Olukord
Kaunase energeetikaettevõte, 200 töötajat, haldab soojatootmise ja -jaotuse taristut osale linnast. IT-keskkond on segatud: kontorisüsteemid, Microsoft 365 ja raamatupidamine ning eraldi võrgus tehnoloogiaosakonna hooldatavad tootmise juhtimissüsteemid (SCADA). IT-osakonnas on kolm inimest ning küberturvalisuse funktsioon on igapäevatöö kõrvalt pandud IT-juhile.
Uuendatud küberturvalisuse seaduse järgi, millega võeti üle NIS2 direktiiv (Leedu õiguses TIS2), liigitati ettevõte oluliseks üksuseks. Riiklik küberturvalisuse asutus nõudis temalt riskihindamise, turvapoliitikate ja intsidentide haldamise korra esitamist. Ettevõttel oli mõni vana, eelmise seaduse alusel kirjutatud dokument, kuid mitte ühtegi, mis kajastaks praegust taristut.
Tegevjuht ja juhatus soovisid kahte asja: teada tegelikku olukorda ning inimest, kes vastutab turvalisuse eest pidevalt, mitte ainult siis, kui saabub päring.
Mida oli vaja
- Sõltumatu IT-turvaaudit, mis hõlmab kontorivõrku ja selle liideseid tootmisvõrguga.
- Riskihindamine, millest juhatus aru saab ja mille riiklik küberturvalisuse asutus aktsepteerib.
- Ettevõttele kohandatud turvapoliitikate ja -korra komplekt, mitte malli koopia.
- Regulaarne haavatavuste skannimine ja selge protsess, kes leitud lüngad parandab ja mis ajaga.
- Intsidentide haldamise plaan riikliku küberturvalisuse asutusele teavitamise tähtaegadega.
- Pidev turvajuhtimise funktsioon ilma uue töötaja palkamiseta.
Mida me tegime
1. kuu: IT-turvaaudit
Viisime läbi IT-turvaauditi: võrgu arhitektuuri ülevaatus, juurdepääsude ja privilegeeritud kontode analüüs, välis- ja sisevõrgu haavatavuste skannimine, Microsoft 365 seadistuse hindamine ning intervjuud IT- ja tehnoloogiaosakonnaga. Tulemuseks oli 64 leidu, neist 9 kriitilist. Kõige sagedasemad olid ühised administraatoriparoolid, tootmisvõrgu kaugjuurdepääs ilma mitmikautentimiseta, uuendamata võrguseadmed ning serveritega samas võrgus asuvad varukoopiad.
2. kuu: riskihindamine ja kriitiliste lünkade sulgemine
Muutsime auditi leiud riskihindamiseks, mis põhineb mõjul ettevõtte tegevusele: mis juhtuks soojavarustuse, raamatupidamise ja klienditeenindusega. Juhatus kinnitas riskiisu ja prioriteetide nimekirja. Paralleelselt sulges IT-osakond meie abiga kriitilised lüngad: kogu kaugjuurdepääsule võeti kasutusele mitmikautentimine, administraatorikontod eraldati, võrguseadmed uuendati ja varukoopiad viidi muutumatusse salvestusse.
Kõige keerulisem oli tootmisvõrk. Mõned SCADA komponendid töötavad vanadel operatsioonisüsteemidel, mida ei saa ilma tootjata uuendada. Uuendamise asemel rakendasime kompenseerivaid meetmeid: range võrgusegmenteerimine, juurdepääs ainult kontrollitud hüppeserveri kaudu sessioonisalvestusega ja eraldi seire. Leppisime need lahendused tehnoloogiaosakonnaga kokku, et turvalisus ei segaks tootmisprotsesse.
3. kuu: poliitikad ja intsidendiplaan
Kirjutasime 12 poliitikat ja korda: infoturbepoliitika, juurdepääsuhaldus, tarnijate turvalisus, muudatuste haldus, varundamise ja taastamise kord, intsidentide haldus ja teised. Iga neist on mitte pikem kui paar lehekülge ja nimetab konkreetse vastutava isiku. Intsidendiplaan kirjeldab klassifikatsiooni, riiklikule küberturvalisuse asutusele teavitamise tähtaegu, suhtlust omavalitsuse ja klientidega ning tegevusi, kui tootmisvõrk on mõjutatud. Testisime plaani juhtkonnaga laua taga läbi mängides.
4. kuu: vCISO ja regulaarne tsükkel
Neljandast kuust alustasime CISO teenusega: meie sertifitseeritud spetsialist (CISM, CRISC) töötab üks päev nädalas ettevõtte turvajuhina. Võtsime kasutusele igakuise haavatavuste skannimise raskusastme järgi määratud parandustähtaegadega, kvartaalse aruande juhatusele ja riskihindamise iga-aastase uuendamise.
Tulemus
Kõik 9 kriitilist auditileidu suleti kolmanda kuu lõpuks; avatud kriitiliste haavatavuste arv on nüüd null, mida kinnitab iga kuu skannimine. Ettevõttel on 12 kinnitatud poliitikat ja korda, riskiregister ja intsidendiplaan, ning see pakett esitati riiklikule küberturvalisuse asutusele ja märkusi ei tulnud.
Iga kvartal saab juhatus ühelehelise aruande: riskide muutus, avatud haavatavused raskusastme järgi, intsidendid ja auditimeetmete seis. See on esimene kord, kui turvalisust arutatakse juhatuse tasandil püsiva päevakorrapunktina, mitte reaktsioonina kirjale. Igakuiste skannimiste tulemused näitavad trendi: poole aasta jooksul vähenes keskmise raskusastmega haavatavuste arv umbes kolmandiku võrra ja uued leitud lüngad suletakse kokkulepitud tähtaja jooksul.
„Audit näitas seda, mida kahtlustasime. Kõige tähtsam on, et nüüd on inimene, kes kontrollib igal kuul, et lüngad pole uuesti tekkinud.“
Mida soovitaksime sarnases olukorras
- Alustage auditist, mitte poliitikatest. Päris olukorda tundmata kirjutatud poliitikat on võimatu ellu viia.
- Ärge jätke tootmisvõrku skoobist välja. Kontori- ja tootmisvõrgu liidesed on enamasti nõrgim koht.
- Esitage riskid juhatusele ärikeeles: tunnid ilma varustuseta, trahvid, maine. See avab eelarve kiiremini kui tehniliste haavatavuste loetelu.
- Turvalisus on tsükkel, mitte projekt. Igakuine skannimine ja kvartaalne aruanne on olulisemad kui kõige paksem dokument.
