Analitycy Gartnera nie mają dobrych informacji. Do 2025 r. crackerzy będą w stanie wykorzystać system IT do ataku na człowieka. Ich zdaniem nawet 30% organizacji doświadczy w ciągu 4 najbliższych lat bardzo poważnych naruszeń bezpieczeństwa. Takich, które będą skutkować wstrzymaniem działalności albo wpłyną negatywnie na działanie krytycznych systemów.
Na początku lutego br. niezidentyfikowany cracker uzyskał zdalny dostęp do systemu IT w zakładzie uzdatniania wody na Florydzie. Włamując się, próbował zwiększyć ilość wodorotlenku sodu w wodzie do potencjalnie niebezpiecznego dla człowieka poziomu. To tylko jeden z przykładów pokazujących, że efektem cyberataków może być nie tylko kradzież informacji. Mogą być one potencjalnie katastrofalne w skutkach dla obywateli ze względu na coraz większą integrację fizycznej infrastruktury krytycznej ze światem cyfrowym.
– Do sektorów szczególnie wrażliwych można zaliczyć np. transport, energetykę, opiekę zdrowotną czy obiekty użyteczności publicznej. Cyberatak na organizacje działające w tych obszarach jest dziś w większości przypadków bardzo łatwy do przeprowadzenia. To efekt braku specjalistów odpowiedzialnych za obszar bezpieczeństwa, dodatkowo ten obszar bardzo rzadko traktowano poważnie, gdy rozważano inwestycje w IT. Przez to jest on bardzo często niedofinansowany – tłumaczy Grzegorz Paszka, członek zarządu, CTO Grupy 3S
Za mało środków
Gartner zwraca uwagę, że sytuację utrudnia fakt, że w niektórych krajach infrastruktura krytyczna jest własnością państwa, podczas gdy w innych, znacznie większa jej część jest w posiadaniu sektora prywatnego. W innych krajach dominuje z kolei model mieszany. Utrudnia to wdrożenie odpowiedniej polityki bezpieczeństwa.
Przeprowadzone w I kwartale br. przez firmę doradczą badanie pokazało wprawdzie, że 38% respondentów spodziewa się zwiększenia wydatków na bezpieczeństwo o 5-10% w 2021 roku, a kolejne 8% respondentów przewiduje wzrost powyżej 10%, ale diabeł, jak zwykle, tkwi szczegółach.
– Po pierwsze oznacza to, że ponad połowa organizacji nie planuje zwiększenia wydatków albo będą one symboliczne. Po drugie, w sytuacji, gdy rośnie poziom złożoności technologii a ataki stają się coraz bardziej wyrafinowane, nawet 10 – procentowy wzrost wydatków na bezpieczeństwo jest niewystarczający. Potrzebna jest wiedza i technologie a te kosztują – zwraca uwagę Grzegorz Paszka z Grupy 3S.
Atak na człowieka? To całkiem możliwe
Analitycy Gartnera zwracają uwagę, że tam, gdzie mamy do czynienia z infrastrukturą krytyczną, organizacje muszą brać pod uwagę większe ryzyko spowodowania zagrożenia dla ludzi i środowiska, niż samej kradzieży informacji. Przewidują oni, że do 2025 roku atakujący będą w stanie uzbroić system cyberfizyczny odpowiedzialny za zarządzanie infrastrukturą krytyczną w taki sposób, że będzie on mógł skutecznie zaszkodzić człowiekowi lub wręcz go zabić.
Jaka jest recepta na tę sytuację? Gartner zaleca, aby liderzy odpowiedzialni za zarządzanie bezpieczeństwem i ryzykiem wdrożyli holistyczne podejście do kwestii bezpieczeństwa. Chodzi o to, by działania związane z zapewnieniem bezpieczeństwa systemów ITC, OT i Internetu Rzeczy, były skoordynowane. Ale też specjaliści nie maja złudzeń co do tego, że w wielu przypadkach potrzebna jest „praca u podstaw”, czyli zmapowanie ryzyka i ocena bezpieczeństwa wszystkich systemów cyberfizycznych.
– Organizacje powinny bardzo dokładnie – albo same, jeśli mają do tego zasoby, albo z zewnętrznym partnerem posiadającym zespół SOC – przeanalizować poziom bezpieczeństwa IT, dokonać przeglądu procedur oraz zinwentaryzować własne zasoby dostępne w sieci. To pozwoli wskazać podatności w systemach, wykryć potencjalne zagrożenia oraz przygotować plan działania na wypadek sytuacji kryzysowej – radzi Grzegorz Paszka z Grupy 3S. – Oczywiście jest to plan minimum, bo niezbędne jest stałe monitorowanie anomalii i incydentów bezpieczeństwa wykrywanych w infrastrukturze – dodaje.