14. října 2026
Vzdálený přístup do výrobních a provozních (OT) sítí je dnes běžná provozní nutnost – dodavatelé technologií potřebují servisovat PLC, integrátoři ladit HMI, technici řešit poruchy na dálku. Naprostá většina firem to ale pořád řeší stejným nástrojem, jaký používá IT oddělení pro vzdálenou práci zaměstnanců z domova: klasickou VPN. Jenže OT síť není kancelářská síť, a to, co je v IT přijatelný kompromis, je v provozu díra, kterou stačí jednou najít.
VPN dává uživateli přístup do sítě, ne k jednomu konkrétnímu zařízení. Jakmile se někdo připojí, může – technicky vzato – dosáhnout na cokoliv, co je z daného bodu sítě routovatelné, nejen na tu jednu linku nebo panel, kvůli kterému se připojil.
V praxi to znamená:
Dodavatelé často sdílejí jeden účet pro více techniků, takže zpětně nejde přiřadit konkrétní zásah ke konkrétní osobě.
Tunely bývají navázané trvale, i když je aktivně nikdo nepoužívá.
Aktivita uvnitř tunelu se většinou nikde nenahrává ani nekontroluje.
Nespravovaný notebook subdodavatele se tímto tunelem prakticky napojí přímo na výrobní linku.
Navíc jsou VPN koncentrátory vystavené internetu a dlouhodobě patří mezi nejčastěji zneužívané typy síťových zařízení – útočníci je aktivně skenují a hledají nezáplatované brány. A každý port, který kvůli vzdálené údržbě otevřete směrem dovnitř, je výjimka ve firewallu, která narušuje segmentaci sítě podle Purdue modelu, na kterém stojí většina bezpečnostních architektur v průmyslu.
Podle letošní zprávy Claroty Team82 State of CPS Security 2025: OT Exposures obsahuje bezmála milion analyzovaných OT zařízení ve výrobě, logistice a dopravě 12% známých zneužitelných zranitelností (KEV) – a 68% z nich je spojeno s ransomwarovými skupinami. U samotné výroby jde o více než 96 000 zařízení se známou zranitelností, z nichž je opět 68 % napojeno na ransomware.
Nejzávažnější zjištění se ale netýká samotných zranitelností, ale toho, jak jsou zařízení k internetu připojena: 40% analyzovaných organizací má aktiva se zneužitelnou zranitelností nezabezpečeně vystavená do internetu a 12% organizací mělo OT zařízení, která komunikovala se škodlivými doménami. Jinými slovy – nejde jen o to, kolik děr firma má, ale o to, jak snadno se k nim dá zvenčí dostat. A nezabezpečený vzdálený přístup je přesně ta cesta dovnitř.
Bezpečnější model nespoléhá na to, že uděláte díru do firewallu a doufáte, že ji nikdo nezneužije. Místo trvalého síťového tunelu funguje na principu brokerovaného přístupu ke konkrétnímu zařízení, po omezenou dobu, pod jasnou identitou. V praxi to vypadá takto:
1. Technik požádá o přístup ke konkrétnímu zařízení, ne k síti.
2. Identita se ověří, včetně vícefaktorového ověření (MFA).
3. Vlastník daného zařízení nebo linky přístup schválí – a to na časově omezené okno.
4. Systém sestaví relaci a sám vloží přístupové údaje k zařízení; dodavatel je nikdy neuvidí ani nezná.
5. Provozní tým relaci sleduje, případně ji nahrává.
6. Po vypršení okna přístup automaticky zanikne.
Přesně takto funguje Claroty xDome Secure Access (dříve Secure Remote Access) – řešení postavené na principu zero trust přímo pro prostředí kyberfyzikálních systémů, ne přebraný IT nástroj. Nepotřebuje otevřené porty směrem dovnitř: konektor uvnitř OT zóny se sám hlásí ven přes šifrované spojení, a dodavatelé i zaměstnanci procházejí jedním portálem s plnou auditovatelností.
„Máme jeden portál pro dodavatele i zaměstnance pro přístup do provozu, s plnou kontrolou nad přístupem a kompletní auditovatelností.“
— Pascal Viala, Head of Digital Manufacturing, Hydrovolt
Pro firmy v regulovaných odvětvích – energetika, výroba, zdravotnictví, kritická infrastruktura – to není jen otázka bezpečnosti, ale i shody s předpisy.
NIS2 vyžaduje prokazatelnou kontrolu přístupu, řízení privilegovaných účtů a řízení rizik dodavatelského řetězce; za nesplnění hrozí pokuty až 10 milionů eur nebo 2% ročního obratu u klíčových subjektů.
ISA/IEC 62443 staví na architektuře zón a kanálů (zone-and-conduit) s požadavkem na identifikaci, autentizaci, řízení použití a logování na hranicích jednotlivých zón – přesně to, co brokerovaný přístup po jednotlivých zařízeních řeší přirozeně.
U nás relevantní ZKB a DORA kladou obdobné požadavky na řízený a auditovatelný přístup třetích stran k provozním systémům.
Zabezpečený vzdálený přístup tedy není jen technické opatření, ale i důkazní materiál při auditu – log, kdo, kdy, k čemu a na jak dlouho měl přístup, dnes potřebujete mít po ruce stejně jako pravidla na firewallu.
VPN do provozní sítě většinou nikdo nezaváděl se zlým úmyslem – v době, kdy vznikala, to bylo standardní a dostačující řešení. Dnes je to ale nejslabší článek, na který se soustředí jak útočníci, tak auditoři. Pomáháme zákazníkům v regulovaných odvětvích zmapovat, kudy se k jejich OT síti dnes dá dostat zvenčí, a nahradit otevřené tunely řízeným přístupem postaveným na platformě Claroty – od inventarizace aktiv až po samotný Secure Access.
Pokud nevíte, kolik vzdálených přístupů máte dnes ve vaší OT síti, je to dobré místo, kde začít.