Zero Trust в цехе: видимость, NAC и общие учётки на стойке
Большинство разговоров про Zero Trust начинаются с облачных учёток и микросегментов. Рубен Чакон в The CISO Blog пишет, что это предполагает патч по расписанию, простой по плану и наследие как исключение. На площадке всё наоборот: контроллер без патча десять лет, SCADA на снятой с поддержки ОС, внеплановая перезагрузка дороже инцидента. Принципы те же — явно проверять, не доверять по месту в сети, резать ход вбок, — но внедрение другое. Это колонка с площадки, не копия руководства CISA; тот разбор — отдельно.
Сначала то, чего не видно
Первый урок: схема сети часто старше линии. До контроля нужна пассивная инвентаризация: что есть, на каких протоколах говорит, где недокументированный вендорский тоннель и инженерная станция-мост. Активный скан по живой линии автор прямо не рекомендует. Без этой картины сегментируете сеть, которую не нарисовали.
Сегментация обязательна и не должна ронять производство. Окно обслуживания — часы в квартал, не выходные ИТ. Чакон описывает выкатку NAC: сначала наблюдение, модель политики, согласование с производством, потом enforcement. Ошибка политики в OT не тикет в Helpdesk, а останов. На критичных площадках — форум кибер, инфраструктуры, приложений и производства на каждое изменение.
Идентичность там, где её не проектировали
Общие учётки на стойке, сервисные пароли «с монтажа», Modbus и DNP3 без слоя аутентификации. На каждый контроллер современный IdP не повесите. Можно обернуть: идентичность на доступе к сети, MFA на любой удалённый вход в OT, снятие общих учёток там, где инженерный софт позволяет. Культура тяжелее техники: директор площадки отвечает за аптайм, «безопасное» изменение для него — угроза. Чакон приводит разговор про замену старых коммутаторов: они «и так работают», а крыша течёт. Спор выигрывает не лозунг, а сценарий, как отказ ударит по тому же аптайму.
Единый стандарт по группе заводов верен как пол, наивен как один план. База одна, путь разный. Оценка разрыва — не отчёт на полку, а очередь закрытия.
Где это в модели зрелости
Сегмент и NAC — архитектура и сеть. Общие учётки — доступ.
Как проверить
На одной линии: есть ли пассивная карта потоков моложе года, сколько общих логинов на HMI, кто утверждает включение NAC из режима наблюдения. Если карта в Excel и логин один на смену — вы в начале колонки, не в «мы уже Zero Trust».
Карта направлений — /zrelost. Соседний опрос по ударам на операции — Claroty.
Источники
- The CISO Blog / Ruben D. Chacon. Zero Trust in Manufacturing: Practical Lessons from the Shop Floor. URL: https://thecisoblog.com/article-zero-trust-manufacturing.html.
