Co znamená NIS2 pro technologie na bráně areálu

Pro technologii na bráně znamená NIS2 v praxi hlavně jedno: vjezdový systém se přestává posuzovat jako „závora s kamerou“ a začíná se s ním zacházet jako s bezpečnostním prvkem IT infrastruktury. Konkrétně to znamená segmentovanou vyhrazenou síť, lokální databázi nevystavenou ven, servisní přístup výhradně přes VPN, žádnou komponentu dostupnou z veřejného internetu, definované porty a auditní stopu každého průjezdu. Koho se směrnice týká a v jakém rozsahu, si každá firma vyřeší s právníky — tenhle článek se drží technické praxe: co má IT oddělení po dodavateli technologie na bráně chtít a na co se ho ptát.

Proč brána patří do agendy IT

Automatizovaná vrátnice není izolovaná krabice u závory. Je to soustava kamer pro rozpoznávání registračních značek (LPR — License Plate Recognition), kiosků, IP modulů vstupů a výstupů, LED panelů a přístupových kontrolerů, propojená řídicím softwarem — v podání SECAPRO je to platforma PSA — průjezdový systém areálu. Systém drží evidenci vozidel a osob, rozhoduje, kdo do areálu vjede, a všechno to dělá po síti.

Z pohledu IT z toho plynou dvě věci. Zaprvé: systém řídí fyzický vstup do areálu, takže je to bezpečnostní prvek — a podle toho se s ním musí zacházet. Zadruhé: je to další technologie ve vaší infrastruktuře, a když je špatně navržená, je to další cesta, kudy se dá do sítě dostat. Přísná IT prostředí proto vrátnici pokládají stejné otázky jako kterémukoli jinému systému: kde běží, kdo se k ní dostane, kudy tečou data a co po sobě nechává. Následující požadavky nejsou přání — jsou to podmínky, bez kterých systém v regulovaném prostředí neprojde schvalováním.

Vyhrazená síť a nic dostupného z internetu

Základ je segmentace. Všechny prvky systému — aplikační server, kamery, kiosky, IP moduly, kontrolery — spolu komunikují ve vyhrazené oddělené síti (DMZ nebo VLAN). Smysl je jednoduchý: kdyby útočník kompromitoval jednu komponentu, nesmí se z ní dostat dál do areálové sítě. U PSA je proto i MQTT sběrnice, po které si kiosky a periferie vyměňují zprávy, omezená na vyhrazený segment a její provoz nesmí ven.

Druhý pilíř: databáze běží lokálně na aplikačním serveru a není vystavená ven. Evidence vozidel, osob a průjezdů je citlivá množina dat — nemá co dělat na rozhraní dostupném ze sítě, natož z internetu.

Třetí pilíř: žádná komponenta systému není přímo dostupná z veřejného internetu. To neznamená, že systém s okolím nekomunikuje — rezervační data z veřejného předregistračního portálu tečou dovnitř šifrovaným Site-to-Site IPsec tunelem, ne přímým přístupem k databázi. A servisní přístup dodavatele vede výhradně přes zabezpečenou VPN, ne přes otevřený port vystavený do internetu.

Definované porty, ne „otevřete nám to nějak“

Dodavatel, který nedokáže vyjmenovat porty a protokoly svého systému, přenáší práci na vaše IT. Správně to má být naopak: seznam portů je součást nabídky a kompletní schéma segmentace se dodává ve fázi projektu. Pro ilustraci několik příkladů z PSA:

Kompletní přehled portů všech komponent — od webové administrace po LED panely a databázi — je na stránce platformy PSA. Pro IT to znamená, že firewallová pravidla se dají napsat předem a přesně — žádné „povolte rozsah, ono se to doladí“. Stejná logika platí pro turnikety a přístupové kontrolery pro pěší vstup: i ty komunikují po definovaném portu uvnitř vyhrazeného segmentu, ne napřímo s kancelářskou sítí.

Auditní stopa každého průjezdu

Regulované prostředí potřebuje doložit, kdo a kdy do areálu vstoupil — a při incidentu nebo reklamaci je záznam průjezdu jediné, o co se dá opřít. Každý průjezd proto systém ukládá s časem a směrem, rozpoznanou registrační značkou a snímkem vozidla, informací, zda šlo o automatické, nebo ruční povolení, a u ručního zásahu se jménem konkrétního člověka z obsluhy, který závoru otevřel. K záznamu se váže i doklad o absolvovaném seznámení s BOZP. Historie se filtruje a exportuje — pro audit, pojišťovnu i řešení sporných situací.

Ruční otevření je přitom výjimka, ne pravidlo: na provozních datech instalací se automaticky odbaví přes 99 % průjezdů. Právě proto má smysl každé ruční povolení zvýrazňovat — je to událost, která se má dát zpětně vysvětlit.

Za pozornost stojí i to, jak záznam vzniká. Kamera v systému nedostává povel, jen dodává obraz: vozidlo najede na indukční smyčku, impulz zpracuje IP modul, teprve pak si PSA vezme snímek z videostreamu, rozpozná značku, porovná ji s evidencí a rozhodne. Kamera sama nic nespouští — což zjednodušuje jak hledání závad, tak bezpečnostní posouzení, protože kamera zůstává pasivním zdrojem obrazu, ne prvkem s rozhodovací pravomocí.

Oddělená operátorská stanice ostrahy

Ostraha potřebuje obrazovku s přehledem dění na bráně — a bývá to externí firma s vlastními lidmi a vlastní fluktuací. Její stanice proto nemá co dělat v kancelářské síti. Pro ostrahu lze nasadit vyhrazenou operátorskou stanici, fyzicky i logicky oddělenou od zbytku infrastruktury: operátor vidí a ovládá to, co k práci potřebuje, ale jeho stanice není vstupní branou do firemní LAN.

Dvě topologie nasazení

To, kdo drží perimetr, je první rozhodnutí celého projektu — a existují dvě odpovědi.

On-premise v DMZ. Všechny prvky systému běží ve vyhrazené izolované síti uvnitř vaší infrastruktury. Perimetr řídí váš firewall, vzdálená správa jde přes vaši VPN, rezervační data z veřejného portálu tečou dovnitř šifrovaným tunelem. Tahle varianta sedí firmám, které mají kapacitu perimetr spravovat a jejichž politika vyžaduje mít vše pod vlastní kontrolou.

Oddělená síť dodavatele. Prvky systému běží ve fyzicky oddělené síti nezávislé na vašem IT, perimetr drží router dodavatele a systém může fungovat jako samostatná jednotka s vlastním mobilním připojením. Vhodné tam, kde nechcete nebo nemůžete poskytnout místo ve vlastní síti — třeba proto, že bezpečnostní politika zakazuje připojovat systémy třetích stran, nebo správa další DMZ nedává kapacitně smysl.

Obě topologie nesou stejnou funkční sestavu elektronické vrátnice — závory, kiosky, kamery, LED navigaci — liší se jen tím, čí firewall stojí na hranici. Není to otázka „lepší a horší“, ale otázka vaší bezpečnostní politiky.

Otázky, které má IT položit každému dodavateli vrátnice

Ať už jednáte s kýmkoli, odpovědi na těchhle deset otázek oddělí systém navržený pro regulované prostředí od krabice, kterou někdo dodatečně „zabezpečí“:

1. Ve kterém segmentu sítě systém poběží a kdo drží perimetr?
2. Je některá komponenta dostupná z veřejného internetu? Pokud ano, proč?
3. Kde běží databáze a je dostupná ze sítě?
4. Jaké porty a protokoly systém používá? Dodáte schéma segmentace před realizací?
5. Jak probíhá servisní přístup — VPN, nebo otevřený port?
6. Co přesně obsahuje auditní záznam průjezdu a jak se pozná ruční otevření obsluhou?
7. Jak se systém chová při výpadku sítě nebo serveru?
8. Je operátorská stanice ostrahy oddělená od kancelářské sítě?
9. Jak jsou zabezpečená strojová rozhraní pro integrace?
10. Kudy do systému tečou data z veřejných formulářů (předregistrace dopravců, návštěv)?

U deváté otázky se vyplatí jít do detailu: integrace na podnikové systémy — docházku, ERP, WMS nebo mostové váhy — jsou u vrátnice běžná součást dodávky a API má být zabezpečené API klíčem i tokenem, ne otevřené „pro jednoduchost“. A dodavatel má nejdřív chtít vidět dokumentaci rozhraní protistrany, teprve pak integraci slíbit.

Odpověď „to vyřešíme při realizaci“ na kteroukoli z těch otázek je varovný signál. Ne proto, že by to nešlo vyřešit — ale proto, že se to pak řeší na váš účet a ve vašem harmonogramu.

Kdy to nedává smysl

• Když hledáte certifikát místo architektury. Žádný výrobek vás „NIS2 compliant“ neudělá — směrnici splňuje provozovatel, ne dodaná technologie. Návrh v souladu s principy směrnice znamená, že vám technologie plnění povinností neztěžuje. Dodavatel, který slibuje víc, slibuje něco, co splnit nemůže.
• Když na vaší straně není, kdo by DMZ a VPN spravoval. Topologie on-premise předpokládá partnera ve vašem IT, který drží firewall a přístupy. Bez něj je poctivější sáhnout po oddělené síti dodavatele — jinak vznikne segmentace jen na papíře.
• Když chcete řešení zcela bez lokálního prvku. Popsaná architektura stojí na aplikačním serveru v areálu s lokální databází. Kdo hledá čistě cloudovou službu bez čehokoli on-premise, hledá jiný typ řešení — s jinými bezpečnostními kompromisy, které je fér pojmenovat.
• Když brána nemá co auditovat. Malý provoz s jednou bránou, kde závoru otevírá vrátný tlačítkem a nikdo nevyžaduje doložitelnost, plnohodnotnou řídicí platformu nevyužije. I tam ale platí minimum: nic vystaveného do internetu a servis jen přes VPN — to není nadstandard, to je hygiena.

Časté dotazy

Je PSA certifikované podle NIS2?

Ne — a certifikát v tomhle smyslu nemá žádná technologie na bráně. Směrnici splňuje provozovatel; technologie mu to může usnadnit, nebo zkomplikovat. PSA je návrh v souladu s principy NIS2: segmentovaná vyhrazená síť, nic dostupného z internetu, lokální databáze, servis přes VPN a auditní stopa. Rozsah vlastních povinností si vyjasněte s právníky — architekturu vjezdu za vás vyřeší dodavatel.

Potřebuje systém pro provoz přístup do internetu?

Žádná komponenta systému není přímo dostupná z veřejného internetu. Komunikace s okolím existuje, ale definovanými cestami: odchozí pošta přes SMTP a rezervační data z veřejného předregistračního portálu šifrovaným Site-to-Site tunelem dovnitř. Přímý přístup z internetu k databázi ani k periferním prvkům neexistuje.

Jak probíhá servisní zásah, když není otevřený žádný port?

Servisní přístup vede výhradně přes zabezpečenou VPN a uvnitř tunelu běží vzdálená správa (RDP nebo HTTPS). U topologie on-premise jde o vaši VPN podle vašich pravidel, u oddělené sítě dodavatele drží perimetr router dodavatele. Trvale otevřený port pro servis do internetu neexistuje v žádné z variant.

Co se stane při výpadku sítě nebo serveru?

Výpadek nesmí znamenat zavřenou bránu. Režimy otevření závor se definují podle vašich pravidel včetně požárního scénáře napojeného na EPS — chování při výpadku je součást návrhu procesů, ne dodatek, který se řeší po první poruše.

Nedá se hlasové povolování vjezdu zneužít jako cesta do sítě?

Hlasová autorizace má vlastní ochranu: GSM modul kiosku umí jen odchozí hovory, takže zvenčí dovnitř zavolat nelze. Hostitel povolí vjezd tónovou volbou, kiosek z ní udělá zabezpečenou zprávu a systém založí auditní záznam. Hlasový kanál je fyzicky oddělený od datové sítě — jako cesta do LAN se použít nedá.

Jak jsou zabezpečené integrace na docházku nebo ERP?

Strojová rozhraní systému jsou zabezpečená API klíčem i tokenem (JWT). Externí brána nebo kiosek může nahlásit vjezd, dotázat se na povolení podle SPZ nebo řídit průjezd — vždy přes definované a zabezpečené rozhraní, nikdy přímým přístupem do databáze. Před příslibem každé integrace se nejdřív ověřuje dokumentace rozhraní protistrany a vývoj rozhraní se vede jako samostatná položka rozpočtu.

---

Chcete-li si architekturu projít nad schématem vlastní sítě, domluvte si komentovanou ukázku s technikem.

Související články

• Jak propojit elektronickou vrátnici s ERP: co teče kterým směrem a na co se zeptat předem
• Čím se liší napojení na sklad a dopravu od napojení na ERP
• Jak propojit přístupový systém s návštěvním systémem
• API elektronické vrátnice: co má umět a na co se ptát