Sakelar Ethernet terkelola dalam jaringan SCADA atau DCS bukan sekadar pengganda port. Sakelar ini mengendalikan jalur lalu lintas, menyediakan diagnostik, dan dapat membatasi atau memperluas dampak kesalahan konfigurasi.

Tujuan rekayasa bukan menggunakan fitur sebanyak mungkin, melainkan memastikan komunikasi yang dapat diprediksi, akses manajemen yang dibatasi, serta bukti yang memadai untuk mendiagnosis kegagalan tanpa mengganggu proses.

Desain berlapis memisahkan kontrol lapangan, sistem pengawasan, operasi fasilitas, dan pertukaran data perusahaan.

Mulailah dengan lalu lintas dan konsekuensinya

Dokumentasikan setiap pengontrol, HMI, historian, stasiun kerja rekayasa, gateway, dan jalur akses jarak jauh sebelum mengubah pengaturan sakelar. Catat protokol yang diperlukan, perangkat peer, laju pembaruan, perilaku multicast, dan ekspektasi pemulihan.

Inventaris ini menjadikan segmentasi sebagai keputusan rekayasa. VLAN saja bukan batas keamanan kecuali aturan perutean dan firewall menegakkan jalur komunikasi yang diinginkan.

NIST SP 800-82 Rev. 3 menjelaskan keamanan OT dalam konteks kinerja, keandalan, dan keselamatan. Panduan CISA juga menekankan segmentasi dan pertukaran data yang terkendali antara sistem kritis dan layanan perusahaan.

Pisahkan manajemen dari lalu lintas proses

Tempatkan antarmuka manajemen sakelar dalam jaringan manajemen khusus. Izinkan akses hanya dari host administrasi yang berwenang melalui firewall atau daftar kontrol akses yang telah ditentukan.

Nonaktifkan layanan manajemen yang tidak digunakan. Utamakan SSH dan HTTPS jika didukung oleh sakelar. Hindari Telnet dan HTTP tanpa enkripsi karena kredensial dan sesi dapat terekspos.

Ubah kredensial bawaan, gunakan akun dengan nama pengguna yang jelas, dan terapkan izin berbasis peran. Autentikasi terpusat dapat meningkatkan akuntabilitas, tetapi fasilitas juga memerlukan metode pemulihan yang terdokumentasi ketika layanan autentikasi tidak tersedia.

Lindungi akses lokal

Akses konsol tetap penting selama commissioning dan saat jaringan mengalami kegagalan. Karena itu, akses fisik harus dikendalikan, dan kredensial lokal tidak boleh dibagikan sembarangan.

Konfigurasi tersimpan tidak boleh memuat kata sandi demonstrasi atau kredensial bawaan vendor. Simpan kredensial pemulihan sesuai proses akses yang disetujui fasilitas.

Gunakan segmentasi yang sesuai dengan operasi

Kelompokkan perangkat berdasarkan fungsi, konsekuensi, dan kebutuhan komunikasi. Contohnya mencakup sel pengontrol, sistem proteksi, server pengawasan, peralatan terkait keselamatan, dan akses pemeliharaan.

Jangan membuat VLAN fasilitas yang datar hanya karena semua perangkat menggunakan Ethernet industri. Stasiun kerja yang telah disusupi atau badai broadcast kemudian dapat menjangkau peralatan yang sebenarnya tidak memerlukan komunikasi langsung.

VLAN manajemen seharusnya hanya dapat dijangkau melalui jalur administrasi yang disetujui.

Jika terdapat protokol multicast, verifikasi IGMP snooping, penempatan querier, dan perilaku redundansi. Desain multicast yang keliru dapat membebani port atau mengganggu I/O meskipun pengujian unicast biasa berjalan lancar.

Perangkat keras antarmuka dan gateway yang relevan dapat ditinjau dalam koleksi Komunikasi & Jaringan. Platform pengontrol dikelompokkan dalam Sistem PLC & PAC.

Rekayasa redundansi sebagai sebuah sistem

Link redundan memerlukan protokol yang terdokumentasi dan waktu konvergensi yang telah diuji. Menambahkan kabel paralel tanpa perlindungan loop dapat menimbulkan badai broadcast, bukan ketahanan.

Periksa apakah jaringan menggunakan Rapid Spanning Tree, protokol ring vendor, Media Redundancy Protocol, atau metode lainnya. Pastikan kompatibilitas di setiap sakelar yang berpartisipasi.

Uji kegagalan kabel, hilangnya daya sakelar, pemulihan port yang diblokir, dan pemulihan layanan. Catat kehilangan paket dan perilaku pengontrol, bukan hanya waktu konvergensi yang dilaporkan sakelar.

Pencatatan dan sinkronisasi waktu mendukung diagnosis

Kirimkan kejadian sakelar ke sistem pencatatan yang terlindungi jika memungkinkan. Kejadian yang berguna mencakup perubahan link, kegagalan autentikasi, perubahan konfigurasi, transisi topologi, dan alarm daya.

Waktu yang konsisten sangat penting. Tanpa jam yang tersinkronisasi, operator tidak dapat mengaitkan transisi sakelar secara andal dengan kegagalan PLC, alarm HMI, atau kejadian firewall.

SNMP harus dikonfigurasi secara cermat. Batasi stasiun manajemen dan gunakan versi yang terautentikasi serta terenkripsi jika didukung. Hindari mengekspos akses tulis yang luas.

Lakukan commissioning perubahan tanpa menciptakan risiko tersembunyi

Cadangkan konfigurasi yang sedang berjalan sebelum melakukan pekerjaan. Catat model sakelar, firmware, konfigurasi aktif, port yang terhubung, dan metode rollback.

Terapkan perubahan selama jendela kerja yang disetujui. Validasi komunikasi proses, pengiriman alarm, pembaruan historian, redundansi, akses jarak jauh, dan sinkronisasi waktu setelah setiap langkah utama.

Pembaruan firmware memerlukan disiplin yang sama seperti perubahan pada pengontrol. Tinjau pemberitahuan vendor, uji versi target di laboratorium, dan pastikan citra pemulihan tersedia.

Pendapat penulis: sakelar terkelola memberikan nilai ketika konfigurasinya mudah dipahami dan dipulihkan. Desain rumit tanpa kepemilikan yang jelas, pencadangan, dan perilaku kegagalan yang telah diuji lebih sulit dioperasikan daripada jaringan sederhana yang terdokumentasi.