Systemy, urządzenia i technologie służące do monitorowania, sterowania i automatyzacji procesów fizycznych, które komunikują się przez Internet, odgrywają istotną rolę w sprawnym zarządzaniu funkcjonowaniem przedsiębiorstw. Jednak za sprawą cyfryzacji pojawia się ryzyko związane z możliwością wystąpienia incydentu bezpieczeństwa IT.
W ostatnich miesiącach podobne incydenty miały miejsce również w przedsiębiorstwach ciepłowniczych czy wodociągowych. Dla przykładu w ciepłowni w Ruciane-Nida przestępcy po przeniknięciu do systemów przedsiębiorstwa wyłączyli jeden z dwóch pieców kotłowni. W pełni bezpieczna nie może czuć się również branża wodno-kanalizacyjna. Tolkmicko, Małdyty, Sierakowo, Wydminy, Szczytno, a także Rzeszów.
W tych lokalizacjach na przestrzeni ostatnich kilkunastu miesięcy mieliśmy do czynienia z próbami przejęcia dostępu do paneli SCADA/SUW zakładów wodociągowych i kanalizacyjnych, ale niewykluczone, iż było one po prostu zbyt słabo zabezpieczone – zwykle panel sterowania dostępny był z zewnątrz dla wszystkich, kto znał adres URL lub adres IP. W dobie narzędzi do skanowania Internetu nie jest trudno o wyszukanie takich „kwiatków” a sama próba logowania się do systemu już jest uznana za „atak”.
Powyższe przykłady pokazują z jednej strony, iż dobrze przygotowana na ryzyko organizacja da odpór atakom, a w konsekwencji obsługiwani przez nią mieszkańcy są bezpieczniejsi. Z drugiej, skuteczne przełamywanie zabezpieczeń każe postawić pytanie, czy bezpieczeństwo infrastruktury krytycznej jest na wystarczającym wysokim poziomie?
Co łączy przedsiębiorstwa energetyczne, wodno-kanalizacyjne, a także tysiące działających w innych branżach? Wykorzystanie technologii do obsługi kluczowych procesów i związane z tym ryzyko. OT wykorzystywana jest wszędzie tam, gdzie mamy do czynienia choćby z produkcją przemysłową, którą przecież nasza gospodarka stoi.
Czy polskie OT jest gotowe na cyberataki?
Jakie wnioski mogą wyciągnąć dla firmy z niedawnych cyberataków na energetykę?
Polskie OT wymaga pilnej standaryzacji i przejścia z modelu reaktywnego na zarządzanie oparte na mierzalnym ryzyku. Konkretnie oznacza to np. obowiązkową inwentaryzację wszystkich zasobów OT, pełną segmentację sieci IT/OT, wyłączenie bezpośredniej ekspozycji paneli sterowania do internetu, centralny monitoring logów (SOC/SIEM) oraz cykliczne testy penetracyjne środowisk przemysłowych.
Równolegle konieczne jest wprowadzenie wymagań bezpieczeństwa do umów z dostawcami automatyki, egzekwowanie aktualizacji i kontrola zdalnego dostępu (MFA, VPN, rejestrowanie sesji). Bez tych działań choćby finansowanie najlepszego sprzętu nie przełoży się na realne podniesienie odporności infrastruktury krytycznej.
