W 2025 roku liczba ataków na systemy OT wzrosła o 38 procent. Organizacje przemysłowe coraz częściej sięgają po standard ISA/IEC 62443, który definiuje kompleksowe zasady ochrony środowisk automatyki. Koncepcje Defense in Depth i Defense in Breadth stają się podstawą budowania odporności operacyjnej w sektorze infrastruktury krytycznej.
1.Czym jest standard ISA/IEC 62443 i dlaczego ma kluczowe znaczenie dla bezpieczeństwa OT
2.Jak działa koncepcja Defense in Depth i w jaki sposób chroni przed cyberatakami.
3.Czym różni się Defense in Breadth i jakie ma znaczenie dla całego ekosystemu organizacji.
ISA/IEC 62443 – fundament bezpieczeństwa
Standard ISA/IEC 62443 stanowi obecnie globalny punkt odniesienia dla bezpieczeństwa przemysłowego. W 2025 roku został uznany przez ONZ, NATO i UNECE za modelowe ramy ochrony infrastruktury krytycznej.
Obejmuje zarówno aspekty techniczne, jak i procesowe oraz organizacyjne. Umożliwia współpracę między producentami, integratorami i operatorami w oparciu o wspólne zasady i język bezpieczeństwa.
Jak podkreśla Michał Płocharski, ekspert ds. bezpieczeństwa IT w Sprint S.A., ISA/IEC 62443 pełni dziś dla środowisk przemysłowych taką rolę, jaką wcześniej pełnił standard ISO 27001 dla systemów IT.
Defense in Depth – wielowarstwowa strategia ochrony
Koncepcja Defense in Depth (DiD), czyli obrona w głąb, zakłada, że żadna pojedyncza warstwa zabezpieczeń nie zapewnia pełnej ochrony. Skuteczny system bezpieczeństwa powinien składać się z kilku niezależnych warstw, które wspólnie minimalizują ryzyko skutecznego ataku.
Trzy kluczowe wymiary tej koncepcji to:
Techniczny: segmentacja sieci, kontrola dostępu, detekcja i izolacja zagrożeń, monitoring OT.
Proceduralny: polityki bezpieczeństwa, procesy reagowania na incydenty, zarządzanie zmianami.
Ludzki: szkolenia, świadomość zagrożeń, współpraca zespołów IT i OT.
Według raportu Dragos OT Cyber Threats 2025, 73% ataków na infrastrukturę OT wykorzystuje luki w komunikacji między segmentami sieci.
Segmentacja stref i korytarzy (zones & conduits) jest jednym z głównych elementów standardu ISA/IEC 62443.
Defense in Breadth – ochrona w szerokim ujęciu
Koncepcja Defense in Breadth rozszerza podejście Defense in Depth na cały ekosystem organizacji, w tym partnerów i dostawców.
W praktyce oznacza to:
- uwzględnienie bezpieczeństwa łańcucha dostaw,
- weryfikację komponentów i dostawców poprzez certyfikację ISASecure®,
- tworzenie spójnych polityk bezpieczeństwa w ramach konwergencji IT/OT.
Z raportu SANS ICS Survey 2025 wynika, że 61 procent incydentów OT ma swoje źródło w systemach zewnętrznych dostawców. Organizacje coraz częściej wymagają więc zgodności z ISA/IEC 62443 lub posiadania certyfikatów SDLA (Security Development Lifecycle Assurance).
WARTO WIEDZIEĆ
W 2025 roku aż 61% incydentów OT wynikało z luk w systemach zewnętrznych dostawców (SANS ICS Survey 2025).
Organizacje coraz częściej wymagają więc, by partnerzy biznesowi spełniali kryteria ISA/IEC 62443 lub posiadali certyfikaty SDLA (Security Development Lifecycle Assurance).
Wyzwania bezpieczeństwa OT
W 2025 roku cyberzagrożenia dla infrastruktury krytycznej osiągnęły rekordowy poziom. Raport ENISA Threat Landscape for ICS 2025 wskazuje, że:
- liczba incydentów OT wzrosła o 38% rok do roku,
- co trzeci atak dotyczył systemów energetycznych i wodno-kanalizacyjnych,
- 47% incydentów miało charakter operacyjny, wpływający na dostępność usług.
Do najczęściej obserwowanych wektorów ataków należą:
manipulacja danymi sensorowymi, złośliwe aktualizacje firmware’u PLC/RTU, ataki na łańcuch dostaw oprogramowania oraz nadużycia w zdalnych połączeniach serwisowych.
Tradycyjne podejście oparte wyłącznie na prewencji przestaje być skuteczne. W centrum uwagi znajduje się obecnie odporność operacyjna, czyli zdolność do utrzymania ciągłości działania mimo wystąpienia incydentu.
Od zgodności do kultury bezpieczeństwa
Wdrożenie standardu ISA/IEC 62443 to proces, który obejmuje audyt, plan działań, wdrożenie rekomendacji i ciągłe doskonalenie.
W Polsce coraz więcej organizacji wykorzystuje ten standard w projektach publicznych, szczególnie w sektorach energetycznym, transportowym i administracji publicznej.
Od 2026 roku ISA/IEC 62443 będzie rekomendowany w ramach wdrażania dyrektywy NIS2 dla operatorów usług kluczowych.
Standard nie ogranicza się do wymagań formalnych. Buduje kulturę bezpieczeństwa, która obejmuje świadomość, współpracę i odpowiedzialność.
WAŻNE
ISA/IEC 62443 nie ogranicza się do zgodności formalnej.
To ramy, które budują kulturę bezpieczeństwa – świadomość, odpowiedzialność i współpracę między zespołami IT, OT i zarządzania.
Podsumowanie
Standard ISA/IEC 62443 oraz koncepcje Defense in Depth i Defense in Breadth stanowią obecnie najbardziej spójne podejście do bezpieczeństwa infrastruktury przemysłowej.
Ich wdrożenie pozwala organizacjom zwiększyć odporność na incydenty i lepiej zarządzać ryzykiem w środowiskach OT.
Chcesz sprawdzić, jak skutecznie wdrożyć ISA/IEC 62443 w swojej organizacji?
Skontaktuj się z zespołem Sprint S.A., aby omówić audyt bezpieczeństwa OT i uzyskać praktyczne rekomendacje dotyczące ochrony infrastruktury krytycznej.