Sytuacja
Firma energetyczna z Kowna na Litwie, zatrudniająca 200 osób, prowadzi infrastrukturę wytwarzania i dystrybucji ciepła dla części miasta. Jej środowisko IT jest mieszane: systemy biurowe, Microsoft 365 i księgowość oraz, w osobnej sieci, systemy sterowania produkcją (SCADA) utrzymywane przez dział techniczny. Dział IT to trzy osoby, a funkcja cyberbezpieczeństwa jest przypisana kierownikowi IT obok codziennych zadań.
Na podstawie znowelizowanej ustawy o cyberbezpieczeństwie, która wdrożyła dyrektywę NIS2 (w prawie litewskim TIS2), firmę zaliczono do podmiotów kluczowych. Krajowy organ ds. cyberbezpieczeństwa poprosił o przedłożenie oceny ryzyka, polityk bezpieczeństwa i procedury zarządzania incydentami. Firma miała kilka starych dokumentów napisanych na podstawie poprzedniej ustawy, ale żadnego, który odzwierciedlałby jej obecną infrastrukturę.
Prezes i zarząd chcieli dwóch rzeczy: poznać rzeczywistą sytuację oraz mieć osobę, która odpowiada za bezpieczeństwo w sposób ciągły, a nie tylko wtedy, gdy nadejdzie pismo.
Czego potrzebowano
- Niezależnego audytu bezpieczeństwa IT obejmującego sieć biurową i jej styki z siecią operacyjną.
- Oceny ryzyka, którą zarząd zrozumie, a krajowy organ ds. cyberbezpieczeństwa zaakceptuje.
- Zestawu polityk i procedur bezpieczeństwa dopasowanych do firmy, a nie przepisanych z szablonu.
- Regularnego skanowania podatności i jasnego procesu: kto naprawia znalezione luki i w jakim czasie.
- Planu zarządzania incydentami z terminami zgłaszania do krajowego organu ds. cyberbezpieczeństwa.
- Ciągłej funkcji kierowania bezpieczeństwem bez nowego zatrudnienia.
Co zrobiliśmy
Miesiąc 1: audyt bezpieczeństwa IT
Przeprowadziliśmy audyt bezpieczeństwa IT: przegląd architektury sieci, analizę dostępu i kont uprzywilejowanych, zewnętrzne i wewnętrzne skanowanie podatności, ocenę konfiguracji Microsoft 365 oraz rozmowy z działem IT i działem technicznym. Wynikiem było 64 ustaleń, z czego 9 krytycznych. Najczęstsze to wspólne hasła administratorów, zdalny dostęp do sieci operacyjnej bez uwierzytelniania wieloskładnikowego, nieaktualizowane urządzenia sieciowe i kopie zapasowe w tej samej sieci co serwery.
Miesiąc 2: ocena ryzyka i zamykanie luk krytycznych
Ustalenia audytu przekształciliśmy w ocenę ryzyka opartą na wpływie na działalność firmy: co stałoby się z dostawami ciepła, księgowością i obsługą klientów. Zarząd zatwierdził apetyt na ryzyko i listę priorytetów. Równolegle dział IT, z naszą pomocą, zamknął luki krytyczne: wprowadzono uwierzytelnianie wieloskładnikowe dla całego dostępu zdalnego, rozdzielono konta administracyjne, zaktualizowano sprzęt sieciowy, a kopie zapasowe przeniesiono do niezmienialnego magazynu.
Najtrudniejsza była sieć operacyjna. Część komponentów SCADA działa na starych systemach operacyjnych, których nie da się zaktualizować bez udziału producenta. Zamiast aktualizacji zastosowaliśmy środki kompensujące: ścisłą segmentację sieci, dostęp wyłącznie przez kontrolowany serwer przesiadkowy z nagrywaniem sesji oraz osobny monitoring. Te rozwiązania uzgodniliśmy z działem technicznym, aby bezpieczeństwo nie przeszkadzało procesom produkcyjnym.
Miesiąc 3: polityki i plan reagowania na incydenty
Napisaliśmy 12 polityk i procedur: politykę bezpieczeństwa informacji, zarządzanie dostępem, bezpieczeństwo dostawców, zarządzanie zmianami, procedurę kopii zapasowych i odtwarzania, zarządzanie incydentami i inne. Każda ma nie więcej niż kilka stron i wskazuje konkretną osobę odpowiedzialną. Plan reagowania na incydenty opisuje klasyfikację, terminy zgłaszania do krajowego organu ds. cyberbezpieczeństwa, komunikację z gminą i klientami oraz działania na wypadek, gdy incydent dotknie sieci operacyjnej. Plan przetestowaliśmy ćwiczeniem stołowym z kierownictwem.
Miesiąc 4: vCISO i regularny cykl
Od czwartego miesiąca zaczęliśmy świadczyć usługę CISO: nasz certyfikowany specjalista (CISM, CRISC) pracuje jeden dzień w tygodniu jako lider bezpieczeństwa firmy. Wprowadziliśmy miesięczne skanowanie podatności z terminami naprawy zależnymi od krytyczności, kwartalny raport dla zarządu i coroczną aktualizację oceny ryzyka.
Wynik
Wszystkie 9 krytycznych ustaleń audytu zamknięto do końca trzeciego miesiąca; liczba otwartych podatności krytycznych wynosi obecnie zero, co potwierdza skan każdego miesiąca. Firma ma 12 zatwierdzonych polityk i procedur, rejestr ryzyka i plan reagowania na incydenty. Ten pakiet został przekazany krajowemu organowi ds. cyberbezpieczeństwa i nie wzbudził uwag.
Co kwartał zarząd otrzymuje jednostronicowy raport: zmiana ryzyk, otwarte podatności według krytyczności, incydenty i status działań poaudytowych. To pierwszy raz, gdy bezpieczeństwo jest omawiane na poziomie zarządu jako stały punkt, a nie jako reakcja na pismo. Wyniki miesięcznego skanowania pokazują trend: w ciągu pół roku liczba podatności o średniej krytyczności spadła o około jedną trzecią, a nowo znalezione luki są zamykane w uzgodnionym terminie.
„Audyt pokazał to, co podejrzewaliśmy. Najważniejsze, że jest teraz osoba, która co miesiąc sprawdza, czy luki nie otworzyły się ponownie.”
Co doradzilibyśmy w podobnej sytuacji
- Zacznij od audytu, a nie od polityk. Polityki napisanej bez znajomości rzeczywistej sytuacji nie da się wdrożyć.
- Nie pomijaj sieci operacyjnej. Styki między siecią biurową a produkcyjną są najczęściej najsłabszym punktem.
- Przedstawiaj ryzyka zarządowi językiem biznesu: godziny bez dostaw, kary, reputacja. To szybciej uruchamia budżet niż lista podatności technicznych.
- Bezpieczeństwo to cykl, a nie projekt. Miesięczne skanowanie i kwartalny raport znaczą więcej niż najgrubszy dokument.
