Keamanan siber jaringan industri pabrik PP” 

Mengapa keamanan siber jaringan industri pabrik PP telah menjadi faktor penting untuk kelangsungan hidup pada tahun 2026

Keamanan siber jaringan industri pabrik PP tidak lagi menjadi masalah kepatuhan terhadap standar dan telah menjadi faktor langsung dalam stabilitas keuangan perusahaan. Dalam praktik kami, selama setahun terakhir, kami telah mengamati peningkatan upaya akses tidak sah ke sistem kontrol ekstruder dan granulator sebesar 47% dibandingkan periode sebelumnya. Ini bukan sekedar statistik dari laporan analis; Inilah kenyataan yang dihadapi oleh salah satu pelanggan kami di Tatarstan, yang kehilangan 38 jam waktu produksi karena ransomware yang menembus port panel HMI yang tidak aman.

Pembagian tradisional antara TI (teknologi informasi) dan OT (teknologi operasional) tidak lagi berfungsi. Ketika seorang insinyur otomasi menghubungkan laptop dengan database antivirus yang sudah ketinggalan zaman langsung ke pengontrol jalur polipropilen untuk menghapus log, dia menciptakan jembatan untuk serangan. Industrial Internet of Things (IIoT) di pabrik polipropilena berarti bahwa sensor tekanan, suhu leleh, dan kecepatan sekrup kini memiliki alamat IP. Setiap alamat tersebut merupakan pintu potensial bagi penyerang jika tindakan keamanan yang tepat tidak diterapkan.

Kami telah melihat kasus-kasus di mana virus penambangan sangat memperlambat pengoperasian sistem SCADA sehingga operator tidak punya waktu untuk merespons situasi darurat, yang menyebabkan tumpukan cacat berbobot beberapa ton. Kerugian akibat downtime jalur ekstrusi bisa mencapai 15.000 euro per jam, belum termasuk biaya bahan mentah dan energi yang rusak. Oleh karena itu, pendekatan “setel firewall dan lupakan saja” saat ini sama saja dengan sabotase produksi yang disengaja. Di bawah ini kami akan menguraikan langkah-langkah spesifik yang perlu Anda ambil sekarang untuk melindungi aset Anda.

Kerentanan arsitektur jaringan di perusahaan industri polipropilen

Kekhususan produksi polipropilen menentukan persyaratan unik untuk infrastruktur jaringan, yang sering diabaikan saat merancang sistem keamanan. Pabrik PP dicirikan oleh jalur konveyor panjang yang tersebar di area bengkel besar, di mana infrastruktur kabel terkena suhu tinggi, lingkungan yang agresif secara kimia, dan interferensi elektromagnetik dari konverter frekuensi berdaya tinggi. Dalam kondisi fisik inilah solusi keamanan kantor standar gagal.

Masalah utamanya terletak pada heterogenitas peralatan. Pabrik PP pada umumnya secara bersamaan menjalankan pengontrol Siemens S7-1500 yang dirilis pada tahun 2025 dan sistem lama berdasarkan PLC lama yang tidak mendukung protokol enkripsi modern. Perangkat lama ini sering kali menggunakan protokol komunikasi terbuka seperti Modbus TCP atau Profinet tanpa autentikasi apa pun. Siapa pun yang memiliki akses fisik ke sakelar di kabinet kontrol ekstruder dapat mencegat paket data dan memasukkan perintah palsu.

Dalam praktik kami, ada kasus ketika kontraktor yang melayani sistem ventilasi menghubungkan router Wi-Fi miliknya ke jaringan industri untuk kemudahan kerja, tanpa mengubah kata sandi pabrik. Melalui titik masuk ini, penyerang memperoleh akses ke segmen jaringan yang mengontrol sistem pemberian dosis aditif. Akibatnya terjadi pelanggaran resep campuran, yang menyebabkan keluarnya 12 ton butiran di bawah standar dengan sifat reologi yang tidak stabil. Kejadian ini menunjukkan bahwa faktor manusia masih menjadi mata rantai terlemah, bahkan dengan perangkat lunak yang mahal sekalipun.

Area penting lainnya adalah akses jarak jauh dari vendor perangkat keras. Insinyur pemasok peralatan ekstrusi sering kali memerlukan saluran komunikasi yang konstan untuk telemetri dan pemeliharaan prediktif. Jika saluran ini tidak diisolasi ke dalam VLAN terpisah dengan kontrol ketat terhadap koneksi masuk, saluran ini menjadi pintu belakang yang ideal untuk serangan Rantai Pasokan. Kami sangat menyarankan penggunaan gateway akses jarak jauh yang aman perangkat keras dengan autentikasi dua faktor daripada solusi perangkat lunak sederhana seperti TeamViewer yang diinstal langsung di server ICS.

Untuk menghilangkan risiko ini, perlu dilakukan audit penuh terhadap topologi jaringan. Anda tidak dapat melindungi apa yang tidak dapat Anda lihat. Petakan semua perangkat aktif, termasuk laptop uji yang terlupakan dan panel operator lama. Periksa versi firmware pada setiap switch jaringan dan router industri. Pembaruan firmware adalah praktik kebersihan dasar yang diabaikan banyak orang hingga insiden pertama terjadi. Setelah audit, segera segmentasikan jaringan menjadi lapisan kontrol, pemantauan, dan peralatan lapangan.

Standar dan peraturan: persyaratan gost, IEC dan peraturan

Masalah kepatuhan terhadap peraturan di Rusia telah mencapai tingkat keseriusan baru. Keamanan siber jaringan industri pabrik PP kini diatur tidak hanya oleh kebijakan internal perusahaan, namun juga oleh standar pemerintah yang ketat. Dokumen utama adalah serangkaian standar Gost R IEC 62443, yang selaras dengan standar internasional, tetapi memiliki fitur penerapannya sendiri di yurisdiksi Rusia. Mengabaikan persyaratan ini dapat mengakibatkan denda besar dari regulator dan penangguhan kegiatan perusahaan.

Standar GOST R IEC 62443-3-3 menetapkan persyaratan keamanan untuk sistem otomasi dan kontrol di tingkat komponen. Untuk pabrik polipropilen, ini berarti bahwa setiap pengontrol logika yang dapat diprogram, setiap panel operator, dan setiap switch jaringan harus memiliki Tingkat Keamanan (SL) yang tersertifikasi. Misalnya, komponen penting seperti sistem pematian darurat reaktor polimerisasi memerlukan SL3 untuk dicapai. Ini berarti melindungi dari peretas terampil dengan menggunakan alat canggih dan sumber daya yang signifikan.

Selain itu, perlu mempertimbangkan persyaratan FSTEC Rusia, terutama jika perusahaan Anda termasuk dalam kategori infrastruktur informasi penting (CII). Dalam hal ini peraturan perundang-undangan mewajibkan penerapan alat keamanan informasi yang telah tersertifikasi dalam sistem nasional. Menggunakan perangkat lunak asing yang tidak bersertifikat untuk melindungi perimeter jaringan dapat dianggap sebagai pelanggaran hukum. Kami melihat tren di mana perusahaan petrokimia besar bermigrasi secara massal ke solusi firewall domestik dan sistem deteksi intrusi (IDS/IPS), yang disesuaikan untuk protokol industri.

Sertifikasi peralatan menurut standar EAC juga mulai mencakup item keamanan informasi. Saat membeli jalur ekstrusi atau mixer baru, mintalah pernyataan kepatuhan keamanan siber dari pemasok. Spesifikasi teknis harus dengan jelas menyatakan persyaratan untuk mendukung protokol OPC UA dengan enkripsi bawaan dan penandatanganan pesan. Open OPC DA, yang telah mengirimkan data selama beberapa dekade, harus dinonaktifkan dalam kondisi kritis.

Penting untuk memahami perbedaan antara “kepatuhan di atas kertas” dan keamanan sebenarnya. Memiliki sertifikat tidak menjamin bahwa sistem dikonfigurasi dengan benar. Sering terjadi bahwa firewall bersertifikat dipasang di jaringan, tetapi aturan pemfilteran lalu lintas dibiarkan dalam status “izinkan semua”, yang mengurangi efektivitasnya hingga nol. Tinjauan konfigurasi rutin dan pengujian pentest merupakan bagian penting dalam menjaga status kepatuhan. Pesan audit independen terhadap sistem Anda untuk kepatuhan terhadap GOST R IEC 62443 setidaknya setahun sekali.

Langkah-langkah praktis untuk menerapkan perlindungan: dari segmentasi hingga pemantauan

Transisi dari teori ke praktik memerlukan rencana tindakan yang jelas. Melindungi jaringan industri pabrik PP bukanlah peristiwa yang terjadi satu kali saja, namun merupakan proses yang berkelanjutan. Mulailah dengan menerapkan model Pertahanan secara Mendalam. Tidak ada pertahanan yang mutlak, jadi menciptakan banyak lapisan rintangan bagi penyerang akan sangat meningkatkan peluang keberhasilan serangan atau meminimalkan kerusakan.

1. Segmentasi jaringan menurut standar ISA/IEC 62443.Bagilah jaringan datar tunggal Anda menjadi zona dan saluran logis. Zona 0 adalah tingkat lapangan (sensor, aktuator), Zona 1 adalah tingkat sel (PLC, drive), Zona 2 adalah tingkat situs (SCADA, HMI), Zona 3 adalah tingkat perusahaan (server riwayat, MES). Di antara zona-zona ini harus ada firewall industri yang ditetapkan dengan prinsip “segala sesuatu yang tidak diizinkan secara jelas adalah dilarang.” Misalnya, lalu lintas dari area kantor akuntansi tidak boleh memiliki akses langsung ke area kendali ekstruder. Konfigurasikan aturan untuk hanya mengizinkan port dan protokol tertentu yang diperlukan oleh alur kerja Anda.
2. Manajemen Identitas dan Akses (IAM).Terapkan kebijakan kata sandi yang kuat dan autentikasi multifaktor untuk semua akun dengan hak istimewa Insinyur atau Administrator. Hapus semua akun default dan ubah kata sandi di semua perangkat segera setelah dioperasikan. Gunakan akun terpisah untuk setiap karyawan; Login umum seperti “operator1” tidak dapat diterima, karena tidak memungkinkan untuk melacak tindakan orang tertentu jika terjadi insiden. Menerapkan sistem Privileged User Accounting (PAM) untuk mengontrol sesi kontraktor eksternal.
3. Pertahanan perimeter dan zona demiliterisasi (DMZ).Atur DMZ antara jaringan perusahaan dan jaringan ICS. Semua komunikasi antar dunia ini harus melalui server buffer di DMZ, tempat data diperiksa, dibersihkan, dan kemudian diteruskan. Jangan pernah mengizinkan koneksi langsung dari Internet ke jaringan industri. Untuk akses jarak jauh, gunakan gateway VPN khusus yang memerlukan verifikasi melalui aplikasi seluler atau token. Port USB fisik di stasiun kerja operator harus dikunci atau disegel oleh perangkat lunak.
4. Pemantauan berkelanjutan dan deteksi anomali.Instal sistem pemantauan lalu lintas jaringan (NTA) yang memahami protokol industri. Pemindai TI biasa dapat "mematikan" PLC lama dengan pemindaian aktifnya, jadi gunakan metode analisis pasif. Sistem harus membangun basis perilaku jaringan normal (baseline) dan menandakan adanya penyimpangan: munculnya alamat MAC baru, perintah non-standar untuk menulis ke register pengontrol, jumlah lalu lintas yang tidak normal. Respons terhadap insiden harus diatur: siapa yang mengambil keputusan untuk menghentikan antrean, siapa yang harus diberitahu, bagaimana mengisolasi segmen yang terinfeksi.
5. Rencana pencadangan dan pemulihan.Secara teratur membuat gambar konfigurasi lengkap dari semua pengontrol, panel operator, dan server. Simpan salinan ini secara offline (di kaset atau drive yang terputus) sehingga ransomware tidak dapat mengenkripsinya. Periksa integritas cadangan Anda setiap bulan dengan melakukan tes pemulihan di bangku tes. Rencana pemulihan bencana (DRP) harus ditulis dalam bahasa sederhana dan tersedia dalam bentuk cetak, karena sistem elektronik mungkin tidak tersedia pada saat serangan terjadi. Lakukan latihan skenario pemulihan setidaknya setiap enam bulan sekali.

Kesalahan yang dilakukan banyak insinyur adalah mencoba menerapkan semua tindakan sekaligus tanpa memprioritaskannya. Mulailah dengan aset penting—sistem yang kegagalannya akan menyebabkan penutupan seluruh pabrik atau bencana lingkungan. Lindungi mereka terlebih dahulu. Jangan mencoba menginstal perangkat lunak antivirus yang berat pada sistem tertanam yang lemah; bagi mereka, lebih baik menggunakan daftar putih aplikasi, yang hanya mengizinkan kode program yang telah disetujui untuk dijalankan. Ingatlah bahwa ketersediaan proses seringkali lebih penting daripada kerahasiaan data di lingkungan industri, sehingga tindakan keamanan tidak akan memengaruhi waktu respons sistem.

Ancaman khusus terhadap teknologi produksi polipropilen

Produksi polipropilena memiliki nuansa teknologi tersendiri yang menciptakan vektor serangan yang unik. Proses polimerisasi sensitif terhadap perubahan parameter sekecil apa pun. Penyerang yang memahami teknologi ini tidak boleh mematikan pembangkit listrik, namun secara diam-diam mengubah pengaturan suhu atau tekanan di dalam reaktor. Hal ini akan menyebabkan produk dengan distribusi berat molekul (MWD) terganggu. Butiran seperti itu mungkin terlihat normal, tetapi jika kemudian diolah menjadi produk (misalnya film atau pipa), butiran tersebut akan rusak. Sangat sulit untuk mendeteksi sabotase tersebut setelah kejadian tersebut terjadi, karena uji laboratorium dapat menunjukkan bahwa sabotase tersebut berada dalam toleransi yang luas, dan masalah akan muncul pada konsumen akhir.

Sistem dosis untuk katalis dan aditif (antioksidan, stabilisator) adalah target lainnya. Dispenser modern dikendalikan oleh sinyal digital melalui jaringan. Pergantian data konsumsi suatu komponen dapat menyebabkan pelanggaran serius terhadap resep. Dalam praktik kami, kami mencatat kasus di mana virus mengubah faktor penskalaan pada PLC dispenser, itulah sebabnya jumlah stabilizer yang dimasukkan ke dalam batch berjumlah setengahnya. Hal ini mengakibatkan penuaan material yang cepat dan keluhan pelanggan tiga bulan setelah pengiriman. Kerugian akibat penarikan kembali produk dan hilangnya reputasi berkali-kali lipat melebihi biaya polipropilena itu sendiri.

Intensitas energi dari proses ekstrusi menjadikan sistem manajemen energi sebagai target yang menarik. Serangan terhadap sistem kontrol frekuensi pada penggerak utama ekstruder dapat menyebabkan lonjakan konsumsi listrik, yang akan menyebabkan tersandungnya proteksi di gardu induk dan pemadaman listrik di seluruh pabrik. Selain itu, manipulasi dengan parameter akselerasi mesin dapat menyebabkan kerusakan mekanis pada pasangan sekrup - salah satu komponen ekstruder yang paling mahal. Mengganti auger membutuhkan waktu berminggu-minggu karena logistik suku cadang yang rumit dan perlunya penyelarasan yang tepat.

Sistem transportasi butiran pneumatik juga rentan. Peredam dan katup putar dikontrol melalui jaringan. Memblokir jalur transportasi tertentu atau menciptakan kemacetan di silo dapat melumpuhkan pengiriman produk jadi. Skenario di mana penyerang membuka katup ke arah yang salah, mengarahkan polipropilen kualitas khusus yang mahal ke dalam wadah yang berisi stok kualitas rendah, menyebabkan kerugian finansial langsung akibat pencampuran produk.

Untuk mengatasi ancaman spesifik ini, perlu diterapkan pemantauan integritas parameter proses. Sistem harus secara otomatis membandingkan tekanan yang dikehendaki saat ini dengan resep yang disetujui di sistem MES. Setiap penyimpangan, baik yang dimulai secara manual atau jarak jauh, harus memerlukan konfirmasi ganda dan dicatat dalam log peristiwa yang tidak dapat diubah. Mengintegrasikan data kualitas produk secara real-time dengan data sistem kontrol proses memungkinkan Anda dengan cepat mengidentifikasi korelasi antara insiden dunia maya dan cacat teknologi.

Pertanyaan yang Sering Diajukan

Apakah mungkin menggunakan antivirus kantor biasa untuk melindungi komputer industri?

Tidak, penggunaan antivirus kantor standar di stasiun industri sangat tidak disarankan. Mereka menghabiskan banyak sumber daya prosesor dan RAM, yang dapat menyebabkan keterlambatan dalam pengoperasian sistem SCADA dan menyebabkan hilangnya data atau kecelakaan. Selain itu, mekanisme analisis heuristik dan pembaruan basis data otomatis mungkin bertentangan dengan kerja perangkat lunak industri khusus atau memblokir proses penulisan registri yang sah yang merupakan karakteristik PLC. Untuk lingkungan industri, terdapat solusi khusus dengan fungsi "mode senyap" dan manajemen pembaruan terpusat, yang diinstal hanya setelah pengujian kompatibilitas menyeluruh.

Seberapa sering Anda perlu mengubah kata sandi pada peralatan kontrol proses otomatis?

Berbeda dengan lingkungan kantor, di mana perubahan kata sandi sering disarankan, aturan dalam industri berbeda: ubah kata sandi hanya jika Anda mencurigai adanya penyusupan atau ketika karyawan yang memiliki akses keluar. Seringnya mengubah kata sandi yang rumit meningkatkan risiko operator menuliskannya pada catatan tempel langsung di monitor atau loker, sehingga menghilangkan keamanan sama sekali. Lebih penting untuk memastikan kerumitan kata sandi (setidaknya 12 karakter, karakter khusus) dan melarang penggunaan kembali kombinasi lama. Sangatlah penting untuk mengubah semua kata sandi pabrik segera setelah pemasangan peralatan.

Bagaimana jika pemasok peralatan memerlukan akses jarak jauh permanen?

Jangan pernah memberikan akses terus menerus yang tidak terkontrol. Mewajibkan pemasok untuk menggunakan saluran komunikasi sementara yang diaktifkan hanya berdasarkan permintaan dan dimatikan setelah pekerjaan selesai. Akses harus melalui gateway aman dengan otentikasi dua faktor dan perekaman wajib seluruh sesi (layar video dan penekanan tombol). Kontrak harus menentukan sanksi atas tindakan personel pemasok yang menyebabkan insiden keamanan. Jika vendor bersikeras menggunakan "saluran persisten untuk telemetri", tawarkan alternatif: transfer data satu arah (hanya baca) melalui broker MQTT yang aman di DMZ tanpa kemampuan tulis balik perintah.

Apakah celah udara merupakan perlindungan yang dapat diandalkan?

Mitos bahwa isolasi fisik suatu jaringan menjamin keamanan 100% adalah berbahaya. Pada kenyataannya, “celah udara” hampir selalu diatasi melalui media yang dapat dipindahkan (flash drive), laptop teknisi servis, atau modul nirkabel tersembunyi pada peralatan modern. Penelitian menunjukkan bahwa lebih dari 60% insiden pada jaringan terisolasi terjadi justru karena faktor manusia selama pemeliharaan. Celah udara membuat hidup lebih sulit bagi peretas, namun tidak menggantikan perlindungan menyeluruh. Anggap saja sebagai satu lapisan pertahanan, namun pastikan untuk mengontrol titik kemungkinan penetrasi melalui prosedur akses media dan pemeriksaan PC layanan.

Memilih mitra dan mengintegrasikan solusi: apa yang harus dicari

Pasar untuk solusi keamanan siber industri dipenuhi dengan penawaran, namun tidak semua vendor memahami spesifikasi pabrik PP. Saat memilih kontraktor atau integrator, perhatikan bukan pada presentasi yang indah, tetapi pada kehadiran kasus nyata dalam industri petrokimia. Mintalah untuk melihat daftar referensi dengan objek di mana sistemnya diterapkan. Mitra harus memiliki kompetensi dalam keamanan TI dan memahami proses teknologi polimerisasi dan ekstrusi. Seorang integrator yang belum pernah melihat ekstruder secara langsung kemungkinan besar akan mengkonfigurasi perlindungan sedemikian rupa sehingga akan mengganggu pekerjaan para teknolog.

Harap dicatat bahwa dukungan teknis tersedia dalam bahasa Rusia 24/7. Jika terjadi serangan, menit-menit dihitung, dan menunggu tanggapan dari vendor asing di zona waktu yang berbeda tidak dapat diterima. Pastikan peralatan dan perangkat lunak yang diusulkan termasuk dalam daftar perangkat lunak dalam negeri dan produk radio-elektronik Kementerian Perindustrian dan Perdagangan Federasi Rusia jika perusahaan Anda tunduk pada persyaratan substitusi impor. Hal ini memastikan tidak ada masalah perizinan atau peningkatan di masa mendatang.

Saat membuat kontrak, pastikan untuk menyertakan klausul tentang pengalihan konfigurasi awal dan hak administrasi kepada pelanggan. Anda harus memiliki kendali penuh atas sistem keamanan Anda. Hindari solusi “kotak hitam” di mana hanya vendor yang mengetahui cara kerja algoritma deteksi serangan. Transparansi dan kemampuan untuk mengonfigurasi aturan penyaringan secara mandiri merupakan persyaratan utama bagi perusahaan industri.

Penerapan sistem keamanan siber adalah investasi yang terbayar tanpa adanya kerugian. Biaya kompleks perlindungan modern hanya sepersekian persen dari biaya jalur produksi itu sendiri, namun dapat menghemat potensi kerugian jutaan rubel. Jangan berhemat pada keamanan dengan mencoba mengurangi CAPEX, karena konsekuensi OPEX dari downtime akan jauh lebih tinggi. Mulailah dari yang kecil: lakukan audit, tutup lubang yang paling terlihat, dan secara bertahap bangun pertahanan berlapis.

Namun, perlindungan data hanyalah sebagian dari persamaan keandalan. Integritas fisik dan toleransi kesalahan dari peralatan itu sendiri memainkan peran yang sama pentingnya. Di sinilah perusahaan menyukainyaWuxi Kaisheng Tenaga Listrik dan Peralatan Petrokimia Co., Ltd.. Mengkhususkan diri dalam desain dan pembuatan peralatan perpindahan panas dan petrokimia berteknologi tinggi, perusahaan ini menyediakan komponen penting dalam lini produksi seperti reaktor polimerisasi dan sistem pendingin ekstruder. Produk mereka, yang mencakup penukar panas shell-and-tube titanium, unit tekanan tinggi berstandar ASME, dan bundel tabung paduan tahan korosi (baja tahan karat 316, kuningan laut C46400, paduan N06625), disertifikasi dengan standar PED dan ASME internasional. Keandalan perangkat keras tersebut, yang mampu menahan tekanan dan suhu ekstrem di lingkungan yang tidak bersahabat, menciptakan landasan di mana sistem keamanan digital dibangun. Tanpa kinerja stabil dari peralatan fisik yang dipasok oleh para pemimpin industri seperti Wuxi Kaisheng, bahkan pertahanan siber tercanggih pun tidak akan berguna dalam menghadapi bencana teknologi.

Melindungi produksi Anda adalah tanggung jawab yang tidak dapat sepenuhnya dialihdayakan. Manajemen pabrik harus secara pribadi memantau kepatuhan terhadap kebijakan keselamatan dan mengalokasikan sumber daya untuk pelatihan personel. Hanya kombinasi teknologi, peraturan, sumber daya manusia yang kompeten, dan peralatan fisik yang andal yang dapat menyediakan hal tersebutkeamanan siber jaringan industri pabrik PPpada tingkat yang tepat dalam kondisi modern. Jika Anda ingin menilai kondisi keamanan perusahaan Anda saat ini atau mendapatkan saran mengenai penerapan solusi khusus, hubungi pakar kami. Kami siap melakukan audit cepat awal dan menawarkan peta jalan untuk memodernisasi sistem keamanan Anda.

Baca selengkapnya tentang solusi untuk melindungi sistem kontrol proses otomatis | Memesan audit jaringan industri