Zdalny dostęp do maszyn produkcyjnych jest potrzebny i nie da się go po prostu wyłączyć

Zdalna diagnostyka potrafi skrócić przestój z dni do godzin. Producent maszyny albo integrator ma wiedzę, której trudno wymagać od własnego utrzymania ruchu, a w umowie serwisowej jest też często zapis o zdalnym wsparciu. Warto przy tym pamiętać, że czas reakcji i czas usunięcia awarii to dwie różne rzeczy, a co za tym idzie, to co się w nich mieści, mówi umowa. Bez zdalnego dostępu między jednym a drugim ląduje jeszcze dojazd i wtedy czas reakcji liczymy w godzinach, nie w minutach.

Dlatego odpowiedź „nie dajemy nikomu zdalnego dostępu” w praktyce nie działa. Tam, gdzie zapada taka decyzja, zdalny dostęp do maszyn produkcyjnych zwykle i tak powstaje, tylko poza wiedzą IT. Pod szafą sterowniczą ląduje modem LTE, który serwis postawił przy uruchomieniu, na stacji inżyniera pojawia się program do zdalnego pulpitu, a połączenie wychodzi na zewnątrz i omija firewall. Zakaz bez alternatywy nie usuwa dostępu. Zabiera Ci tylko wiedzę o nim.

Nie każda sesja serwisowa znaczy to samo. Co innego podgląd parametrów, a co innego możliwość wgrania nowego programu do sterownika.

Warto sprawdzić, ile zgłoszeń mieści się  na poziomie pierwszego wiersza tej tabeli, a ilu dostępów udzielono z uprawnieniami trzeciego. Jeśli druga liczba jest większa, masz odpowiedź, od czego zacząć.

Kto właściwie ma dostęp do Twoich maszyn?

W większości zakładów odpowiedzi na to pytanie nie znajdziesz w jednym miejscu. Trzeba ją złożyć z pamięci pracowników utrzymania ruchu, z umów serwisowych i z tego, co ktoś zauważył w szafie sterowniczej. To już samo w sobie jest jakąś odpowiedzią.
Typowe źródła dostępu, które zwykle znajdujemy:

• Konta założone przy uruchomieniu maszyny. Powstały, żeby ekipa producenta mogła dokończyć rozruch, i działają trzy lata po tym, jak spakowała narzędzia.
• Współdzielone konta serwisowe. Jedno hasło dla całego zespołu dostawcy nie wymazuje się automatycznie z mózgu kogoś kto zmienił pracę. Jeśli ktoś odejdzie z pracy w Twoim serwisie, Twoje hasło odejdzie razem z nim. W logach nie wypatrzysz różnicy czy loguje się Twój serwis czy ich były pracownik, bo sesja wygląda i nazywa się tak samo.
• Stałe tunele VPN. Postawione na czas wdrożenia, zostają na lata, a pytanie o ich realny zasięg w sieci wraca dopiero przy audycie.
• Routery przemysłowe, modemy LTE i chmury producentów. To osobne wejście do Twojej infrastruktury, zamontowane razem z maszyną, poza wiedzą IT i poza firewallem. Takie urządzenie omija wszystko, co zbudowano po Twojej stronie: połączenia nie widać w logach, zasięgu nie da się ograniczyć, a zamknąć go nie możesz, bo karta SIM i konfiguracja należą do dostawcy. To jedyna pozycja na tej liście, która powinna zniknąć w całości, a nie zostać poprawiona.
• Dostęp, który przestaje być tylko ich. Jeśli dostawca ma u siebie incydent, jego połączenie z Twoim zakładem staje się jedną z dróg, którymi atakujący może pójść dalej, a w logach wygląda to jak zwykła praca serwisu. Jak daleko zajdzie, zależy od tego, jak ten  zdalny dostęp do maszyn produkcyjnych jest ograniczony po Twojej stronie.

Ten sam mechanizm opisaliśmy we wpisie o kontach widmach i offboardingu, z tą różnicą, że tutaj konta należą do ludzi spoza firmy. Przy każdym kolejnym wdrożeniu dostępów przybywa, a sam z siebie żaden nie znika. Zamykanie dostępów po zakończonym projekcie rzadko bywa wpisany w zakres obowiązków.

Po drugiej stronie takiego połączenia nie stoi kolejny serwer z systemem, który sam pilnuje uprawnień, tylko sterownik odpowiadający za fizyczny proces. Łukasz rozpisał to od środka we wpisie o automatyce przemysłowej w praktyce: protokoły przemysłowe w rodzaju Modbus TCP powstały, zanim ludzie zaczęli myśleć o uwierzytelnianiu, więc w podstawowej wersji o tym, kto sięgnie do rejestrów sterownika, decyduje konfiguracja sieci i samego urządzenia, a nie protokół. Zabezpieczone warianty tej komunikacji istnieją, tylko w starszych instalacjach rzadko się je spotyka.

Dlatego zdanie „serwisant ma hasło, więc mamy to pod kontrolą” nie trzyma się kupy. Kontrola zaczyna się tam, gdzie wiesz, kto się połączył, kiedy, do którego urządzenia i co zrobił oraz gdzie możesz to połączenie zamknąć, nie czekając na dobrą wolę drugiej strony.

Jak zabezpieczyć zdalny dostęp do maszyn produkcyjnych, żeby nie blokować serwisu

Serwis powinien dostać dokładnie to, czego potrzebuje do wykonania zadania, i tylko na czas tego zadania. Poniżej sześć elementów, w kolejności, w której zwykle je układamy. Pierwsze trzy dają zwykle najwięcej, a w części zakładów da się je oprzeć na sprzęcie, który już stoi.

1. Tożsamość konkretnej osoby, nie firmy. Konto imienne dla każdego serwisanta i drugi składnik logowania na wejściu do środowiska. Bez tego każdy log mówi tylko tyle, że „połączył się serwis”. Dlaczego samo hasło już nie wystarcza, rozpisaliśmy we wpisie o MFA.
2. Uprawnienia do jednej maszyny, nie do sieci. Dostęp obejmuje to urządzenie i te funkcje, które są potrzebne w zgłoszeniu. Serwisant od pakowaczki nie ma czego szukać na sterownikach reszty linii ani w sieci biurowej.
3. Segmentacja, czyli podział na strefy. Sieć OT oddzielona od biurowej, ruch między strefami przepuszczany tylko tam, gdzie jest uzasadniony. To warstwa, na której najprościej ograniczysz urządzenie, którego nie zaktualizujesz, bo stoi w linii 12 lat. Podstawy opisaliśmy we wpisie o segmentacji sieci.
4. Dostęp włączany na czas sesji. Domyślnie zamknięte, otwierane na zgłoszenie i zamykane automatycznie po upływie okna. Ta jedna zmiana mocno ogranicza problem zapomnianych tuneli, bo zapomniany tunel po prostu przestaje działać.
5. Jeden kontrolowany punkt wejścia. Serwisant nie łączy się wprost ze sterownikiem, tylko ze stacją pośredniczącą w strefie buforowej między IT a OT, i dopiero stamtąd idzie ruch do maszyny. Masz wtedy jedno miejsce, w którym widzisz sesje, rejestrujesz je i możesz je przerwać. W zakładach rozproszonych takich punktów bywa kilka, po jednym na obszar.
6. Sprzęt po drugiej stronie. Warto ustalić, z jakiej stacji wolno się łączyć, bo połączenie jest tak bezpieczne, jak laptop, z którego wychodzi. Nie zweryfikujesz tego w pełni, ale możesz to zapisać w umowie i ograniczyć adresy, z których sesja jest w ogóle przyjmowana.

Sam VPN sprawy nie przesądza, bo wszystko zależy od tego, jak go ustawisz. Nowsze bramy robią znacznie więcej niż szyfrowanie tunelu: uwierzytelniają wieloskładnikowo, przypisują serwisantowi profil i wpuszczają go wyłącznie do wskazanych adresów i usług, a część sprawdza jeszcze stan komputera, z którego przychodzi połączenie. Kłopotem bywa stara konfiguracja, robiona dawno i na szybko: jeden tunel dla całego dostawcy, bez profilu i bez ograniczenia zasięgu. Po zestawieniu takiego połączenia serwisant jest po prostu w sieci, a dalej decydują już reguły na firewallu, podział na strefy i to, czy dostęp ma datę ważności.

Sam tunel, bez tych trzech rzeczy, jest wygodnym wejściem, nie zabezpieczeniem.

Nad tymi sześcioma punktami stoi jeszcze jedna zasada: do sieci produkcyjnej prowadzi jedna droga, przez firewall i kontrolowany kanał zdalnego dostępu. Modem LTE wpięty prosto w maszynę, router z własną kartą SIM i chmurowa skrzynka producenta to drogi obok, więc zdejmuje się je albo przepina za firewall, zanim zacznie się ustawiać cokolwiek innego. Jeżeli dostawca twierdzi, że jego maszyna wymaga własnego łącza, warto dopytać o konkretne wymagania techniczne, bo zwykle chodzi o wygodę po jego stronie, a nie o brak alternatywy.

Taką architekturę budujemy w ramach zabezpieczeń sieciowych, a wprowadzać da się ją etapami, z zakresem prac wymagających postoju uzgodnionym wcześniej z utrzymaniem ruchu.

Maszyna stoi, a dostęp jest potrzebny natychmiast

O 6 rano, przy stojącej linii, polityka bezpieczeństwa przestaje mieć znaczenie. Albo procedura jest ustalona wcześniej i wszyscy wiedzą, co robić, albo ktoś improwizuje, a improwizacja zwykle oznacza włączenie wszystkiego, co się da i ten tymczasowy zdalny dostęp do maszyn produkcyjnych zostaje na zbyt długo.
Cztery rzeczy, które warto uzgodnić zawczasu:

• Kto otwiera dostęp i kto go zastępuje. Jedna osoba to za mało, bo awaria nie pyta o urlopy. W zakładzie pracującym na trzy zmiany potrzebny jest dyżur, a nie dwa nazwiska na liście.
• Jak potwierdzasz, że zgłoszenie jest prawdziwe. Sposób weryfikacji uzgadnia się z dostawcą wcześniej, razem z listą imiennych kont: numer zgłoszenia w jego systemie, oddzwonienie na znany numer, potwierdzenie przez opiekuna umowy. Sama lista nazwisk to dopiero punkt wyjścia, bo przy awarii dzwoni zwykle ktoś, kto się spieszy, a telefon z nieznanego numeru i presja czasu to dokładnie ten scenariusz, na którym opierają się oszuści.
• Kiedy przy sesji musi być ktoś z zakładu. Jeżeli serwis zmienia nastawy albo wgrywa program do sterownika, przy maszynie powinien stać człowiek, który widzi, co ona robi. Zdalnie nie widać, czy coś rusza się inaczej niż zwykle.
• Co się dzieje po zakończeniu sesji. Dostęp zamyka się sam, a w zgłoszeniu zostaje krótka notatka: kto, kiedy, w którym urządzeniu i co zmienił. Dwa zdania wpisane od razu, nie raport.

Zmiany w sterowaniu zasługują na osobną ostrożność. To w sterowniku siedzi logika sterująca maszyną, a w części instalacji funkcje bezpieczeństwa realizuje osobny sterownik albo układ, działający niezależnie od reszty. Dlatego przed wgraniem nowej wersji programu robi się kopię poprzedniej, a po sesji sprawdza się, co faktycznie się zmieniło, i dopuszcza maszynę do pracy zgodnie z przyjętą u Ciebie procedurą, z testami włącznie.

Brzmi formalnie, a chodzi o rzecz prostą. Inaczej za pół roku zostaje maszyna pracująca inaczej, niż opisuje to dokumentacja, a ślad po zmianie urywa się na dacie zgłoszenia.

Dobrze przygotowany tryb awaryjny skraca czas reakcji, bo o tej szóstej rano (na którą mocno się uparłam) wiadomo od razu, kto może podjąć decyzję.

IT, OT i utrzymanie ruchu muszą ustalić to wspólnie

Żadna z tych trzech stron nie ułoży zasad dostępu samodzielnie. Utrzymanie ruchu wie, kiedy serwis jest potrzebny i jakie są terminy przeglądów. OT rozumie proces i konsekwencje zmiany nastawy w konkretnym węźle linii. IT umie to zbudować: tożsamość, strefy, reguły i logi. Zasady ułożone tylko przez IT kończą się obejściem przy pierwszej poważnej awarii, a ułożone tylko przez produkcję kończą się otwartą siecią.

Obie strony mają rację we własnym zakresie, więc konflikt IT kontra OT jest tu fałszywym tropem. Potrzebna jest jedna rozmowa, w której zapada ustalenie, kto zatwierdza sesję serwisową, kto ją otwiera technicznie i kto odpowiada za to, że została zamknięta.

Najtańszy moment na ustalenie zasad z dostawcą wypada przy zakupie maszyny i podpisywaniu umowy serwisowej. Wtedy jeszcze da się wpisać do niej konta imienne, zakres dostępu, sposób zgłaszania sesji oraz to, co dzieje się z dostępem po zakończeniu umowy. Trzy lata później ta sama rozmowa wygląda inaczej, bo maszyna jest na gwarancji, a odpowiedź brzmi: „tak działa nasz standardowy serwis”. I zostaje Ci już tylko dobra wola drugiej strony.

Jeżeli Twoja firma jest podmiotem kluczowym albo ważnym w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa, masz w tym miejscu dodatkowy argument. Ustawa wymienia w artykule 8, wśród środków składających się na system zarządzania bezpieczeństwem informacji, bezpieczeństwo i ciągłość łańcucha dostaw produktów, usług i procesów ICT, od których zależy świadczenie usługi. Dostawca, który ma zdalny dostęp do maszyn produkcyjnych w Twojej firmie, jest częścią tego łańcucha, choć z samego przepisu nie wynika gotowa lista wymagań wobec każdej sesji serwisowej. Ministerstwo Cyfryzacji rozpisało ten obowiązek w materiale o cyberbezpieczeństwie dostawców i usług zewnętrznych z 22 października 2026 roku i wymienia tam dwie rzeczy, które dotyczą zdalnego serwisu wprost: wiedzę o tym, do jakich systemów i danych dostawcy mają dostęp, oraz okresową kontrolę uprawnień w trakcie współpracy, a nie tylko przy podpisywaniu umowy. Jak rozkładamy takie obowiązki na etapy, opisaliśmy we wpisie o przygotowaniu organizacji do NIS2.

My też jesteśmy czyimś dostawcą i też łączymy się zdalnie z infrastrukturą klientów. Wszystko, co opisaliśmy wyżej, dotyczy również nas: konta imienne, określony zakres, zgłoszona sesja. Jeśli z nami pracujesz, możesz tego od nas wymagać, i warto wymagać tego samego od pozostałych dostawców.

Od czego zacząć porządkowanie zdalnego dostępu

Nie potrzebujesz do tego projektu modernizacyjnego ani budżetu na przyszły rok. Pierwszym krokiem jest jedna lista, a ile zajmie jej zebranie, zależy od liczby maszyn i dostawców. Odpowiadasz w niej na sześć pytań:

• Którzy dostawcy mają dziś zdalny dostęp do maszyn produkcyjnych? Pytaj utrzymania ruchu i sprawdzaj umowy serwisowe, bo w samej konsoli sieciowej części z tego nie zobaczysz.
• Które konta, tunele i urządzenia komunikacyjne są aktywne? Szafy sterownicze warto obejść fizycznie, szukając modemów i routerów, których nie ma na żadnym schemacie.
• Czy ktoś z tych dostępów jeszcze korzysta? Brak połączenia od roku to sygnał do sprawdzenia. Część przeglądów odbywa się raz na kilka lat, a producent potrafi wymagać dostępu w ramach gwarancji.
• Jak daleko w głąb sieci sięga każdy z nich? Interesuje Cię realny zasięg połączenia, nie deklaracja z dokumentacji wdrożenia.
• Kto otwiera i zamyka sesję serwisową oraz czy wyznaczono zastępstwo? Jeśli odpowiedzią jest jedno nazwisko, masz procedurę działającą tylko w dni robocze i problem w przypadku urlopu lub L4.

Co zostaje po sesji? Zapis o tym, kto i co zmienił, przydaje się później przy każdej nietypowej awarii tej maszyny.

Ta lista zwykle wystarcza, żeby rozmowa przestała być teoretyczna. Naprawdę zdarza się, że lądują na niej połączenia, o których dział IT słyszy po raz pierwszy.

Dostęp, który da się zamknąć

Serwisant musi móc wejść i naprawić maszynę, bo bez niego linia nie ruszy. Chodzi o to, żeby każde połączenie z Twoją siecią produkcyjną było znane, miało określony zakres, dało się je zamknąć wtedy, kiedy uznasz to za stosowne i było rozliczane w razie konieczności.

Kolejność, którą proponujemy, jest prosta. Najpierw policzyć to, co już działa: ile jest połączeń serwisowych, kto z nich korzysta i jak daleko sięgają. Potem oddzielić sieć produkcyjną od biurowej i ustawić reguły na styku stref, zwykle na firewallach, a dostęp serwisowy przenieść na kontrolowany punkt wejścia z sesjami włączanymi na czas zgłoszenia. Na koniec zostaje procedura uzgodniona wspólnie z utrzymaniem ruchu, bo bez niej całą resztę ktoś obejdzie przy pierwszej poważnej awarii.

Jeśli chcesz sprawdzić, jak to wygląda u Ciebie, umów bezpłatną konsultację z naszym inżynierem. Zaczynamy od listy dostawców i połączeń, a nie od oferty na sprzęt.