Sektor wod-kan: ponad 10 proc. podmiotów bez cyberochrony

Wśród priorytetów cyberbezpieczeństwa na przyszły rok eksperci Stormshield i DAGMA Bezpieczeństwo IT wskazują m.in. dalsze wzmacnianie sektora wodno-kanalizacyjnego. Nawet ponad 10 proc. podmiotów tej branży może nie być obecnie należycie chronionych, co związane jest z brakiem wsparcia, o które wnioskowały. Skuteczne ataki na tę sferę mogą oznaczać istotne utrudnienia w codziennym życiu mieszkańców.

Setki projektów poprawy bezpieczeństwa poza systemem wsparcia

W ubiegłym roku przedsiębiorstwa odpowiedzialne za zapewnianie podstawowych usług dla ludności miały po raz pierwszy możliwość skorzystania z grantów skierowanych bezpośrednio do sektora wodno-kanalizacyjnego. Budżet programu „Cyberbezpieczne Wodociągi” wyniósł 313 mln zł.

– Uprawnione podmioty złożyły aż 896 wniosków o dofinansowanie. To pierwsze w historii tak szerokie wsparcie cyberochrony sektora wodno-kanalizacyjnego, dzięki któremu wzrośnie odporność ważnego elementu infrastruktury krytycznej. Wydawać by się mogło, że to dobre wieści z perspektywy bezpieczeństwa nas wszystkich. I choć tak z pewnością jest, to niestety, ten medal ma również drugą stronę – zwraca uwagę Aleksander Kostuch, inżynier Stormshield.

Kluczową kwestią pozostaje fakt, że niemal 350 projektów nie zmieściło się w budżecie programu. Odnosząc tę liczbę do danych z 2022 roku, według których w Polsce funkcjonowało około 2700 przedsiębiorstw zaopatrujących mieszkańców w wodę, oznacza to, że brak wsparcia dotknął ponad 10 proc. podmiotów sektora.

– Skala problemu jest naprawdę duża. Możemy śmiało założyć, że przedsiębiorstwa, które złożyły wnioski, uczyniły to dlatego, że uznały poprawę własnego bezpieczeństwa cyfrowego za niezbędną. Spośród nich niemal 350 nie uzyska wsparcia, a tym samym ich systemy pozostaną niewystarczająco zabezpieczone. Ten obszar ryzyka można śmiało określić mianem miękkiego podbrzusza krajowego systemu cyberbezpieczeństwa, nawiązując do słów wicepremiera Krzysztofa Gawkowskiego – podkreśla Piotr Zielaskiewicz, menadżer w DAGMA Bezpieczeństwo IT.

Miękkie podbrzusze krajowego systemu cyberbezpieczeństwa

Zdaniem ekspertów w obecnej sytuacji szczególnego znaczenia nabiera wzmocnienie nadzoru nad zasobami przedsiębiorstw, które nie otrzymały dofinansowania, a także intensyfikacja działań z zakresu podnoszenia świadomości pracowników. Kluczowe jest również wdrażanie dobrych praktyk wynikających z nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC).

– W praktyce oznacza to dobór środków zaradczych adekwatnych do ryzyka i dostosowanych do specyfiki sektora wodno-kanalizacyjnego, w tym m.in. uwzględniających charakter transmisji danych w przepompowniach, stacjach poboru wody oraz oczyszczalniach ścieków. Podstawą powinno być wdrożenie firewalla wyposażonego w funkcję głębokiej analizy protokołów przemysłowych – wskazuje ekspert.

Takie podejście pozwala ograniczyć podatność systemów sterowania i monitoringu na ataki, które w przypadku infrastruktury wodno-kanalizacyjnej mogą mieć nie tylko wymiar finansowy, lecz także bezpośrednio wpływać na zdrowie i bezpieczeństwo mieszkańców.

Bezpieczniejsi, ale wciąż nie w pełni bezpieczni

W ostatnich miesiącach zagadnienia związane z ochroną infrastruktury krytycznej, w tym sektora wodno-kanalizacyjnego, znalazły się w centrum debaty dotyczącej priorytetów bezpieczeństwa państwa. W lutym opublikowano rządowe zalecenia dla spółek wodociągowych, natomiast we wrześniu ogłoszono powstanie Centrum Analiz i Wymiany Informacji dla sektora zaopatrzenia i dystrybucji wody. Równolegle prowadzone są prace legislacyjne nad nowelizacją ustawy KSC, a działania finansowe i organizacyjne zaczynają przynosić pierwsze efekty.

Istotnym elementem tego procesu pozostaje reakcja samych przedstawicieli branży, która świadczy o rosnącej świadomości zagrożeń i odpowiedzialności za bezpieczeństwo cyfrowe.

– Działania, których jesteśmy świadkami – zarówno po stronie rządowej, jak i wśród podmiotów sektora wodno-kanalizacyjnego – jasno pokazują, że problem nie jest zamiatany pod dywan. Na podstawie obserwacji zmieniających się realiów mogę powiedzieć, że możemy czuć się bezpieczniejsi. Nie oznacza to jednak, że jesteśmy w pełni bezpieczni. Co więcej, lista branż kluczowych z punktu widzenia jakości codziennego życia mieszkańców, a jednocześnie podatnych na cyberataki, nie kończy się na wod-kan. Kolejnym obszarem wymagającym szczególnej uwagi jest chociażby sektor ciepłowniczy – podsumowuje Piotr Zielaskiewicz z DAGMA Bezpieczeństwo IT.