Brytyjskie NCSC podało 17 czerwca, że w roku do maja obsłużyło ponad 200 incydentów dotyczących infrastruktury krytycznej Wielkiej Brytanii i jej otoczenia, a około 75% z nich wiązało z aktorami państwowymi. Tych liczb nie przenosimy na Polskę. Pytania, które z nich wynikają, przenoszą się jednak bez trudu: zarząd operatora usług i zarząd jego dostawcy powinny sprawdzić ekspozycję, podstawowe zabezpieczenia i zdolność utrzymania usług.
Zacznijmy od pytania, na które łatwo dać złą odpowiedź. Co się stanie z naszą najważniejszą usługą, jeśli system, od którego zależy, przestanie działać na kilka dni? Zła odpowiedź brzmi mniej więcej tak: „mamy plan ciągłości działania, zatwierdzony i odłożony na półkę”. Komunikat NCSC z 17 czerwca nie opisuje żadnej polskiej organizacji i nie mówi, jak przebiegały poszczególne incydenty. Mówi coś prostszego. W ciągu jednego roku brytyjska agencja miała do czynienia z ponad 200 incydentami w infrastrukturze krytycznej i jej otoczeniu, a w około trzech czwartych przypadków wskazywała na aktorów państwowych. Taka skala wystarczy, żeby zapytać, czy nasz plan przetrwania istnieje w praktyce, czy tylko w dokumentacji. W czwartek 18 czerwca proponujemy potraktować te dane jako punkt wyjścia do rozmowy na posiedzeniu zarządu, bez udawania, że opisują sytuację w Polsce.
Ponad 200 incydentów w rok: skala bez opisu ataków
Według NCSC liczba incydentów obsłużonych w roku do maja przekroczyła 200. Komunikat obejmuje infrastrukturę krytyczną razem z jej otoczeniem. Drugi człon, otoczenie, jest ważny dla czytelnika, który sam nie świadczy usług krytycznych, a dostarcza operatorom oprogramowanie, usługi albo obsługę techniczną.
Fakty, którymi dysponujemy, nie mówią natomiast, jak te incydenty przebiegały. Nie znamy z nich technik ataku, wykorzystanych podatności ani skutków dla konkretnych usług. Datowanie źródła też ma znaczenie: NCSC podało statystykę roczną i nie porównało jej z ostatnimi trzema miesiącami. Sama liczba roczna nie pokazuje, jak incydenty rozkładały się w czasie. Każdy, kto z tej liczby wyprowadzi konkretny scenariusz ataku na polską firmę, dopisze coś, czego źródło nie zawiera.
Liczba incydentów mówi zarządowi, że trzeba zadać pytania; odpowiedzi trzeba znaleźć we własnej organizacji.
Trzy na cztery incydenty wiązane z państwami zmieniają założenia planu
NCSC wiązało około 75% obsłużonych incydentów z aktorami państwowymi. Dla zarządu to informacja o rodzaju przeciwnika, nawet jeśli komunikat nie rozbija tej liczby na sektory ani metody działania. Sprawdźmy więc, przed czym chroni nasz plan ciągłości. Jeżeli opisuje wyłącznie awarię sprzętu albo przypadkowy błąd administratora, nie odpowiada na pytanie, co zrobimy, gdy ktoś celowo działa przeciw usłudze.
Tu łatwo o rozjazd dokumentu z praktyką. Procedura mówi o przywróceniu systemu z kopii zapasowej w określonym czasie. Pytanie kontrolne brzmi inaczej: czy ktoś w ostatnim roku faktycznie przywrócił z tej kopii najważniejszą usługę i zmierzył, ile to trwało? Jeżeli odpowiedź jest twierdząca, zarząd powinien zobaczyć wynik testu. Jeżeli przecząca, plan pozostaje deklaracją. Brytyjskie dane nie przesądzają, że polski operator jest celem. Dają jednak powód, by usługi, od których zależą inni, sprawdzać także pod kątem celowego ataku.
Zarząd sprawdza trzy rzeczy: ekspozycję, podstawy i ciągłość
Komunikat NCSC wskazuje zarządom trzy obszary kontroli, każdy możliwy do sprawdzenia bez wiedzy specjalistycznej.
Pierwszy to ekspozycja. Zarząd powinien wiedzieć, które systemy organizacji są dostępne z zewnątrz i które z nich obsługują usługi krytyczne dla klientów. Lista, której nikt nie aktualizował od roku, nie odpowiada na to pytanie.
Drugi to podstawowe zabezpieczenia. Przy ponad 200 incydentach w ciągu jednego roku w jednym kraju trudno uzasadnić, że zarząd nie zna stanu najprostszych mechanizmów ochrony. Wystarczy prośba o krótką informację: gdzie są luki i kto odpowiada za ich zamknięcie.
Trzeci to zdolność utrzymania usług. Zarząd pyta, jak długo organizacja może pracować w trybie awaryjnym, kto podejmuje decyzję o jego uruchomieniu i kiedy ostatnio to ćwiczono. Odpowiedzialność za te decyzje spoczywa na kierownictwie; dział IT może przygotować dane, ale nie zatwierdzi akceptowalnego czasu przestoju za zarząd.
Plan przetrwania, którego nikt nie przećwiczył, jest dokumentem; zarząd potrzebuje dowodu, że usługa wytrzyma.
Polski operator i jego dostawca mogą przenieść pytania
Komunikat NCSC dotyczy Wielkiej Brytanii. Nie mówi nic o liczbie incydentów w Polsce ani o udziale aktorów państwowych w polskich zdarzeniach. Źródłem jest otwarty dokument pierwotny NCSC; nie mamy niezależnego potwierdzenia tych danych w mediach. Przeniesienie wskaźnika 75% na polski rynek byłoby więc nadużyciem.
Przenieśmy za to pytania. Operator usługi, od której zależą inni, może zapytać: które nasze usługi są tak ważne, że ich przerwa dotknie odbiorców spoza organizacji, i czy umiemy je utrzymać przez kilka dni bez głównych systemów? Dostawca, który znajduje się w otoczeniu takiego operatora, może zapytać o coś innego: czy nasz dostęp do systemów klienta jest ograniczony do niezbędnego minimum i czy klient wie, jak go odciąć w razie incydentu? Brytyjskie dane obejmują właśnie infrastrukturę krytyczną i jej otoczenie, dlatego rozmowa nie powinna kończyć się na granicy własnej sieci.
Rozsądnie jest też zapisać, czego nie wiemy. Komunikat z 17 czerwca nie podaje danych z ostatnich trzech miesięcy ani informacji o sektorach. Notatka dla zarządu powinna to odnotować, zamiast wypełniać luki domysłem.
Co z tym zrobić w poniedziałek
- Poproś osobę odpowiedzialną za IT o listę systemów dostępnych z zewnątrz, które obsługują najważniejsze usługi. W 30 minut wystarczy zestawienie z nazwą systemu, usługą i właścicielem; braki oznacz do uzupełnienia.
- Sprawdź datę ostatniego testu odtworzenia najważniejszej usługi z kopii zapasowej i zmierzony czas przywrócenia. Jeśli testu nie było, zapisz to wprost i wyznacz osobę, która zaproponuje jego termin.
- Przejrzyj listę dostawców z dostępem do systemów obsługujących usługi krytyczne. Przy każdym zanotuj, kto po stronie organizacji może ten dostęp odciąć i czy procedura odcięcia jest spisana.
Liczby NCSC dotyczą innego kraju, ale lekcja dla zarządu nie zależy od kraju. Zarząd sprawdza plan przetrwania, zanim będzie potrzebny. Zarząd, który zna swoją ekspozycję, stan podstawowych zabezpieczeń i sprawdzony czas pracy awaryjnej, rozmawia o ryzyku na podstawie faktów. Pozostałe zarządy rozmawiają o dokumentach.
Źródła
Redakcja cyberinsight.pl.