Firewall dla firmy Katowice

Granica, której nie ma na żadnym rysunku

W większości zakładów, do których wchodzimy, sieć produkcyjna i biurowa są formalnie rozdzielone, a faktycznie połączone w kilku miejscach naraz. System magazynowy sięga do wagi, program raportujący do sterownika, komputer w biurze technologa odczytuje dane wprost z linii, a serwisant maszyny wchodzi przez stanowisko operatora. Każde z tych połączeń miało swój powód i każde powstało w innym roku.

Dopóki nikt nie pyta, wygląda to na porządek. Pierwsze pytanie przychodzi zwykle z zewnątrz: od dużego odbiorcy przemysłowego albo energetycznego, który przysyła ankietę bezpieczeństwa dla dostawców i chce wiedzieć, czy systemy sterowania są oddzielone od poczty i księgowości. Odpowiedź brzmi wtedy „tak, w zasadzie” i to jest właśnie moment, w którym warto tę granicę postawić naprawdę oraz zapisać.

Jaki ruch przepuszczamy i w którą stronę

Połączenie	Kierunek	Decyzja i uzasadnienie
Sterownik do internetu	wychodzący	zamknięty, poza jednym adresem producenta maszyny
Produkcja do serwera raportów	wychodzący	otwarty na jednym porcie, do jednego katalogu
System magazynowy do wag i skanerów	dwustronny	otwarty na wskazanych portach, po stronie hali
Biuro do paneli operatorskich	wchodzący	zamknięty, poza kontem kierownika zmiany
Serwis producenta do jednej maszyny	wchodzący	włączany na zgłoszenie, wygaszany po odbiorze prac
Monitoring i kontrola dostępu	wychodzący	własna strefa, bez drogi do produkcji i do biura
Aktualizacje i kopie z sieci biurowej	dwustronny	otwarty, z niższym pierwszeństwem niż ruch produkcji

Ta tabela, a nie samo wpisanie reguł, jest właściwą treścią zlecenia. Powstaje z rozmów i z obserwacji, bo w żadnym dokumencie zakładu jej nie ma, a odpowiedzi udzielane z pamięci są zwykle niepełne. Po jej spisaniu konfiguracja urządzenia zajmuje kilka godzin i jest najprostszą częścią całej pracy.

Dlaczego liczy się kierunek, a nie tylko sam dostęp

Większość rozmów o zabezpieczeniu zakładu dotyczy tego, kto wchodzi do sieci. Groźniejsze bywa to, co z niej wychodzi. Komputer sterujący, który nagle zaczyna łączyć się z adresem spoza listy, panel pobierający oprogramowanie z nieznanego źródła albo urządzenie odzywające się w środku nocy to sygnały, których nie widać przy zamkniętym wejściu i doskonale widać przy kontrolowanym wyjściu.

Dlatego strefa produkcyjna nie ma własnej drogi do internetu, a wyjątki, które muszą być, dostają jeden konkretny adres docelowy i wpis w dokumentacji. Kosztuje to trochę pracy przy każdej nowej maszynie i oszczędza rozmowę, w której nikt nie umie odpowiedzieć, dlaczego sterownik pakowaczki od trzech miesięcy wysyła dane na serwer w innym kraju.

Co się zmienia, gdy zakład ma kilka obiektów w aglomeracji

Każdy adres dostaje własne urządzenie brzegowe, bo ma własne łącze i własne wyjście, natomiast reguły przestają być pisane od nowa. Ta sama konwencja stref obowiązuje w hali, w magazynie i w biurze handlowym, więc otwarcie ruchu do nowego systemu wygląda wszędzie tak samo i mieści się w jednym zgłoszeniu. Zdarzenia ze wszystkich urządzeń trafiają do jednego miejsca, co przy rozproszeniu po metropolii jest jedyną drogą do zauważenia, że coś dzieje się w dwóch obiektach naraz.

Uporządkowanie tego bywa okazją do usunięcia rozwiązań, które powstały jako tymczasowe. Tunel zestawiony między halą a magazynem przez kogoś, kto potrzebował dostępu do jednego folderu, zwykle nadal działa i zwykle nikt o nim nie pamięta.

Czego to urządzenie nie rozwiąże

Nie zabezpieczy sterownika pracującego na systemie, którego producent nie aktualizuje od dekady, może go jedynie odciąć od świata. Nie zastąpi ochrony stacji roboczych ani kontroli poczty, a większość spraw w firmach produkcyjnych zaczyna się od załącznika w wiadomości o fakturze. Nie odpowie też za to, co robi osoba z legalnym dostępem, bo granica na brzegu sieci nie rozstrzyga o uprawnieniach wewnątrz.

Podział ruchu wewnątrz obiektu opisuje konfiguracja sieci firmowej, stały przegląd reguł administracja siecią, a budowę instalacji od zera wdrożenie infrastruktury.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026