L'accesso a mobile Human-Machine Interface (HMI) è richiesto in molte applicazioni di automazione industriale. Esistono due metodi comunemente usati - router standard che non richiedono router VPN e VPN ospitati dal cloud - per ottenere questa connessione a router e reti private virtuali (VPN).
Il primo è il router standard, che, nonostante la sua bassa sicurezza, è ancora utilizzato da molte applicazioni HMI mobili esistenti e persino alcune nuove. Un grande vantaggio è che è economico, ma non è raccomandato perché quando l'inoltro di porta è abilitato in un firewall, espone la rete a minacce esterne e quindi rappresenta un rischio significativo per la sicurezza della rete.
Un altro approccio è quello di utilizzare un router VPN ospitato dal cloud, che semplifica la complessità della tecnologia dell'informazione (IT) creando una connessione crittografata dal router VPN locale a un router VPN ospitato da cloud su Internet. Gli utenti remoti possono accedere in modo sicuro a componenti e sistemi locali attraverso il router VPN ospitato dal cloud. Ciò non solo riduce i rischi per la sicurezza della rete, ma semplifica anche la configurazione e la manutenzione.
Il terzo tipo di connessione al router implementato utilizzando un router VPN tradizionale non è considerato in questo documento perché prevede l'apertura di connessioni in entrata e crea complessità e rischi simili a quelli affrontati dai router standard.
Router standard
Molte applicazioni industriali utilizzano router e firewall standard per proteggere le reti aziendali e vegetali, che richiedono agli utenti di configurare e gestire manualmente tutte le impostazioni di routing e firewall. Questo tipo di router di solito non ha una VPN per crittografare i dati, ma crea porte nel firewall per l'inoltro per gli utenti remoti per accedere a applicazioni e componenti specifici sulla rete dell'impianto.
La maggior parte degli utenti HMI desidera l'accesso remoto e locale. La connessione di un computer portatile a un server Web HMI è comune per monitorare i dati e modificare setpoint e altri parametri o utilizzare il software di programmazione per connettersi all'HMI per la risoluzione dei problemi o le modifiche al programma.
Per connettersi in remoto utilizzando un router standard, l'inoltro di porta è generalmente configurato per consentire l'accesso all'HMI o a un PC locale che esegue software di accesso remoto. Il PC locale fornisce all'utente remoto la possibilità di eseguire il software di programmazione HMI.
Le applicazioni mobili HMI richiedono inoltre il trasferimento di porte in modo che gli utenti remoti possano accedere all'HMI locale per controllare o visualizzare i dati. Queste applicazioni in genere forniscono la stessa funzionalità dell'accesso remoto basato sul browser, tranne per il fatto che l'accesso è attraverso l'applicazione anziché un browser.
Il problema principale con questo approccio è il rischio di sicurezza associato all'inoltro delle porte nelle applicazioni mobili e alle applicazioni basate su PC. Un hacker può facilmente determinare quali porte sono aperte su un firewall e può accedere a un'azienda o una rete di fabbrica tramite un router.
Mentre l'inoltro di Port è molto efficiente e utile in un'azienda o in una rete di fabbrica, è estremamente pericoloso utilizzare questa funzione su Internet e le interfacce intranet dell'azienda. Le organizzazioni manifatturiere dovrebbero evitare di utilizzare questo metodo del router in nuove installazioni e convertire invece installazioni di router standard esistenti in connessioni più sicure, come i router VPN ospitati da cloud.
Router VPN ospitato da cloud
Una VPN ospitata da cloud fornisce connettività sicura con una semplice configurazione di configurazione e rete. Una tipica opzione VPN ospitata dal cloud, include un router VPN locale, un server VPN ospitato dal cloud, un client VPN e componenti di automazione interconnessi (Figura 1).
Viene stabilita una connessione sicura dopo che il router locale (situato sulla rete di impianti/controllo) e il client VPN (software installato sul computer portatile o sul dispositivo mobile dell'utente) sono ciascuno collegato al server VPN ospitato dal cloud. Il router locale stabilisce questa connessione immediatamente all'avvio, ma il client VPN si collega solo quando riceve una richiesta di autenticazione da un utente remoto. Una volta stabilite entrambe le connessioni, tutti i dati che passano attraverso questo canale VPN sono sicuri.
La maggior parte delle VPN ospitate da cloud offre una assegnazione mensile di larghezza di banda mensile per le operazioni di base e se è necessario l'accesso ai dati oltre questo limite, è possibile richiedere ulteriori piani di larghezza di banda premium. Ad esempio, un prodotto offre 5 GB di scambio di dati VPN gratuito al mese, che può essere sufficiente per la maggior parte delle esigenze di risoluzione dei problemi, monitoraggio e programmazione.
I rischi di sicurezza vengono ridotti quando un router locale avvia la comunicazione con un server tramite una connessione in uscita su una porta aperta standard, come HTTPS. Questo spesso evita le modifiche al firewall IT di un'azienda e può soddisfare le considerazioni sulla sicurezza IT. Per una maggiore fiducia, gli utenti possono cercare una VPN ospitata dal cloud con un sistema di gestione della sicurezza delle informazioni certificata nel settore (ad esempio, ISO/IEC27001: 2013). Ciò dimostra che il provider ha implementato un programma di sicurezza e controlli completi.
Un altro vantaggio delle VPN ospitate dal cloud è la semplicità della configurazione del router. Poiché si tratta di un router locale sicuro che si collega a un server cloud predefinito, il router è preconfigurato con impostazioni di rete VPN complesse, consentendo così al personale non IT di installarlo. Tutto ciò che serve è conoscere gli indirizzi IP dei componenti di automazione connessi alla LAN e se il provider di servizi Internet (ISP) o il router di rete a livello aziendale (non il router VPN ospitato dal cloud) fornisce dinamicamente o staticamente gli indirizzi IP .
Altre opzioni avanzate possono includere la registrazione dei dati cloud e le notifiche di allarme che forniscono un sottoinsieme della funzionalità HMI e sono più facili da usare rispetto alla programmazione personalizzata. Questi servizi consentono agli utenti di registrare i dati di sistema e ricevere avvisi di gravità personalizzati sul proprio dispositivo mobile o computer portatile, fornendo una comoda cronologia delle prestazioni del sistema basata sul Web quando necessario.
Accesso remoto basato su app mobile
Sempre più le applicazioni mobili supportano i componenti di HMI industriale e controller logico programmabile (PLC). Le funzioni di monitoraggio e controllo consentono agli utenti di accedervi da remoto da qualsiasi momento in qualsiasi momento. Per accedere in modo sicuro alle attrezzature industriali, i dispositivi mobili devono anche utilizzare la tecnologia VPN per crittografare i dati dal dispositivo mobile alla rete dell'impianto. Senza una VPN mobile, sarebbe necessario aprire le porte del firewall dell'impianto, creando uno scenario simile a un router standard e lasciando la rete dell'impianto vulnerabile agli attacchi informatici.
L'uso di una VPN ospitata fornisce una connessione VPN sicura per laptop e dispositivi mobili. Quest'ultimo è realizzato attraverso un'app mobile completamente abilitata per VPN. Una volta collegata in modo sicuro alla rete dell'impianto tramite l'app VPN mobile, è possibile aprire e collegare un'app HMI o PLC di terze parti ai componenti HMI e PLC locali, con quell'utente mobile che appare praticamente come se fossero effettivamente sul posto.
Alcuni router possono anche fornire laptop e la connettività del dispositivo mobile per le VPN ospitate. App Apple iOS e Google Android Mobile Device forniscono agli utenti una connessione sicura alla rete dell'impianto. Alcuni provider VPN ospitati da cloud offrono anche accesso alle app software di registrazione dei dati basate su cloud, nonché widget per la configurazione di dashboard personalizzati per la visualizzazione remota.
Questa registrazione di cloud integrata è particolarmente utile per i produttori di apparecchiature originali (OEM), molti dei quali hanno migliaia di macchine installate in centinaia di sedi in tutto il mondo, ognuna con più utenti. L'OEM fornirà a ciascuna macchina un router VPN Preconfigurati per registrare i dati e contiene dashboard personalizzati per la visualizzazione remota su un'app mobile. Oltre all'installazione dell'app su uno smartphone o un tablet, il cliente OEM non dovrà configurare, installare o mantenere altrimenti il software di accesso remoto.
Per un accesso più ampio ai dashboard, gli utenti remoti possono utilizzare una VPN mobile fornita dal provider VPN ospitato per accedere a HMIS e PLC locali tramite l'app. Alcuni software mobile HMI possono funzionare in modo più sicuro se utilizzato con il router VPN del provider. Un PC può anche accedere in modo sicuro ai dispositivi locali dall'area locale per la programmazione, il monitoraggio o la risoluzione dei problemi.