®01
Platforma danych Przemysłu 4.0 z MES, ERP i OPC UA
Architektura integracji z katalogiem interfejsów i umowami danych
Więcej na ten tematBranże / Przemysł produkcyjny
Łączyć produkcję. Chronić know-how.
Łączyć MES, ERP i produkcję oraz zabezpieczać sterowanie przemysłowe.
Doradztwo. Integracja. Eksploatacja.
Dla ludzi z Państwa branży.
- Producenci maszyn i urządzeń
- Przemysł motoryzacyjny i dostawcy
- Producenci elektroniki i urządzeń
- Producenci seryjni z wieloma zakładami
Państwa priorytety
Zrozumieć zadania. Kształtować rozwiązania.
Integrujemy MES i ERP w spójny łańcuch danych, łączymy dane maszynowe i jakościowe na platformach danych oraz opracowujemy modele predykcyjnego utrzymania ruchu i planowania.
02
Bezpieczny zdalny dostęp serwisowy dla instalacji i producentów
Koncepcja dostępu z rolami, procesem zatwierdzania i aneksem umownym dla producentów
Więcej na ten temat03
Konserwacja predykcyjna i prognozowanie jakości z uczeniem maszynowym
Platforma danych z modelem instalacji i podłączonymi źródłami
Więcej na ten tematOd strategii po system
Sześć modułów usług
Sześć obszarów działania. Proszę wybrać ten, któremu chcą się Państwo przyjrzeć bliżej.
01Platforma danych Przemysłu 4.0 z MES, ERP i OPC UAOPC UA · MQTT i Sparkplug B · ISA-95
Nasze podejście
System realizacji produkcji (MES) steruje produkcją, ERP prowadzi zamówienia, materiały i finanse, a maszyny zgłaszają stany przez OPC UA. Między te warstwy wprowadzamy warstwę integracyjną zgodną z ISA-95 z wersjonowanymi interfejsami, dzięki czemu zamówienia trafiają automatycznie na halę produkcyjną, a potwierdzenia wracają bez poprawek. Starsze instalacje podłączamy przez doposażone bramki, bez ingerencji w sterowanie. Dane podstawowe, listy materiałowe i partie pozostają spójne w jednym systemie źródłowym.
Szczegółowy zakres usług
- Katalog interfejsów zgodny z ISA-95 z umowami danych, osobami odpowiedzialnymi i zależnościami między MES, ERP i halą produkcyjną
- Podłączenie maszyn przez OPC UA, MQTT ze Sparkplug B oraz doposażone bramki dla instalacji bez interfejsu
- Przetwarzanie zdarzeń za pomocą Apache Kafka i magazynu szeregów czasowych dla stanów, taktów i cech jakościowych
- Pobieranie zamówień, potwierdzenia i identyfikowalność partii między MES a ERP, na przykład SAP S/4HANA, przez wersjonowane interfejsy
- Zautomatyzowane testy, proces zatwierdzania i monitoring dla każdego interfejsu, zmiany w oknie serwisowym zakładu
Producent seryjny zastępuje nocne eksporty plików między MES a ERP warstwą integracyjną; planowanie widzi stany maszyn i potwierdzenia w tym samym takcie co produkcja.
Co otrzymują Państwo
- Architektura integracji z katalogiem interfejsów i umowami danych
- Przetestowane, wersjonowane interfejsy między MES, ERP a halą produkcyjną
- Podręcznik eksploatacji z monitoringiem i procedurami zmian
02Bezpieczeństwo OT ze strefami i kanałami zgodnie z IEC 62443IEC 62443-3-3 · OPSWAT MetaDefender NetWall · OPSWAT MetaDefender Kiosk
Nasze podejście
IEC 62443 dzieli instalację na strefy o jednakowym poziomie wymaganej ochrony oraz kanały dla kontrolowanego ruchu między nimi, a każda strefa otrzymuje docelowy poziom bezpieczeństwa. Rejestrujemy instalacje, sterowniki i przepływy danych, oceniamy ryzyko zgodnie z IEC 62443-3-2 i oddzielamy sieci produkcyjne od sieci biurowej za pomocą segmentacji, firewalli i diod danych. Pasywny monitoring sieci wykrywa nowe urządzenia i nietypowe połączenia, nie obciążając sterowników. Nośniki wymienne i laptopy serwisowe przechodzą przez śluzę, zanim wejdą do strefy.
Szczegółowy zakres usług
- Inwentarz instalacji ze sterownikami, HMI, siecią i dostępami zdalnymi jako podstawa dla stref i kanałów
- Ocena ryzyka i model stref zgodnie z IEC 62443-3-2 z docelowym poziomem bezpieczeństwa dla każdej strefy zgodnie z IEC 62443-3-3
- Segmentacja za pomocą firewalli przemysłowych, diod danych i DMZ między IT biurowym a produkcją zgodnie z modelem Purdue
- Pasywny monitoring OT z inwentarzem instalacji, wykrywaniem anomalii i połączeniem z SIEM
- Śluza dla nośników wymiennych i laptopów serwisowych, utwardzanie stacji inżynierskich i kopia zapasowa programów sterowania
Dostawca motoryzacyjny rozdziela tłocznię, lakiernię i montaż na strefy z własnymi kanałami; incydent w IT biurowym od tego czasu nie wpływa na linie produkcyjne.
Co otrzymują Państwo
- Model stref i kanałów z oceną ryzyka zgodnie z IEC 62443-3-2
- Zsegmentowana sieć produkcyjna z regułami firewalla i śluzą
- Monitoring OT z inwentarzem instalacji i alarmowaniem w SIEM
03Bezpieczny zdalny dostęp serwisowy dla instalacji i producentówZarządzanie uprzywilejowanym dostępem · FIDO2 i klucze dostępu (passkeys) · OpenID Connect
Nasze podejście
Producenci maszyn, integratorzy i własne służby utrzymania ruchu potrzebują dostępu do sterowników, często nocą i spoza zakładu. Zastępujemy trwałe tunele VPN i współdzielone hasła centralną platformą dostępową z kontami osobistymi, uwierzytelnianiem wieloskładnikowym i zatwierdzaniem dla każdego zlecenia. Każda sesja kończy się na serwerze pośredniczącym (jump server) w strefie, jest rejestrowana i kończona automatycznie po zamknięciu zgłoszenia. Firmy zewnętrzne mają dostęp tylko do maszyny wskazanej w zgłoszeniu i tylko na uzgodniony czas.
Szczegółowy zakres usług
- Koncepcja dostępu z rolami dla producentów, integratorów i utrzymania ruchu, zatwierdzanie dla każdego zlecenia przez zgłoszenie, na przykład w Jira Service Management
- Centralna platforma dostępowa z dostawcą tożsamości, uwierzytelnianiem wieloskładnikowym zgodnym z FIDO2 i kontami osobistymi dla firm zewnętrznych
- Serwer pośredniczący i zarządzanie uprzywilejowanym dostępem z rejestrowaniem sesji, oknami czasowymi i automatycznym przerywaniem
- Kanały dla zdalnego dostępu serwisowego zgodne z IEC 62443 z filtrowaniem protokołów, bez trwałego tunelu do strefy
- Zastąpienie routerów i modemów producentów przy maszynie udokumentowanym planem migracji dla każdej instalacji
Zakład łączy zdalne dostępy kilku producentów maszyn na jednej platformie dostępowej; każde zlecenie jest przypisane do zgłoszenia, zarejestrowane i dostępne do wglądu przy audycie klienta.
Co otrzymują Państwo
- Koncepcja dostępu z rolami, procesem zatwierdzania i aneksem umownym dla producentów
- Gotowa do pracy platforma dostępowa z serwerami pośredniczącymi dla każdej strefy
- Protokoły sesji i raporty dla audytów klientów i NIS2
04Tożsamości urządzeń i podpisywanie oprogramowania układowego z PKI opartą na HSMEntrust nShield 5c · Utimaco u.trust GP HSM Se-Series · Thales Luna 7 Network HSM
Nasze podejście
Cyber Resilience Act wymaga dla produktów z elementami cyfrowymi bezpiecznych aktualizacji przez cały okres wsparcia. Budujemy PKI urządzeń, której root CA i issuing CA przechowują swoje klucze w HSM zwalidowanym zgodnie z FIPS 140-3 Level 3. Podpisywanie oprogramowania układowego odbywa się z poziomu potoku kompilacji z rozdziałem ról, zatwierdzaniem i protokołem dla każdej wersji. Każde urządzenie otrzymuje na linii produkcyjnej własną tożsamość zgodną z IEEE 802.1AR, którą później przedstawia w chmurze, przy zdalnym dostępie serwisowym i na serwerze aktualizacji. Niezależnie od producenta wybieramy między Entrust nShield 5c, Utimaco u.trust GP HSM i Thales Luna 7, w zależności od certyfikacji, przepustowości i modelu eksploatacji.
Szczegółowy zakres usług
- Architektura PKI z root CA działającym offline, issuing CA dla każdej linii produktów i przechowywaniem kluczy w HSM zwalidowanym zgodnie z FIPS 140-3 Level 3
- Podpisywanie oprogramowania układowego w potoku CI/CD z rozdziałem ról, zatwierdzaniem zgodnie z zasadą czterech oczu i protokołem podpisu dla każdej wersji
- Tożsamości urządzeń zgodne z IEEE 802.1AR z generowaniem kluczy w urządzeniu i wydawaniem certyfikatów przez EST lub SCEP na linii produkcyjnej
- Cykl życia certyfikatów z EverTrust CLM, odnową w terenie, unieważnianiem i dowodami dla Cyber Resilience Act
- Bezpieczny rozruch i weryfikacja aktualizacji w urządzeniu, SBOM dla każdej wersji oprogramowania układowego oraz proces obsługi podatności zgodny z załącznikiem I CRA
Producent sterowników napędów przenosi swój klucz podpisu z serwera kompilacyjnego do HSM; każda wersja jest podpisywana po zatwierdzeniu, a każde urządzenie opuszcza zakład z własnym certyfikatem.
Co otrzymują Państwo
- Architektura PKI z polityką certyfikacji i koncepcją HSM
- Usługa podpisu w potoku kompilacji z dowodem w protokole
- Rejestracja urządzeń na linii produkcyjnej z procesem cyklu życia
05Konserwacja predykcyjna i prognozowanie jakości z uczeniem maszynowymTimescaleDB · scikit-learn · XGBoost
Nasze podejście
Maszyny dostarczają drgania, temperatury, prądy i czasy cykli, stacje kontrolne dostarczają wartości pomiarowe i przyczyny braków. Łączymy te szeregi z danymi zamówień i utrzymania ruchu i trenujemy na nich dwa rodzaje modeli. Jedne wykrywają anomalie w łożyskach, wrzecionach i pompach na dni przed awarią, drugie przewidują jakość partii na podstawie parametrów procesu. Każda prognoza podaje cechy, które ją wywołały, aby utrzymanie ruchu i kontrola jakości mogły ją zweryfikować. Modele działają w eksploatacji z wersjonowaniem, z monitoringiem dryfu danych i kontrolowanym ponownym trenowaniem po zmianie narzędzia lub receptury.
Szczegółowy zakres usług
- Platforma danych dla szeregów czasowych z OPC UA, stacji kontrolnych, MES i systemu utrzymania ruchu z jednolitym modelem instalacji
- Wykrywanie anomalii dla łożysk, wrzecion, pomp i napędów z analizą drgań i prądu, zweryfikowane na podstawie historycznych awarii
- Prognoza jakości dla każdej partii na podstawie parametrów procesu z wyjaśnieniem najważniejszych czynników wpływu
- Integracja prognoz ze zleceniami utrzymania ruchu i planami kontroli, alarmowanie z progami dla każdej instalacji
- Eksploatacja modeli z wersjonowaniem, monitoringiem dryfu i dokumentacją zgodną z AI Act dla systemów mających związek z bezpieczeństwem pracy
Producent elementów z tworzyw sztucznych przewiduje braki dla każdej partii na podstawie temperatury, ciśnienia i czasu cyklu; nastawiacze korygują parametry, zanim stacja kontrolna zgłosi problem.
Co otrzymują Państwo
- Platforma danych z modelem instalacji i podłączonymi źródłami
- Wersjonowane modele do wykrywania anomalii i prognozowania jakości z kartą modelu
- Pulpit eksploatacyjny z alarmami i monitoringiem dryfu
06Gotowość na PQC dla tożsamości maszyn o długim cyklu życiaML-KEM (FIPS 203) · ML-DSA (FIPS 204) · LMS i XMSS (SP 800-208)
Nasze podejście
Maszyny pozostają w terenie dwadzieścia lat, jednak ich certyfikaty i podpisy opierają się na RSA i krzywych eliptycznych, które złamią wydajne komputery kwantowe. Inwentaryzujemy kryptografię w sterownikach, PKI urządzeń, zdalnym dostępie serwisowym i podpisach oprogramowania układowego oraz oceniamy każde zastosowanie według okresu eksploatacji urządzenia i nakładu na wymianę. Podpisy oprogramowania układowego przestawiamy jako pierwsze, ponieważ metody oparte na funkcjach skrótu, takie jak LMS i XMSS, są już dziś znormalizowane i działają w HSM. Dla tożsamości urządzeń i TLS następują ML-DSA i ML-KEM z certyfikatami hybrydowymi, gdy tylko sterowniki i biblioteki zaczną je obsługiwać.
Szczegółowy zakres usług
- Inwentarz kryptograficzny obejmujący sterowniki, PKI urządzeń, zdalny dostęp serwisowy, TLS i podpisy oprogramowania układowego, na życzenie z EverTrust CPM
- Ocena dla każdego zastosowania według okresu eksploatacji urządzenia, nakładu na wymianę w terenie i czasu ochrony danych
- Przestawienie podpisów oprogramowania układowego na LMS lub XMSS zgodnie z NIST SP 800-208 z zarządzaniem stanem w HSM
- Certyfikaty hybrydowe z ML-DSA dla tożsamości urządzeń oraz test sterowników pod kątem pamięci i czasu działania nowych metod
- Elastyczność kryptograficzna w kliencie aktualizacji i PKI, dzięki czemu metody można zmieniać bez wymiany sprzętu, etapowa mapa drogowa
Producent urządzeń polowych podpisuje nowe oprogramowanie układowe dodatkowo metodą LMS; urządzenia nowej generacji sprawdzają oba podpisy, starsze urządzenia zachowują klasyczną weryfikację do czasu wymiany.
Co otrzymują Państwo
- Inwentarz kryptograficzny z oceną ryzyka dla każdej linii produktów
- Mapa drogowa migracji dla podpisów oprogramowania układowego, PKI urządzeń i zdalnego dostępu serwisowego
- Koncepcja elastyczności kryptograficznej dla klienta aktualizacji i PKI
Typowe sytuacje projektowe
Gdzie zmiana staje się konkretna.
Projekt często zaczyna się od konkretnego wyzwania. Te przykłady łączą typową sytuację wyjściową z możliwym podejściem i zamierzonym wynikiem.
Przykładowe sytuacje wyjściowe, a nie referencje klientów.
01 / Przemysł produkcyjny
Przygotowanie do CRA u producenta maszyn
Nowa generacja maszyn z połączeniem sieciowym, niepodpisane aktualizacje oprogramowania układowego, klucz podpisu jako plik na serwerze kompilacyjnym, brak SBOM.
Rozwiązanie
PKI urządzeń z HSM, usługa podpisu w potoku kompilacji z zatwierdzaniem dla każdej wersji, tożsamości urządzeń nadawane fabrycznie, SBOM i proces obsługi podatności zgodny z CRA.
Podpisane aktualizacje z protokołem, dokumentacja techniczna dla oceny zgodności, wdrożony proces zgłaszania wykorzystywanych podatności.
02 / Przemysł produkcyjny
Segmentacja OT u dostawcy motoryzacyjnego
Jedna sieć od biura po prasę, zdalny dostęp serwisowy przez routery producenta przy maszynie, zapowiedziany audyt klienta zgodny z IEC 62443.
Rozwiązanie
Model stref i kanałów z oceną ryzyka, firewalle i dioda danych między IT biurowym a produkcją, centralna platforma dostępowa z rejestrowaniem sesji.
Audyt klienta zaliczony, dostępy zdalne zatwierdzane i rejestrowane dla każdego zgłoszenia, incydenty w IT biurowym bez wpływu na linie produkcyjne.
03 / Przemysł produkcyjny
Prognoza jakości u przetwórcy tworzyw sztucznych
Braki ujawniają się dopiero na stacji kontrolnej, MES i ERP wymieniają dane w nocnych przebiegach, dane procesowe leżą niewykorzystane w sterownikach.
Rozwiązanie
Warstwa integracyjna między MES a ERP, platforma szeregów czasowych przez OPC UA, model jakości dla każdej partii z wyjaśnieniem czynników wpływu.
Potwierdzenia w takcie produkcji, korekta parametrów przed kontrolą, wersjonowane modele z monitoringiem dryfu w eksploatacji.
Współpraca
Jasna droga. Z Państwa zespołem.
Od pierwszego przeglądu po bieżącą eksploatację: wspólnie uzgadniamy priorytety, zakres odpowiedzialności i wyniki poszczególnych etapów.
Tak pracujemy
- 01
Ocena
Instalacje, systemy, interfejsy, przepływy danych i luki regulacyjne
Inwentarz instalacji, katalog interfejsów, inwentarz kryptograficzny, analiza luk względem IEC 62443, NIS2 i CRA, lista priorytetowych działań - 02
Koncepcja
Model stref, architektura integracji, PKI i model eksploatacji
Model stref i kanałów, architektura integracji, koncepcja PKI i HSM, model danych, model eksploatacji, koncepcja kontroli - 03
Wdrożenie
Segmentacja, interfejsy, usługa podpisu i modele w oknach serwisowych
Zsegmentowana sieć, przetestowane interfejsy, usługa podpisu z protokołem, modele w eksploatacji, dokumentacja i odbiór dla każdego etapu - 04
Eksploatacja
Monitoring, certyfikaty, audyty, transfer wiedzy
Monitoring OT, odnawianie certyfikatów, nadzór nad modelami, wsparcie przy audycie, stopniowe przekazanie
Przed pierwszą rozmową
Nie muszą Państwo jeszcze znać wszystkich odpowiedzi.
Wystarczy konkretne wyzwanie. Te cztery pytania pomogą nam wspólnie znaleźć właściwy kierunek.
Umów pierwszą konsultację- 01
Co ma się zmienić?
Aktualne wyzwanie i oczekiwany przez Państwa wynik.
- 02
Których systemów to dotyczy?
Przegląd lokalizacji, aplikacji i interfejsów.
- 03
Co wyznacza ramy?
Terminy projektu, okna serwisowe i znane zależności.
- 04
Kto powinien być zaangażowany?
Odpowiednie osoby kontaktowe z działów IT, bezpieczeństwa i eksploatacji.
Kontekst i pomoc w podejmowaniu decyzji
Czym są rozwiązania IT dla przemysłu produkcyjnego?
Sześć obszarów działania: od integracji MES z ERP po gotowość na PQC, planowane, integrowane i eksploatowane przez OTOKO®. Sieci produkcyjne, zdalny dostęp serwisowy i produkty z elementami cyfrowymi spełniają wymogi IEC 62443, NIS2 i Cyber Resilience Act, poparte solidnymi dowodami. Całe rozwiązanie działa w niemieckich centrach danych.
Rozwiązania IT dla przemysłu produkcyjnego łączą maszyny, systemy nadzorujące produkcję i oprogramowanie firmowe w jeden spójny łańcuch danych oraz zabezpieczają technikę operacyjną (OT) i produkty połączone z siecią przed atakami. OTOKO® obejmuje przy tym sześć obszarów działania: platformę danych Przemysłu 4.0 z MES, ERP i OPC UA, bezpieczeństwo OT zgodnie z IEC 62443, bezpieczny zdalny dostęp serwisowy, tożsamości urządzeń i podpisywanie oprogramowania układowego z PKI opartą na HSM, konserwację predykcyjną i prognozowanie jakości z uczeniem maszynowym oraz gotowość na PQC dla tożsamości maszyn o długim cyklu życia. Każdy obszar korzysta z tej samej bazy danych, tego samego modelu stref i tej samej PKI, dzięki czemu zakład i produkt nie są zabezpieczane osobno.
Od firmy doradczej OTOKO® odróżnia droga aż do eksploatacji. Model stref, interfejsy, modele i wydania otrzymują protokół, numer wersji oraz materiały, których wymagają audyty klientów, NIS2 i Cyber Resilience Act. Kryptografia i sprzętowe moduły bezpieczeństwa są naszą kluczową kompetencją. Dlatego klucze podpisu oraz root CA Państwa PKI urządzeń znajdują się w certyfikowanych urządzeniach, a nie w postaci pliku na serwerze kompilacyjnym.
Dlaczego OTOKO® dla przemysłu produkcyjnego
- Kryptografia i HSM
Kryptografia i sprzętowe moduły bezpieczeństwa są naszą kluczową kompetencją. Klucze podpisu dla oprogramowania układowego oraz root CA Państwa PKI urządzeń znajdują się w certyfikowanych HSM, a nie w postaci pliku na serwerze kompilacyjnym.
- Niemieckie centra danych
Całe rozwiązanie działa w niemieckich centrach danych, od platformy danych przez PKI po platformę zdalnego dostępu serwisowego.
- KRITIS i branże regulowane
Pracujemy z operatorami infrastruktury krytycznej i branżami regulowanymi. Znamy audyty klientów zgodne z IEC 62443, kontrole TISAX oraz oczekiwania bezpieczeństwa informacji i produkcji wobec zakładu.
- Jeden zespół aż do eksploatacji
Architekci bezpieczeństwa OT, deweloperzy integracji i inżynierowie danych towarzyszą Państwu od doradztwa po eksploatację, z uwzględnieniem zmian roboczych i okien serwisowych.
Warunki ramowe i szczegóły
Typowa sytuacja wyjściowa przed projektem w produkcji
Problemem większości zakładów nie jest brak techniki, lecz rozrośnięte sieci, silosy danych i obowiązki, które pojawiają się szybciej niż kolejne okno serwisowe.
01
Płaska sieć od biura po sterowanie
Sterowniki, panele HMI i komputery biurowe dzielą jedną sieć, zdalne dostępy serwisowe kończą się bezpośrednio na maszynie, a incydent ransomware w IT dociera do produkcji bez przeszkód.
02
Silosy danych między halą a biurem
Dane maszynowe leżą w formatach producentów, MES zgłasza ilości do ERP przez eksport plików, a listy materiałowe są prowadzone ręcznie w obu systemach.
03
Klucz podpisu na serwerze kompilacyjnym
Oprogramowanie układowe jest podpisywane kluczem, który leży jako plik na serwerze kompilacyjnym, bez rozdziału ról, protokołu czy planu na wypadek kompromitacji.
04
Obowiązki bez odpowiedzialności
NIS2 wymaga zarządzania ryzykiem i ścieżek zgłaszania, Cyber Resilience Act podpisanych aktualizacji i obsługi podatności, a technika operacyjna i rozwój produktów leżą poza systemem zarządzania bezpieczeństwem informacji.
Trzy modele eksploatacji
| On-premises | Niemiecka chmura | Hyperscaler | |
|---|---|---|---|
| Przechowywanie danych | Państwa zakład i Państwa centrum danych, dane OT pozostają w strefie | Centra danych w Niemczech, eksploatowane zgodnie z ISO 27001 | Azure, AWS lub Google Cloud, region do wyboru |
| Eksploatacja | Państwa zespół lub OTOKO® w modelu usługi zarządzanej | OTOKO®, z prawami audytu dla Państwa firmy i Państwa klientów | Wspólnie, usługi platformowe zapewnia dostawca |
| Narzędzia | HSM, PKI i platforma dostępowa w zakładzie, Kafka i magazyn szeregów czasowych na brzegu sieci | Hostowane HSM, PKI as a Service, platforma danych i platforma zdalnego dostępu serwisowego | Usługi HSM w chmurze, usługi IoT, zarządzane usługi danych |
| Odpowiednie dla | Dane bliskie sterownikom, klucze podpisu, zakłady bez stabilnego łącza | Producenci z audytami klientów i potrzebą suwerenności | Dane floty z wielu lokalizacji, trenowanie modeli, szczyty obciążenia |
| Zgodność z przepisami | Pełna kontrola, dowody z Państwa SZBI i modelu stref | Umowa powierzenia przetwarzania danych zgodna z RODO, lokalizacja Niemcy, dowody dla kontroli TISAX | Umowa powierzenia przetwarzania danych, standardowe klauzule umowne, scenariusz wyjścia dla każdej usługi |
Współpraca
Projekt
Jasno określone przedsięwzięcie, takie jak model stref zgodny z IEC 62443, podłączenie MES lub usługa podpisu, z określonym wynikiem, kamieniami milowymi i odbiorem.
- Ocena, koncepcja, wdrożenie, przekazanie
- Cena stała lub rozliczenie według kamieni milowych
- Odpowiednie dla modeli stref, interfejsów i przygotowania do CRA
Wzmocnienie zespołu
Architekci bezpieczeństwa OT, deweloperzy integracji lub inżynierowie danych pracują w Państwa zespołach, z Państwa narzędziami i w Państwa procesach zatwierdzania, z uwzględnieniem zmian roboczych i okien serwisowych.
- Zapoznanie się z Państwa instalacjami, systemami i procesami zatwierdzania
- Skalowanie zależnie od przebiegu projektu
- Odpowiednie dla zakładów z własnym IT, którym brakuje mocy przerobowych w obszarze OT i danych
Usługa zarządzana
OTOKO® eksploatuje platformę dostępową, PKI i usługę podpisu, platformę danych lub monitoring OT z uzgodnionymi poziomami usług, raportami oraz dowodami, których wymagają audyty klientów i NIS2.
- Monitoring, odnawianie certyfikatów, aktualizacje i wsparcie
- Prawa audytu, wskaźniki jakości usług i scenariusze wyjścia w umowie
- Odpowiednie dla producentów bez własnego zespołu eksploatacyjnego ds. PKI, HSM lub platformy
Standardy i dowody
Pięć wymogów, które dotyczą zakładów i producentów wyrobów, wraz z tym, czego wymagają i co dostarcza w tym zakresie OTOKO®.
| Wymóg | Wymaga | OTOKO® dostarcza |
|---|---|---|
| IEC 62443 | Strefy i kanały, ocena ryzyka i docelowe poziomy bezpieczeństwa dla instalacji, bezpieczny rozwój i wymagania dla komponentów dla producentów, obowiązki dla dostawców usług | Model stref i kanałów zgodny z 62443-3-2, segmentacja i monitoring zgodne z 62443-3-3, zdalny dostęp serwisowy zgodny z 62443-2-4, proces rozwoju zgodny z 62443-4-1 dla Państwa produktów |
| Cyber Resilience Act | Bezpieczeństwo od etapu projektowania, brak znanych możliwych do wykorzystania podatności przy dostawie, bezpieczne aktualizacje przez cały okres wsparcia, SBOM, zgłaszanie aktywnie wykorzystywanych podatności w ciągu 24 godzin, zgodność CE | Usługa podpisu z HSM, PKI urządzeń, mechanizm aktualizacji, SBOM dla każdej wersji, proces obsługi podatności i zgłaszania, dokumentacja techniczna dla oceny zgodności |
| NIS2 | Zarządzanie ryzykiem z bezpieczeństwem łańcucha dostaw, obsługą incydentów, kryptografią i kontrolą dostępu, zgłaszanie poważnych incydentów, odpowiedzialność zarządu, dla budowy maszyn, przemysłu elektrotechnicznego i motoryzacyjnego jako podmiotów ważnych | OT w zakresie SZBI, model stref i monitoring, ścieżki zgłaszania z terminami, dowody dotyczące zdalnego dostępu serwisowego i dostawców, dokumenty dla rejestracji w BSI |
| ISO 27001 | System zarządzania bezpieczeństwem informacji z oceną ryzyka, deklaracją stosowania, środkami z załącznika A, audytami wewnętrznymi i przeglądem zarządzania | Rozszerzenie zakresu na produkcję i rozwój produktów, rejestr ryzyka dla OT, środki i dowody, eksploatacja naszych usług zgodnie z ISO 27001 |
| TISAX | Ocena bezpieczeństwa informacji zgodnie z katalogiem VDA ISA z poziomami oceny, ochrona prototypów i ochrona danych, wymiana wyników przez platformę ENX | Analiza luk względem VDA ISA, środki dotyczące separacji sieci, dostępu i zdalnego serwisowania, dowody dla poziomu oceny, którego wymagają Państwa klienci |
Najczęściej zadawane pytania
Dobre pytania. Jasne odpowiedzi.
15 odpowiedzi dotyczących Państwa branży, projektu i późniejszej eksploatacji.
Branża i obszary działania6 pytania
Jakie rozwiązania IT dla przemysłu produkcyjnego oferuje OTOKO®?
Oferta obejmuje integrację MES, ERP i maszyn przez OPC UA, bezpieczeństwo OT zgodnie z IEC 62443 i bezpieczny zdalny dostęp serwisowy. Dochodzą do tego PKI urządzeń i podpisywanie oprogramowania układowego z HSM, konserwacja predykcyjna i prognozowanie jakości oraz gotowość na PQC dla tożsamości maszyn. Każdy obszar działania można zlecić osobno lub jako pakiet, eksploatacja odbywa się w zakładzie, w niemieckich centrach danych lub u hyperscalera.
Czy Cyber Resilience Act dotyczy też producentów maszyn i urządzeń?
Tak, gdy tylko maszyna zawiera oprogramowanie sterujące lub ma połączenie sieciowe i trafia na rynek UE. Producent musi wtedy wykazać bezpieczeństwo od etapu projektowania, obsługiwać i zgłaszać podatności, prowadzić SBOM oraz dostarczać aktualizacje bezpieczeństwa przez cały okres wsparcia. Obowiązki zgłaszania obowiązują od września 2026 roku, pozostałe obowiązki od grudnia 2027 roku. Usługa podpisu, PKI urządzeń i proces aktualizacji wymagają przed tym czasem przygotowania, ponieważ ingerują w rozwój i linię produkcyjną.
Czy można podłączyć do sieci starszy park maszynowy bez zmiany sterowników?
Z reguły tak. Instalacje bez OPC UA podłączamy przez doposażone bramki lub dodatkowe czujniki, które odczytują sygnały, nie ingerując w program sterowania. Sprawdzamy dla każdej maszyny, jakie dane są dostępne i która droga jest ekonomiczna. Strefę i kanał dla bramki planujemy od samego początku.
Jak zabezpieczyć zdalny dostęp serwisowy dla producentów maszyn?
Zamiast routera lub tunelu VPN przy maszynie każdy zewnętrzny technik otrzymuje osobiste konto z uwierzytelnianiem wieloskładnikowym. Każde zlecenie jest zatwierdzane osobno i powiązane ze zgłoszeniem oraz oknem czasowym. Sesja przebiega przez serwer pośredniczący w strefie, jest rejestrowana i kończy się automatycznie. Pracujemy z operatorami infrastruktury krytycznej i branżami regulowanymi. Tam ta procedura jest warunkiem każdego dostępu zdalnego.
Dlaczego klucze podpisu oprogramowania układowego należą do HSM?
Klucz podpisu, który istnieje jako plik, można skopiować niezauważenie. Mając skradziony klucz, atakujący mogą podawać własne oprogramowanie układowe za oprogramowanie producenta. W HSM zwalidowanym zgodnie z FIPS 140-3 Level 3 klucz nigdy nie opuszcza urządzenia, każdy podpis jest rejestrowany, a zatwierdzenie podlega rozdziałowi ról. Cyber Resilience Act wymaga dokładnie takiego dowodu dla mechanizmu aktualizacji.
Kiedy tożsamości maszyn powinny stać się odporne na komputery kwantowe?
Już teraz, wraz z inwentarzem. Urządzenia dostarczane dziś działają dłużej niż oczekiwany termin pojawienia się wydajnych komputerów kwantowych. Zmiana metody w terenie wymaga aktualizacji oprogramowania układowego, pamięci w sterowniku oraz przygotowań obejmujących kilka generacji produktu. Podpisy oprogramowania układowego metodą LMS lub XMSS można wprowadzić od razu. Tożsamości urządzeń podążają za nimi z certyfikatami hybrydowymi, gdy tylko docelowy sprzęt będzie w stanie obsłużyć ML-DSA.
Start i realizacja5 pytania
Czy możemy zacząć od jednego obszaru działania?
Tak. Możemy najpierw wyznaczyć zakres konkretnego zadania. Uwzględniamy przy tym jego powiązania z pozostałą infrastrukturą i przed realizacją ustalamy, które usługi wchodzą w zakres zamówienia.
Co powinniśmy przygotować na pierwszą konsultację?
Na początek wystarczy krótki opis wyzwania, systemów, których to dotyczy, oraz oczekiwanego przez Państwa wyniku. Dodatkowo pomocne są znane terminy i odpowiednie osoby kontaktowe. Dane dostępowe lub poufna dokumentacja systemowa nie powinny znaleźć się w pierwszym zapytaniu kontaktowym.
Kto powinien być zaangażowany w projekt?
Architekt bezpieczeństwa OT: Model stref, zdalny dostęp serwisowy, dowody zgodne z IEC 62443. Deweloper integracji: Interfejsy MES-ERP, OPC UA, bramki. Specjalista ds. kryptografii: PKI urządzeń, HSM, usługa podpisu, mapa drogowa PQC. Inżynier danych: Platforma szeregów czasowych, modele, monitoring dryfu. Doradca ds. zgodności: CRA, NIS2, TISAX, dokumenty audytowe. Kierownictwo projektu: Kamienie milowe, okna serwisowe, odbiory, raporty.
Jak ustalany jest harmonogram i nakład pracy?
Analizujemy systemy, interfejsy, stan dokumentacji i uwarunkowania eksploatacyjne. Uzgodniony zakres i kamienie milowe stanowią podstawę do oszacowania nakładu pracy. Z góry ustalony czas trwania bez tych informacji nie byłby wiarygodny.
Co dostarcza pierwsza faza projektu?
Instalacje, systemy, interfejsy, przepływy danych i luki regulacyjne Inwentarz instalacji, katalog interfejsów, inwentarz kryptograficzny, analiza luk względem IEC 62443, NIS2 i CRA, lista priorytetowych działań
Eksploatacja i dalszy rozwój4 pytania
Jakie formy współpracy są możliwe?
Projekt: Jasno określone przedsięwzięcie, takie jak model stref zgodny z IEC 62443, podłączenie MES lub usługa podpisu, z określonym wynikiem, kamieniami milowymi i odbiorem. Wzmocnienie zespołu: Architekci bezpieczeństwa OT, deweloperzy integracji lub inżynierowie danych pracują w Państwa zespołach, z Państwa narzędziami i w Państwa procesach zatwierdzania, z uwzględnieniem zmian roboczych i okien serwisowych. Usługa zarządzana: OTOKO® eksploatuje platformę dostępową, PKI i usługę podpisu, platformę danych lub monitoring OT z uzgodnionymi poziomami usług, raportami oraz dowodami, których wymagają audyty klientów i NIS2.
Jak przebiega przekazanie do eksploatacji?
Monitoring, certyfikaty, audyty, transfer wiedzy Monitoring OT, odnawianie certyfikatów, nadzór nad modelami, wsparcie przy audycie, stopniowe przekazanie
Czy możemy później dodać kolejne lokalizacje lub systemy?
Można to uwzględnić już w pierwszej koncepcji. Udokumentowane interfejsy i reguły wielokrotnego użycia stanowią podstawę do rozbudowy. Każda dodatkowa lokalizacja i każdy nowy system są jednak sprawdzane pod kątem swoich szczególnych wymagań.
Jak zapewnić długoterminową eksploatację rozwiązania?
Zakresy odpowiedzialności, powtarzające się zadania i procesy zmian są ustalane razem z realizacją techniczną. Dokumentacja i transfer wiedzy pomagają Państwa zespołowi w codziennej pracy. Jakie czynności i jakie bieżące wsparcie to obejmuje, uzgadniamy w ramach zakresu usług.
Przemysł produkcyjny
Omówmy kolejny krok.
Wspólnie ustalmy, jak połączyć maszyny, MES i ERP, jednocześnie zabezpieczając Państwa technikę operacyjną.
Umów pierwszą konsultację
