Straty finansowe i wizerunkowe, choć mogą być ogromne, to należą do najmniej dotkliwych z możliwych skutków ataku na przedsiębiorstwo z sektora energetycznego. Efekty działania cyberprzestępców mogą być dużo bardziej rozległe i w skrajnych przypadkach oddziaływać na ludzkie zdrowie oraz życie.

Systemy (nie)bezpieczeństwa

W obliczu możliwych, niekiedy skrajnych, skutków cyberataków zupełny brak lub niedostateczna dbałość o zabezpieczenie przed nimi może dziwić. W wielu przypadkach twórcy systemów automatyki przemysłowej skupili się przede wszystkim na ich niezawodności, zamiast na potencjalnym zagrożeniu, jakie ich przejęcie przez np. terrorystów może oznaczać.

Eksperci Deloitte zwracają uwagę, że skuteczność działań zależy od połączenia wiedzy o IT i inżynierii oraz pogodzenia ich niekiedy rozbieżnych punktów widzenia. Specjaliści przemysłowych systemów sterowania nie zawsze bowiem w pełni rozumieją współczesne zagrożenia bezpieczeństwa informatycznego, podobnie jak specjaliści od bezpieczeństwa IT często nie rozumieją procesów przemysłowych. Bez wsparcia IT systemy sterowania produkcją niezwykle trudno jest zabezpieczyć. Wynika to między innymi z tego, że choć nie zostały zaprojektowane do połączenia, dziś funkcjonują jako część sieci. Rozwój technologiczny sprzyja wydajności i obniżeniu kosztów, ale także otwiera przedsiębiorstwa na całą gamę cybernetycznych zagrożeń.

Ostrzeżenie z USA 

O skali zagrożenia najlepiej świadczą próby ataków, które obserwujemy od lat. Już w 2003 r. jedna z amerykańskich elektrowni jądrowych w stanie Ohio została zainfekowana wirusem Slammer. Terroryści najpierw zaatakowali system firmy współpracującej z przedsiębiorstwem zarządzającym elektrownią. Potem łatwiej już było uderzyć w samą elektrownię, a wirus błyskawicznie atakował kolejne komputery. Slammer zablokował system odpowiedzialny za chłodzenie reaktora. Z kolei w 2014 r. zaatakowane zostały systemy komputerowe operatora elektrowni jądrowej w Korei Południowej. Informacje i technologie zachodnich firm energetycznych nieustannie próbują wykraść cyberzłodzieje z konkurencyjnych krajów. Rozsyłają maile z zainfekowaną treścią, instalują szkodliwe oprogramowanie czy zmieniają treści na stronie internetowej atakowanej firmy. To ataki nieudane, gdzie straty są znikome lub nie było ich wcale. Ale w 2016 r. atak na ukraińską energetykę pozbawił prądu część Kijowa na dwa dni. Rok wcześniej podobny atak pozbawił prądu 225 tys. mieszkańców zachodniej Ukrainy. Przed cyberprzestępcami z Rosji na początku roku ostrzegał Departament Bezpieczeństwa Wewnętrznego (DHS) Stanów Zjednoczonych. Z jego analiz wynika, że scenariusz jest zazwyczaj podobny do tego w Ohio. Atakujący dobierają się najpierw do organizacji zewnętrznych, współpracujących z faktycznym celem ich ataku. Wirus rozprzestrzenia się poprzez zainfekowane konta pocztowe czy strony internetowe odwiedzane przez pracowników.

Przyczyny ataków

Brak zabezpieczeń, nieprawidłowe testowanie systemów IT czy wdrażanie technologii bez wcześniejszych testów – to wszystko pozostawia luki, z których mogą skorzystać cyberprzestępcy. Często pomijanym elementem w systemach bezpieczeństwa są także ludzie. Przez brak przeszkolenia w tym zakresie i wiedzy o ryzyku pracownicy przenoszą do systemu przedsiębiorstwa media zainfekowane złośliwym oprogramowaniem. Wiele osób wciąż jest przekonanych, że niepowodzenia czy awarie najczęściej są spowodowane warunkami pogodowymi, błędami ludzkimi i zmęczeniem sprzętu, a nie manipulacją cyberprzestępców. 

Znalezienie podatności i ewentualnych błędów konfiguracyjnych w posiadanych systemach to priorytet dla firm naftowo-gazowych. Eksperci zaznaczają, że pracę nad nimi powinien na bieżąco wykonać zespół specjalistów ds. biznesu, inżynierii i bezpieczeństwa IT. Niemożliwe jest zabezpieczenie wszystkiego w równym stopniu. Na szczycie listy powinny być więc krytyczne zasoby i infrastruktura. Aby przedsiębiorstwo było bezpieczne konieczne jest jego ciągłe i automatyczne monitorowanie oraz opracowanie mechanizmów wychwytujących potencjalny atak lub zminimalizowanie jego skutków.

Pełny raport do pobrania dostępny jest tutaj. 

Źródło: Deloitte