Cyberbezpieczne Wodociągi – jak zabezpieczyć… pieniądze z dofinansowania

Pierwszego września ruszył nabór wniosków w programie Cyberbezpieczne Wodociągi, a wraz z nim lawina ofert firm, które (myślą, że) mają gotową odpowiedź na wszystkie wymagania zawarte w projekcie.

Brzmi znajomo? Niestety, wiele z tych propozycji opiera się na schematycznych, powielanych pomiędzy firmami dokumentach, które nie zawsze odpowiadają rzeczywistym potrzebom przedsiębiorstw wodociągowych. Problem w tym, że same tego typu organizacje często nie dysponują wystarczającymi kompetencjami, aby rzetelnie ocenić zasadność zakupu czy przeanalizować koszty. Dlatego przygotowaliśmy kilka wskazówek, na co zwrócić uwagę przy wyborze partnera w projekcie, który wymaga zarówno dobrze opracowanego planu, jak i skrupulatnej realizacji. Są one wypadkową naszych doświadczeń, a każdy punkt to dwojakie spojrzenie na problem, z którym mierzą się osoby odpowiedzialne za pozyskanie dofinansowania w ramach projektu. 

1. SOC lekarstwem na wszystkie bolączki

Tak, Security Operations Center (SOC) to świetne rozwiązanie dla organizacji, które wymagają ciągłego monitorowania incydentów bezpieczeństwa i generują setki czy tysiące logów dziennie, niemożliwych do samodzielnej analizy przez organizację, w której nie ma administratora, lub jest ich niewielu. SOC umożliwia natychmiastową reakcję na incydenty 24/7, a przy tym doskonale wpisuje się w wymagania dyrektywy NIS2 w zakresie raportowania zdarzeń. Nie bez powodu usługa ta jak mantra przewija się przez większość „ofert” wysyłanych do przedsiębiorstw wodociągowych.

Warto jednak pamiętać, że SOC nie działa bez… odpowiednio przygotowanego środowiska. Niezbędne są uporządkowane systemy sieciowe, sprzętowe i programowe, które będą w stanie sprawnie przekazywać zdarzenia do usługodawcy. Nie da się sprawnie realizować tej usługi, bez narzędzi po stronie zamawiającego. Często to właśnie po stronie klienta musi zostać spełniony szereg wymagań technicznych (np. dotyczących logowania czy aktualnych wersji oprogramowania), aby SOC mógł funkcjonować na odpowiednim poziomie.

SOC jest też jednym z większych „generatorów” kosztów utrzymania w przyszłości. Pamiętaj, ze utrzymując SOC, musisz także utrzymać licencje na rozwiązania, z których korzysta. Warto podkreślić, że choć SOC doskonale sprawdza się w dużych organizacjach z rozbudowanymi systemami, to w przypadku mniejszych przedsiębiorstw wodociągowych, posiadających jedynie kilka rozwiązań ochronnych, może być inwestycją na wyrost.

Jeśli Twoje środowisko jest już dobrze uporządkowane, posiadasz rozwiązania klasy EPP, EDR, skaner podatności oraz odpowiednią infrastrukturę sieciową, wtedy SOC może realnie podnieść poziom bezpieczeństwa i ten punkt faktycznie może być dla Ciebie. Jeśli nie, zastanów się, czy nie warto zacząć od podstaw…

2. SIEM, SOAR, DLP, PAM… wyliczanka trwa

To bez wątpienia świetne rozwiązania, które znacząco podnoszą poziom bezpieczeństwa przedsiębiorstw. Jako autor tego artykułu zdecydowanie polecam się na nich skupić… gdy w organizacji zostaną uporządkowane podstawy.

Co często widzimy na naszym rynku? Na styku sieci router klasy SOHO, całość działa na niezarządzalnych switchach, a na stacjach roboczych zainstalowany jest najtańszy antywirus czy darmowy Defender. Albo sytuacja odwrotna - renomowanej marki UTM i przełączniki klasy enterprise, tyle że pozostawione bez odpowiedniej konfiguracji, nie gwarantujące minimalnego poziomu bezpieczeństwa. Do tego otwarte na świat porty RDP, HTTP czy SSH oraz panele administracyjne dostępne publicznie, bez choćby prostego zabezpieczenia w postaci 2FA.

Takie podstawowe błędy sprawiają, że inwestycje w SIEM, SOAR, DLP czy PAM tracą sens. Ich rolą jest bowiem uszczelnienie i zwiększenie kompleksowości ochrony, a nie zastępowanie elementarnych zabezpieczeń. Nie boimy się ich oferować i wdrażać, ale tylko tam, gdzie klient świadomie podejmuje decyzję o zakupie. Kluczowe pozostaje jednak nadal pytanie nad zasadnością samego zakupu.

3. Zacznijmy od podstaw

Tu stawiam odważny punkt – krytyczny w całym projekcie „Cyberbezpieczny wodociąg”. Zanim zakupimy rozwiązania, które zapełnią nasze półki i pokażą na papierze, że je mamy, odpowiedzmy sobie na kilka zasadniczych pytań:

• Czy zabezpieczam tzw. styk sieci? Czy mam prawidłowo wdrożone i skonfigurowane rozwiązanie klasy UTM, zapewniające wysoką dostępność usług w razie awarii?
• Czy moja sieć posiada segmentację? Czy podział sieci został zrealizowany tak, że kluczowe usługi są hermetycznie odizolowane od niepożądanego ruchu?
• Czy zarządzanie siecią jest proste? Czy jej topologia oraz sposób wykonania pozwalają uznać ją za bezpieczną i łatwą w obsłudze?
• Czy chronię urządzenia końcowe przed malware i atakami ukierunkowanymi? Czy regularnie sprawdzam je pod kątem podatności oraz publicznie znanych zagrożeń?
•  Czy moje systemy dostarczają logi, które wskazują problemy i pozwalają na reakcję? Czy w razie incydentu otrzymam powiadomienie i będę wiedział, jak skutecznie zareagować?
• Czy moje systemy zapewniają wysoką dostępność usług nawet w razie awarii pojedynczego z nich?

Jeśli na wszystkie pytania odpowiedziałeś twierdząco, możesz wrócić do punktu 2. W praktyce jednak przynajmniej jeden z powyższych elementów często budzi zdziwienie, konsternację lub… wymowne milczenie. Tutaj, tak naprawdę, powinniśmy rozpocząć rozmowę o przeznaczeniu pieniędzy z dofinansowania. Tutaj można zbudować fundament pod takie rozwiązania jak SOC, SIEM, SOAR, DLP czy PAM. Tutaj są największe bolączki małych przedsiębiorstw, zalewanych ofertami przeznaczonymi raczej dla dużych korporacji, zatrudniających tysiące pracowników.

4. Rozmiar ma znaczenie

Kontynuując wątek z punktu 3 i nieco łagodząc ton artykułu, warto zwrócić uwagę na jeden prosty fakt: rozmiar ma znaczenie – szczególnie w przedsiębiorstwach wodociągowych. Maksymalnie kilkadziesiąt stacji roboczych, kilkanaście urządzeń klasy OT, kilka lokalizacji – po kilka urządzeń każda. Jaką ilość logów jest w stanie wygenerować takie przedsiębiorstwo zakładając, że wdrożone rozwiązania są skonfigurowane prawidłowo? Co musiałoby się stać, by w takim środowisku doszło do krytycznego ataku, który sparaliżuje ruch organizacji? Uściślając, w żaden sposób nie neguję konieczności podnoszenia odporności cyfrowej poprzez zastosowanie zaawansowanych mechanizmów ochrony. Rękami i nogami podpisuję się pod stwierdzeniem, że dodatkowe narzędzia w organizacjach, o których mowa, są potrzebne, a w odpowiednich warunkach wręcz wymagane. Stawiam jednak odważną tezę: samo urządzenie nas nie ochroni. Kluczowe jest jego prawidłowe wdrożenie, konfiguracja i utrzymanie. Rozwiązania powinny być skalowane pod wielkość przedsiębiorstwa, jego możliwości pracy z systemem oraz realny wpływ na bezpieczeństwo.

5. Zacznijmy od koncepcji.

Zanim złożysz wniosek, spotkaj się z nami lub innym ekspertem, który z zewnętrznej perspektywy przyjrzy się rozwiązaniom funkcjonujące w Twoim przedsiębiorstwie. Przenalizuje punkt wejścia do projekt, dopasuje do niego rozwiązania, budżet oraz prognozowane koszty utrzymania w przyszłości. Jeśli czujesz, że twoja organizacja niedomaga w podstawowych obszarach (patrz punkt 3), a rozmówca od razu „torpeduje” Cię koniecznością wdrażania rozwiązań opisanych w punktach 1 i 2, warto się zastanowić, jaki jest tego prawdziwy cel. Czy faktycznie wzmocnisz w ten sposób swoją odporność cyfrową, czy raczej podniesiesz jedynie roczne koszty utrzymania systemów?

Program Cyberbezpieczne Wodociagi to doskonała okazja do podniesienia odporności na ataki i możliwość zapewnienia w przedsiębiorstwie wysokiej dostępności usług. Pozwoli także na podniesienie kompetencji kadry zarządzającej. Jest to absolutna konieczność, biorąc pod uwagę globalne problemy związane z cyberbezpieczeństwem i częstotliwością ataków na usługi kluczowe. Nie dajmy się jednak zwariować – róbmy to mądrze.

A jeśli masz pytania, znajdziesz nasze dane w zakładce kontakt. Chętnie pomożemy!