NIST prenavlja zaščito industrijskih sistemov okoli okvira CSF 2.0

Ameriški Nacionalni inštitut za standarde in tehnologijo (NIST) je 21. septembra 2026 objavil začetni javni osnutek SP 800-82 Rev. 4, ki vodnik za varnost operativne tehnologije preureja okoli okvira CSF 2.0. Predlagano besedilo izrecneje obravnava stavbne in vodne sisteme, tovorni železniški promet, pomorska plovila ter povezovanje industrijskega interneta stvari z oblakom.

Pripombe na osnutek je mogoče oddati do 30. novembra 2026, kot navaja SecurityWeek. Za upravljavce v Sloveniji je pomemben predvsem premik od obravnave posameznih industrijskih krmilnikov k širšemu okolju naprav, povezav in odgovornosti, od katerih je odvisen fizični proces. Besedilo je še v javni obravnavi, zato njegove predlagane usmeritve niso končna različica vodnika.

Primerjalna matrika področij revizije

Revizija povezuje razširjeni obseg OT z načinom upravljanja tveganj in z varnostnimi ukrepi. V besedilu javnega osnutka NIST razlikuje med temi področji; spodnja primerjava pokaže, kaj posamezen poudarek pomeni za opis dejanskega okolja upravljavca. To so poudarki predloga, ne seznam že sprejetih novih zahtev.

• Stavbe ter oskrba z vodo. Razširjeni uvod izrecno vključuje sisteme za avtomatizacijo in krmiljenje stavb ter sisteme oskrbe z vodo in ravnanja z odpadno vodo. Pri upravljavcu lahko zato v isti obravnavi OT nastopajo krmiljenje fizičnega procesa, stavbne naprave in njihove medsebojne povezave. Odločilno je, ali naprava spremlja fizično okolje ali vpliva nanj, ne oznaka objekta, v katerem je nameščena.
• Prehrana in promet. Osnutek posebej omenja živilsko in kmetijsko dejavnost, tovorni železniški promet ter pomorska plovila. S tem pokaže, da vodnik ni omejen na proizvodni obrat: zajema tudi razpršene sisteme, pri katerih je delovanje storitve odvisno od krmiljenja, merjenja ali nadzora fizičnih naprav. Enaka oznaka OT še ne pomeni enakih obratovalnih omejitev v vseh teh okoljih.
• Industrijski internet stvari in oblak. Med poudarki je povezovanje naprav IIoT z oblačnimi okolji. Za opis tveganja zato ni dovolj poznati samo lokalnega krmilnega omrežja; pomembne so tudi poti, po katerih podatki in dostop prehajajo med lokacijo, zunanjimi storitvami in upravljavskimi funkcijami. Takšna povezava lahko spremeni odvisnosti fizičnega procesa, čeprav samo krmiljenje ostane na lokaciji.
• Upravljanje tveganj. Prejšnji del o tveganjih je preurejen okoli funkcije Govern v okviru CSF 2.0, povezava med tveganji OT in širšim upravljanjem tveganj organizacije pa je obravnavana podrobneje. V ospredju so odgovornosti za odločitve: kdo določa sprejemljivo tveganje, kdo pozna obratovalne omejitve in kako se posledice motnje fizičnega procesa vključijo v presojo organizacije.
• Sredstva, zaznavanje in arhitektura. Osnutek razširja napotke za popis sredstev, spremljanje omrežja in zaznavanje dogodkov. Posebej obravnava zaščito funkcij za upravljanje sistemov ter uporabo načel ničelnega zaupanja. To poveže vprašanje, katere naprave in povezave obstajajo, z vprašanjem, kdo lahko dostopa do krmilnih funkcij ali spreminja njihove nastavitve.

Pri popisu sredstev osnutek razlikuje med aktivnim odkrivanjem, pasivnim spremljanjem in ročnim pregledom. Starejše naprave z omejenimi zmogljivostmi morda ne prenesejo aktivnega poizvedovanja, nepovezane naprave pa zahtevajo ročni popis. Zato lahko enoten postopek odkrivanja poda nepopolno sliko ali vpliva na delovanje OT; način zbiranja podatkov je treba presojati glede na lastnosti naprave in procesa.

Izrazi, ki določajo obseg vodnika

Operativna tehnologija (OT) je širši pojem za programabilne sisteme in naprave, ki spremljajo fizično okolje, vplivajo nanj ali upravljajo naprave, ki to počnejo. Industrijski krmilni sistemi (ICS) so del tega obsega. Razlika je pomembna za stavbno avtomatizacijo ali vodovod: tudi kadar okolja ne imenujemo industrijski obrat, lahko njegove krmilne naprave sodijo med OT.

BACS označuje sisteme za avtomatizacijo in krmiljenje stavb, WWS pa sisteme oskrbe z vodo in ravnanja z odpadno vodo. IIoT pomeni industrijski internet stvari, v tem osnutku posebej povezan tudi z oblakom. Govern je funkcija okvira CSF 2.0 za upravljanje tveganj in odgovornosti; ne označuje posamezne naprave ali tehničnega varovala. Te kratice opisujejo različne vrste okolij oziroma različne ravni odločanja, zato jih ni smiselno obravnavati kot zamenljive varnostne kontrole.

Vprašanja za slovenske upravljavce pred pripombami

Razširjeni obseg je za slovenskega upravljavca uporaben kot kontrolni seznam za okolje, ki ga dejansko vodi. Vprašanja sledijo poudarkom osnutka in pomagajo opredeliti, kje je predlagana smernica dovolj jasna ter kje bi pripomba lahko opisala konkretno obratovalno omejitev.

1. Ali popis zajame krmilnike, stavbne sisteme, povezane naprave in poti do oblačnih storitev, kadar so del istega procesa? Če je povezava izpuščena, je težje ugotoviti, katera storitev je od nje odvisna in kdo jo upravlja.
2. Ali je razvidno, kdo sme spreminjati konfiguracijo ali industrijsko kodo ter kako je tak dostop omejen? Poudarek na upravljavskih funkcijah in ničelnem zaupanju odpira prav vprašanje dovoljenj za posege v sistem, ne zgolj vprašanja dostopa do omrežja.
3. Ali način spremljanja omrežja in odkrivanja sredstev upošteva starejše naprave, odzivni čas ter zahteve po neprekinjenem in varnem delovanju? Pri občutljivi napravi lahko pasivno spremljanje ali ročni popis da uporabnejšo sliko kot aktivno poizvedovanje.
4. Ali odgovorni za tveganja organizacije poznajo posledice, ki bi jih imela motnja posameznega procesa? Preureditev okoli funkcije Govern daje temu stiku med tehničnim osebjem, obratovanjem in vodstvom večjo težo.

Najbolj konkreten predmet javne razprave je razmerje med varnostnim ukrepom in zanesljivim delovanjem fizičnega procesa. Osnutek smernice obravnava ob posebnih zahtevah OT glede zmogljivosti, razpoložljivosti in varnosti delovanja. Naslednja različica bo pokazala, kako je NIST pripombe o teh omejitvah vključil v končno besedilo.