Vláda schválila návrh zákona o kybernetickej odolnosti. Čo môže znamenať pre kritickú infraštruktúru?
Vláda Slovenskej republiky schválila návrh zákona o kybernetickej bezpečnosti produktov s digitálnymi prvkami, označovaný aj ako zákon o kybernetickej odolnosti. Ide o ďalší krok v legislatívnom procese, návrh zákona bude následne predmetom prerokovania v Národnej rade Slovenskej republiky.
Už samotné zameranie pripravovanej právnej úpravy však otvára dôležitú tému aj z pohľadu kritickej infraštruktúry. Energetika, doprava, vodné hospodárstvo, zdravotníctvo, digitálne siete či verejná správa sú dnes vo významnej miere závislé od produktov obsahujúcich digitálne prvky. Bezpečnosť týchto produktov preto nemožno vnímať oddelene od bezpečnosti a odolnosti služieb, ktorých poskytovanie podporujú.
Z pohľadu Asociácie kritickej infraštruktúry SR je podstatná najmä širšia myšlienka: odolnosť kritickej infraštruktúry sa začína už pri technológiách, z ktorých je vybudovaná.
Pripravovaná právna úprava sa pritom nebude vzťahovať na všetky digitálne produkty bez rozdielu. Výnimku majú napríklad niektoré produkty s otvoreným zdrojovým kódom, ako aj oblasti, ktoré už podliehajú osobitnej európskej regulácii – napríklad civilné letectvo či automobilový priemysel. Osobitný režim sa týka aj produktov vyvíjaných výlučne na účely národnej bezpečnosti alebo obrany.
Bezpečnosť sa začína ešte pred obstarávaním
Pri kybernetickej bezpečnosti sa pozornosť často sústreďuje na ochranu vlastných sietí, systémov, dát a používateľských účtov. To je nevyhnutné, no nestačí. Organizácia môže mať kvalitné interné bezpečnostné opatrenia, a napriek tomu zostať zraniteľná, ak používa produkt so závažnými bezpečnostnými nedostatkami alebo nedostatočnou podporou.
Riziko preto vzniká už pri rozhodovaní o tom, akú technológiu organizácia kúpi a za akých podmienok ju bude prevádzkovať.
Pri produktoch určených pre kritické procesy by sa popri cene, funkčnosti a technických parametroch mala posudzovať aj ich dlhodobá bezpečnostná udržateľnosť. Dôležitý je spôsob riešenia zraniteľností, dostupnosť aktualizácií, dĺžka technickej podpory, možnosti bezpečnej konfigurácie či rozsah vzdialeného prístupu dodávateľa.
Bezpečnosť by tak nemala byť dodatočne riešenou vlastnosťou produktu, ale jedným z kritérií už pri jeho výbere.
Technologická závislosť je prevádzkové riziko
Moderná kritická infraštruktúra funguje v rozsiahlej sieti technologických a dodávateľských vzťahov. Okrem výrobcov do nej vstupujú integrátori, servisné spoločnosti, poskytovatelia komunikačných a cloudových služieb či ďalší subdodávatelia.
Pre kritický subjekt je preto dôležité vedieť, ktoré technológie sú nevyhnutné pre poskytovanie základnej služby, ktoré komponenty nemajú okamžitú náhradu a kde existuje výrazná závislosť od externého partnera. Takéto mapovanie umožňuje identifikovať miesta, kde sa technologická alebo dodávateľská závislosť môže v krízovej situácii zmeniť na prevádzkové riziko.
Samotná evidencia však nestačí. Reálnu pripravenosť preveria až konkrétne scenáre – napríklad nedostupnosť výrobcu, výpadok servisnej spoločnosti, kompromitácia aktualizačného mechanizmu alebo nedostupnosť externej digitálnej služby. Práve takéto situácie môžu ukázať rozdiel medzi formálne nastavenými procesmi a skutočnou schopnosťou organizácie zvládnuť narušenie.
Dlhá životnosť zariadení prináša osobitnú výzvu
V energetike, doprave, priemysle či vodnom hospodárstve sa technológie často používajú desaťročia. Digitálne komponenty v nich však starnú podstatne rýchlejšie než samotná fyzická infraštruktúra.
Môže tak vzniknúť situácia, keď je zariadenie technicky stále funkčné, ale jeho operačný systém, komunikačný protokol alebo bezpečnostný prvok už výrobca nepodporuje. Pri investičnom rozhodovaní je preto potrebné uvažovať nielen o obstarávacej cene a technickej životnosti, ale aj o budúcej bezpečnostnej údržbe a modernizácii. Technologický dlh sa totiž môže postupne zmeniť na zraniteľnosť, ktorej odstránenie bude nákladné alebo prevádzkovo komplikované.
Kybernetická odolnosť ako súčasť strategického rozhodovania
Kybernetická odolnosť nemôže byť výlučne úlohou IT alebo bezpečnostného oddelenia. Pri kritickej infraštruktúre sa týka vedenia organizácie, prevádzky, investícií, obstarávania aj riadenia kontinuity. Pri významných technologických rozhodnutiach je preto potrebné posudzovať nielen pravdepodobnosť incidentu, ale aj jeho možné dôsledky a schopnosť organizácie obnoviť bezpečnú prevádzku.
Odolnosť predpokladá pripravenosť na situáciu, keď preventívne opatrenia nezabránia narušeniu. Môže ísť o možnosť dočasnej prevádzky v obmedzenom režime, nahradenie kritického komponentu alebo využitie alternatívneho postupu.
Od ochrany pred incidentom k schopnosti pokračovať
Kybernetická odolnosť neznamená stav, v ktorom sa incident nikdy nestane. Predstavuje schopnosť incident včas identifikovať, obmedziť jeho následky a zachovať poskytovanie služby alebo ju obnoviť v prijateľnom čase.
Pre kritickú infraštruktúru je preto rozhodujúce prepájať kybernetickú bezpečnosť s prevádzkovou kontinuitou. Význam incidentu sa nemeria iba rozsahom napadnutých informačných systémov, ale predovšetkým jeho možným vplyvom na poskytovanie základných služieb a na ďalšie vzájomne závislé sektory.
Prezident Asociácie kritickej infraštruktúry SR Tibor Straka v tejto súvislosti uvádza:
„Odolnosť kritickej infraštruktúry sa začína už pri technológiách, z ktorých je vybudovaná. Kritický subjekt potrebuje vedieť nielen to, čo daný produkt dokáže, ale aj od koho pochádza, aké závislosti jeho používaním vznikajú a či bude bezpečný a podporovaný počas celého obdobia, keď od neho bude závisieť poskytovanie základnej služby.“
Príležitosť pripraviť sa v predstihu
Schválenie návrhu zákona vládou možno z pohľadu kritickej infraštruktúry vnímať ako impulz na širšiu diskusiu o bezpečnosti technológií, ktoré vstupujú do kritických procesov. Bez ohľadu na ďalší priebeh legislatívneho procesu je už dnes vhodné venovať pozornosť tomu, či organizácie poznajú svoje kľúčové technologické závislosti, podmienky podpory používaných produktov a riziká spojené s ich dodávateľmi.
Asociácia kritickej infraštruktúry SR systematicky rozvíja odborné kapacity v oblasti hodnotenia technologických rizík, monitorovania dodávateľských reťazcov a zdieľania informácií medzi jednotlivými sektormi, ktoré môžu prispieť k včasnej identifikácii rizík a posilňovaniu odolnosti kritickej infraštruktúry.
Pripravovaná právna úprava tak otvára príležitosť posunúť pohľad na kybernetickú bezpečnosť od ochrany jednotlivých produktov k širšiemu cieľu – zvyšovaniu odolnosti služieb a systémov, od ktorých závisí fungovanie spoločnosti.
