Situācija
Enerģētikas uzņēmums Kauņā, Lietuvā, ar 200 darbiniekiem apsaimnieko siltuma ražošanas un sadales infrastruktūru daļā pilsētas. IT vide ir jaukta: biroja sistēmas, Microsoft 365 un grāmatvedība, bet atsevišķā tīklā – ražošanas vadības (SCADA) sistēmas, ko uztur tehnoloģiju nodaļa. IT nodaļā ir trīs cilvēki, un kiberdrošības funkcija līdztekus ikdienas darbam piešķirta IT vadītājam.
Saskaņā ar atjaunināto Kiberdrošības likumu, kas pārņēma NIS2 direktīvu (Lietuvas tiesību aktos – TIS2), uzņēmums tika klasificēts kā būtiska vienība. Nacionālā kiberdrošības iestāde pieprasīja iesniegt risku novērtējumu, drošības politikas un incidentu pārvaldības procedūru. Uzņēmumam bija daži veci dokumenti, kas rakstīti pēc iepriekšējā likuma, bet neviens, kas atspoguļotu tā pašreizējo infrastruktūru.
Izpilddirektors un valde vēlējās divas lietas: zināt reālo situāciju un to, lai par drošību pastāvīgi atbild kāds cilvēks, nevis tikai tad, kad pienāk pieprasījums.
Kas bija nepieciešams
- Neatkarīgs IT drošības audits, kas aptver biroja tīklu un tā saskarnes ar ražošanas tīklu.
- Risku novērtējums, ko varētu saprast valde un pieņemtu nacionālā kiberdrošības iestāde.
- Drošības politiku un procedūru kopums, kas pielāgots uzņēmumam, nevis pārkopēts no veidnes.
- Regulāra ievainojamību skenēšana un skaidrs process, kas atrastās nepilnības novērš un kādā termiņā.
- Incidentu pārvaldības plāns ar termiņiem ziņošanai nacionālajai kiberdrošības iestādei.
- Nepārtraukta drošības vadības funkcija bez jauna darbinieka pieņemšanas.
Ko mēs izdarījām
1. mēnesis: IT drošības audits
Veicām IT drošības auditu: tīkla arhitektūras pārskats, piekļuves un privileģēto kontu analīze, ārējā un iekšējā ievainojamību skenēšana, Microsoft 365 konfigurācijas novērtējums un intervijas ar IT un tehnoloģiju nodaļu. Rezultāts bija 64 konstatējumi, 9 no tiem kritiski. Visbiežāk sastopamie bija koplietojamas administratoru paroles, attālināta piekļuve ražošanas tīklam bez daudzfaktoru autentifikācijas, tīkla ierīces, kas netika atjauninātas, un rezerves kopijas tajā pašā tīklā, kurā atrodas serveri.
2. mēnesis: risku novērtēšana un kritisko nepilnību novēršana
Audita konstatējumus pārvērtām risku novērtējumā, pamatojoties uz ietekmi uz uzņēmuma darbību: kas notiktu ar siltumapgādi, grāmatvedību un klientu apkalpošanu. Valde apstiprināja risku apetīti un prioritāšu sarakstu. Paralēli IT nodaļa ar mūsu palīdzību novērsa kritiskās nepilnības: visai attālinātajai piekļuvei ieviesa daudzfaktoru autentifikāciju, nodalīja administratīvos kontus, atjaunināja tīkla aprīkojumu un pārcēla rezerves kopijas uz nemaināmu glabātuvi.
Visgrūtākais bija ražošanas tīkls. Dažas SCADA sastāvdaļas darbojas uz vecām operētājsistēmām, ko nevar atjaunināt bez ražotāja. Atjaunināšanas vietā piemērojām kompensējošus pasākumus: stingru tīkla segmentāciju, piekļuvi tikai caur kontrolētu pārlēkšanas serveri ar sesiju ierakstu un atsevišķu uzraudzību. Šos risinājumus saskaņojām ar tehnoloģiju nodaļu, lai drošība netraucētu ražošanas procesiem.
3. mēnesis: politikas un incidentu plāns
Uzrakstījām 12 politikas un procedūras: informācijas drošības politika, piekļuves pārvaldība, piegādātāju drošība, izmaiņu pārvaldība, rezerves kopēšanas un atjaunošanas procedūra, incidentu pārvaldība un citas. Katra ir ne garāka par dažām lappusēm un nosauc konkrētu atbildīgo cilvēku. Incidentu plāns apraksta klasifikāciju, termiņus ziņošanai nacionālajai kiberdrošības iestādei, saziņu ar pašvaldību un klientiem un rīcību, ja tiek skarts ražošanas tīkls. Plānu pārbaudījām ar galda mācībām kopā ar vadību.
4. mēnesis: vCISO un regulārs cikls
No ceturtā mēneša sākām CISO pakalpojumu: mūsu sertificēts speciālists (CISM, CRISC) vienu dienu nedēļā strādā kā uzņēmuma drošības vadītājs. Ieviesām ikmēneša ievainojamību skenēšanu ar novēršanas termiņiem pēc smaguma pakāpes, ceturkšņa ziņojumu valdei un ikgadēju risku novērtējuma atjaunināšanu.
Rezultāts
Visi 9 kritiskie audita konstatējumi tika novērsti līdz trešā mēneša beigām; atvērto kritisko ievainojamību skaits tagad ir nulle, ko apstiprina katra mēneša skenēšana. Uzņēmumam ir 12 apstiprinātas politikas un procedūras, risku reģistrs un incidentu plāns – komplekts, kas tika iesniegts nacionālajai kiberdrošības iestādei un saņēma bez komentāriem.
Katru ceturksni valde saņem vienas lappuses ziņojumu: risku izmaiņas, atvērtās ievainojamības pēc smaguma pakāpes, incidenti un audita darbību statuss. Tā ir pirmā reize, kad drošība valdes līmenī tiek apspriesta kā pastāvīgs jautājums, nevis kā reakcija uz vēstuli. Ikmēneša skenēšanas rezultāti rāda tendenci: pusgada laikā vidēja smaguma ievainojamību skaits samazinājās aptuveni par trešdaļu, un jaunatklātās nepilnības tiek novērstas saskaņotajā termiņā.
„Audits parādīja to, ko mēs nojautām. Svarīgākais, ka tagad ir cilvēks, kas katru mēnesi pārbauda, vai nepilnības nav atkal atvērušās.”
Ko mēs ieteiktu līdzīgā situācijā
- Sāciet ar auditu, nevis ar politikām. Politiku, kas uzrakstīta, nezinot reālo situāciju, nebūs iespējams ieviest.
- Neatstājiet ražošanas tīklu ārpus darbības jomas. Saskarnes starp biroja un ražošanas tīklu visbiežāk ir vājākā vieta.
- Riskus valdei izklāstiet biznesa valodā: stundas bez piegādes, naudas sodi, reputācija. Tas atver budžetu ātrāk nekā tehnisko ievainojamību saraksts.
- Drošība ir cikls, nevis projekts. Ikmēneša skenēšana un ceturkšņa ziņojums ir svarīgāki par vistrekno dokumentu.
