy nebo SPAN porty umožňují sledovat provoz a identifikovat zařízení bez nutnosti do jejich komunikace aktivně zasahovat.
Evidence zařízení by navíc neměla být jednorázovým dokumentem, který po vytvoření rychle zastará. Měla by se průběžně aktualizovat a ideálně být propojena s CMDB nebo bezpečnostními platformami.
U moderních průmyslových sítí založených na IP komunikaci je potřeba sledovat také samotné komunikační vzorce. Monitoring síťových toků umožňuje zjistit, která zařízení spolu komunikují, a zmapovat, jak se data pohybují od výrobní technologie směrem k podnikovým systémům.
Praktické je rozdělit komunikaci do tří kategorií:
  • očekávaná – odpovídá běžnému provozu a vytváří jeho základní profil, 
  • tolerovaná – je dočasně přípustná, ale měla by být pravidelně přezkoumávána, 
  • zakázaná – měla by vést k okamžitému upozornění. 
Takové rozdělení usnadňuje každodenní monitoring a pomáhá omezit množství zbytečných upozornění. 

2. Důsledně segmentujte síť

Pokud útočník pronikne do podnikové sítě, neměl by mít možnost automaticky pokračovat směrem k průmyslovým systémům. Právě tomu má bránit správně nastavená segmentace. Architektura může vycházet z vrstevnatého modelu, například principů Purdue Modelu. Není ale vhodné brát podobné modely jako rigidní šablonu. Každé průmyslové prostředí má vlastní specifika a bezpečnostní architekturu je potřeba přizpůsobit skutečnému provozu.
V praxi to znamená především:
  • Oddělit prostředí: firewally nebo řízené komunikační cesty by měly oddělit OT síť od podnikové IT infrastruktury. Ploché sítě výrazně usnadňují laterální pohyb útočníka a v OT prostředí představují významné riziko. 
  • Vytvořit bezpečnostní zóny: výrobní linky, bezpečnostní systémy a podpůrné služby nemusejí být ve stejné síťové zóně. Přístup mezi jednotlivými částmi by měl odpovídat jejich významu a skutečným provozním potřebám. 
  • Využít jump servery: komunikace mezi jednotlivými sítěmi může procházet přes kontrolovaný vstupní bod, který je zabezpečený, monitorovaný a propojený se systémy pro správu identit. 
Tam, kde to prostředí dovoluje, má smysl uvažovat také o mikrosegmentaci. I uvnitř jedné výrobní zóny může omezení komunikace mezi jednotlivými řídicími prvky výrazně zmenšit prostor pro laterální pohyb útočníka. 

3. Sledujte odchylky od běžného provozu

V OT prostředí není vždy možné spoléhat na pravidelné záplatování. O to důležitější je průběžný monitoring a schopnost odhalit neobvyklé chování. Součástí ochrany mohou být systémy IDS a nástroje pro detekci anomálií přizpůsobené průmyslovým protokolům. Ty mohou sledovat například neobvyklé posloupnosti příkazů nebo změny v komunikačních vzorcích.
Detekce anomálií má smysl pouze tehdy, pokud systém ví, co je pro dané prostředí normální. V průmyslové síti proto nestačí sledovat jednotlivé události izolovaně. Je potřeba znát běžné komunikační vzorce, počítat s údržbou i změnami směn a teprve proti tomuto obrazu vyhodnocovat odchylky. Jinak bezpečnostní tým dostane místo užitečných upozornění jen další zdroj šumu.
V praxi se vyplatí sledovat například:
  • aktivitu na úrovni jednotlivých příkazů, nikoli pouze síťové toky; neoprávněný zápis do PLC může představovat vysoce rizikovou událost, 
  • souvislosti mezi událostmi v OT a IT; pokud například kompromitovaná IT stanice začne komunikovat s OT zařízeními, může jít o známku laterálního pohybu, 
  • míru rizika namísto jednoduchého dělení na bezpečné a nebezpečné; bezpečnostní tým pak může incidenty prioritizovat podle jejich možného dopadu na provoz. 

4. Zabezpečte vzdálený přístup a dodavatele

Vzdálený přístup patří mezi běžné vstupní body do OT prostředí. Dodavatelé jej potřebují například pro údržbu a technickou podporu, tyto přístupy ale nemusí být monitorovány stejně důsledně jako interní komunikace.
Vzdálený přístup by proto měl procházet centrálně řízeným bodem, být chráněn vícefaktorovým ověřováním a omezen na předem definované časové okno. Každá relace by měla být zaznamenána, aby bylo možné zpětně dohledat, kdo se k systému připojil a jaké změny provedl.
Trvalá VPN spojení je vhodné omezovat. Bezpečnější přístup představuje model, kdy je přístup povolen pouze na konkrétní dobu a pro konkrétní relaci. Záznam relace pak poskytuje nejen podklady pro případné vyšetřování incidentu, ale také jasnou odpovědnost za provedené činnosti.
Řízení rizik spojených s dodavateli by mělo zahrnovat také smluvní bezpečnostní požadavky. Dodavatelé by měli respektovat stanovená pravidla, včetně aktualizace vlastních nástrojů a povinnosti informovat zákazníka o zjištěných zranitelnostech. 

5. Jasně rozdělte odpovědnost za modernizaci

Modernizace starší infrastruktury je dlouhodobý proces a bez jasně rozdělených kompetencí se může snadno dostat na vedlejší kolej.IT ředitel obvykle odpovídá za bezpečnostní architekturu a výběr technických standardů, zatímco provozní vedení nebo vedoucí konkrétního závodu musí mít kontrolu nad harmonogramem změn.
IT tým přináší znalosti v oblasti konektivity a bezpečnosti. OT tým naopak musí určit, kdy je možné výrobu bezpečně zastavit kvůli aktualizaci nebo výměně technologie.
Obě strany by proto měly společně vytvořit tří – až pětiletý plán modernizace a přednostně řešit systémy s nejvyšším rizikem, které se blíží konci své životnosti.
Při určování priorit by měly hrát roli například:
  • míra vystavení – zda je systém připojen k internetu, nebo izolovaný, 
  • kritičnost daného procesu, 
  • dostupnost podpory ze strany dodavatele, 
  • známé zranitelnosti. 
Bezpečnost by měla být součástí také nákupu nových technologií. Požadavky na bezpečnost již ve fázi návrhu by měly zahrnovat například bezpečné komunikační protokoly, řízení přístupu podle rolí a možnost napojení na centrální systémy monitoringu. 

6. Připravte incident response specificky pro OT

Klasické postupy reakce na incidenty známé z IT prostředí nemusí v OT fungovat. Vypnutí kompromitovaného systému může být v běžném IT relativně jednoduchým opatřením. V průmyslovém provozu ale může znamenat přerušení výroby nebo dokonce vytvořit bezpečnostní riziko.
Organizace by proto měly mít postupy reakce na incidenty přizpůsobené OT prostředí. Měly by obsahovat:
  • jasné rozhodovací postupy pro jednotlivé kroky izolace, 
  • přesně definované role IT bezpečnosti a provozních týmů, 
  • předem připravené scénáře, jak izolovat napadené systémy bez nutnosti zastavit výrobu. 
Nestačí mít tyto postupy pouze na papíře. Je potřeba je pravidelně procvičovat. Praktickým nástrojem jsou například tabletop cvičení, při nichž týmy simulují realistické scénáře, jako je šíření ransomwaru z IT prostředí do OT, a ověřují, zda dokážou vzájemně koordinovat své kroky. 

7. Monitorujte prostředí průběžně a měřte výsledky

Bezpečnost není projekt, který jednou nasadíte a tím je hotovo. Účinná ochrana vyžaduje průběžný monitoring a ukazatele, podle kterých lze poznat, zda přijatá opatření skutečně fungují.
Pro vedení organizace mohou být relevantní například:
  • podíl OT zařízení, která jsou řádně evidována, 
  • počet zablokovaných neoprávněných pokusů o komunikaci, 
  • průměrná doba potřebná k detekci anomálie, 
  • pokrytí monitorovaných částí sítě. 
Tyto údaje by měly být pravidelně reportovány technickým týmům i vedení společnosti. Smyslem je převést technické výsledky bezpečnostních opatření do jazyka, kterému rozumí management – tedy do míry snížení provozního a podnikatelského rizika. 

Jak získat podporu vedení i provozu

Zabezpečení průmyslových systémů vyžaduje nejen technická opatření, ale také odpovídající rozpočet a podporu vedení. Pokud má organizace získat potřebné prostředky, nestačí mluvit pouze jazykem technologií. Bezpečnost je třeba propojit s konkrétním dopadem na podnikání.
Jedním z nejpřesvědčivějších argumentů jsou náklady na odstávku. Úspěšný ransomware útok může například vyřadit systémy SCADA na týdny, způsobit významné finanční ztráty a poškodit vztahy se zákazníky. Obnova OT prostředí je navíc často podstatně složitější než obnova běžné IT infrastruktury, protože je přímo spojena s fyzickými procesy a konkrétními technologiemi.
Pomoci mohou také zkušenosti z reálného světa. Útoky na kritickou infrastrukturu ukázaly, že průmyslové prostředí není pro útočníky nedostupné a že své aktivity dokážou zaměřit velmi přesně.
Bezpečnost by proto neměla být prezentována jako překážka digitalizace. Správně nastavená segmentace a monitoring naopak umožňují bezpečně zavádět nové technologie – například prediktivní údržbu, vzdálený provoz nebo datovou optimalizaci, aniž by organizace přijímala nepřiměřené riziko.
Konvergence IT a OT není trend, který mohou organizace jednoduše zastavit. Propojení podnikových a průmyslových systémů bude pokračovat stejně jako tlak na jejich digitalizaci. Otázkou proto není, zda IT a OT propojit, ale jak to udělat bezpečně.
Základem přitom není další bezpečnostní nástroj. Je jím přehled o prostředí, znalost toho, jak v něm probíhá komunikace, schopnost rozpoznat změny a připravenost reagovat bez ohrožení samotného provozu.
 
Nick Vlasov
Autor článku působí na pozici Head of Product Management ve společnosti Progress Software.
Chcete získat časopis IT Systems s tímto a mnoha dalšími články z oblasti informačních systémů a řízení podnikové informatiky? Objednejte si předplatné nebo konkrétní vydání časopisu IT Systems z našeho archivu.

Inzerce

Systematické začleňování AI do procesů ve firmách je teprve na začátku

Říjnové vydání IT Systems je zaměřeno především na digitalizaci obchodních a logistických procesů. Stále větší roli zde hraje automatizace a využití AI, která postupně proniká nejen do každodenního provozu firem, ale velmi intenzivně vstupuje do hry také na straně zákazníků.

Tematickou přílohu jsme tentokrát věnovali ERP systémům, zejména předpokladům jejich úspěšné implementace. Praxe totiž opakovaně potvrzuje, že o úspěchu ERP projektů nerozhodují pouze schopnosti zvoleného řešení, ale především dobře definované cíle a procesy, dostatečné zapojení klíčových uživatelů a schopnost prosadit nutné změny.