xOT: když bezpečnost končí až u fyzického provozu

Přes 600 bytových domů bez vytápění. Uprostřed mrazů. Takový dopad měl podle společnosti Dragos útok na ukrajinské zásobování teplem v lednu 2024, při kterém útočníci použili škodlivý software FrostyGoop. Kybernetický incident tady neznamenal nedostupný e-mail. Znamenal studené radiátory. Rozbor Dragosu

Česká firma s fotovoltaikou, obecní kotelna nebo provozovatel bateriového úložiště řeší stejnou základní otázku: kdo může přes síť ovlivnit jejich zařízení? Odpověď často leží někde mezi servisní smlouvou, zapomenutým účtem a routerem, na který už několik let nikdo nesáhl.

Právě pro takové hledání má smysl knihovna xOT Cybersecurity Resource Library od Dragosu. Obsahuje výzkum hrozeb, rozbory incidentů, technické materiály i produktové novinky. Její hodnota ale závisí na tom, co podle ní skutečně změníte.

xOT: když bezpečnost končí až u fyzického provozu

Zkratka OT označuje provozní technologie. Patří sem průmyslové řídicí jednotky PLC, dispečerské systémy SCADA nebo ovládání technologických procesů. Dragos používá označení xOT pro širší provozní prostředí: systémy a připojená zařízení, která ovlivňují fyzický proces. Jde o pojetí dodavatele, nikoli o novou zákonnou kategorii. Vymezení xOT od Dragosu

V energetice to dává praktický smysl. Bezpečnost baterie nekončí u její řídicí jednotky. Do posouzení patří také energetický management, vzdálená správa, komunikační brány a účty techniků. Napadený pomocný systém může útočníkovi posloužit jako cesta k zařízení, které skutečně rozhoduje o výkonu.

Knihovna Dragosu umožňuje vybírat materiály podle odvětví, tématu nebo formátu. Vedle zpráv o hrozbách nabízí případové studie, příručky, webináře a produktové listy. Pro energetika je rozumným začátkem elektroenergetika, vzdálený přístup a reakce na incidenty.

Jednotlivé formáty přitom čtěte různě. Výzkumná zpráva popisuje pozorování. Případová studie ukazuje vybranou zkušenost zákazníka. Produktový list vysvětluje nabídku výrobce. Všechny mohou být užitečné, ale každá odpovídá na jinou otázku.

Praktický postup je jednoduchý: k přečtenému materiálu přiřaďte vlastní zařízení, odpovědnou osobu a konkrétní změnu. Jinak získáte jen další složku s PDF. Ta při výpadku moc nehřeje.

Co říkají čísla a kde končí jejich platnost

Ve výroční zprávě vydané v roce 2026 Dragos shrnuje vývoj za rok 2025. Uvádí 26 sledovaných skupin zaměřených na OT a přibližně 3 300 průmyslových organizací zasažených ransomwarem. Popisuje také útočníky, kteří zkoumají regulační smyčky a připravují se na ovlivnění fyzických procesů. Výroční zpráva Dragosu 2026

Pozor na interpretaci. Průmyslová organizace zasažená ransomwarem nemusí mít zašifrované PLC. Provoz mohou zastavit nedostupné podpůrné systémy, ztráta přehledu nebo preventivní rozhodnutí vedení. Počet obětí proto nelze vydávat za počet úspěšných převzetí průmyslového řízení.

Stejně opatrně zacházejte s procenty o nedostatečné viditelnosti do sítí. Údaje bezpečnostního dodavatele vycházejí z jeho pozorování a dostupných podkladů. Nejsou automaticky reprezentativním průzkumem všech elektráren na světě.

Pro obránce je podstatný posun od prostého přístupu k pochopení technologie. Útočník, který pozná vztah mezi měřením, regulátorem a akčním členem, může hledat zásah s provozním dopadem. Ochrana proto potřebuje znát běžné chování zařízení.

Zpravodajství o kybernetických hrozbách má odpovědět na konkrétní otázky. Používáme dotčenou technologii? Existuje k ní dosažitelná cesta? Poznáme změnu programu nebo neobvyklý povel? Máme připravenou obnovu?

Jméno útočné skupiny samo o sobě rozpočet na bezpečnost neobhájí. Zjištění, že jeden servisní účet ovládá několik lokalit bez dohledatelného záznamu, už ano.

Skutečné incidenty: slabé heslo může porazit drahou technologii

FrostyGoop ukázal riziko zneužití průmyslové komunikace. Dragos jej spojuje s využitím protokolu Modbus TCP a útokem na vytápění na Ukrajině. Pro obranu je podstatné, že škodlivé jednání může využívat příkazy, které zařízení běžně zpracovává. Samotná přítomnost známého protokolu neříká, zda je konkrétní komunikace oprávněná. Technický webinář Dragosu

Další lekci přinesly útoky na řídicí jednotky Unitronics. Americká CISA a partnerské instituce v prosinci 2023 upozornily na aktéry vystupující jako CyberAv3ngers. Napadali jednotky řady Vision dostupné z internetu a využívali výchozí hesla. Zasaženo bylo více odvětví včetně amerického vodárenství. Oznámení CISA

Tady není potřeba romantika kolem geniálního hackera. Zařízení veřejně dostupné se základním heslem nabízí útočníkovi mimořádně snadný začátek. Drahý hardware tuto chybu nevykompenzuje.

Pro český provoz z toho plynou dvě odlišné kontroly. První zjišťuje, zda se někdo dostane dovnitř: prověřuje internetovou dostupnost, účty a vzdálenou správu. Druhá sleduje, co může udělat po přihlášení: změnit nastavení, nahrát program nebo ovládat další zařízení.

Prověřte také společné závislosti. Jeden dodavatel může spravovat kotelnu, fotovoltaiku i baterii. Pokud používá společné přihlašovací údaje nebo jedinou komunikační bránu, problém jedné služby může zasáhnout více provozů. Seznam zařízení proto doplňte mapou přístupů. Samotná inventura modelů a sériových čísel nestačí.

Novinky Dragosu a partnerství: chtějte provozní přínos

Knihovna zachycuje také vývoj produktů. Dragos v září 2025 představil Platform 3.0 s prostředím Insights Hub, analýzou zranitelností podporovanou umělou inteligencí a upravenými pracovními postupy. Jde o oznámené funkce dodavatele; jejich přínos pro konkrétní elektrárnu musí ověřit nasazení v jejích podmínkách. Oznámení Platform 3.0

V únoru 2026 firma oznámila rozšíření spolupráce s Microsoftem. Popsala provoz platformy na Azure, integraci s Microsoft Sentinel a dostupnost přes Microsoft Marketplace. Pro organizace používající prostředí Microsoftu je zajímavá především možnost propojit bezpečnostní dohled nad kancelářskými a provozními systémy. Podrobnosti partnerství

Smysluplný přínos vypadá například takto: analytik spojí podezřelé přihlášení servisního technika s následnou změnou komunikace v technologické síti. Potřebuje ovšem správná data, společný čas a člověka, který rozumí provozu.

Při výběru platformy proto požadujte zkoušku na reprezentativní části infrastruktury. Ověřte rozpoznání skutečných zařízení a protokolů. Sledujte množství planých poplachů i to, zda upozornění vysvětluje možný dopad. Zjistěte, které funkce fungují při výpadku spojení a kde se uchovávají citlivá provozní data.

Marketingové označení „lídr“ může přitáhnout pozornost. Nákupní rozhodnutí má stát na měřitelných výsledcích: co nástroj odhalil, jak rychle a co s tím dokázala udělat obsluha.

NÚKIB upozorňuje na střídače. Prověřte celý řetězec správy

NÚKIB vydal 25. srpna 2025 analýzu hrozeb spojených s čínskými střídači v malých fotovoltaických elektrárnách. Popisuje rizika vzdálené manipulace, nakládání s daty a závislosti na dodavatelích. Upozorňuje také na potenciální dopad koordinovaných zásahů do většího množství zařízení a zmiňuje diverzifikaci dodavatelů. Analýza NÚKIB

Dokument není důkazem, že každý takový střídač obsahuje zadní vrátka. Je podkladem pro hodnocení rizik. Rozhoduje také způsob připojení, rozsah oprávnění výrobce, aktualizační mechanismus a možnost zachovat provoz bez vzdálené služby.

Majitel FVE by měl od dodavatele získat písemnou odpověď: kdo může zařízení vypnout, změnit jeho parametry nebo aktualizovat firmware? Kdo schvaluje zásah? Kde vzniká záznam? A kdo odebere přístup technikovi, který už pro servisní firmu nepracuje?

U energetických projektů pro obce a města doporučuji tyto požadavky zahrnout už do zadání. Škola, úřad a čistírna potřebují jasně určenou odpovědnost za správu. Předání hesla starostovi na lístečku není provozní model.

Bezpečnostní nároky se přitom mají vztahovat i na komunikační bránu a servisní aplikaci. Zabezpečený střídač nepomůže, pokud jeho správu zpřístupňuje slabě chráněný účet.

Praktický závěr pro nákup je prostý: vedle ceny a účinnosti posuzujte délku podpory, způsob aktualizací, vlastnictví účtů a podmínky ukončení spolupráce. Technologie má sloužit déle než vztah s původním instalatérem.

Obrana FVE a baterií: oddělte dohled, řízení a servis

Začněte inventurou. U každého zařízení evidujte funkci, správce, verzi firmwaru, přístupové cesty a dopad výpadku. Přidejte zálohu konfigurace a postup obnovy. U bateriového úložiště rozlišujte energetický management EMS, systém správy baterie BMS a výkonovou elektroniku. Každá vrstva má jinou úlohu.

Následuje oddělení komunikace. Účet pro čtení údajů nemá automaticky získat právo měnit výkon. Servisní přístup má mít konkrétního vlastníka, časové omezení a záznam činnosti. Vícefaktorové ověření umístěte na podporovanou přístupovou bránu, pokud ho samotné průmyslové zařízení neumí.

U IoT monitoringu ověřte, zda propojení skutečně pouze sbírá data, nebo umožňuje i řízení. To je otázka k návrhu konkrétní instalace, nikoli vlastnost, kterou lze odhadnout z názvu služby.

U obchodování flexibility doporučuji kontrolovat původ povelů, dovolené výkonové rozsahy a chování při ztrátě spojení. Nadřazený optimalizační systém by neměl mít možnost obejít lokální bezpečnostní omezení.

Aktualizace plánujte s technologem. Nejprve ověřte kompatibilitu a návrat k předchozímu stavu. Stejně postupujte u bezpečnostního skenování: agresivní test bez znalosti zařízení může narušit provoz.

Širší souvislosti digitalizované energetiky rozebírá také [SmartEnergyShare.info](https://smartenergyshare.info). Při posuzování řešení SmartEnergyShare i jiných energetických služeb požadujte popis přístupů a odpovědností pro svou instalaci.

Energetický monitoring a bezpečnostní dohled mají rozdílné úkoly. Graf výroby ukáže pokles výkonu. Pro vyšetření potřebujete navíc vědět, kdo změnil nastavení a odkud přišel příkaz.

Plán na 30 dní, který neskončí ve složce s prezentacemi

První týden věnujte mapě provozu. Vyberte zařízení, jejichž ztráta ohrozí bezpečnost, dodávku energie nebo obnovu. Prověřte jejich vzdálené přístupy a určete vlastníka každého účtu. Nejasnosti zapisujte jako konkrétní úkoly se jménem a termínem.

Druhý týden uzavřete zbytečné přístupy. Zrušte nepoužívané účty, změňte výchozí hesla a omezte servis na potřebná zařízení. Zásahy koordinujte s obsluhou, aby bezpečnostní změna neodstavila funkční technologii.

Třetí týden ověřte obnovu v bezpečném testovacím prostředí nebo schváleném servisním okně. Samotná existence záložního souboru nic nedokazuje. Potřebujete kompatibilní zařízení, správný software, potřebné licence a člověka, který postup zvládne.

Čtvrtý týden uspořádejte stolní cvičení. Scénář může začít podezřelým servisním přihlášením a nevysvětlenou změnou výkonu baterie. Kdo ověří fyzický stav? Kdo smí odpojit vzdálené řízení? Jak zachováte důkazy? Kdo komunikuje s dodavatelem?

Knihovnu Dragosu pak používejte pravidelně. Jednou měsíčně vyberte relevantní zprávu a ověřte, zda popsanou cestu útoku máte pod kontrolou. Měřte pokrytí kritických zařízení dohledem a skutečně vyzkoušenou obnovou.

IEA zdůrazňuje schopnost energetických systémů útok ustát a obnovit provoz. Doporučení IEA Přeloženo do praxe: do příští porady zjistěte, kdo může na dálku ovládat vaši energetiku. Pokud odpověď nikdo nezná, právě jste našli první bezpečnostní úkol.

Zdroje

• Dragos: knihovna materiálů pro bezpečnost xOT — Výchozí rozcestník pro výzkumné zprávy, případové studie, technické příručky a webináře. Při výběru materiálu sledujte datum vydání, příslušné odvětví a rozdíl mezi výzkumným zjištěním a popisem nabízeného produktu.
• Dragos: výroční zpráva o bezpečnosti OT 2026 — Podklad pro uvedené počty sledovaných skupin a průmyslových organizací zasažených ransomwarem. Zpráva shrnuje předchozí rok; při používání statistik je nutné zachovat jejich původní rozsah a význam.
• NÚKIB: čínské střídače v malých fotovoltaických elektrárnách — Česká analýza ze srpna 2025 věnovaná vzdálené správě, datům a dodavatelským rizikům. Slouží jako podklad pro posouzení konkrétní instalace, nikoli jako důkaz kompromitace jednotlivého výrobku.
• CISA: upozornění na napadání řídicích jednotek Unitronics — Oficiální oznámení společného bezpečnostního upozornění amerických a izraelských institucí. Dokládá zneužívání výchozích hesel u průmyslových jednotek veřejně dostupných z internetu a význam základní ochrany přístupů.
• IEA: posilování kybernetické odolnosti elektrizačních soustav — Mezinárodní energetický kontext ochrany propojených soustav. Materiál vysvětluje, proč mají prevence, odpovědnost dodavatelů, kontinuita provozu a připravená obnova tvořit jeden celek.

Obchodujete s batteriovými úložišti nebo hledáte partnera pro flexibilitu a day trading elektřiny? SmartEnergyShare nabízí kompletní řešení pro BESS projekty od 50 do 250 kW — obchodování flexibility, SVR služby a IoT monitoring. Zjistěte víc →

Další články na toto téma najdete na: ElectricShare.cz OT kybernetická bezpečnost 2026: Průmyslové systémy hoří ... Vice o spotová cena