SOITRON s.r.o.

Lukáš Smelík: Výrobní firmy propojují stroje s IT systémy, využívají cloud, vzdálenou správu nebo IoT a pracují se stále větším množstvím dat. Každé takové propojení přináší nové možnosti, zároveň ale může otevřít další cestu pro bezpečnostní incident. S Petrem Kocmichem ze Soitronu se podíváme na to, jak chránit moderní výrobní prostředí a přitom kyberbezpečnost nemít jako brzdu pro rozvoj digitalizace. Petře, já vás vítám u toho rozhovoru.

Petr Kocmich: Děkuju moc krát, dobrý den.

Lukáš Smelík: Výroba je dnes, jak jsem naznačil, hodně propojená. Je to násobně více než před několika lety. Kde si myslíte, že jsou ta slepá místa bezpečnosti v rámci digitalizace?

Petr Kocmich: No, to je velice široké téma, ale obecně přesně ten problém, který tady nastává, je ten, kdy vlastně ta IT část, tak jak ji známe, tak čím dál tím více konverguje do té OT části, do té výrobní části. A vlastně ta výrobní část na to není úplně připravená. A my už máme spoustu zkušeností s tím, jakým způsobem zabezpečovat tu IT část. A vlastně čím ta konvergence je právě čím dál tím větší, tak se vlastně musíme i k té OT části začít chovat tak, jako by to byla ta IT část. A to je ten oříšek, který je zapotřebí opravdu řešit.

Lukáš Smelík: Zmínil jste propojení IT a OT. Tam často narážíme na to, že jsou ve výrobě starší technologie, které nejsou připojené k internetu, ale spousta dodavatelů těchto řešení dneska i ty staré stroje se pokouší připojit na internet. Je to často ta kybernetická hrozba – právě ty stará zařízení?

Petr Kocmich: Říkáte to správně, je to pravda. Celý ten problém vznikl i tím, že obecně právě to IT a to OT má úplně jiné priority. Má úplně jiné, řekněme, cykly obnovy těch hardwarových prvků. A typicky, kde my v IT obnovujeme v rámci nějakých tří až pěti let nebo takového kratšího cyklu, tak v rámci OT je to problematické, kde mnohdy jsou ty řešení třeba 20 plus let. A musí nějakým způsobem vlastně fungovat i v rámci ROI, tedy return of investments. A ta problematika právě vzniká tou obsolentností těch řešení, které tam zůstávají dlouhou dobu. A samozřejmě to, že se ta výroba nějakým způsobem posunuje zase do moderní doby a připojí se tam nové typy zařízení, které komunikují právě například právě do toho internetu a nekomunikují bezpečnou cestou, nejsou tam žádné demilitarizované zóny, nejsou tam vlastně žádné zabezpečené oblasti, zóny, přes které může opravdu to zařízení komunikovat ven nebo se úplně nechává to zařízení otevřené a je dostupné i zvenčí, což je samozřejmě opravdu velký problém. A takto nám ty konkrétní bezpečnostní incidenty právě vznikají.

Lukáš Smelík: Já si osobně myslím, že možná je trochu problém v pochopení té role kyberbezpečnosti a bezpečnosti. Kdy by se ta firma měla začít zabývat tou kyberbezpečností? Protože mě to přijde, že nejprve je digitalizace a pak se začíná řešit kyberbezpečnost, ale nepřijde mi, že je to úplně nejlepší postup.

Petr Kocmich: Není to úplně nejlepší postup. Obecně to pravidlo je, že bezpečnost by měla být integrální součástí vlastně veškerých jednotlivých, řekněme, projektů, implementací a digitalizace jako takové. A i z pohledu financí je mnohem lepší obecně tu bezpečnost řešit už u vzniku toho konkrétního projektu, spíš než se snažit tu bezpečnost roubovat na to konkrétní řešení, které se potom naimplementuje.

Lukáš Smelík: Jestli vnímám něco jako trošičku ne problém, ale výzvu té kyberbezpečnosti, tak to je ten výrobní manažer, který by potřeboval mít těch dat a těch zařízení propojených co nejvíce, aby to neblokovalo práci. Pak přijde IT manažer a řekne: „To je sice všechno super a mohlo by to fungovat, ale z hlediska bezpečnosti vám to nepovolíme.“ Tak jak hledat ten balanc mezi tím, co je potřeba a co je ještě bezpečné?

Petr Kocmich: Skvělá otázka, to je přesně ta výzva, které čelí všichni naši zákazníci. Ideální je mít tedy nějakého partnera, který dokáže tyhle dva světy, které jsou od sebe opravdu velice daleko odsažené, propojit a pomoci i pomocí nějakého aktuálního popisu stavu a jednotlivých rizik vlastně propojovat ty dva světy, prioritizovat ty jednotlivé postupy v rámci implementace nových technologických řešení a zároveň i mitigace nějakých nalezených nebezpečných míst, právě těch rizik. Tak ideálem je mít někoho, kdo to dokáže propojit, takže typicky partnera. Pokud se opravdu ty dvě strany nedokážou spolu úplně stejnými slovy bavit, což většinou půl na půl nedokáží, protože jsou opravdu ty světy dosti odlišné. Tak jak říkám, myslím si, že primární je mít dobrého partnera, který vám dokáže provést tou implementací a tím spojením těch dvou světů dohromady.

Lukáš Smelík: Já teď přemýšlím, jestli je to odpověď i na mou další otázku. Čím začít? Je to najít si dobrého partnera?

Petr Kocmich: Je to určitě o tom… Možná jako spoustu prvních kroků, které může zákazník udělat a to je vlastně i o tom, o čem bude moje přednáška, se dají udělat samostatně v rámci toho zákazníka samostatného jako takového. Teprve potom se může rozhodnout, jakým způsobem se chce tím celým procesem nechat provést třeba pomocí toho partnera. Ale ideální je, že ten zákazník v tu chvíli na začátku určitě musí znát, v jakém se aktuálně nachází stavu. Takže ten nějaký popis, jak tomu říkáme „as is“ stavu, toho základního stavu, ve kterém se nachází, a potom postupného rozvoje té bezpečnosti a implementace bezpečnosti do celé té, řekněme, infrastruktury IT i OT právě u těch konkrétních v těch prostorách těch zákazníků. Takže z mého pohledu je to o tom, že zákazník nejdřív musí pochopit, kde se nachází. S tím mu samozřejmě dokážou partneři pomoci také, ale mnohdy si tuto analýzu může udělat úplně sám – vlastně rozhodnout se, zhlédnout se, co se tam nachází. Ono to dneska není o nějakém firewallu, je to o tom, že ten zákazník by měl začít řešit konkrétní oblasti, jako je viditelnost sítě, pochopit, co se mu tam nachází za zařízení, jak ty zařízení komunikují, kdo k nim přistupuje a jestli má obecně dostatek informací o tom, co se vůbec může dít v celém tom prostředí, tak aby byl schopný reagovat na nějaké bezpečnostní incidenty.

Lukáš Smelík: A tady zaznělo, že to bude součástí prezentace. Ta prezentace zazní na konferenci Smart Industry 12. listopadu v Plzni. A co dalšího od vás mohou návštěvníci konference očekávat, respektive s čím ideálně za vámi jít, aby našli toho parťáka na kyberbezpečnost? To jsem pochopil, ale kdyby chtěl zcela konkrétně vás oslovit na konferenci, tak čím otevřít tu otázku?

Petr Kocmich: Jasně. Tak ta prezentace bude popisovat základní oblasti, které si představíme na konkrétní případové studii jednoho z našich zákazníků, který působí v citlivém dodavatelském řetězci. Budeme pod NDAčkem, i z pohledu bezpečnosti nemůžeme úplně konkrétně říct, o jakého zákazníka se jedná. Můžu jenom prozradit, že se jedná o potravinářský průmysl. Nicméně na tom konkrétním příkladu anonymizovaného zákazníka si představíme základní oblasti, které by měl vlastně řešit dneska úplně každý zákazník. A právě pomůžeme popsat tu konvergenci toho IT do OT. A v případě, že se bude zákazníkům má prezentace líbit, tak určitě velice rádi je potom uvítáme u nás na stánku, kde si konkrétně můžeme popsat jejich konkrétní případy, jejich konkrétní infrastrukturu a můžeme si říct, jakým způsobem by se měli odrazit od té základní, řekněme, analýzy toho aktuálního stavu a postupovat kroky dále v rámci implementace a postupného, řekněme, zlepšování rezilience celé jejich infrastruktury.

Lukáš Smelík: Já myslím, že na základě této pozvánky určitě máme co řešit. Ale i pro ty, co třeba nedorazí, tak mě by zajímalo, existuje nějaká jednoduchá poučka nebo věc, co si zkontrolovat ve firmě, jestli jsem opravdu v té bezpečnosti udělal dost, anebo odpověď je: nikdy jsme neudělali dost?

Petr Kocmich: Ono víte, to je tak, že každý dneska v rámci bezpečnosti, každá společnost by se měla snažit stavět tu zeď dostatečně vysokou proto, aby odolala těm úplně běžným, standardním, plošným typům útoků. To je takový ten úplný základ a to se týká konkrétních oblastí, konkrétních technologií, do kterých úplně nechci teďkon zabíhat do detailů. Ale abychom byli zcela rezilientní vůči jakýmkoli, řekněme, i státem sponzorovaným útokům, protože se nacházíme samozřejmě ve velice komplexní době geopolitických situací, tak to nebude asi skoro nikdy, protože vždy se snažíme investovat do bezpečnosti pouze takový objem peněz, který dává smysl tomu byznysu jako takovému. A totální rezilience v dnešní době prakticky neexistuje.

Lukáš Smelík: Nicméně, abychom se dostali v té rezilienci alespoň tam, kde potřebujeme, tak si myslím, že ideální způsob je navštívit konferenci Smart Industry, vyhledat si Petra Kocmicha s kolegy ze společnosti Soitron, a to už 12. listopadu v Plzni. Já moc děkuji za tohle povídání, myslím si, že v rámci kyberbezpečnosti ještě máme hodně věcí před sebou a věřím tomu, že jste ideální partner, jak firmám pomoct. Děkuji moc.

Petr Kocmich: Děkujeme. Těšíme se na vás.