Jak podaje CERT Polska w uzupełnieniu raportu opublikowanym 8 sierpnia 2026 roku, grudniowe incydenty z 2025 roku objęły także drugą elektrociepłownię, której przypadku wcześniej publicznie nie opisano. Według zespołu błędna konfiguracja prywatnego APN umożliwiała połączenia między dowolnymi urządzeniami tej sieci, co daje zarządzającym powód do sprawdzenia rzeczywistych granic dostępu w podobnej usłudze.

Czy samo potwierdzenie, że firma korzysta z prywatnego APN, odpowiada na pytanie o izolację urządzeń? Ustalenie CERT Polska każe zapytać dokładniej: które urządzenie może połączyć się z którym i kto potrafi to wykazać? Dla zarządu zamawiającego usługę telekomunikacyjną przydatną odpowiedzią będzie zestawienie dozwolonych połączeń oraz wynik sprawdzenia tych, które powinny być zablokowane. Od takiego zestawienia rozpocznij rozmowę z operatorem i osobami odpowiedzialnymi za sieć OT. Opisany przypadek daje tej rozmowie konkretny punkt odniesienia: prywatny charakter APN współistniał z konfiguracją pozwalającą na komunikację dowolnych urządzeń w jego obrębie. Własną usługę oceń więc przez zakres dostępności, zamiast kończyć przegląd na jej nazwie.

Błąd dotyczył połączeń wewnątrz prywatnego APN

Jak ustalił CERT Polska, konfiguracja dopuszczała połączenia między dowolnymi urządzeniami należącymi do prywatnego APN. Zakres przeglądu powinien zatem obejmować relacje wewnątrz tej sieci. Z tej informacji nie wynika, że każde urządzenie było dostępne z dowolnego miejsca poza APN. Takiego rozszerzenia opisu unikaj także w wewnętrznej informacji dla zarządu.

Przegląd zacznij od wskazania, jakie połączenia między urządzeniami APN są potrzebne. Przy każdym zapisz kierunek komunikacji i jej uzasadnienie. Osobno zaznacz połączenia, które powinny pozostać niedostępne. Zleć porównanie tak opisanych oczekiwań z konfiguracją i uzgodnij sposób potwierdzenia wyniku. Weryfikacja powinna odpowiadać na pytanie, czy potrzebne połączenie działa i czy niepotrzebne jest zablokowane.

Izolację urządzeń w prywatnym APN oceniajmy po tym, jakie połączenia są rzeczywiście możliwe.

Wynik dotyczący wybranego połączenia zapisz z jego zakresem. Nie przedstawiaj sprawdzenia fragmentu APN jako potwierdzenia izolacji wszystkich urządzeń. Dla pozostałych połączeń pozostaw wyraźny status: do weryfikacji.

Procedurę porównaj z możliwymi połączeniami

Ustalenie CERT Polska opisuje błędną konfigurację. Sam ten fakt nie pozwala odtworzyć procedur obowiązujących w elektrociepłowni ani przypisać konkretnym osobom decyzji, które do niej doprowadziły. Nie ma podstaw, by dopisywać opowieść o zignorowanym ostrzeżeniu czy świadomym odstępstwie od zasad. Dla odbiorcy raportu użyteczne będzie porównanie własnych wymagań dotyczących APN z dowodami ich spełnienia.

Sprawdź zatem, czy dokument opisujący usługę określa dopuszczalne połączenia między urządzeniami. Jeśli mówi jedynie o prywatnym APN, zapisz brakującą odpowiedź jako zadanie do wyjaśnienia. Jeżeli zawiera wymaganie izolacji, poszukaj wyniku kontroli, który odnosi się dokładnie do tego wymagania. W notatce z przeglądu oddziel oczekiwany stan od stanu potwierdzonego sprawdzeniem.

Tak samo potraktuj plan izolacji sieci OT. Wskaż w nim połączenie do ograniczenia, osobę, która o tym decyduje, oraz wykonawcę zmiany. Brak któregoś ustalenia oznacz jako lukę do uzupełnienia. Pytania o wykonawcę i zakres izolacji skieruj do własnej organizacji: ich celem jest sprawdzenie jej gotowości do ograniczenia dostępu z APN do OT.

Odpowiedzialność operatora wymaga konkretnego zakresu

Dla zarządu wniosek z przypadku opisanego przez CERT Polska dotyczy również podziału pracy przy prywatnym APN. Ustal, kto określa wymagane ograniczenia komunikacji, kto wprowadza konfigurację i kto potwierdza jej zgodność z zamówieniem. Przy każdej czynności wpisz odpowiedzialną stronę. Unikaj zamykania całego zagadnienia ogólnym wskazaniem operatora bez opisania, jakich działań od niego oczekujesz.

Przejrzyj umowę pod kątem tego zakresu. Jeśli odpowiedzialność za ograniczenia między urządzeniami APN pozostaje niejasna, przygotuj pytanie o konkretną czynność i oczekiwany rezultat. Z samego ustalenia o błędnej konfiguracji w elektrociepłowni nie da się rozstrzygnąć, jak wyglądał tam podział obowiązków. Nie przypisuj na tej podstawie winy operatorowi ani klientowi.

Każde wymaganie izolacji APN powinno mieć wskazanego wykonawcę i sposób potwierdzenia, że jest spełnione.

Plan dotyczący OT uzupełnij o ustalenie, kto zatwierdzi ograniczenie połączeń i jak oceni jego wpływ na działanie instalacji. Przegląd powinien zakończyć się przypisaniem brakujących ustaleń do odpowiedzialnych osób i terminów. Kosztu zmian we własnej sieci nie wyliczaj na podstawie samego opisu tego incydentu. Poproś o jego oszacowanie dopiero dla określonego zakresu prac przy APN i izolacji OT.

Sierpniowa publikacja opisuje zdarzenie z grudnia

Jak podaje CERT Polska, ujawniony przypadek drugiej elektrociepłowni pochodzi z grudnia 2025 roku. Uzupełnienie raportu opublikowano 8 sierpnia 2026 roku. W informacji dla zarządu zachowaj obie daty: sierpień określa moment publikacji nowych ustaleń, a grudzień czas incydentu. Nie przedstawiaj tej wiadomości jako opisu nowego sierpniowego ataku.

Nowy opis sposobu dostępu nie dowodzi wzrostu liczby podobnych ataków. Pozwala natomiast sformułować konkretne pytanie kontrolne o połączenia we własnym APN. Polski przypadek jest powodem do takiej weryfikacji, ale nie zastępuje jej wyniku. Nie przesądzaj ani o poprawności własnej konfiguracji, ani o występowaniu w niej identycznego błędu bez jej sprawdzenia.

Co z tym zrobić w poniedziałek

Na każdy punkt przeznacz do 30 minut. Celem jest przygotowanie weryfikacji APN i planu izolacji OT.

  1. Rozpisz zakres sprawdzenia połączeń. Z dostępnego wykazu urządzeń APN wybierz połączenie potrzebne oraz takie, które powinno być zablokowane. Zapisz oczekiwany wynik i przygotuj zlecenie weryfikacji dla osoby odpowiedzialnej za sieć. Jeśli brakuje wykazu, zanotuj jego pozyskanie jako pierwszy warunek sprawdzenia.
  2. Sprawdź podział obowiązków z operatorem. Odszukaj w umowie zapisy dotyczące konfiguracji i izolacji urządzeń APN. Przy niejasnych zapisach przygotuj pytania: kto wprowadza ograniczenia, kto potwierdza ich działanie i kto obsługuje zmianę? Zapisz również, kto w organizacji ma uzyskać odpowiedzi.
  3. Przejrzyj plan izolacji OT. Znajdź w nim połączenie z APN oraz wskazanie osoby zatwierdzającej i wykonującej jego ograniczenie. Zapisz brakujące ustalenia, w tym sposób oceny wpływu odłączenia na instalację. Jeśli planu nie ma, przygotuj zadanie jego opracowania z osobą odpowiedzialną i terminem.

W ocenie prywatnego APN wymagaj dowodu, że granice dostępu odpowiadają potrzebom organizacji. Po przeglądzie zarząd powinien otrzymać listę sprawdzonych połączeń, zakres odpowiedzialności operatora i wskazanie braków w planie izolacji OT. Dopiero na tej podstawie decyduj o potrzebnych zmianach.

Źródła

Redakcja cyberinsight.pl.