Ako spravovať používateľské účty na 10-palcovom HMI?

Ak prevádzkujete malú až stredne veľkú výrobnú linku alebo obchodné zariadenie spoliehajúce sa na priemyselnú automatizáciu, viete, aké dôležité je riadenie prístupu na udržanie bezpečnosti, zhody a efektívnosti prevádzky. Ako dlhoHMI 10 palcovdodávateľa, hovoril som s desiatkami tímov, ktoré zápasia s odvrátenou stranou skvelého hardvéru HMI: chaotická, nekonzistentná správa používateľských účtov, ktorá vedie k bezpečnostným medzerám, neoprávneným zmenám alebo nákladným prestojom.

HMI (Human-Machine Interface) je viac než len obrazovka na monitorovanie výrobných metrík – je to centrálny príkaz na ovládanie zariadenia, úpravu parametrov procesu a kontrolu protokolov. 10-palcová veľkosť vytvára dokonalú rovnováhu medzi čitateľnosťou (kritická pre pracovníkov na zmeny, ktorí si prezerajú údaje z riadiacej miestnosti) a kompaktnosťou (úhľadne zapadajú do štandardných výrezov riadiacej skrine, na rozdiel od objemnejších 12-palcových modelov). Ale aj tie najspoľahlivejšiePriemyselné HMIzaostáva, ak niekto dokáže vyladiť recept alebo resetovať alarm bez dohľadu.

V priebehu rokov som vyvinul postupný prístup k správe používateľských účtov pre 10-palcové HMI, ktorý sa dá ľahko implementovať, škálovať s rastom vášho tímu a je v súlade s priemyselnými normami, ako je IEC 62443 pre priemyselnú kybernetickú bezpečnosť. Toto nie je jednorazové nastavenie – je to nepretržitý proces, ktorý sa prispôsobuje potrebám vášho zariadenia, či už ste malý závod na výrobu potravín a nápojov, alebo baliareň strednej veľkosti.

Začnite s rámcom prístupu na základe rolí (RBAC) prispôsobeným vášmu zariadeniu

Najväčšou chybou, ktorú robia noví používatelia 10-palcového HMI, je, že všetkým členom tímu dajú rovnaký „administračný“ prístup. To je bezpečnostná nočná mora: pracovník linky náhodne upravujúci nastavenú hodnotu tlaku, zásah techniky údržby do výrobného plánu alebo neautorizovaný dodávateľ, ktorý si prezerá citlivé procesné údaje, môže viesť k šrotu, poškodeniu zariadenia alebo regulačným pokutám.

Riadenie prístupu založeného na rolách (RBAC) to rieši zoskupením používateľov do rolí na základe ich pracovných funkcií a potom pridelením konkrétnych povolení ku každej role. Pre prípady použitia HMI odporúčam štyri základné roly, ktoré fungujú pre väčšinu operácií:

1. Operátor: Pracovníci v prvej línii, ktorí sledujú linku, potvrdzujú alarmy a zaznamenávajú denné výrobné údaje. Mali bynikdybyť schopný upravovať parametre procesu, nahrávať nové recepty alebo resetovať konfigurácie zariadenia. Na 10-palcovom HMI má táto rola prístup iba k hlavnej palubnej doske, denníku alarmov a obrazovkám zadávania údajov pre správy o zmenách.
2. Technik údržby: Profesionáli, ktorí servisujú zariadenia, riešia menšie problémy a upravujú malé parametre (napríklad rýchlosť dopravného pásu) v rámci stanovených limitov. Obmedzujem ich prístup len k zariadeniu, ktoré udržiavajú, s časovým zámkom na zmeny po pracovnej dobe, aby sa zabránilo neoprávneným úpravám.
3. Procesný inžinier: Tímy, ktoré navrhujú receptúry, upravujú výrobné recepty a upravujú nastavenia zariadenia (napríklad teplotu rúry). Táto rola vyžaduje úplný prístup k úprave parametrov, knižniciam receptov a analýze protokolov – nie však k zmenám nastavení systému HMI na úrovni správcu.
4. správca: Základ pre správu HMI: vytváranie/úprava používateľských účtov, resetovanie hesiel, konfigurácia bezpečnostných politík a generovanie protokolov auditu. Túto rolu by mal zastávať iba jeden alebo dvaja zamestnanci vo vašom zariadení a nikdy by nemali používať správcovský prístup na každodenné úlohy.

Ak to chcete nastaviť na 10-palcovom HMI, prejdite na záložku „Správa používateľov“ v lokálnom konfiguračnom nástroji HMI (dostupný cez dotykovú obrazovku zariadenia alebo vzdialený webový portál, ak je vaše HMI pripojené k sieti). Najprv definujte každú rolu s jasnými sadami povolení – väčšina moderných priemyselných HMI platforiem (vrátane tých, ktoré dodávame) vám umožňuje uložiť šablóny rolí, aby ste nemuseli predefinovať povolenia zakaždým, keď pridáte nového používateľa. Ak napríklad pridáte druhého operátora, namiesto manuálneho obmedzovania jeho prístupu priradíte iba vopred vytvorenú šablónu „Operátor“.

Posilnite autentifikáciu, aby ste znížili bezpečnostné riziká

Slabé heslá sú hlavnou príčinou neoprávneného prístupu HMI. Nemôžem vám povedať, koľkokrát som od manažéra závodu počul povedať: „Pre všetky HMI používame heslo 123, aby nikto nebol zablokovaný“ – to je tikajúca bomba. Pre HMI 10 Inch existujú tri autentifikačné vrstvy, ktoré by ste mali povoliť na ochranu prístupu:

1. Povinné zásady silných hesiel: Nedovoľte používateľom nastavovať triviálne heslá. Miestny konfiguračný nástroj nášho zariadenia vám umožňuje presadzovať pravidlá: minimálne 8 znakov, kombináciu písmen, čísel a symbolov, žiadne opakované sekvencie (napríklad „123456“) a platnosť hesla každých 90 dní. Odporúčam tiež zakázať opätovné používanie hesla, aby používatelia nemohli opakovane prechádzať rovnakými 5 heslami.
2. Viacfaktorová autentifikácia (MFA): Pre každého používateľa s prístupom správcu alebo inžiniera sa o MFA nedá rokovať. Väčšina 10-palcových modelov HMI podporuje aplikácie TOTP (časovo založené jednorazové heslo), ako je Google Authenticator, alebo e-mailové/SMS kódy pre vzdialený prístup. Aj keď niekto ukradne heslo používateľa, bez druhého faktora sa nebude môcť prihlásiť. Pre operátorov v prvej línii, ktorí nemusia mať v práci osobné telefóny, ponúkame možnosť použiť vyhradený fyzický token (malý prívesok na kľúče), ktorý sa synchronizuje s HMI – to funguje skvele pre tímy na zmeny, ktoré striedajú rôznych operátorov.
3. Časové limity relácií: HMI ponechané prihlásené a bez dozoru predstavujú obrovské riziko. Nastavil som 15-minútový časový limit relácie pre všetky roly okrem administrátorov (ktorí dostanú 30-minútový časový limit, pretože často prepínajú medzi úlohami). Keď používateľ odíde z riadiacej miestnosti, HMI ho automaticky odhlási, čím zabráni náhodnému alebo úmyselnému prístupu niekoho iného.

Rýchla poznámka pre tímy, ktoré používajú vzdialený prístup k 10-palcovému HMI (na riešenie problémov alebo monitorovanie mimo lokality): nikdy nepovoľujte vzdialený prístup bez MFA a zoznamu povolených adries IP. Obmedzenie prístupu HMI len na interné IP adresy vášho zariadenia pridáva ďalšiu vrstvu zabezpečenia, ktorá blokuje väčšinu útokov hrubou silou zvonku vašej siete.

Spravujte životné cykly používateľov od prihlásenia až po odchod

Používateľské účty nie sú „nastaviť a zabudnúť“ – musíte ich aktualizovať, keď sa členovia tímu pripájajú, menia roly alebo opúšťajú zariadenie. Zlé riadenie životného cyklu je ďalším bežným problémom: keď technik údržby skončí, jeho starý účet správcu je stále aktívny alebo nový operátor dostane nesprávnu úlohu a nemôže vykonávať svoju prácu.

Tu je jednoduchý pracovný postup životného cyklu, ktorý odporúčam pre každé zariadenie:

• Prihlásenie: Keď nastúpi nový zamestnanec, v spolupráci s jeho manažérom potvrďte jeho rolu a potom mu vytvorte účet do 24 hodín od jeho prvého dňa. Okamžite otestujte ich prístup: požiadajte ich, aby sa prihlásili do HMI 10 Inch a skontrolovali, či vidia len tie obrazovky, ktoré potrebujú (napr. operátori by nemali vidieť kartu technických nastavení). Vždy naplánujem 15-minútovú prehliadku s novými zamestnancami, aby som im ukázal, ako sa majú prihlásiť, resetovať ich heslo a požiadať o prístup, ak potrebujú ďalšie povolenia.
• Zmeny rolí: Keď zamestnanec prejde od operátora linky k údržbe, do 48 hodín aktualizujte jeho rolu v systéme správy používateľov HMI. Nenechávajte ich starý účet operátora aktívny – buď ho deaktivujte, alebo obmedzte jeho povolenia, ak stále potrebujú prístup k protokolom alarmov. Napríklad vedúci operátor, ktorý pomáha s riešením problémov, môže potrebovať obmedzený prístup k údržbe, takže namiesto vytvárania úplne nového účtu upravte svoju rolu.
• Offboarding: Toto je najkritickejší krok. Keď zamestnanec odíde, deaktivujte jeho HMI účetdo 1 pracovnej hodinyčasu ich odchodu. Počul som hororové príbehy o tom, ako bývalí zamestnanci manipulovali s nastaveniami HMI mesiace po odchode, pretože ich účet nebol nikdy deaktivovaný. Pre zmluvných pracovníkov (napríklad technikov údržby tretích strán) nastavte ich účty tak, aby vypršala ich platnosť v deň ukončenia zmluvy – nemusíte si pamätať, že ich neskôr deaktivujete.

Pravidelne kontrolujte a kontrolujte používateľské účty

Aj pri najlepšom nastavení sa veci pošmyknú: manažér môže vytvoriť duplicitný účet, môže sa zdieľať heslo alebo môžu byť povolenia roly zastarané, keď sa váš proces zmení. Preto sú pravidelné audity kľúčové.

Odporúčam vykonať štvrťročnú kontrolu všetkých používateľských účtov HMI 10 Inch. Tu je to, čo treba skontrolovať:

1. Aktivita účtu: Väčšina priemyselných platforiem HMI zaznamenáva každú akciu, ktorú používateľ vykoná (napr. „John Doe upravil recept 3 dňa 12. 10. 2024 o 14:15“). Pomocou tohto denníka si môžete všimnúť nezvyčajnú aktivitu: používateľ pristupuje na nepotrebné obrazovky, viaceré neúspešné pokusy o prihlásenie alebo prístup mimo pracovného času, keď by niekto nemal pracovať.
2. Nepoužité účty: Odstráňte alebo deaktivujte účty, do ktorých ste sa neprihlásili 90 dní. Ide o pozostatky účtov bývalých zamestnancov, dodávateľov, ktorí dokončili prácu, alebo starých vedúcich zmien, ktorí už nepotrebujú prístup. Na HMI 10 Inch môžete filtrovať účty podľa dátumu posledného prihlásenia, aby ste ich rýchlo našli.
3. Zarovnanie povolení: Uistite sa, že rola každého používateľa stále zodpovedá jeho úlohe. Ak váš závod pridal novú baliacu linku, možno budete musieť vytvoriť vlastnú rolu pre operátorov pracujúcich na tejto linke, namiesto toho, aby ste im umožnili používať predvolenú rolu „Operátor“. Ak procesný inžinier teraz pracuje na inej linke, upravte jeho prístup len k zariadeniu, ktoré momentálne podporuje.

Pre menšie tímy (10 a menej zamestnancov) funguje štvrťročný audit výborne. V prípade väčších zariadení s viac ako 20 používateľmi vykonajte mesačnú kontrolu vysoko rizikových účtov (správcovia, inžinieri) a štvrťročný úplný audit, aby ste zachytili medzery.

Bežné chyby, ktorým sa treba vyhnúť

V priebehu rokov som videl tímy robiť malé chyby, ktoré viedli k veľkým problémom so správou používateľov HMI. Tu sú tri najlepšie na preskočenie:

1. Použitie rovnakého modelu HMI pre všetky roly: Ak máte malý tím, ktorý potrebuje len základné monitorovanie, aHMI 7 palcovmôže fungovať, ale je príliš malý pre operátorov, ktorí potrebujú čítať jemné detaily, alebo technikov, ktorí potrebujú navigovať na viacerých obrazovkách. Vďaka veľkosti 10 palcov sa oplatí investovať do riadenia prístupu: jeho veľká dotyková obrazovka uľahčuje navigáciu v nastaveniach správy používateľov a podporuje podrobnejšie povolenia rolí ako menšie modely.
2. Ignorovanie účtov hostí: Ak povolíte dodávateľom, predajcom alebo návštevníkom prístup k HMI (na riešenie problémov, údržbu alebo školenie), vytvorte samostatnú rolu „Hosť“ s veľmi obmedzeným prístupom. Nikdy nedovoľte hosťom prihlásiť sa do bežných účtov operátorov – ich prístup by mal byť obmedzený len na zobrazenie živých údajov, bez zmien. Môžete dokonca nastaviť, aby účty hostí vypršali po určitom počte dní, takže nezostanú aktívne dlho po dokončení práce.
3. Netrénujete svoj tím: Najlepšie nastavenie správy používateľov nebude fungovať, ak vaši zamestnanci nevedia, ako ho používať. Usporiadajte 30-minútové školenie pre všetkých zamestnancov o tom, ako sa prihlásiť, obnoviť svoje heslo a požiadať o zmeny prístupu. Pre pracovníkov na zmeny, ktorým môže byť technika viac sympatická ako ostatným, vytvorte rýchly cheat, ktorý je umiestnený v blízkosti HMI 10 Inch.

Záverečné myšlienky o správe používateľov HMI

Správa používateľských účtov na HMI 10 Inch nemusí byť komplikovaná. Vybudovaním jasného rámca RBAC, sprísnením autentifikácie, riadením životných cyklov používateľov a pravidelným auditom znížite bezpečnostné riziká, predídete nákladným prestojom a zabezpečíte hladký chod vašich operácií. Ako dodávateľ priemyselných HMI som na vlastnej koži videl, ako dobre spravované HMI nielen zvyšuje produktivitu, ale chráni aj to najcennejšie aktívum vášho zariadenia: schopnosť vášho tímu vykonávať svoju prácu bezpečne a efektívne.

Ak chcete aktualizovať svoje nastavenie HMI alebo potrebujete poradiť s konfiguráciou používateľských účtov pre váš 10-palcový model, náš tím je tu, aby vám pomohol. Môžeme vás previesť nastavením rolí, najlepšími bezpečnostnými postupmi a odpovedať na akékoľvek otázky týkajúce sa prispôsobenia vášho systému špecifickým potrebám vášho zariadenia. Oslovte náš tím obstarávania a začnite rozhovor o tom, ako môže správna stratégia HMI a správy účtov podporiť vaše operácie.

Referencie

Bezpečnosť priemyselnej automatizácie a riadiacich systémov. (2020). IEC 62443-3-3:2020, Bezpečnosť pre priemyselnú automatizáciu a riadiace systémy – Časť 3-3: Požiadavky na bezpečnosť systému a úrovne bezpečnosti. Medzinárodná elektrotechnická komisia.
Allen-Bradley. (2024). Konfiguračná príručka správy používateľov HMI: 10-palcové priemyselné HMI. Rockwell Automation Publications.
Manufacturing Enterprise Solutions Association (MESA International). (2022). Najlepšie postupy pre riadenie prístupu v inteligentných výrobných prostrediach. MESA International.
Národný inštitút pre štandardy a technológie (NIST). (2023). SP 800-82 Rev. 2: Sprievodca bezpečnosťou priemyselných riadiacich systémov (ICS). Ministerstvo obchodu USA.