1 godzina temu
Rosnące wydatki na cyberbezpieczeństwo nie zawsze przekładają się na większą odporność przedsiębiorstw przemysłowych. O skuteczności ochrony decydują często podstawowe kwestie: konfiguracja systemów, kontrola dostępu, kooperacja IT z produkcją i zdolność do przywrócenia działalności po incydencie. Joanna Chmielak, Enterprise Sales Manager w Fortinet, wyjaśnia w rozmowie z Brandsit, jak oceniać rzeczywiste efekty inwestycji w bezpieczeństwo, dlaczego kolejne technologie nie rozwiązują wszystkich problemów i czemu zgodność z NIS2 nie gwarantuje ochrony przed cyberatakiem.
Klaudia Ciesielska, Brandsit: Firmy przemysłowe od lat zwiększają wydatki na cyberbezpieczeństwo, a mimo to przez cały czas dochodzi do ataków kończących się poważnymi zakłóceniami działalności. Co najczęściej zawodzi w organizacji, która teoretycznie jest dobrze zabezpieczona?
Joanna Chmielak, Fortinet: W mojej ocenie problemem jest luka między posiadaniem zabezpieczeń a ich rzeczywistą skutecznością. Firma może dysponować zaawansowanymi technologiami, a jednocześnie mieć zbyt szerokie uprawnienia dostępu, niepełną wiedzę o urządzeniach działających w sieci czy procedury reagowania, których nigdy nie przećwiczono. Każdy z tych elementów osłabia ochronę całego przedsiębiorstwa. Szczególną uwagę zwróciłabym na prawidłową konfigurację już wdrożonych rozwiązań. Brak uwierzytelniania wieloskładnikowego tam, gdzie można je zastosować, pozostawione domyślne hasła czy tunele VPN zapewniające zbyt szeroki dostęp do wrażliwych części sieci tworzą niepotrzebne ryzyko. Zakup technologii to dopiero początek. O jej skuteczności decydują adekwatne wdrożenie, konfiguracja i bieżące utrzymanie.
Istotnym wyzwaniem jest również ograniczona widoczność środowiska przemysłowego, czyli wiedza o tym, jakie urządzenia pracują w sieci i jak się ze sobą komunikują. Koszt oraz złożoność wdrożenia zaawansowanych systemów monitorowania mogą sprawiać, iż część środowiska pozostaje poza nadzorem. W takich obszarach trudniej wykryć nieautoryzowane urządzenie lub niepokojącą aktywność i odpowiednio gwałtownie zareagować.
W przemyśle niezbędna jest także kooperacja IT z zespołami odpowiedzialnymi za systemy sterujące produkcją. Ich priorytety mogą się różnić: usunięcie podatności musi uwzględniać ciągłość działania i bezpieczeństwo procesu produkcyjnego. Dlatego potrzebują wspólnej oceny ryzyka, jasnego podziału odpowiedzialności i uzgodnionego sposobu wprowadzania zmian. Sam wzrost budżetu nie jest dowodem wzrostu odporności. O skuteczności ochrony świadczy to, czy firma potrafi wykryć atak, ograniczyć jego zasięg i bezpiecznie przywrócić produkcję oraz czy przetestowała te zdolności w praktyce.
Sam wzrost budżetu nie jest dowodem wzrostu odporności.
K.C.: Gdyby weszła Pani dziś do dużego zakładu produkcyjnego i miała godzinę, żeby ocenić jego rzeczywistą odporność na cyberatak, co sprawdziłaby Pani najpierw? Jakie sygnały świadczą o tym, iż firma ma poważny problem, choćby jeżeli na papierze wszystko wygląda dobrze?
J.C.: W godzinę niestety nie da się przeprowadzić pełnego audytu, ale zaczęłabym od prostego pytania: „Co w tym zakładzie może zatrzymać produkcję i czy wiemy, jak przywrócić ją po cyberataku?”. Tym pytaniem chciałabym sprawdzić, czy firma rozumie swoje krytyczne zależności i potrafi pokazać dowody skuteczności zabezpieczeń. Przyjrzałabym się przede wszystkim trzem obszarom. Po pierwsze, czy firma wie, jakie urządzenia i systemy działają w jej sieci oraz które z nich są niezbędne do produkcji. Po drugie, kto ma do tych systemów dostęp (szczególnie czy są to zewnętrzni serwisanci) i czy przejęcie jednego konta lub komputera pozwoliłoby atakującemu dotrzeć do systemów sterujących maszynami. Po trzecie, czy organizacja przećwiczyła reakcję na incydent i odtworzenie krytycznych systemów. Zasadne byłoby pytanie „Kiedy ostatnio to sprawdziliście i jaki był wynik?”.
Sygnałami ostrzegawczymi byłyby nieznane urządzenia, wspólne konta serwisowe, niekontrolowany dostęp zdalny, brak skutecznego oddzielenia sieci biurowej od produkcyjnej oraz kopie zapasowe, z których nigdy nie próbowano odtworzyć systemu. Niepokoiłaby mnie też sytuacja, w której działy IT i produkcji inaczej rozumieją odpowiedzialność za bezpieczeństwo, a nikt nie wie, kto podejmuje decyzje podczas ataku. jeżeli ktoś uważa, iż ma procedury, więc one go ochronią, to jest w błędzie bo prawdziwa odporność wymaga sprawdzenia czy te procedury faktycznie działają np. także poza godzinami pracy i pod presją.
K.C.: Jak zarząd firmy produkcyjnej może sprawdzić, czy pieniądze wydawane na cyberbezpieczeństwo rzeczywiście zmniejszają ryzyko? Jakich danych powinien żądać od CIO i CISO, a jakie popularne wskaźniki kilka mu w praktyce mówią?
J.C.: Zarząd powinien oczekiwać od dyrektorów ds. IT oraz bezpieczeństwa (odpowiednio CIO i CISO) informacji, które pokazują związek między cyberbezpieczeństwem a ciągłością działalności firmy. Które scenariusze ataku mogą zatrzymać produkcję? Jakie byłyby ich konsekwencje operacyjne i finansowe? W jaki sposób konkretna inwestycja ograniczyła ryzyko i jakie zagrożenia przez cały czas wymagają działania?
Ważne są przede wszystkim wyniki praktycznej weryfikacji: czas wykrycia i ograniczenia incydentu podczas ćwiczeń, rzeczywisty czas odtworzenia kluczowych systemów oraz zdolność do bezpiecznego wznowienia produkcji. Zarząd powinien również wiedzieć, jaka część krytycznych zasobów jest objęta ochroną, jak długo istotne podatności pozostają nierozwiązane oraz czy firma dysponuje ludźmi i wsparciem dostawców, potrzebnymi do reakcji także poza godzinami pracy.
Takich informacji dostarczają odpowiednio zaplanowane testy penetracyjne, prowadzone z uwzględnieniem bezpieczeństwa środowiska produkcyjnego oraz ćwiczenia scenariuszowe, tak zwane Tabletop. Pozwalają one sprawdzić, czy uczestnicy wiedzą, kto podejmuje decyzje, jak przebiega komunikacja i jakie działania należy podjąć. Powinny być uzupełniane technicznymi testami odtwarzania systemów. Sama rozmowa o scenariuszu nie potwierdzi, iż produkcję rzeczywiście można przywrócić w zakładanym czasie. Ważne jest też, czy wykryte podczas testów problemy są później usuwane.
Natomiast liczba zablokowanych ataków, zakupionych narzędzi czy przeszkolonych pracowników sama w sobie mówi kilka o odporności. To dane pomocnicze, które wymagają kontekstu. Podobnie „brak incydentów” może świadczyć o skutecznej ochronie, ale również o niewystarczającej umiejętności wykrywania zagrożeń. Wartościowy raport dla zarządu powinien pokazywać, co firma potrafi dziś zrobić lepiej niż przed inwestycją, jak to sprawdzono i czy osiągnięty wynik odpowiada potrzebom biznesu.
„Brak incydentów” może świadczyć o skutecznej ochronie, ale również o niewystarczającej umiejętności wykrywania zagrożeń.
K.C.: Jak przedsiębiorstwo powinno odróżniać realne ryzyko cybernetyczne od problemów, które są wyolbrzymiane przez rynek dostawców bezpieczeństwa? Po czym klient może poznać, iż rzeczywiście potrzebuje kolejnej inwestycji?
J.C.: Przed rozpoczęciem inwestycji w cyberbezpieczeństwo firma powinna przeprowadzić gruntowną analizę ryzyka lub zaktualizować już istniejący dokument w tym zakresie. Powinien on stanowić podstawę decyzji zakupowych. Musi wskazywać, które usługi, procesy, systemy i urządzenia mają najważniejsze znaczenie dla działalności firmy oraz jakie konsekwencje dla organizacji mogłoby mieć ich zakłócenie lub utrata.
Wyniki analizy ryzyka pozwalają ustalić, które zabezpieczenia wymagają wdrożenia w pierwszej kolejności, a które można rozważyć później. Pomagają również ocenić, czy rzeczywiście potrzebna jest nowa technologia, czy większy efekt przyniesie poprawa konfiguracji, ograniczenie uprawnień lub lepsze wykorzystanie posiadanych rozwiązań. Sama skala występowania danego cyberzagrożenia nie przesądza jeszcze o jego znaczeniu dla konkretnego przedsiębiorstwa.
Jeszcze przed wyborem rozwiązania należy określić wymagania i mierzalne kryteria sukcesu. Klient powinien wiedzieć, jaki efekt chce osiągnąć i jak go sprawdzi. Na tej podstawie można przeprowadzić test, który zweryfikuje skuteczność rozwiązania w warunkach odpowiadających środowisku produkcyjnemu, jego integrację z istniejącymi systemami oraz wymagania dotyczące obsługi i utrzymania.
Równolegle trzeba uwzględnić obowiązujące przedsiębiorstwo wymagania regulacyjne (w tym np. KSC czy CRA). Mogą one nakładać obowiązki, które nie wynikają bezpośrednio z kolejności priorytetów określonych w analizie ryzyka. Dlatego decyzje inwestycyjne powinny łączyć potrzeby biznesowe, ocenę zagrożeń i obowiązki prawne. Jako przedstawicielka branży uważam, iż dostawca powinien umieć wykazać, jak jego propozycja odpowiada na te wymagania. Uzasadnieniem zakupu powinno być konkretne ryzyko i możliwy do zweryfikowania efekt inwestycji.
Jako branża przez cały czas nie rozwiązaliśmy dostatecznie problemu złożoności.
K.C.: Branża cybersecurity wprowadza kolejne generacje technologii, tymczasem w wielu incydentach wracają te same podstawowe problemy: dostęp, konfiguracja, segmentacja, aktualizacje czy reakcja ludzi. Czego rynek bezpieczeństwa przez ostatnie lata nie rozwiązał?
J.C.: Uważam, iż jako branża przez cały czas nie rozwiązaliśmy dostatecznie problemu złożoności. Wprowadzamy coraz bardziej zaawansowane narzędzia, ale klient musi jeszcze połączyć je ze sobą, adekwatnie skonfigurować, utrzymać i przełożyć ich sygnały na decyzje. Kolejna technologia może poprawić ochronę, ale może też zwiększyć obciążenie zespołu, o ile nie pasuje do istniejącego środowiska. Dlatego warto dążyć do konsolidacji cyberbezpieczeństwa w ramach jednej platformy, która integruje poszczególne mechanizmy ochrony i umożliwia im współdzielenie informacji, danych o zagrożeniach oraz narzędzi do zarządzania. Pozwala to ograniczyć złożoność, eliminować luki między działającymi osobno rozwiązaniami i sprawniej reagować na zagrożenia.
Konkretne rozwiązanie może pomóc egzekwować uprawnienia, wykrywać błędy i automatyzować reakcję. Nie ustali jednak samodzielnie, kto odpowiada za dany system, jakie ryzyko firma akceptuje ani kiedy można bezpiecznie zmienić konfigurację maszyny. W przemyśle aktualizacja wymaga uwzględnienia dostępności, zgodności i bezpieczeństwa procesu. jeżeli nie można jej gwałtownie wdrożyć, potrzebne są inne zabezpieczenia ograniczające ryzyko oraz plan dalszego działania. Branża powinna być oceniana także za to, czy upraszcza codzienną pracę klienta i skraca drogę od wykrycia zagrożenia do skutecznej reakcji.
K.C.: Jaka powszechna prawda o cyberbezpieczeństwie w dużych firmach jest Pani zdaniem po prostu nieprawdziwa?
J.C.: Za nieprawdziwe uważam przekonanie: „Spełniamy wymagania NIS2, więc jesteśmy bezpieczni”. Zgodność z regulacjami jest ważna i pomaga uporządkować zarządzanie ryzykiem, ale nie stanowi gwarancji odporności na cyberatak. Firma może mieć opisane procedury, przypisane role i plany ciągłości działania. Pytanie brzmi jednak: czy pracownicy wiedzą, jak zareagować na atak, czy zabezpieczenia ograniczą jego zasięg i czy krytyczne systemy można odtworzyć w czasie akceptowalnym dla produkcji? To trzeba sprawdzać w praktyce.
Spełnienie wymagań powinno być podstawą do ciągłego doskonalenia bezpieczeństwa, a nie momentem, w którym firma uznaje temat za zamknięty. Zagrożenia, technologie i sama organizacja nieustannie się zmieniają, dlatego odporność wymaga regularnej weryfikacji.
