Situacija
Energetikos įmonė Kaune, 200 darbuotojų, valdo šilumos gamybos ir skirstymo infrastruktūrą daliai miesto. IT ūkis mišrus: biuro sistemos, Microsoft 365, apskaita, o atskirame tinkle – gamybos valdymo (SCADA) sistemos, kurias prižiūri technologinis skyrius. IT skyrius – trys žmonės, kibernetinio saugumo funkcija priskirta IT vadovui šalia kasdienių darbų.
Pagal atnaujintą Kibernetinio saugumo įstatymą, į kurį perkelta NIS2 direktyva (TIS2), įmonė priskirta esminiams subjektams. Nacionalinis kibernetinio saugumo centras paprašė pateikti rizikų vertinimą, saugumo politikas ir incidentų valdymo tvarką. Įmonė turėjo kelis senus dokumentus, parengtus ankstesnio įstatymo laikais, bet nė vieno, kuris atspindėtų dabartinę infrastruktūrą.
Generalinis direktorius ir valdyba norėjo dviejų dalykų: žinoti, kokia reali situacija, ir turėti žmogų, kuris už saugumą atsakytų nuolat, o ne tik tada, kai ateina paklausimas.
Ko reikėjo
- Nepriklausomo IT saugumo audito, apimančio biuro tinklą ir sąsajas su technologiniu tinklu.
- Rizikų vertinimo, kurį suprastų valdyba ir pripažintų NKSC.
- Saugumo politikų ir procedūrų rinkinio, pritaikyto įmonei, o ne nukopijuoto iš šablono.
- Reguliaraus pažeidžiamumų skenavimo ir aiškaus proceso, kas ir per kiek laiko taiso rastas spragas.
- Incidentų valdymo plano su pranešimo NKSC terminais.
- Nuolatinės saugumo vadovo funkcijos be naujo etato.
Ką padarėme
1 mėnuo: IT saugumo auditas
Atlikome IT saugumo auditą: tinklo architektūros peržiūra, prieigų ir privilegijuotų paskyrų analizė, išorinis ir vidinis pažeidžiamumų skenavimas, Microsoft 365 konfigūracijos vertinimas, pokalbiai su IT ir technologiniu skyriumi. Rezultatas – 64 pastebėjimai, iš jų 9 kritiniai. Dažniausiai pasitaikantys: bendri administratoriaus slaptažodžiai, nuotolinė prieiga prie technologinio tinklo be daugiapakopės autentifikacijos, neatnaujinami tinklo įrenginiai, kopijos tame pačiame tinkle kaip ir serveriai.
2 mėnuo: rizikų vertinimas ir kritinių spragų uždarymas
Audito pastebėjimus pavertėme rizikų vertinimu pagal poveikį įmonės veiklai: kas nutiktų šilumos tiekimui, apskaitai, klientų aptarnavimui. Valdyba patvirtino rizikos apetitą ir prioritetų sąrašą. Lygiagrečiai IT skyrius su mūsų pagalba uždarė kritines spragas: įvesta daugiapakopė autentifikacija visai nuotolinei prieigai, atskirtos administracinės paskyros, atnaujinta tinklo įranga, kopijos perkeltos į nekeičiamą saugyklą.
Sudėtingiausia buvo technologinio tinklo dalis. Dalis SCADA komponentų veikia su senomis operacinėmis sistemomis, kurių atnaujinti negalima be gamintojo. Vietoj atnaujinimo pritaikėme kompensuojančias priemones: griežtą tinklo segmentavimą, prieigą tik per kontroliuojamą tarpinį serverį su įrašymu ir atskirą stebėseną. Šiuos sprendimus derinome su technologiniu skyriumi, kad saugumas netrukdytų gamybos procesams.
3 mėnuo: politikos ir incidentų planas
Parengėme 12 politikų ir procedūrų: informacijos saugumo politika, prieigų valdymas, tiekėjų saugumas, pokyčių valdymas, kopijų ir atkūrimo tvarka, incidentų valdymas ir kitos. Kiekviena – ne ilgesnė nei keli puslapiai ir su konkrečiu atsakingu žmogumi. Incidentų plane aprašyta klasifikacija, pranešimo NKSC terminai, komunikacija su savivaldybe ir klientais, veiksmai, jei paveiktas technologinis tinklas. Planą išbandėme stalo pratybomis su vadovybe.
4 mėnuo: vCISO ir reguliarus ciklas
Nuo ketvirto mėnesio pradėjome CISO paslaugą: mūsų sertifikuotas specialistas (CISM, CRISC) vieną dieną per savaitę dirba kaip įmonės saugumo vadovas. Įvedėme mėnesinį pažeidžiamumų skenavimą su taisymo terminais pagal kritiškumą, ketvirtinę ataskaitą valdybai ir metinį rizikų vertinimo atnaujinimą.
Rezultatas
Visi 9 kritiniai audito pastebėjimai uždaryti iki trečio mėnesio pabaigos; neuždarytų kritinių pažeidžiamumų dabar – nulis, ir tai patvirtinama kiekvieno mėnesio skenavimu. Įmonė turi 12 patvirtintų politikų ir procedūrų, rizikų registrą ir incidentų planą – rinkinį, kuris pateiktas NKSC ir pastabų nesulaukė.
Valdyba kas ketvirtį gauna vieno puslapio ataskaitą: rizikų pokytis, atviri pažeidžiamumai pagal kritiškumą, incidentai, audito veiksmų būklė. Tai pirmas kartas, kai saugumas valdyboje aptariamas kaip nuolatinis punktas, o ne kaip reakcija į raštą. Mėnesinio skenavimo rezultatai rodo tendenciją: per pusmetį vidutinio kritiškumo pažeidžiamumų skaičius sumažėjo maždaug trečdaliu, o naujai rastos spragos uždaromos per sutartą terminą.
„Auditas parodė tai, ką nujautėme. Svarbiausia, kad dabar yra žmogus, kuris kas mėnesį patikrina, ar spragos vėl neatsivėrė.“
Ką patartume panašioje situacijoje
- Pradėkite nuo audito, ne nuo politikų. Politika, parašyta nežinant realios situacijos, bus neįgyvendinama.
- Technologinio tinklo neišbraukite iš apimties. Dažniausiai būtent sąsajos tarp biuro ir gamybos tinklo yra silpniausia vieta.
- Valdybai pateikite rizikas verslo kalba: valandos be tiekimo, baudos, reputacija. Tai greičiau atrakina biudžetą nei techninių pažeidžiamumų sąrašas.
- Saugumas yra ciklas, ne projektas. Mėnesinis skenavimas ir ketvirtinė ataskaita svarbiau nei storiausias dokumentas.
