Ipari kiberbiztonság és NIS2. Hogyan védjük a gyárat úgy, hogy közben működjön is?

Az MKIK kiberbiztonsági programjának 2026. szeptember 30-i online workshopján az ipari (OT) rendszerek NIS2-megfeleléséről, az első auditok tanulságairól és a gyártóüzemek gyakorlati védelméről volt szó. Összefoglalónk a legfontosabb gondolatokat és a gyakorlatban is használható tanácsokat gyűjti össze.

Előadók

• Kazár Judit, szenior IT biztonsági tanácsadó, Rescon IT Kft., CISA, CDPSE, CEH, ISO27K1 LA, GDPR DPO
• Elter András, az MKIK kiberbiztonsági programjának szakmai vezetője, OSCP, CISSP
• Dr. Szakolyi András, CISA, adatvédelmi szakjogász, mesterséges intelligencia és technológiai jogi szakjogász, ISO 27001 és ISO 42001 LA, IBF, DPO (moderátor)

A LEGFONTOSABB ÜZENETEK RÖVIDEN

• A második NIS2-auditon már két év tényleges működését kell bizonyítani, ezért a szabályzatokban vállalt feladatokat most kell elkezdeni végrehajtani.
• Az OT-rendszerekből érdemes külön EIR-t képezni, és egy kontrollt OT-ra hivatkozva sem lehet bizonyíték és helyettesítő intézkedés nélkül kizárni.
• OT-ban a folyamatos működés és az emberi élet biztonsága az első, ezért több IT-s gyakorlat, például a legkisebb jogosultság elve, itt másként működik.
• A leghatékonyabb védelem a hálózat rétegekre bontása és az OT-n belüli forgalom szűkítése a valóban szükséges protokollokra.
• A CRA, a Data Act és az új termékfelelősségi szabályok erősítik a felhasználók helyzetét, de a berendezésgyártóknak új kötelezettségeket is hoznak.

A második audit már a működést kéri számon

Kazár Judit felkészítőként és auditorként is részt vett az első körben. Tapasztalata szerint az auditorok nagy része engedékeny volt, amit a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) által közölt, 10% alatti bukási arány is mutat. Aki a következő körben auditort vált, nem biztos, hogy ugyanazzal a bizonyítékkal átjut.

Két év múlva a működő rendszert kell bemutatni, két évre visszamenőleg. Az első auditon még nem lehetett éves oktatást, kilépőt vagy incidenst ellenőrizni, mostanra ezek szinte biztosan bekövetkeztek. Az előadó óva intett attól, hogy az oktatási, felülvizsgálati és kockázatelfogadási dokumentumokat az audit előtti hónapokban gyártsák le utólag. Ha egy előírás a gyakorlatban nem működik, a szabályzatot inkább módosítsuk. A papírmunka önmagában kevés, hiszen egyetlen zsarolóvírust sem állított még meg egy jól megfogalmazott konfigurációs szabályzat. Szakolyi András szerint az auditorok egyre gyakrabban néznek szét a helyszínen és kérdezik a felhasználókat is.

Az OT legyen külön EIR

Az érintettségről szóló viták zöme a gyártó cégeknél alakult ki. Szakolyi András szerint a Kiberbiztonsági törvény mellékleteiben felsorolt gyártási tevékenységeknél az számít, szerepel-e a tevékenység a cégkivonatban. Ha igen, a cég akkor is a hatály alá tartozik, ha a tevékenység nála marginális, ezért amit ténylegesen nem végez, azt érdemes töröltetni.

Az IT- és OT-rendszereket egy EIR-ben nehéz együtt kezelni, a vegyes rendszerbiztonsági terv megírása is bonyolult. A külön EIR audittaktikailag is előnyös, mert alap osztályban az EIR-ek legalább 40%-át, jelentős osztályban legalább 60%-át vizsgálják. Az OT-ból több EIR is képezhető, és jelentős osztályba csak az kerüljön, amit a kockázatok valóban indokolnak. A struktúra nincs kőbe vésve. Új rendszer bevezetésekor vagy egy régi kivezetésekor a rendszerbiztonsági tervet és a nyilvántartásokat kell frissíteni, az általános szabályzatokat jellemzően nem. Az ISO 27001 alapú szabályzatok mellé készülhet külön OT-kiegészítés is, de mindkét dokumentum hatályát pontosan rögzíteni kell, és az általános szabályzatnak hivatkoznia kell a kiegészítésre.

Kizárás helyett helyettesítő kontroll

Kazár Judit szerint a felkészítések során a szabályozást gyakran úgy írták meg, mintha a cégnél csak irodai informatika lenne. Egy gyártóüzemben nem életszerű, hogy a gép képernyője inaktivitás után lezáródjon, vagy hogy a műszakvezető kétfaktoros hitelesítéssel lépjen be. A leggyakoribb hiba mégis az, amikor a szervezet bizonyíték nélkül, pusztán az „OT-rendszer” címkére hivatkozva zár ki egy kontrollt. A 7/2024. (VI. 24.) MK rendelet megengedi a kontroll céljának megfelelő helyettesítő intézkedést, és a szigorúbb auditorok éppen azt kérdezik, hogyan éri el a szervezet más módon ugyanazt a hatást.

Ilyen helyzet a régi rendszereké, ahol csak egy felhasználói és egy adminisztrátori szint van, ezért a hozzáférést meg kell osztani. A kockázat tudatosan elfogadható, de ha nem visszakereshető, ki mit csinált, kiegészítő intézkedés kell, például kamera a mérnöki munkaállomásnál. A nem naplózó gyártósor több száz millió forintos cseréjét viszont senki nem várja el a megfelelés miatt.

A gyárnak mennie kell

OT-ban az emberi élet biztonsága mellett a folyamatos működés élvez elsőbbséget. Egy könyvelőprogram néhány napos kiesése áthidalható, egy vegyi üzem vezérlésének leállása viszont akár robbanáshoz is vezethet. Ezért itt a legkisebb jogosultság elve is veszélyes lehet. Ha hajnalban leáll egy gép, jobb, ha a mérnök eltávolítja az USB-portot lezáró biztonsági szalagot, és utólag dokumentálja a beavatkozást, mint ha a port le lenne tiltva. Ez persze nem jelenti, hogy mindenki mindenhez hozzáférhet, a vonalkódot leolvasó dolgozónak nincs szüksége széles jogosultságra.

Az ellátási lánc is külön kockázat. A beszállító sokszor fekete dobozként telepít egy rendszert, a rövid szállítási határidőt ígérő szerződés pedig alkatrészhiánynál keveset ér. Perelni lehet, de addigra a gyár áll. A PLC-ken akkor is legyen jelszó, ha azt a szekrény belsejébe ragasztják, mert így a támadónak fizikailag oda kell jutnia. Új gyártósor beszerzésekor a biztonsági követelményeket, például a digitálisan aláírt PLC-programokat, már a szerződésben érdemes kikötni.

A Purdue-modell, avagy minden szint csak eggyel feljebb beszél

Kazár Judit a hálózat kialakításának alapjaként a Purdue-modellt ajánlotta, amely a rendszereket a nulladik szinttől az ötödikig rétegekbe sorolja. A kommunikáció mindig csak egy szinttel feljebb irányul, lefelé csak karbantartáskor nyílik csatorna. A legalsó szint kritikus rendszere nem az internetről frissül, és nem kap VPN- vagy VNC-hozzáférést. Így egy felsőbb szint kompromittálódásakor is működik az alsó.

Az IT és az OT között, valamint a külső határon teljes értékű tűzfal kell. Az OT-n belül viszont gyakori hiba, hogy a cég több ezer PLC forgalmát egyetlen nagy tűzfalon vezeti át, ami elfogadhatatlan késleltetést okoz. Ott elég, ha egy kapcsolaton csak egy-két meghatározott protokoll mehet át, ezt egy switch hozzáférés-vezérlési listája (ACL) vagy mikroszegmentációs eszköz is megoldja. Az első lépés tehát a forgalom korlátozása, az elemzés csak utána jön, és mindig a switch tükrözött portján.

A határt ott kell meghúzni, ahol egy switchhez már csak az OT vagy csak az IT nyúl. Ha az üzemvezető a felügyeleti rendszerből az irodai nyomtatóra nyomtat, az híd a két világ között, ezért OT-oldali nyomtató kell.

Naplózni azt kell, amiből kivizsgálható az incidens

Egy gyártórendszer teljes naplómennyisége napok alatt kezelhetetlenné válik, ezért azt kell megőrizni, amiből egy incidens kideríthető. A naplókat egy szinttel feljebb érdemes gyűjteni, ehhez a syslog is jól használható. Ahol nincs naplózás, például a PLC-knél, az első switchen átmenő forgalom adatai is elérhetik a kontroll célját. A kritikus rendszerek belső NTP-szerverhez szinkronizáljanak. Az IT-ban egy naplózási hiba leállíthatja a rendszert, OT-ban elég egy riasztás.

A sérülékenységvizsgálat hasznos, de nem elégséges, mert a CVE-adatbázis sok hibát nem tartalmaz. Éles OT-környezetben a szkennelés kockázatos, valami véletlenül leállhat, ezért tapasztalt szakember végezze lassan, egyeztetett időpontban.

Ha leáll a gyártósor, a sorrend életet menthet

Az IT-ban megszokott katasztrófa-helyreállítási tervezés OT-ban nem működik változatlanul. Gyártósornál nincs papíralapú pótmegoldás, ezért folyamatfolytonossági eljárásrend kell arra, mi a teendő, ha egy mérleg vagy egy csomagológép kiesik. Különösen fontos az újraindítási sorrend. Egy IT-hiba miatti leállás után előfordulhat, hogy előbb a tartályba belehűlt anyagot kell eltávolítani. Kazár Judit egy hazai esetet is idézett, ahol a rossz sorrendben végrehajtott újraindítás robbanáshoz és halálesethez vezetett. Az újraindítás feltételeit a karbantartókkal és a mérnökökkel közösen kell rögzíteni, és ellenőrzőlista alapján, az ő jóváhagyásukkal kell végrehajtani.

Kicsiket is megtámadnak

Az előadók cáfolták, hogy egy kis szervezet senkit nem érdekel. Egy budapesti, néhány fős könyvelőiroda úgy vált zsarolóvírus áldozatává, hogy senki nem célozta meg, mentése pedig nem volt. Szakolyi András elmondta, hogy egy kétszáz fős borsodi faluban idén két vállalkozást is támadás ért, és az egyik hiába fizetett egymillió forintot, adatait nem kapta vissza. A Shodan-típusú keresők bárkinek megmutatják az interneten elérhető rendszereket, köztük sok PLC-t. Ma már olyan támadások is léteznek, amelyek kifejezetten fizikai kárt, robbanást vagy környezetszennyezést akarnak okozni.

Az ember marad a leggyengébb láncszem, ahogy a pendrive-on terjedő Stuxnet is megmutatta. A betanított munkát végző dolgozóknak a munkafolyamathoz kötött, gyakorlati oktatás kell, valós eszközökkel. Kazár Judit szerint a PowerPoint-alapú képzés hatása minimális, még ha az aláírt jelenléti ívet az auditor el is fogadja.

Mit hoz a CRA, a Data Act és az új termékfelelősség?

Szakolyi András szerint a CRA ipari szempontból inkább jó hír, mert a szoftvert tartalmazó termékek gyártói számon kérhetők lesznek. A berendezésgyártók viszont maguk is kötelezettek lesznek, CE-jelöléssel, biztonságos szoftverfejlesztéssel és szoftverkomponens-leltárral (SBOM). A bejelentési kötelezettségek 2026. szeptember 11. óta, a fő követelmények 2027. december 11-től alkalmazandók.

A Data Act alapján a berendezés felhasználója hozzáférhet a gép által termelt adatokhoz, és harmadik félnek is továbbadhatja azokat. A 2026. szeptember 12. után forgalomba hozott termékeknél ezt már a tervezéskor biztosítani kell. Szakolyi András szerint a terület jelentős kockázatokat hordoz, hiszen kérdés, milyen csatornán és mennyire védetten érkeznek az adatok. Az új termékfelelősségi irányelv a szoftvert is terméknek tekinti, a tagállamoknak 2026. december 9-ig kell átültetniük. Kazár Judit a NIST SP 800-82 OT-biztonsági útmutatót ajánlotta, amely szerinte egy jövőbeli hazai OT-szabályozás alapja is lehet.

Mit tegyen most egy kkv?

• Hajtsa végre most a szabályzataiban vállalt feladatokat, hogy a következő auditon két év működését igazolni tudja.
• Képezzen külön EIR-t az OT-rendszerekből, és a kizárt kontrollok helyére dokumentált helyettesítő intézkedést tegyen.
• Sorolja be a rendszereit a Purdue-modell szintjeibe, és az OT-n belüli forgalmat szűkítse a szükséges protokollokra.
• Rögzítse a karbantartókkal és a mérnökökkel közösen a gyártósorok újraindítási sorrendjét.
• Tartson a munkakörnyezethez igazított, gyakorlati biztonsági oktatást.
• Ellenőrizze rendszeresen az internetről látható kitettségét, ehhez az MKIK ingyenes SecureBot szolgáltatása is használható.

A program iránymutatásai és szakértői állásfoglalásai a nis2.mkik.hu oldalon érhetők el. Egyedi kérdésekben térítésmentes egyéni konzultáció is igénybe vehető.