Materiały konferencyjne SEP 2020

Ruchu Zakładu Górniczego (KRZG), który specyfikuje urządzenia i systemy, do których udziela się dostępu oraz ramy czasowe takiego dostępu. Najlepszym rozwiązaniem jest udzie- lanie zdalnego dostępu wyłącznie na czas potrzebny do wykonania czynności serwisowych i konfiguracyjnych - na żądanie KRZG lub osoby przez niego upoważnionej. Ze względu na dużą rotację kadr wśród pracowników technicznych firm realizujących zadania serwisu syste- mów OT przyjęto, iż certyfikat niezbędny do ustanowienia zdalnego dostępu do systemów OT dla pracowników firm realizujących serwis nie może być jednorazowo przyznany na okres dłuższy niż 6 miesięcy lub do końca obowiązywania umowy serwisowej. Zdalnego dostępu udziela się z wykorzystaniem infrastruktury bezpieczeństwa sieci wydzielo- nych. Do weryfikacji osób i sprzętu stosuje się mechanizm certyfikatów wystawianych przez dyżurnego pracownika IT. Weryfikacja poprawności certyfikatu i prawidłowości poświadczeń podanych przez użytkownika następuje w koncentratorze VPN. W kolejnym kroku weryfiko- wana jest stacja (komputer) użytkownika nawiązującego połączenie VPN pod względem aktu- alności oprogramowania antywirusowego oraz wersji systemu operacyjnego i jego aktualności pod względem obecności poprawek bezpieczeństwa (tzw. host checker). W zawieranych umowach serwisowych Kopalnie muszą zagwarantować sobie prawo do instalacji takiego oprogramowania na komputerach wykorzystywanych do serwisu systemów działających w sieciach OT. Zdalny dostęp do sieci OT realizowany jest wyłącznie przez urządzenia punktu styku sieci IT z siecią Internet, z wykorzystaniem mechanizmów szyfrowania łącz (VPN). Rysunek 2. Zdalny dostęp do sieci OT Figure 2. Remote access to the OT network Zdalny dostęp do systemów pracujących w sieciach OT dopuszczalny jest wyłącznie dla nastę- pujących usług sieciowych: telnet, ssh, RDP, vnc, http, https, SQL (ORACLE, Microsoft) rea- lizowanych po standardowych portach protokołu TCP/UDP. Urządzenia zdalnego dostępu we- ryfikują poprawność protokołów IP, portów IP i usług. W przypadku próby stosowania przez serwisanta niestandardowych rozwiązań, do połączenia z siecią OT nie dojdzie. Zdalny dostęp