Wspomniane zdarzenie pokazuje, że efektem cyberataków może być nie tylko kradzież informacji. Mogą być one potencjalnie katastrofalne w skutkach dla obywateli ze względu na coraz większą integrację fizycznej infrastruktury krytycznej ze światem cyfrowym.

Do sektorów szczególnie wrażliwych można zaliczyć np. transport, energetykę, opiekę zdrowotną czy obiekty użyteczności publicznej. Cyberatak na organizacje działające w tych obszarach jest dziś w większości przypadków bardzo łatwy do przeprowadzenia. To efekt braku specjalistów odpowiedzialnych za obszar bezpieczeństwa, dodatkowo ten obszar bardzo rzadko traktowano poważnie, gdy rozważano inwestycje w IT. Przez to jest on bardzo często niedofinansowany.

Za mało środków

Gartner zwraca uwagę, że sytuację utrudnia fakt, że w niektórych krajach infrastruktura krytyczna jest własnością państwa, podczas gdy w innych, znacznie większa jej część jest w posiadaniu sektora prywatnego. W innych krajach dominuje z kolei model mieszany. Utrudnia to wdrożenie odpowiedniej polityki bezpieczeństwa.

Przeprowadzone w I kwartale br. przez firmę doradczą badanie pokazało wprawdzie, że 38% respondentów spodziewa się zwiększenia wydatków na bezpieczeństwo o 5-10% w 2021 roku, a kolejne 8% respondentów przewiduje wzrost powyżej 10%, ale diabeł, jak zwykle, tkwi szczegółach.

Po pierwsze oznacza to, że ponad połowa organizacji nie planuje zwiększenia wydatków albo będą one symboliczne. Po drugie, w sytuacji, gdy rośnie poziom złożoności technologii a ataki stają się coraz bardziej wyrafinowane, nawet 10 - procentowy wzrost wydatków na bezpieczeństwo jest niewystarczający. Potrzebna jest wiedza i technologie a te kosztują.

Atak na człowieka? To całkiem możliwe

Analitycy Gartnera zwracają uwagę, że tam, gdzie mamy do czynienia z infrastrukturą krytyczną, organizacje muszą brać pod uwagę większe ryzyko spowodowania zagrożenia dla ludzi i środowiska, niż samej kradzieży informacji. Przewidują oni, że do 2025 roku atakujący będą w stanie uzbroić system cyberfizyczny odpowiedzialny za zarządzanie infrastrukturą krytyczną w taki sposób, że będzie on mógł skutecznie zaszkodzić człowiekowi lub wręcz go zabić.

Jaka jest recepta na tę sytuację? Gartner zaleca, aby liderzy odpowiedzialni za zarządzanie bezpieczeństwem i ryzykiem wdrożyli holistyczne podejście do kwestii bezpieczeństwa. Chodzi o to, by działania związane z zapewnieniem bezpieczeństwa systemów ITC, OT i Internetu Rzeczy, były skoordynowane. Ale też specjaliści nie maja złudzeń co do tego, że w wielu przypadkach potrzebna jest „praca u podstaw”, czyli zmapowanie ryzyka i ocena bezpieczeństwa wszystkich systemów cyberfizycznych.

Organizacje powinny bardzo dokładnie – albo same, jeśli mają do tego zasoby, albo z zewnętrznym partnerem posiadającym zespół SOC - przeanalizować poziom bezpieczeństwa IT, dokonać przeglądu procedur oraz zinwentaryzować własne zasoby dostępne w sieci. To pozwoli wskazać podatności w systemach, wykryć potencjalne zagrożenia oraz przygotować plan działania na wypadek sytuacji kryzysowej. Oczywiście jest to plan minimum, bo niezbędne jest stałe monitorowanie anomalii i incydentów bezpieczeństwa wykrywanych w infrastrukturze.

Grzegorz Paszka, członek zarządu, CTO Grupy 3S