{"id":25821,"date":"2026-05-18T08:32:00","date_gmt":"2026-05-18T06:32:00","guid":{"rendered":"https:\/\/www.astor.com.pl\/poradnikautomatyka\/?p=25821"},"modified":"2026-05-21T08:34:57","modified_gmt":"2026-05-21T06:34:57","slug":"dyrektywa-nis2-oraz-norma-iec-62443-a-sterowniki-horner-apg-cyberbezpieczenstwo-systemow-automatyki-przemyslowej","status":"publish","type":"post","link":"https:\/\/www.astor.com.pl\/poradnikautomatyka\/dyrektywa-nis2-oraz-norma-iec-62443-a-sterowniki-horner-apg-cyberbezpieczenstwo-systemow-automatyki-przemyslowej\/","title":{"rendered":"Dyrektywa NIS2 oraz norma IEC 62443 a sterowniki Horner APG. Cyberbezpiecze\u0144stwo system\u00f3w automatyki przemys\u0142owej"},"content":{"rendered":"\n
<\/div>\n\n\n\n

Cyberbezpiecze\u0144stwo system\u00f3w automatyki przemys\u0142owej to temat wa\u017cny i na czasie. Dyrektywa NIS2 znacz\u0105co rozszerza zakres odpowiedzialno\u015bci firm za bezpiecze\u0144stwo system\u00f3w cyfrowych, a wa\u017cnym elementem tych ostatnich w zak\u0142adach przemys\u0142owych s\u0105 sterowniki PLC. W tym artykule sprawdzimy, jakie mo\u017cliwo\u015bci w tym zakresie oferuj\u0105 sterowniki Horner APG z oprogramowaniem Cscape 10.<\/strong><\/p>\n\n\n\n

<\/div>\n\n\n\n

Cyberbezpiecze\u0144stwo, kt\u00f3re zaczyna si\u0119 na poziomie sterownika<\/h2>\n\n\n\n

Dyrektywa NIS2<\/strong> obejmuje nie tylko klasyczne systemy IT, ale r\u00f3wnie\u017c systemy automatyki przemys\u0142owej (OT)<\/strong> \u2013 sterowniki PLC, panele operatorskie, kontrolery OCS oraz oprogramowanie in\u017cynierskie wykorzystywane do ich programowania i serwisowania.<\/p>\n\n\n\n

Firma Horner APG<\/strong> od ponad 25 lat konsekwentnie rozwija swoje produkty w oparciu o zasad\u0119 security by design<\/em>. Oznacza to, \u017ce cyberbezpiecze\u0144stwo jest uwzgl\u0119dniane na ka\u017cdym etapie: od projektu urz\u0105dzenia, przez firmware, a\u017c po oprogramowanie narz\u0119dziowe. Filozofia Hornera opiera si\u0119 na proaktywnej ochronie, ci\u0105g\u0142ym doskonaleniu oraz zgodno\u015bci z uznanymi mi\u0119dzynarodowymi standardami.<\/p>\n\n\n\n

Potwierdzeniem tego podej\u015bcia jest d\u0105\u017cenie producenta do spe\u0142nienia normy IEC 62443\u20114\u20112 na poziomie Security Level 1 (SL\u20111)<\/strong>. Jest to poziom bezpiecze\u0144stwa wymagaj\u0105cy ochrony przed typowymi zagro\u017ceniami cybernetycznymi, m.in. poprzez silne uwierzytelnianie u\u017cytkownik\u00f3w oraz bezpieczn\u0105 komunikacj\u0119. Najnowsze sterowniki z serii Prime<\/strong> czy Canvas<\/strong> oraz \u015brodowisko Cscape 10<\/strong> projektowane s\u0105 tak, aby spe\u0142nia\u0107 te wymagania kt\u00f3re staj\u0105 si\u0119 standardem na rynku Automatyki Przemys\u0142owej.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Funkcje bezpiecze\u0144stwa sterownik\u00f3w Horner OCS \u2013 co one oznaczaj\u0105 dla u\u017cytkownika?<\/h2>\n\n\n\n

Nowoczesne sterowniki Automatyki Przemys\u0142owej coraz cz\u0119\u015bciej pe\u0142ni\u0105 rol\u0119 nie tylko regulator\u00f3w procesu, ale r\u00f3wnie\u017c w\u0119z\u0142\u00f3w komunikacyjnych w sieci zak\u0142adowej. Dlatego producent Horner APG wyposa\u017ca swoje jednostki PLC oraz \u015brodowisko Cscape w szereg mechanizm\u00f3w bezpiecze\u0144stwa, kt\u00f3re bezpo\u015brednio wspieraj\u0105 wymagania dyrektywy NIS2. Poni\u017cej opisujemy, co te funkcje oznaczaj\u0105 w praktyce dla u\u017cytkownika ko\u0144cowego, integratora i utrzymania ruchu.<\/p>\n\n\n\n

<\/div>\n\n\n\n

1. Poziomy dost\u0119pu u\u017cytkownik\u00f3w (User Access Level)<\/h3>\n\n\n\n
<\/div>\n\n\n\n

Sterowniki Horner umo\u017cliwiaj\u0105 definiowanie r\u00f3\u017cnych poziom\u00f3w dost\u0119pu, dzi\u0119ki czemu ka\u017cdy u\u017cytkownik widzi i mo\u017ce zmienia\u0107 tylko to, do czego jest uprawniony. W praktyce oznacza to, \u017ce np. operator maszyny nie ma mo\u017cliwo\u015bci modyfikowania krytycznych parametr\u00f3w procesu, a serwisant nie uzyska dost\u0119pu administracyjnego bez odpowiednich uprawnie\u0144. Taki podzia\u0142 znacz\u0105co ogranicza ryzyko b\u0142\u0119d\u00f3w oraz nieautoryzowanych zmian, co jest jednym z kluczowych wymaga\u0144 NIS2.<\/p>\n\n\n\n

<\/div>\n\n\n
\n
\"\"
Szyfrowanie oraz ustawienia poziom\u00f3w dost\u0119pu w sterowniku Horner<\/em><\/figcaption><\/figure>\n<\/div>\n\n\n
<\/div>\n\n\n\n

2. Automatyczne wylogowanie u\u017cytkownika (Auto Log\u2011off)<\/h3>\n\n\n\n
<\/div>\n\n\n\n

Funkcja automatycznego wylogowania powoduje, \u017ce po okre\u015blonym czasie braku aktywno\u015bci sesja u\u017cytkownika zostaje zako\u0144czona. Chroni to system przed sytuacj\u0105, w kt\u00f3rej zalogowany panel operatorski lub sterownik zostaje bez nadzoru.<\/p>\n\n\n\n

W \u015brodowisku przemys\u0142owym cz\u0119st\u0105 sytuacj\u0105 jest pozostawienie aktywnej sesji u\u017cytkownika na panelu operatorskim lub sterowniku \u2013 na przyk\u0142ad po zako\u0144czeniu zmiany lub interwencji utrzymania ruchu. W takich przypadkach kolejna osoba mo\u017ce nie\u015bwiadomie pracowa\u0107 na koncie o wy\u017cszych uprawnieniach, co stwarza ryzyko niezamierzonych zmian w parametrach pracy maszyny. Funkcja automatycznego wylogowania eliminuje ten problem poprzez zamkni\u0119cie sesji po okre\u015blonym czasie braku aktywno\u015bci. Dzi\u0119ki temu bezpiecze\u0144stwo systemu nie zale\u017cy wy\u0142\u0105cznie od dyscypliny u\u017cytkownika, co w realnych warunkach produkcyjnych ma bardzo du\u017ce znaczenie.<\/p>\n\n\n\n

<\/div>\n\n\n\n

3. Szyfrowanie kluczy i danych statycznych w urz\u0105dzeniu<\/h3>\n\n\n\n
<\/div>\n\n\n\n

W sterownikach Horner wszystkie has\u0142a, klucze oraz inne wra\u017cliwe dane zapisane w firmware s\u0105 przechowywane w postaci zaszyfrowanej. Nawet w przypadku uzyskania fizycznego dost\u0119pu do urz\u0105dzenia ich odczytanie jest niezwykle utrudnione. To istotny element ochrony przed atakami typu \u201eoffline\u201d, kt\u00f3re coraz cz\u0119\u015bciej pojawiaj\u0105 si\u0119 w \u015brodowiskach przemys\u0142owych.<\/p>\n\n\n\n

<\/div>\n\n\n\n

4. Programowe wy\u0142\u0105czenie menu systemowego<\/h3>\n\n\n\n
<\/div>\n\n\n\n

Sterowniki Horner umo\u017cliwiaj\u0105 programowe zablokowanie menu systemowego za pomoc\u0105 dedykowanego rejestru. Dzi\u0119ki temu mo\u017cliwe jest ca\u0142kowite uniemo\u017cliwienie zmiany trybu pracy, konfiguracji sieci czy parametr\u00f3w systemowych przez osoby nieuprawnione. Dla u\u017cytkownika oznacza to wi\u0119ksz\u0105 stabilno\u015b\u0107 pracy maszyny i mniejsze ryzyko przypadkowych ingerencji.<\/p>\n\n\n\n

<\/div>\n\n\n\n

5. Szyfrowanie projektu aplikacji (PGM Encryption)<\/h3>\n\n\n\n
<\/div>\n\n\n\n

Mechanizm szyfrowania pliku PGM zabezpiecza kompletn\u0105 aplikacj\u0119 sterownika \u2013 zar\u00f3wno logik\u0119 steruj\u0105c\u0105, jak i konfiguracj\u0119 komunikacji oraz struktury danych. Zabezpieczenie has\u0142em uniemo\u017cliwia otwarcie projektu w \u015brodowisku Cscape bez odpowiednich uprawnie\u0144, a tym samym zapobiega nieautoryzowanej analizie lub modyfikacji kodu.<\/p>\n\n\n\n

Z perspektywy bezpiecze\u0144stwa OT rozwi\u0105zanie to skutecznie chroni przed scenariuszami, w kt\u00f3rych aplikacja sterownika zostaje skopiowana lub przej\u0119ta w celu odtworzenia architektury systemu. Jest to istotne nie tylko z punktu widzenia ochrony w\u0142asno\u015bci intelektualnej, ale r\u00f3wnie\u017c ograniczania wiedzy technicznej, kt\u00f3r\u0105 potencjalny atakuj\u0105cy m\u00f3g\u0142by wykorzysta\u0107 do przygotowania ukierunkowanego ataku.<\/p>\n\n\n\n

\r\n\t\t\t\t\t\t\t\"arrow\"\r\n\t\t\t\t\t\t\t<\/a>\r\n\t\t\t\t\t\t\t

Ochrona aplikacji sterownika przed nieautoryzowanym dost\u0119pem wspiera wymagania dotycz\u0105ce integralno\u015bci komponent\u00f3w systemu<\/strong> oraz ograniczenia dost\u0119pu do informacji wra\u017cliwych.<\/p>\n<\/div>\r\n\t\t\t\t\t<\/div>\r\n\t\n\n\n\n

<\/div>\n\n\n\n

6. Sprawdzenie integralno\u015bci konfiguracji przy starcie<\/h3>\n\n\n\n
<\/div>\n\n\n\n

Podczas uruchamiania sterownika system automatycznie sprawdza integralno\u015b\u0107 zapisanej konfiguracji. W przypadku wykrycia uszkodze\u0144 lub niesp\u00f3jno\u015bci, informacja o tym jest raportowana. Dla u\u017cytkownika oznacza to mo\u017cliwo\u015b\u0107 wczesnego wykrycia problem\u00f3w jeszcze przed uruchomieniem procesu, co zmniejsza ryzyko awarii lub nieprzewidzianych zachowa\u0144 maszyny.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Funkcje bezpiecze\u0144stwa komunikacji w sterownikach Horner OCS<\/h2>\n\n\n\n

7. Porty Ethernet domy\u015blnie wy\u0142\u0105czone<\/h3>\n\n\n\n
<\/div>\n\n\n\n

W sterownikach Horner wszystkie porty Ethernet pozostaj\u0105 nieaktywne do momentu jawnej konfiguracji konkretnego protoko\u0142u komunikacyjnego. Oznacza to, \u017ce po uruchomieniu urz\u0105dzenia nie s\u0105 dost\u0119pne \u017cadne niepotrzebne us\u0142ugi sieciowe ani otwarte porty, kt\u00f3re mog\u0142yby zosta\u0107 wykryte podczas skanowania sieci. Takie podej\u015bcie jest zgodne z zasad\u0105 minimal attack surface<\/em>.<\/p>\n\n\n\n

W zak\u0142adach przemys\u0142owych standardow\u0105 praktyk\u0105 jest pod\u0142\u0105czanie laptop\u00f3w serwisowych bezpo\u015brednio do sieci OT \u2014 zar\u00f3wno przez pracownik\u00f3w UR, jak i zewn\u0119trznych integrator\u00f3w. W takiej sytuacji ka\u017cde aktywne, nieu\u017cywane us\u0142ugi sieciowe mog\u0105 zosta\u0107 wykryte przez narz\u0119dzia diagnostyczne lub oprogramowanie dzia\u0142aj\u0105ce w tle.<\/p>\n\n\n\n

Domy\u015blnie wy\u0142\u0105czone porty Ethernet w sterownikach Horner znacz\u0105co ograniczaj\u0105 t\u0119 mo\u017cliwo\u015b\u0107. Urz\u0105dzenie komunikuje si\u0119 tylko wtedy i tylko w takim zakresie, jaki zosta\u0142 \u015bwiadomie skonfigurowany. W praktyce oznacza to, \u017ce przypadkowe lub nieautoryzowane pod\u0142\u0105czenie do sieci nie powoduje ujawnienia dodatkowych punkt\u00f3w dost\u0119pu do sterownika.<\/p>\n\n\n\n

\r\n\t\t\t\t\t\t\t\"arrow\"\r\n\t\t\t\t\t\t\t<\/a>\r\n\t\t\t\t\t\t\t

Dobra praktyka OT<\/strong>: W \u015brodowiskach przemys\u0142owych porty i protoko\u0142y powinny by\u0107 aktywowane tylko wtedy, gdy s\u0105 u\u017cywane. Horner realizuje to na poziomie samego sterownika, bez konieczno\u015bci stosowania dodatkowych firewalli.<\/p>\n<\/div>\r\n\t\t\t\t\t<\/div>\r\n\t\n\n\n

\n
\"\"
Porty komunikacyjne w sterowniku Horner Canvas 7D<\/em><\/figcaption><\/figure>\n<\/div>\n\n\n
<\/div>\n\n\n\n

8. Szyfrowana komunikacja mi\u0119dzy Cscape a sterownikiem<\/h3>\n\n\n\n
<\/div>\n\n\n\n

Komunikacja in\u017cynierska realizowana pomi\u0119dzy \u015brodowiskiem Cscape a sterownikiem OCS mo\u017ce by\u0107 w pe\u0142ni szyfrowana. Dotyczy to zar\u00f3wno przesy\u0142ania aplikacji, jak i operacji diagnostycznych czy monitoringu online. Z punktu widzenia u\u017cytkownika pozwala to bezpiecznie realizowa\u0107 prace serwisowe nawet w sieciach rozproszonych lub przy zdalnym dost\u0119pie. Szyfrowanie chroni przed pods\u0142uchem oraz modyfikacj\u0105 danych w trakcie transmisji, co jest jednym z kluczowych zagro\u017ce\u0144 identyfikowanych w systemach OT pod\u0142\u0105czonych do sieci IP.<\/p>\n\n\n\n

Operacje takie, jak wgrywanie programu, diagnostyka czy monitorowanie pracy sterownika coraz cz\u0119\u015bciej wykonywane s\u0105 zdalnie, np. przez VPN lub z sieci firmowej. W takich scenariuszach dane przesy\u0142ane pomi\u0119dzy \u015brodowiskiem Cscape a sterownikiem mog\u0105 przechodzi\u0107 przez wiele element\u00f3w infrastruktury sieciowej.<\/p>\n\n\n\n

Bez szyfrowania istnieje ryzyko przechwycenia lub modyfikacji tych danych w trakcie transmisji. Zastosowanie szyfrowania zapewnia poufno\u015b\u0107 oraz integralno\u015b\u0107 komunikacji, co ma kluczowe znaczenie zw\u0142aszcza przy przesy\u0142aniu aplikacji steruj\u0105cej. W praktyce oznacza to bezpieczne prowadzenie prac serwisowych bez wzgl\u0119du na to, czy odbywaj\u0105 si\u0119 lokalnie, czy zdalnie.<\/p>\n\n\n\n

\r\n\t\t\t\t\t\t\t\"arrow\"\r\n\t\t\t\t\t\t\t<\/a>\r\n\t\t\t\t\t\t\t

Praktyczne znaczenie<\/strong>: Zabezpieczenie kana\u0142\u00f3w in\u017cynierskich minimalizuje ryzyko przej\u0119cia kontroli nad sterownikiem poprzez manipulacj\u0119 ruchem sieciowym.<\/p>\n<\/div>\r\n\t\t\t\t\t<\/div>\r\n\t\n\n\n\n

<\/div>\n\n\n\n

9. Obs\u0142uga MQTT z TLS<\/h3>\n\n\n\n
<\/div>\n\n\n\n

Sterowniki Horner oferuj\u0105 obs\u0142ug\u0119 protoko\u0142u MQTT z wykorzystaniem szyfrowania TLS oraz certyfikat\u00f3w. MQTT jest powszechnie stosowany w rozwi\u0105zaniach IIoT, a jego bezpieczna implementacja pozwala integrowa\u0107 system automatyki z platformami analitycznymi, systemami MES, SCADA lub chmur\u0105.<\/p>\n\n\n\n

Dla u\u017cytkownika oznacza to mo\u017cliwo\u015b\u0107 przesy\u0142ania danych procesowych poza sie\u0107 lokaln\u0105 w spos\u00f3b kontrolowany i zgodny z wymaganiami cyberbezpiecze\u0144stwa. Wykorzystanie TLS zapewnia poufno\u015b\u0107 danych, integralno\u015b\u0107 transmisji oraz uwierzytelnianie komunikuj\u0105cych si\u0119 stron.<\/p>\n\n\n\n

\r\n\t\t\t\t\t\t\t\"arrow\"\r\n\t\t\t\t\t\t\t<\/a>\r\n\t\t\t\t\t\t\t

Segmentacja sieci OT i IT<\/strong>: Bezpieczny MQTT to kluczowy element w architekturach, w kt\u00f3rych systemy automatyki s\u0105 cz\u0119\u015bci\u0105 szerszego ekosystemu cyfrowego przedsi\u0119biorstwa.<\/p>\n<\/div>\r\n\t\t\t\t\t<\/div>\r\n\t\n\n\n\n

<\/div>\n\n\n
\n
\"\"
Przyk\u0142adowa topologia architektury z wykorzystaniem protoko\u0142u MQTT w sterownikach Horner. \u0179r\u00f3d\u0142o: Horner APG<\/em><\/figcaption><\/figure>\n<\/div>\n\n\n
<\/div>\n\n\n\n

10. WebMI z HTTPS<\/h3>\n\n\n\n
<\/div>\n\n\n\n

Interfejs WebMI w sterownikach Horner mo\u017ce pracowa\u0107 w oparciu o protok\u00f3\u0142 HTTPS, wykorzystuj\u0105c szyfrowanie TLS oraz certyfikat serwera. Oznacza to, \u017ce wszystkie dane przesy\u0142ane pomi\u0119dzy przegl\u0105dark\u0105 u\u017cytkownika a sterownikiem s\u0105 chronione przed pods\u0142uchem i manipulacj\u0105.<\/p>\n\n\n\n

Z technicznego punktu widzenia WebMI staje si\u0119 w\u00f3wczas pe\u0142noprawnym, bezpiecznym punktem dost\u0119pu do systemu sterowania. Jest to szczeg\u00f3lnie istotne w przypadku zdalnych podgl\u0105d\u00f3w procesu, prac serwisowych lub dost\u0119pu z sieci firmowej.<\/p>\n\n\n\n

\r\n\t\t\t\t\t\t\t\"arrow\"\r\n\t\t\t\t\t\t\t<\/a>\r\n\t\t\t\t\t\t\t

Dost\u0119p zdalny a NIS2<\/strong>: Dyrektywa NIS2 k\u0142adzie du\u017cy nacisk na kontrol\u0119 i zabezpieczenie dost\u0119pu zdalnego<\/strong> do system\u00f3w krytycznych. HTTPS w WebMI bezpo\u015brednio wspiera te wymagania.<\/p>\n<\/div>\r\n\t\t\t\t\t<\/div>\r\n\t\n\n\n\n

<\/div>\n\n\n
\n
\"\"<\/figure>\n<\/div>\n\n\n
<\/div>\n\n\n\n

11. Poziomy dost\u0119pu obs\u0142ugiwane w WebMI<\/h3>\n\n\n\n
<\/div>\n\n\n\n

Mechanizmy kontroli dost\u0119pu obowi\u0105zuj\u0105 nie tylko lokalnie, ale r\u00f3wnie\u017c w interfejsie WebMI. Oznacza to, \u017ce u\u017cytkownik loguj\u0105cy si\u0119 przez przegl\u0105dark\u0119 ma dok\u0142adnie takie same uprawnienia jak przy dost\u0119pie lokalnym. Eliminuje to ryzyko obej\u015bcia zabezpiecze\u0144 przez kana\u0142 webowy.<\/p>\n\n\n\n

<\/div>\n\n\n
\n
\"\"
Konfiguracja na poziomie WebMI<\/em><\/figcaption><\/figure>\n<\/div>\n\n\n
<\/div>\n\n\n\n

Funkcje bezpiecze\u0144stwa w \u015brodowisku programistycznym Cscape<\/h2>\n\n\n\n

12. Uwierzytelnianie i identyfikacja u\u017cytkownik\u00f3w w Cscape<\/h3>\n\n\n\n
<\/div>\n\n\n\n

\u015arodowisko programistyczne Cscape umo\u017cliwia zabezpieczenie has\u0142em kluczowych operacji in\u017cynierskich, takich jak wgrywanie i pobieranie aplikacji do sterownika, weryfikacja programu czy zmiana trybu pracy urz\u0105dzenia. Oznacza to, \u017ce nawet maj\u0105c fizyczny lub sieciowy dost\u0119p do sterownika u\u017cytkownik bez odpowiednich uprawnie\u0144 nie jest w stanie ingerowa\u0107 w jego dzia\u0142anie.<\/p>\n\n\n\n

Z technicznego punktu widzenia Cscape pe\u0142ni rol\u0119 narz\u0119dzia uprzywilejowanego, dlatego jego ochrona ma bezpo\u015bredni wp\u0142yw na bezpiecze\u0144stwo ca\u0142ego systemu OT. Mechanizm uwierzytelniania pozwala jasno rozdzieli\u0107 odpowiedzialno\u015b\u0107 pomi\u0119dzy operatora, utrzymanie ruchu i in\u017cyniera automatyka. Jest to istotne r\u00f3wnie\u017c z perspektywy audyt\u00f3w i odpowiedzialno\u015bci, kt\u00f3re wprost wynikaj\u0105 z wymaga\u0144 dyrektywy NIS2.<\/p>\n\n\n\n

<\/div>\n\n\n
\n
\"\"<\/figure>\n<\/div>\n\n\n
<\/div>\n\n\n\n

13. Ochrona przed nieudanymi pr\u00f3bami logowania (brute\u2011force)<\/h3>\n\n\n\n
<\/div>\n\n\n\n

Cscape posiada mechanizm zabezpieczaj\u0105cy przed wielokrotnymi, nieudanymi pr\u00f3bami logowania. Po kilku b\u0142\u0119dnych wprowadzeniach has\u0142a system automatycznie wprowadza narastaj\u0105ce op\u00f3\u017anienie czasowe przed kolejn\u0105 pr\u00f3b\u0105. W praktyce oznacza to skuteczn\u0105 ochron\u0119 przed atakami typu brute\u2011force, polegaj\u0105cymi na masowym testowaniu kolejnych kombinacji hase\u0142. Z punktu widzenia u\u017cytkownika rozwi\u0105zanie to dzia\u0142a w pe\u0142ni automatycznie i nie wymaga dodatkowej konfiguracji.<\/p>\n\n\n\n

Komputery wykorzystywane do programowania sterownik\u00f3w coraz cz\u0119\u015bciej dzia\u0142aj\u0105 w \u015brodowisku sieciowym \u2013 pod\u0142\u0105czone do sieci zak\u0142adowej lub zdalnej infrastruktury serwisowej. W takich warunkach mog\u0105 by\u0107 nara\u017cone na automatyczne pr\u00f3by logowania lub skanowanie.<\/p>\n\n\n\n

Mechanizm op\u00f3\u017aniania kolejnych pr\u00f3b logowania w Cscape powoduje, \u017ce takie dzia\u0142ania staj\u0105 si\u0119 w praktyce nieskuteczne. Nawet je\u015bli kto\u015b pr\u00f3buje odgadn\u0105\u0107 has\u0142o, czas potrzebny na przeprowadzenie ataku staje si\u0119 na tyle du\u017cy, \u017ce traci on sens. Rozwi\u0105zanie dzia\u0142a transparentnie dla u\u017cytkownika, a jednocze\u015bnie znacz\u0105co podnosi poziom ochrony.<\/p>\n\n\n\n

\r\n\t\t\t\t\t\t\t\"arrow\"\r\n\t\t\t\t\t\t\t<\/a>\r\n\t\t\t\t\t\t\t

Dobra praktyka<\/strong>: Narz\u0119dzia in\u017cynierskie powinny by\u0107 traktowane jak systemy o podwy\u017cszonym ryzyku \u2013 ich zabezpieczenie jest r\u00f3wnie wa\u017cne jak zabezpieczenie samego sterownika.<\/p>\n<\/div>\r\n\t\t\t\t\t<\/div>\r\n\t\n\n\n\n

<\/div>\n\n\n\n

14. Ochrona integralno\u015bci plik\u00f3w projektowych Cscape<\/h3>\n\n\n\n
<\/div>\n\n\n\n

Pliki projektowe Cscape s\u0105 zabezpieczone za pomoc\u0105 mechanizmu hashowania, kt\u00f3ry pozwala na weryfikacj\u0119 integralno\u015bci danych przy ka\u017cdym otwarciu projektu. Je\u015bli plik zosta\u0142 zmodyfikowany poza \u015brodowiskiem Cscape lub uleg\u0142 uszkodzeniu, system wykryje niezgodno\u015b\u0107 i zasygnalizuje problem.<\/p>\n\n\n\n

Dla u\u017cytkownika oznacza to pewno\u015b\u0107, \u017ce pracuje na oryginalnym, niezmienionym projekcie, a aplikacja sterownika odpowiada dok\u0142adnie temu, co zosta\u0142o zaprojektowane i zatwierdzone. Mechanizm ten wspiera r\u00f3wnie\u017c procesy walidacji, odbior\u00f3w technicznych oraz analiz\u0119 incydent\u00f3w, poniewa\u017c eliminuje ryzyko \u201ecichych\u201d zmian w projekcie.<\/p>\n\n\n\n

Zapewnienie integralno\u015bci<\/strong> plik\u00f3w konfiguracyjnych i aplikacyjnych jest jednym z podstawowych wymaga\u0144 dla komponent\u00f3w system\u00f3w automatyki przemys\u0142owej zgodnym z NIS2 oraz IEC62443.<\/p>\n\n\n\n

<\/div>\n\n\n\n

15. Szyfrowanie nazw u\u017cytkownik\u00f3w i hase\u0142 z u\u017cyciem AES\u2011256<\/h3>\n\n\n\n
<\/div>\n\n\n\n

W sterownikach Horner XL Prime, Canvas oraz Micro OCS zosta\u0142o wdro\u017cone szyfrowanie nazw u\u017cytkownik\u00f3w i hase\u0142 z wykorzystaniem algorytmu AES\u2011256<\/strong>, uznawanego za standard bezpiecze\u0144stwa klasy przemys\u0142owej. Oznacza to, \u017ce dane uwierzytelniaj\u0105ce nie s\u0105 przechowywane w postaci jawnej ani mo\u017cliwe do prostego odtworzenia \u2013 nawet przy bezpo\u015brednim dost\u0119pie do pami\u0119ci urz\u0105dzenia. Istotne jest to, \u017ce szyfrowanie dotyczy zar\u00f3wno hase\u0142, jak i identyfikator\u00f3w u\u017cytkownik\u00f3w, co ogranicza mo\u017cliwo\u015b\u0107 analizy struktury systemu przez osob\u0119 nieuprawnion\u0105. Rozwi\u0105zanie to skutecznie chroni przed atakami typu offline<\/em>, polegaj\u0105cymi na pr\u00f3bie odzyskania danych dost\u0119powych poprzez analiz\u0119 zawarto\u015bci sterownika.<\/p>\n\n\n\n

<\/div>\n\n\n\n

16. Obs\u0142uga hase\u0142 alfanumerycznych<\/h3>\n\n\n\n
<\/div>\n\n\n\n

Wdro\u017cona obs\u0142uga hase\u0142 alfanumerycznych<\/strong> pozwala na stosowanie kombinacji liter, cyfr oraz znak\u00f3w specjalnych w mechanizmach uwierzytelniania u\u017cytkownik\u00f3w. W praktyce znacz\u0105co zwi\u0119ksza to entropi\u0119 hase\u0142 i odporno\u015b\u0107 systemu na pr\u00f3by ich odgadni\u0119cia lub z\u0142amania.<\/p>\n\n\n\n

Coraz cz\u0119\u015bciej sterowniki s\u0105 elementem wi\u0119kszych system\u00f3w (MES, SCADA, IIoT), w kt\u00f3rych sp\u00f3jna polityka hase\u0142<\/strong> jest wymagana na poziomie ca\u0142ej infrastruktury. W wielu organizacjach obowi\u0105zuj\u0105 dzi\u015b centralne polityki bezpiecze\u0144stwa IT, kt\u00f3re wymagaj\u0105 stosowania silnych hase\u0142 \u2013 odpowiednio d\u0142ugich, z\u0142o\u017conych i trudnych do odgadni\u0119cia. W praktyce systemy automatyki cz\u0119sto by\u0142y z tych wymaga\u0144 wy\u0142\u0105czone, co tworzy\u0142o luk\u0119 bezpiecze\u0144stwa pomi\u0119dzy OT a IT.<\/p>\n\n\n\n

Wprowadzenie hase\u0142 alfanumerycznych w sterownikach Horner pozwala zniwelowa\u0107 t\u0119 r\u00f3\u017cnic\u0119 i ujednolici\u0107 podej\u015bcie do bezpiecze\u0144stwa w ca\u0142ej organizacji. Dzi\u0119ki temu systemy automatyki mog\u0105 by\u0107 traktowane jako pe\u0142noprawny element infrastruktury cyberbezpiecze\u0144stwa, bez potrzeby stosowania uproszcze\u0144 czy wyj\u0105tk\u00f3w.<\/p>\n\n\n\n

<\/div>\n\n\n
\n
\"\"
Przyk\u0142adowe zastosowanie has\u0142a o podwy\u017cszonym stopniu bezpiecze\u0144stwa: alfanumeryczne + znak specjalny. Mo\u017cliwo\u015b\u0107 edycji funkcji programu w Cscape przypisanych do danego u\u017cytkownika.<\/em><\/figcaption><\/figure>\n<\/div>\n\n\n
<\/div>\n\n\n\n

Dost\u0119pno\u015b\u0107 funkcji bezpiecze\u0144stwa w sterownikach Horner i oprogramowaniu Cscape<\/h2>\n\n\n\n

Poni\u017csze zestawienie pokazuje, kt\u00f3re funkcje cyberbezpiecze\u0144stwa s\u0105 dost\u0119pne w poszczeg\u00f3lnych rodzinach sterownik\u00f3w Horner APG oraz w \u015brodowisku programistycznym Cscape.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Aktualne funkcje bezpiecze\u0144stwa<\/h3>\n\n\n\n
<\/div>\n\n\n\n
Nr<\/strong><\/th>Obszar \/ temat bezpiecze\u0144stwa<\/th>Prime<\/strong><\/th>Canvas<\/strong><\/th>Micro<\/strong><\/th>Cscape<\/strong><\/th>Opis<\/strong><\/th><\/tr><\/thead>
1<\/strong><\/strong><\/td>Poziomy dost\u0119pu u\u017cytkownik\u00f3w<\/td>Tak<\/td>Tak<\/td>Nie<\/td>n\/d<\/td>Zapewnia, \u017ce tylko uprawnieni u\u017cytkownicy mog\u0105 przegl\u0105da\u0107 lub modyfikowa\u0107 krytyczne ustawienia<\/td><\/tr>
2<\/strong><\/strong><\/td>Automatyczne wylogowanie u\u017cytkownika<\/td>Tak<\/td>Tak<\/td>Nie<\/td>n\/d<\/td>Automatyczne wylogowanie u\u017cytkownika po okresie braku aktywno\u015bci<\/td><\/tr>
3<\/strong><\/strong><\/td>Szyfrowanie kluczy statycznych i danych uwierzytelniaj\u0105cych w urz\u0105dzeniu<\/td>Tak<\/td>Tak<\/td>Tak<\/td>n\/d<\/td>Wszystkie ci\u0105gi tekstowe i klucze statyczne wfirmware s\u0105 w pe\u0142ni zaszyfrowane, co znacz\u0105co utrudnia naruszenie bezpiecze\u0144stwa<\/td><\/tr>
4<\/strong><\/strong><\/td>Programowe wy\u0142\u0105czenie menu systemowego<\/td>Tak<\/td>Tak<\/td>Tak<\/td>n\/d<\/td>Dedykowany bit rejestru systemowego umo\u017cliwia zablokowanie menu systemowego w celu zapobiegania zmianom konfiguracji i trybu pracy<\/td><\/tr>
5<\/strong><\/strong><\/td>Szyfrowanie projektu aplikacji (PGM Encryption)<\/td>Tak<\/td>Tak<\/td>Tak<\/td>Tak<\/td>Wyeksportowany plik projektu PGM mo\u017ce by\u0107 zabezpieczony has\u0142em<\/td><\/tr>
6<\/strong> <\/strong><\/strong><\/td>Sprawdzenie integralno\u015bci konfiguracji<\/td>Tak<\/td>Tak<\/td>Tak<\/td>n\/d<\/td>Podczas uruchamiania urz\u0105dzenia sprawdzana jest integralno\u015b\u0107 konfiguracji; uszkodzone obszary s\u0105 oznaczane i raportowane<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
<\/div>\n\n\n\n

Funkcje bezpiecze\u0144stwa komunikacji OCS<\/h3>\n\n\n\n
<\/div>\n\n\n\n
Nr <\/strong><\/th>Obszar \/ temat bezpiecze\u0144stwa <\/strong><\/th>Prime <\/strong><\/th>Canvas <\/strong><\/th>Micro <\/strong><\/th>Cscape <\/strong><\/th>Opis <\/strong><\/th><\/tr><\/thead>
7<\/strong> <\/strong><\/strong><\/td>Porty Ethernet domy\u015blnie wy\u0142\u0105czone<\/td>Tak<\/td>Tak<\/td>Tak<\/td>n\/d<\/td>PortyEthernet s\u0105 aktywowane i konfigurowane wy\u0142\u0105cznie po ustawieniu konkretnego protoko\u0142u (z wyj\u0105tkiem portu do komunikacji z Cscape)<\/td><\/tr>
8<\/strong> <\/strong><\/strong><\/td>Szyfrowana komunikacja Ethernet Cscape (Cscan)<\/td>Tak<\/td>Tak<\/td>Tak<\/td>Tak<\/td>Ca\u0142a komunikacja pomi\u0119dzy sterownikiem a \u015brodowiskiem Cscape mo\u017ce by\u0107 szyfrowana w zale\u017cno\u015bci od ustawie\u0144 u\u017cytkownika<\/td><\/tr>
9<\/strong> <\/strong><\/strong><\/td>MQTT z TLS<\/td>Tak<\/td>Tak<\/td>n\/d<\/td>n\/d<\/td>Obs\u0142uga komunikacji MQTT z wykorzystaniem certyfikat\u00f3w TLS<\/td><\/tr>
10<\/strong> <\/strong><\/strong><\/td>WebMI z HTTPS<\/td>Tak<\/td>Tak<\/td>Tak<\/td>n\/d<\/td>Dost\u0119p WebMI zabezpieczony protoko\u0142em TLS i certyfikatem serwera<\/td><\/tr>
11<\/strong> <\/strong><\/strong><\/td>Obs\u0142uga poziom\u00f3w dost\u0119pu w WebMI<\/td>Tak<\/td>Tak<\/td>Tak<\/td>n\/d<\/td>Obs\u0142uga poziom\u00f3w dost\u0119pu u\u017cytkownik\u00f3w r\u00f3wnie\u017c w interfejsie WebMI<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
<\/div>\n\n\n\n

Funkcje bezpiecze\u0144stwa w Cscape<\/h3>\n\n\n\n
<\/div>\n\n\n\n
Nr <\/strong><\/th>Obszar \/ temat bezpiecze\u0144stwa<\/strong><\/th>Prime <\/strong><\/th>Canvas <\/strong><\/th>Micro <\/strong><\/th>Cscape <\/strong><\/th>Opis <\/strong><\/th><\/tr><\/thead>
12<\/strong> <\/strong><\/strong><\/td>Uwierzytelnianie i identyfikacja u\u017cytkownik\u00f3w<\/td>n\/d<\/td>n\/d<\/td>n\/d<\/td>Tak<\/td>Dost\u0119p do wgrywania, pobierania, weryfikacji aplikacji i zmiany trybu pracy w Cscape zabezpieczony has\u0142em<\/td><\/tr>
13<\/strong> <\/strong><\/strong><\/td>Ochrona przed nieudanymi pr\u00f3bami logowania<\/td>n\/d<\/td>n\/d<\/td>n\/d<\/td>Tak<\/td>Po wprowadzeniu nieprawid\u0142owego has\u0142a system wprowadza narastaj\u0105ce op\u00f3\u017anienie po ka\u017cdych trzech nieudanych pr\u00f3bach, chroni\u0105c przed atakami brute\u2011force<\/td><\/tr>
14<\/strong> <\/strong><\/strong><\/td>Ochrona integralno\u015bci konfiguracji Cscape<\/td>n\/d<\/td>n\/d<\/td>n\/d<\/td>Tak<\/td>Plik projektu Cscape jest zabezpieczony hashem, kt\u00f3ry jest weryfikowany przy ka\u017cdym wczytaniu w celu zapobiegania nieautoryzowanym modyfikacjom lub uszkodzeniom<\/td><\/tr>
15<\/strong><\/td>Szyfrowanie nazw u\u017cytkownik\u00f3w i hase\u0142 (AES\u2011256)<\/td>Tak<\/td>Tak<\/td>Tak<\/td>n\/d<\/td>Symetryczny algorytm szyfrowania z u\u017cyciem 256-bitowego klucza<\/td><\/tr>
16<\/strong><\/td>Obs\u0142uga hase\u0142 alfanumerycznych<\/td>Tak<\/td>Tak<\/td>Tak<\/td>Tak<\/td>Stosowanie kombinacji liter, cyfr i znak\u00f3w specjalnych<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
<\/div>\n\n\n\n

Funkcje bezpiecze\u0144stwa w trakcie wdra\u017cania<\/h3>\n\n\n\n
<\/div>\n\n\n\n
Nr <\/strong><\/th>Funkcja <\/strong><\/th>Prime <\/strong><\/th>Canvas <\/strong><\/th>Micro <\/strong><\/th>Cscape <\/strong><\/th>Status <\/strong><\/th><\/tr><\/thead>
17<\/strong> <\/strong><\/strong><\/td>Ograniczony dost\u0119p do obszar\u00f3w pami\u0119ci<\/td>Tak<\/td>Tak<\/td>Tak<\/td>n\/d<\/td>Planowane \u2013 Q3 2026<\/td><\/tr>
18<\/strong> <\/strong><\/strong><\/td>Secure Boot<\/td>Tak<\/td>Tak<\/td>Nie<\/td>n\/d<\/td>Planowane \u2013 Q3 2026<\/td><\/tr>
19<\/strong> <\/strong><\/strong><\/td>Verified Boot<\/td>Tak<\/td>Tak<\/td>Nie<\/td>n\/d<\/td>Planowane \u2013 Q3 2026<\/td><\/tr>
20<\/strong> <\/strong><\/strong><\/td>Trusted Platform Module (TPM)<\/td>Tak<\/td>Tak<\/td>Nie<\/td>n\/d<\/td>Planowane \u2013 Q3 2026<\/td><\/tr>
21<\/strong> <\/strong><\/strong><\/td>Obiekt zarz\u0105dzania dost\u0119pem u\u017cytkownik\u00f3w<\/td>Tak<\/td>Tak<\/td>Nie<\/td>Tak<\/td>Planowane \u2013 Q3 2026<\/td><\/tr>
22<\/strong> <\/strong><\/strong><\/td>Rejestr zdarze\u0144 (Audit Trail) z szyfrowaniem<\/td>Tak<\/td>Tak<\/td>Nie<\/td>Tak<\/td>Planowane \u2013 Q3 2026<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
<\/div>\n\n\n\n
\n
\n
\n

Newsletter Poradnika Automatyka<\/h3><\/div>\n

Czytaj trendy i inspiracje, podstawy automatyki, automatyk\u0119 w praktyce<\/p>\n<\/div>\n

\n
\n