CYBERSEC PL: Polska infrastruktura krytyczna podatna na cyberataki

Prawdziwym przełomem dla osób odpowiedzialnych za infrastrukturę krytyczną był rok 2010 i wirus Stuxnet, którego koalicja USA u Izraela użyła do  ataku na instalacje wzbogacania uranu Islamskiej Republiki Iranu. Dopiero wtedy świat uświadomił sobie skalę zagrożenia płynącego z cyberataku.

- Większość osób do 2010 r. nie wierzyła, że w atakach hakerskich da się przejąć kontrolę nad instalacją – mówił prof. Konrad Świrski, kierownik zakładu maszyn i urządzeń energetycznych Politechniki Warszawskiej podczas debaty w ramach forum CYBERSEC PL. - Co innego system sterowania wyłączyć, a co innego go opanować i wykorzystać do niszczenia urządzeń.

Administratorzy sieci czuli się spokojni, bo do przeprowadzenia skomplikowanego ataku wiedza hakerów to za mało. Potrzebne jest jeszcze doświadczenie inżynierów, bo kontrolowanie systemów SCADA wymaga specjalistycznych umiejętności. Atak wirusa Stuxnet pokazał jednak, że jest to możliwe.

– Pytanie, w którym kierunku idzie nasza cyberobrona? W kierunku ataku "pokojowego", czyli sytuacji, gdy ktoś uzdolniony próbuje wyłączyć nasze systemy? Czy też takiego ataku, gdzie ktoś wykorzysta je  do spowodowania zniszczeń w infrastrukturze? Ta druga opcja to scenariusz wojenny. Pytanie więc, czy przygotowujemy się do pokoju, czy do wojny? Moim zdaniem na atak w warunkach pokojowych jesteśmy dość dobrze przygotowani, na ten drugi – w ogóle - wyjaśniał prof. Świrski.

- Traktujmy te zagrożenia poważnie, bo zabawki militarne mają tendencje szybko przenikać do realnego świata.  Dzisiejsze ataki cybernetyczne na infrastukturę krytyczną już wkrótce będą dużo łatwiejsze. Nasze standardy powinny być więc znacznie bardziej precyzyjne i "branżowe" - dodał ekspert.

Według profesora Świrskiego każda branża zaliczana do infrastruktury krytycznej powinna mieć opracowane własne wytyczne dot. cyberobrony. Chodzi m.in. o to, by w kluczowym momencie podjąć decyzję o wyłączeniu systemu lub przejściu na ręczne sterowanie - tam, gdzie to możliwe.

Jak to zrobić? Kopiując najlepsze wzorce z zagranicy, na przykład amerykański NERC (North American Electric Reliability Corporation). Ta amerykańska instytucja zajmuje się kontrolą infrastruktury odpowiedzialnej za dostawę energii. NERC opracowała plan Ochrony Krytycznej Infrastruktury (Critical Infrastructure Protection, CIP) zawierający normy gwarantujące niezawodność systemów.

 –Amerykańskie podejście do elektrowni jądrowych jest najbardziej zaawansowanym modelem, jaki istnieje. Podobne normy powinniśmy wprowadzić u nas - i to natychmiast. Nasz rodzimy Urząd Regulacji Energetyki powinien wymagać przestrzegania procedur od branży energetycznej, tak jak KNF wymaga tego od banków. Zróbmy to jak najszybciej, bo w razie ataku doktryna cyberbezpeiczeństwa nas nie uratuje, a praktyczne odcinanie systemów - może.

Maciej Pyznar z Rządowego Centrum Bezpieczeństwa tłumaczył, że poradnik ze standardami bezpieczeństwa przygotowują pracownicy RCB, ale liczą na współpracę z operatorami infrastruktury. - To w końcu oni na co dzień korzystają z systemów. Nie chodzi nam o to, by operatorzy otrzymali dokument, którego nie wykorzystają - mówił podczas debaty Pyznar.

- Cyberbezepieczeństwo to nie jest coś kompletnie innego niż normalne bezpieczeństwo. Cieszę się, że na tej konferencji pierwszy raz ktoś z rządzących cytuje przygotowywany przez RCB narodowy program ochrony infrastruktury krytycznej. Od początku pokazujemy w nim, że cyberobrona to normalny element bezpieczeństwa – dodał szef Wydziału Ochrony Infrastruktury Krytycznej RCB.

Goście kilkukrotnie podczas panelu obalali tezę, że większość sieci infrastruktury krytycznej jest bezpieczna, bo „nie jest podłączona do Internetu”. Taki argument można usłyszeć od niektórych ekspertów. Paneliści przypomnieli jednak, że irańskie systemy również nie był podłączone do Internetu, a jednak udało się zarazić je wirusem Stuxnet. W razie ataku podobnie bezbronne byłyby zapewne polskie sieci. Przedstawiciele branży energetycznej podczas tego i kolejnych paneli w ramach CYBERSEC PL zapewniali jednak, że rodzime systemy są bezpieczne.

- Spółka zdaje sobie sprawę ze swojego strategicznego charakteru i roli dla bezpieczeństwa państwa – mówił podczas dyskusji Tomasz Chodor z departamentu bezpieczeństwa PGNiG. – Wdrożyliśmy w skali całej organizacji system zarządzania bezpieczeństwem informacji ISO 270 001. Wyjątkowe jest to, że certyfikacja objęła całość funkcjonowania spółki. Dojrzałość w zakresie cybersecurity jest cały czas doskonalona w ramach cyklu Deminga (cykl PDCA, ang. Plan-Do-Check-Act - red.).

Przedstawiciel PGNiG również apelował o utworzenie jednolitych norm bezpieczeństwa dla całej branży energetycznej.

- Dyskusja, którą prowadzimy opiera się na działaniach reaktywnych. Mówimy o tym, że trzeba raportować zdarzenia, coś z nimi robić. Powinniśmy jednak skupić się na działaniach, które spowodują podniesienie bezpieczeństwa nie tylko przez pryzmat  reaktywnego działania – mówił Tomasz Chodor.