Grant nie jest zaklęciem ochronnym
Cyberbezpieczny Wodociąg jest programem bardzo potrzebnym. Ma jednak w sobie element magii: wiele osób uwierzyło, że samo kupienie rozwiązania cybersecurity i rozliczenie grantu zapewnia bezpieczeństwo.
Cyberbezpieczeństwo często wyobrażamy sobie jak mur obronny. Gdy już stoi, można schować się za nim i spokojnie wrócić do własnych spraw. Problem w tym, że taki obraz jest fałszywy.
Na jednej z konferencji marketingowych słuchałem człowieka, który na brytyjskim rynku nieruchomości zajmował się segmentem Country Estate, czyli wiejskimi posiadłościami. Opowiadał, po czym rozpoznaje ludzi rzeczywiście gotowych do zakupu. Kryterium było proste: jeśli ktoś pyta o cenę nieruchomości, to z 90-procentowym prawdopodobieństwem nie będzie go później stać na jej utrzymanie. Łatwo policzyć koszt zakupu. Znacznie łatwiej zapomnieć o kosztach i wysiłku związanych z późniejszą eksploatacją.
Z Cyberbezpiecznym Wodociągiem jest podobnie.
Program wykonał ważną pracę. Uświadomił całej branży, czym są cyberzagrożenia, na czym polega cyberodporność i czego wymaga NIS2. Jak każdy masowy program istotnie podniósł średni poziom, ale nie rozwiązał wszystkich problemów.
Do ideału zabrakło, moim zdaniem, dwóch rzeczy:
- program objął nieco ponad 700 wodociągów, czyli prawdopodobnie około połowy wszystkich przedsiębiorstw tego typu. Prawdopodobnie również około połowy Polaków pije wodę z Cyberbezpiecznego Wodociągu. Czy pozostali piją wodę cyberbezpieczną? Tego nie wiemy;
- program mocno skupił się na zakupie i uruchomieniu rozwiązań. Zapewnił środki oraz wyznaczył twardy termin ich wydania. O tym, co ma wydarzyć się później, wiadomo znacznie mniej. W tle majaczą groźne terminy zapisane w KSC. Jednocześnie powstało wrażenie, że sprzęt i oprogramowanie wystarczy kupić, podłączyć i uruchomić, a reszta wydarzy się niemal magicznie.
Co naprawdę pojawiło się w serwerowni
Wyobraźmy sobie typowy punkt startowy. Przetarg został zakończony. Integrator dostarczył i skonfigurował rozwiązania. Protokół podpisano, fakturę zapłacono, projekt rozliczono. Można uznać, że kłopot zniknął.
Czy na pewno?
Spójrzmy, co trafiło do serwerowni w ramach przykładowego grantu o wartości 1 mln zł. Średnia w programie wynosiła 822 tys. zł na grant. Takie środowisko może obejmować:
- serwery, zapewne pracujące w klastrze, maszyny wirtualne i systemy operacyjne;
- elementy ciągłości działania: backup, prawdopodobnie wraz z biblioteką, oraz UPS-y podtrzymujące zasilanie;
- SIEM i system zarządzania podatnościami;
- system chroniący wszystkie stacje robocze;
- różne narzędzia do administrowania bezpieczeństwem stacji;
- UTM, czyli barierę pomiędzy środowiskiem przedsiębiorstwa a światem zewnętrznym.
Mówimy o poważnym, złożonym środowisku IT połączonym z OT, czyli automatyką. Dochodzi kilkanaście nowych systemów. Każdy trzeba utrzymywać, obserwować i obsługiwać.
Trzy nowe grupy zadań
Uruchomienie środowiska cyber tworzy trzy grupy obowiązków, których wcześniej nie było albo było znacznie mniej.
Ktoś musi dbać o maszynownię
Nowe środowisko wymaga codziennego administrowania. Trzeba pilnować aktualizacji oprogramowania, instalować nowe wersje, dostrajać systemy, zarządzać kontami i wykonywać backupy, czyli kopie zapasowe. Zaniedbania szybko się kumulują. Po kilku pominiętych aktualizacjach system zaczyna składać się z luk świetnie znanych hakerom.
Ktoś musi patrzeć w ekrany
Systemy generują ogrom danych, których wcześniej po prostu nie było. Trzeba analizować stały strumień informacji. Ktoś musi obserwować radar, rozumieć wskazania i podejmować decyzje.
Ktoś musi reagować na wskazania radaru
Wcześniej część działań nie była potrzebna, bo organizacja nie wiedziała, co dzieje się w środowisku. Teraz widzi więcej, więc musi działać:
- skaner znalazł podatność, więc trzeba ją usunąć;
- SOC ujawnił niepokojące zdarzenie, więc trzeba je wyjaśnić;
- XDR odizolował stację roboczą, więc trzeba znaleźć przyczynę, usunąć ją i przywrócić stację do pracy;
- monitoring OT zauważył nietypową komunikację, więc trzeba porozmawiać z automatykiem, czasem również z producentem, a następnie zdecydować, co robić.
To dużo dodatkowej pracy.
Według mojej oceny w pierwszych miesiącach po uruchomieniu nowego systemu wartego około 1 mln zł potrzeba na nią co najmniej 1,5 etatu. Po ustabilizowaniu środowiska i wypracowaniu rutyny pozostaje około jednego etatu. Jest to praca ponad zadania, które dział IT wykonywał wcześniej.
Potrzebny jest inżynier, nie „informatyk od wszystkiego”
Pierwszy problem to dostępność odpowiednio przygotowanej osoby. Nie chodzi o zwykłego „informatyka zakładowego”, lecz o wyspecjalizowanego inżyniera cyberbezpieczeństwa.
Minimalny zakres jego kompetencji obejmuje:
- administrację serwerami i wirtualizacją;
- sieci i zapory;
- backup;
- bezpieczeństwo stacji roboczych;
- SIEM;
- analizę alertów;
- klasyfikację incydentów i reagowanie na nie;
- zarządzanie podatnościami;
- ciągłość działania;
- pracę na styku IT z OT i automatyką.
Czy dotychczasowy, sprawdzony informatyk zakładowy nie może po prostu „zająć się także cyber”? Przecież do tej pory dobrze obsługiwał komputery, pocztę, aplikacje, drukarki i sieć, a do tego pomagał użytkownikom. Tyle że żaden z tych obowiązków nie zniknął. Doszły nowe zadania, które wymagają nowych kompetencji.
Takich ludzi brakuje. Ocenia się, że w Polsce luka wynosi co najmniej kilka tysięcy, a prawdopodobnie kilkanaście tysięcy specjalistów cyberbezpieczeństwa z praktycznymi kompetencjami technicznymi. Starsze szacunki mówiły o około 5–10 tys. osób. Obecnie problem jest raczej większy ze względu na NIS2 i wzrost liczby podmiotów objętych wymaganiami.
Program Cyberbezpieczny Wodociąg teoretycznie stworzył więc zapotrzebowanie na mniej więcej 700 dodatkowych specjalistów. Tych 700 osób raczej nie czeka jednak na rynku na telefon z wodociągu.
Koszty ludzi, licencji i wsparcia
Drugim problemem są pieniądze. Specjaliści cyberbezpieczeństwa należą do najlepiej wynagradzanych specjalistów IT, być może z wyjątkiem architektów. Trudno zakładać, że osoba o opisanych kompetencjach będzie zarabiać wyraźnie mniej niż 18–20 tys. zł brutto miesięcznie. Dla pracodawcy oznacza to minimum 250 tys. zł rocznie.
W skali branży program wygenerował zatem koszty utrzymania sfinansowanych rozwiązań na poziomie stukilkudziesięciu milionów złotych rocznie.
Do tego dochodzi maintenance nowego środowiska IT i cyber. Po kilku latach trzeba opłacać licencje, aktualizacje, odnowienia, certyfikaty oraz wsparcie. W środowisku wartym 1 mln zł naprawdę trudno będzie zamknąć te wydatki w kwocie mniejszej niż 100 tys. zł rocznie. Początkowo koszt pozostaje mniej widoczny, ponieważ został proporcjonalnie pokryty z grantu. Być może już w 2027 roku, a najpóźniej w czwartym roku projektu, wszystkie te elementy trzeba będzie odnowić z własnego budżetu.
Państwo sfinansowało budowę nowych zdolności cyberbezpieczeństwa w wodociągach i zobowiązało grantobiorców do utrzymania efektów projektu przez następne trzy lata. Nie znalazłem jednak śladów, by podczas projektowania programu oszacowano koszty eksploatacji, uprzedzono o nich grantobiorców albo przeanalizowano, ile dodatkowej pracy specjalistów cyber będzie wymagać utrzymanie wdrożeń.
Obok Cyberbezpiecznego Wodociągu państwo prowadzi inne działania. Funkcjonuje ISAC wod-kan, ruszył też nabór do Lokalnych Centrów Cyberbezpieczeństwa, które mają między innymi współdzielić kompetencje i monitoring. Nie jest to jednak mechanizm finansujący utrzymanie środowisk programu u wszystkich grantobiorców. Małe i średnie wodociągi nie otrzymały również wskazówek, skąd pozyskać ludzi lub usługi i z jakich środków później je finansować.
Czy oznacza to, że cena wody musi wzrosnąć?
Cyberbezpieczny Wodociąg 2 powinien dotyczyć utrzymania
Aż prosi się o program Cyberbezpieczny Wodociąg 2. Skala powinna być podobna, ale cel inny: utrzymanie już zbudowanych zdolności.
Nie musi to oznaczać kolejnych kilkuset milionów złotych przeznaczonych na pensje i outsourcing. Można skoncentrować się na rozpowszechnianiu najlepszych praktyk, na przykład:
- opracować modelowe koszty utrzymania, czyli TCO, Total Cost of Ownership, dla kilku typów projektów Cyberbezpiecznego Wodociągu;
- przygotować wzorcowy model operacyjny, a więc instrukcję obsługi środowiska cyber, dla małego i średniego wodociągu;
- określić rekomendowany podział odpowiedzialności między wodociągiem, integratorem i outsourcerem;
- stworzyć mechanizmy współdzielenia specjalistów w branży;
- dobrze wykorzystać program Lokalnych Centrów Cyberbezpieczeństwa, aby mógł stać się naturalnym wsparciem dla wodociągów;
- opublikować wzorcowe OPZ i SLA dla usług utrzymaniowych obejmujących administrowanie systemami cyber;
- w przyszłych grantach wymagać planu finansowania utrzymania już na etapie składania wniosku.
Nie są to szczególnie skomplikowane działania. Mogłyby wesprzeć branżę bardziej niż następne jednorazowe granty.
Cztery modele utrzymania
Co w obecnej sytuacji może zrobić firma wodociągowa? Ma cztery podstawowe możliwości.
Model pierwszy: nic nie robić
To kusząca opcja. Systemy pozostają włączone, lampki świecą na zielono, a serwery pięknie się amortyzują. Jednocześnie nikt nie sprawdza backupów, nie analizuje alertów ani nie aktualizuje reguł działania urządzeń pod kątem nowych zagrożeń.
Po kilku latach zamiast systemu Patriot zestrzeliwującego cyberzagrożenia powstanie „izba pamięci”.
Model drugi: zbudować kompetencje wewnętrzne
Można pokonać bariery rekrutacyjne, zaakceptować wysokie koszty i jakimś cudem znaleźć osobę o szerokich kompetencjach. Przedsiębiorstwo zyska „swojego specjalistę”, który zna firmę i daje jej pełną kontrolę. Przynajmniej do chwili, gdy otrzyma lepszą ofertę pracy.
Model trzeci: zlecić zarządzanie na zewnątrz
Outsourcing daje dostęp do specjalistów o różnych kompetencjach i do doświadczeń usługodawcy zdobytych podczas kilkudziesięciu projektów. Rozwiązuje problem dostępności pracowników i pozwala przewidzieć koszty.
Wady są równie wyraźne. Przedsiębiorstwo uzależnia się od dostawcy i powierza krytyczną funkcję bezpieczeństwa obcej firmie. Pojawia się ryzyko erozji jakości usług. Zadania wychodzą na zewnątrz, ale odpowiedzialność pozostaje w wodociągu. NIS2 mówi jasno: odpowiedzialności nie można delegować.
Model czwarty: rozwiązanie hybrydowe
Model hybrydowy prawdopodobnie usuwa większość wad i zachowuje większość zalet poprzednich wariantów.
Wodociąg powinien mieć własnego „właściciela środowiska”. To osoba, która zna przedsiębiorstwo i koordynuje działania w obszarach IT, cyber oraz OT. Utrzymuje kontakt z zarządem, ustala bieżące priorytety, pilnuje jakości pracy własnego zespołu i kontroluje SLA zewnętrznych usługodawców. Pełni ważną funkcję, dlatego trzeba zapewnić jej dobre warunki.
Dotychczasowy informatyk nadal pozostaje istotną częścią modelu. Jeśli ma odpowiednie kompetencje, może zostać właścicielem środowiska. Jeśli ich jeszcze nie ma, wykonuje dotychczasowe zadania i stopniowo rozwija się w kierunku cyber. Nie zostaje jednak sam z całym nowym środowiskiem.
Monitoring, analizę alertów, specjalistyczne administrowanie systemami cyber oraz dużą część reagowania na incydenty można powierzyć wyspecjalizowanej firmie zewnętrznej.
Jak hybryda działa w SOC
Jeden ze znanych mi wodociągów zastosował model hybrydowy w obszarze SOC. Przedsiębiorstwo ma własny system SOC służący do wykrywania incydentów. W godzinach biurowych obsługuje go wewnętrzny zespół cyber, który w razie potrzeby podejmuje działania. Po godzinach, nocą i w weekendy jego obowiązki przejmuje zespół firmy zewnętrznej.
Szef cyber jest bardzo zadowolony z tego układu. Ma dostęp do szerokiej wiedzy usługodawcy. Jego zespół zachowuje kontrolę i jednocześnie się uczy. Zniknął problem dostępności i rotacji pracowników oraz nadgodzin. Nieoficjalnie zmalała również presja płacowa: gdy ktoś przychodzi po podwyżkę, szef może odpowiedzieć: „Szkoda, będę musiał obsadzić twoje stanowisko kimś od naszego wykonawcy”.
Czy taki model będzie bardzo tani? Nie. Outsourcing działa jednak dlatego, że potrafi być efektywniejszy od własnych zespołów klientów, więc nie powinien też być skrajnie drogi. Z modelem pierwszym, czyli „do nothing”, cenowo oczywiście nie wygra. Brak działania bez wątpienia kosztuje najmniej.
Jak zwykle otrzymujemy więc rozwiązanie akceptowalne, choć niepozbawione wad.
Decyzję trzeba przygotować przed odbiorem
Model utrzymania trzeba wybrać z wyprzedzeniem i dobrze się do niego przygotować. Oznacza to kilka działań:
- przyjąć do wiadomości, że utrzymanie nowego środowiska kosztuje;
- przed złożeniem wniosku o maksymalny grant odpowiedzieć sobie, czy przedsiębiorstwo będzie stać na utrzymanie wszystkiego, co za niego kupi. Być może rozsądniejszy będzie zakup mniejszego środowiska;
- wybrać jeden z czterech modeli, uwzględniając sytuację przedsiębiorstwa, dostępność kompetencji cyber w danej miejscowości, posiadane środki oraz apetyt na zachowanie kontroli;
- oszacować koszt wybranego modelu i wpisać go do budżetu;
- możliwie szybko uruchomić działania HR, najlepiej jeszcze przed zakupami grantowymi. Znalezienie wysoko wykwalifikowanych specjalistów nie jest ani łatwe, ani szybkie i może potrwać kilka miesięcy;
- równie szybko rozpocząć zakupy, jeśli część utrzymania ma trafić do zewnętrznej firmy cyber. Przygotowanie SIWZ-u, OPZ-u i przetargu w tak specjalistycznej dziedzinie również wymaga czasu. Trzeba wybrać firmę godną zaufania, z doświadczeniem, referencjami, zespołem posiadającym odpowiednie certyfikaty i gwarantowanym SLA. Nie każdy dostawca spełnia te warunki;
- najlepiej mieć wewnętrznych specjalistów cyber gotowych już podczas przetargu, zakupu i uruchamiania rozwiązania. Mogą wtedy dopilnować wykonawcy, poznać środowisko od podszewki i zadbać o dostarczenie produktu, który powinien być obowiązkową częścią projektu grantowego: modelu operacyjnego.
Model operacyjny, czyli techniczna instrukcja obsługi
Model operacyjny jest pełną instrukcją obsługi nowego środowiska. Powinien:
- opisywać wszystkie podsystemy;
- wymieniać wszystkie czynności administracyjne i utrzymaniowe wymagane dla każdego z nich;
- określać częstotliwość czynności;
- przypisywać właściciela do każdej czynności;
- wskazywać sposoby dokumentowania prac;
- definiować wymagania jakościowe;
- ustalać zasady raportowania.
To instrukcja obsługi cyberbezpieczeństwa w firmie. Nie należy mylić jej z SZBI, ponieważ model operacyjny schodzi na znacznie bardziej techniczny poziom. Gdy przedsiębiorstwo ma taką instrukcję, może mieć pewność, że panuje nad nową instalacją.
Jeśli wszystkie działania zostaną podjęte w odpowiednim momencie, firma znajdzie się w dobrej pozycji. Będzie wiedzieć, co robić, kto ma to robić, jak praca ma wyglądać i ile kosztować. Warunek jest jeden: trzeba zaplanować to wcześniej.
Jeśli wodociąg zacznie myśleć o utrzymaniu dopiero po podpisaniu protokołu odbioru w programie Cyberbezpieczny Wodociąg, będzie miał dużo do nadrobienia. Wtedy magia może naprawdę się przydać.