Pracownik - najsłabsze czy najsilniejsze ogniwo systemu cyberbezpieczeństwa?

© kras99

Kancelaria Premiera Rady Ministrów wydała ostatnio „Rekomendacje cyberbezpieczeństwa dla sektora wodno-kanalizacyjnego (R-CYBER-01/2021)⁽¹⁾”. - Sektor wodno-kanalizacyjny jest jednym z elementów infrastruktury krytycznej państw i obejmuje zarówno obiekty zarządzane przez administrację rządową, jak i przez jednostki samorządu terytorialnego – napisano.

12 rekomendacji do wdrożenia w przedsiębiorstwach wod-kan

W poradniku znajdujemy przykłady ataków oraz listę 12 sposobów na poprawę bezpieczeństwa przedsiębiorstwa. Wśród zaleceń jest np. oddzielenie systemów OT (ang. Operational Technology) od systemów IT (ang. Information Technology) zorientowanych na klienta oraz monitorowanie i kontrolowanie interakcji pomiędzy tymi dwoma obszarami. Zaleca się unikanie podłączeń urządzeń przemysłowych do Internetu.

Ważny jest przegląd zdalnego dostępu i ograniczenie go do niezbędnego minimum (w szczególności zwrócenie uwagi na modemy komórkowe i metody zdalnego dostępu podwykonawców). Gdy zdalny dostęp jest niezbędny, realizowanie go za pomocą VPN⁽²⁾ z wykorzystaniem konfiguracji umożliwiającej zastosowanie uwierzytelnienia wieloskładnikowego. A w razie konieczności zdalnego przesyłu danych telemetrycznych przez sieć komórkową korzystanie z dedykowanych prywatnych APN⁽³⁾.

Ponadto przypomina się o dobrych praktykach zarządzania hasłami, aktualizowaniu oprogramowania w przemyślany sposób oraz ustaleniu ścieżki kontaktu z odpowiednimi służbami i zgłaszanie im niebezpiecznych incydentów⁽⁴⁾.

Własne struktury cyberbezpieczeństwa czy outsourcing?

- Trzy filary bezpieczeństwa to ludzie, procesy (np. system zarządzania bezpieczeństwem informacji) i technologia. Zadbać należy o wszystkie – mówił Michał Ślósarz podczas webinarium pt. "Cyberbezpieczeństwo w branży wod-kan⁽⁵⁾". Na co jeszcze zwracali uwagę eksperci?

Łukasz Kałuziński z Net Complex jako pierwszy i kluczowy krok do poprawy cyberbezpieczeństwa wskazywał rzetelny audyt w przedsiębiorstwie. Gdy już wiadomo, na czym się stoi, nadchodzi czas decyzji. - Przy wybieraniu rozwiązań warto odpowiedzieć na kilka pytań. Jaka jest widoczność w sieci OT? Co w przypadku awarii? Jakie będą koszty? Jaki jest przewidywany cykl życia rozwiązań? – wymieniał Paweł Śmigielski ze Stormshield.

Operatorzy usług kluczowych⁽⁶⁾, do których należą duże przedsiębiorstwa wod-kan, mają obowiązek zapewnienia struktur cyberbezpieczeństwa. - Mogą powołać w tym celu własną komórkę lub skorzystać ze świadczonych przez inne podmioty usług – wyjaśniała Monika Bogdał z Kancelarii Prawnej Piszcz i Wspólnicy. Decydując się na outsourcing trzeba jasno określić własne potrzeby i warunki współpracy i znaleźć wykonawcę godnego zaufania. Michał Ślósarz zauważył, że podczas tworzenia takiej jednostki we własnych strukturach, wyzwaniem dla przedsiębiorstwa wod-kan może okazać się rekrutacja kompetentnych osób.

Najsłabsze ogniwo….

Wojciech Gębski z Unisoft zobrazował bezpieczeństwo IT jako piramidę. U jej podstawy leży infrastruktura sieciowa, drugi poziom to baza danych, trzeci to procedury przedsiębiorstwa, a czwarty to zintegrowany system informatyczny. Na czubku piramidy znajduje się człowiek – w rozumieniu pracowników, ale też podejścia osób decyzyjnych do tematu cyberzagrożeń.

Abstrahując od celowych działań na niekorzyść firmy, błąd ludzki niejednokrotnie wynika z braku świadomości zagrożeń. – Pracownik może być najsłabszym ogniwem – mówił Grzegorz Górka z Sądeckich Wodociągów. Praca zdalna wiąże się zaś z dodatkowymi słabymi punktami, dlatego w Sądeckich Wodociągach wprowadzono regulamin zasad korzystania z oprogramowania i ze sprzętu do pracy zdalnej, ograniczono dostęp w ramach uprawnień, nauczono pracowników obchodzenia się z danymi, zapewniono firmowe laptopy z aktualnym programem antywirusowym i dostęp do internetu, wprowadzono automatyczne wylogowywanie i wymóg zmiany haseł, a połączenie z systemem informatycznym odbywa się tylko za pośrednictwem szyfrowanego kanału VPN możliwego tylko dla stałych adresów IP.

… lub ostatni poziom zabezpieczeń

Kompetentny pracownik może zareagować, jeśli rozpozna niepokojącą sytuację. I dotyczy to zarówno przeszkolenia w obszarze cyberataków, jak i dobrej znajomości funkcjonowania zakładu. Jako przykład Bogdał podała incydent, podczas którego przestępcy zaatakowali sterowniki PLC w mieszalnikach na stacji uzdatniania wody i zmienili proporcje dozowania m.in. chloru. Atak wykryto dzięki czujności pracownika stacji, który spostrzegł zmianę.

Eksperci podkreślają wagę regularnego i skutecznego edukowania zespołu. – Pamiętajmy, że pracownik wyznaczony do cyberbezpieczeństwa nie może zajmować się tymi zadaniami w międzyczasie, pomiędzy innymi obowiązkami – przypominała Bogdał. Warto ponadto zauważyć, że cyberataki nie grożą tylko dużym przedsiębiorstwom, ale także tym mniejszym.

Trwają prace nad nowym unijnym pakietem cyberbezpieczeństwa. W jakim stopniu dotknie on sektor wod-kan? O tym w kolejnym artykule.

Dominika Adamska
Sekretarz redakcji, geograf

Więcej treści dotyczących samorządów w zakładce Teraz Samorząd.