NIS2 nie sprowadza się do kolejnej warstwy wymagań technicznych. W sektorze energetycznym stawką pozostaje zdolność do nieprzerwanego świadczenia usług, także podczas poważnych zakłóceń.
Sama ochrona systemów informatycznych nie zapewni ciągłości dostaw energii. Organizacja musi wiedzieć, od których procesów, zasobów, ludzi i dostawców zależą jej usługi. Dopiero na tej podstawie można ocenić ryzyko i zaplanować działania na wypadek zakłócenia.
Cyberbezpieczeństwo nie kończy się na zabezpieczeniach technicznych
Dyskusja o NIS2 często skupia się na podatnościach, aktualizacjach, monitorowaniu sieci i reagowaniu na incydenty. Są to potrzebne elementy, lecz nie wyczerpują problemu.
W przedsiębiorstwie energetycznym zakłócenie może rozpocząć się w systemie IT, środowisku OT, firmie serwisowej albo u dostawcy łączności. Skutek pozostaje jednak ten sam: utrudnienie lub przerwanie świadczenia usługi.
Dlatego odporność operacyjna wymaga szerszego spojrzenia. Obejmuje m.in. cyberbezpieczeństwo, ciągłość działania, odtwarzanie systemów, zarządzanie kryzysowe, ochronę fizyczną oraz nadzór nad łańcuchem dostaw.
Nie chodzi przy tym o tworzenie kolejnych dokumentów. Organizacja powinna połączyć istniejące rozwiązania w jeden spójny system zarządzania.
Punktem wyjścia jest usługa
Dotychczasowe analizy często rozpoczynały się od systemów informatycznych. Organizacja tworzyła ich wykaz, identyfikowała zagrożenia i dobierała zabezpieczenia.
Takie podejście nie wystarcza, gdy celem pozostaje utrzymanie usługi energetycznej.
Najpierw trzeba określić, co organizacja świadczy odbiorcom. Następnie należy ustalić, jakie procesy umożliwiają realizację tej usługi. Dopiero później można wskazać systemy, infrastrukturę, personel oraz podmioty zewnętrzne, od których zależy jej dostępność.
W sektorze energetycznym analiza nie może więc ograniczać się do wytwarzania, przesyłu lub dystrybucji. Znaczenie mogą mieć także rozliczenia, obsługa klientów, telemetria, prace terenowe, utrzymanie infrastruktury, dostęp do obiektów, zapasy części zamiennych czy usługi telekomunikacyjne.
Jeżeli zakłócenie procesu może wpłynąć na odbiorcę, proces powinien znaleźć się w zakresie oceny.
Istniejące plany muszą tworzyć jeden system
Przedsiębiorstwa energetyczne zwykle dysponują wieloma planami i procedurami. Mają plany ciągłości działania, odtworzenia systemów, reagowania na incydenty, ochrony infrastruktury oraz zarządzania kryzysowego.
Problem pojawia się wtedy, gdy każdy z tych dokumentów funkcjonuje oddzielnie.
Zespół bezpieczeństwa uruchamia własne procedury. Dział IT rozpoczyna odtwarzanie systemów. Jednostki operacyjne próbują utrzymać procesy. Kierownictwo podejmuje decyzje kryzysowe na podstawie innych informacji.
Taki model sprzyja opóźnieniom, sprzecznym decyzjom i niejasnemu podziałowi odpowiedzialności.
NIS2 nie wymaga połączenia wszystkich planów w jeden rozbudowany dokument. Wymaga jednak spójności. Procedury powinny opierać się na wspólnych założeniach, kryteriach eskalacji i priorytetach odtworzenia.
Pracownicy muszą wiedzieć, kto podejmuje decyzje, kiedy uruchamia się plan oraz które działania mają pierwszeństwo. Tych odpowiedzi nie można szukać dopiero w chwili kryzysu.
Ryzyko dostawców staje się częścią odporności organizacji
Energetyka pozostaje silnie uzależniona od podmiotów zewnętrznych. Dostawcy utrzymują systemy, serwisują urządzenia, zapewniają łączność i dostarczają części.
Każda z tych relacji może wpływać na ciągłość usługi.
Ocena dostawcy nie powinna kończyć się na sprawdzeniu certyfikatów i zapisów umownych. Organizacja musi ustalić, jakie skutki wywoła niedostępność jego usług oraz jak długo może funkcjonować bez jego wsparcia.
Znaczenie ma również możliwość zastąpienia dostawcy, dostępność części, czas reakcji serwisu i sposób zarządzania incydentami. Sam zapis o odpowiedzialności nie przywróci działania systemu.
Ryzyko dostawcy trzeba więc oceniać w kontekście procesu, który wspiera. Innego nadzoru wymaga firma dostarczająca materiały biurowe, a innego podmiot utrzymujący system sterowania.
Ocena ryzyka musi prowadzić do decyzji
Wymagania NIS2 opierają się na doborze środków odpowiednich do ryzyka. Nie wystarczy więc przeprowadzić analizy i umieścić jej wyniki w rejestrze.
Ocena powinna uzasadniać konkretne decyzje dotyczące zabezpieczeń, odtwarzania, zapasów, redundancji oraz współpracy z dostawcami.
W energetyce analiza musi uwzględniać m.in. cyberataki na środowiska IT i OT, awarie techniczne, błędy ludzkie, zdarzenia fizyczne, brak personelu, przerwy w łączności oraz zakłócenia w łańcuchu dostaw.
Znaczenie ma nie tylko prawdopodobieństwo zdarzenia. Równie ważny pozostaje wpływ na usługę, odbiorców i pozostałe elementy systemu energetycznego.
Dobrze przeprowadzona analiza pokazuje, które procesy wymagają największej ochrony. Pozwala również określić, gdzie organizacja powinna inwestować, a gdzie dodatkowe zabezpieczenia nie przyniosą proporcjonalnego efektu.
Od zgodności z przepisami do realnej odporności
NIS2 nie zmienia podstawowej misji przedsiębiorstwa energetycznego. Nadal chodzi o zapewnienie bezpiecznych i ciągłych dostaw energii.
Zmienia się jednak sposób, w jaki organizacja powinna tę misję chronić.
Cyberbezpieczeństwo nie może funkcjonować oddzielnie od działalności operacyjnej. Plany ciągłości nie powinny istnieć wyłącznie na potrzeby audytu. Ocena dostawców nie może ograniczać się do ankiety. Ćwiczenia nie powinny sprawdzać jedynie znajomości procedur.
Odporność powstaje wtedy, gdy organizacja łączy zarządzanie ryzykiem z codziennym podejmowaniem decyzji. Wymaga to współpracy kierownictwa, zespołów technicznych, jednostek operacyjnych, bezpieczeństwa i zakupów.
Dopiero takie podejście pozwala przygotować organizację na zdarzenia, których nie można całkowicie wyeliminować.
Jak Davidson Consulting wspiera sektor energetyczny
Davidson Consulting pomaga organizacjom przełożyć wymagania NIS2 i ustawy o KSC na rozwiązania, które działają w praktyce.
Wsparcie może obejmować analizę luk, ocenę ryzyka, analizę wpływu na działalność oraz uporządkowanie systemu ciągłości działania. Pomagamy również określić zależności od dostawców, połączyć istniejące plany i przygotować scenariusze ćwiczeń.
W analizie wpływu wykorzystujemy ImpactApp. Narzędzie wspiera identyfikację procesów krytycznych, ocenę skutków zakłóceń oraz ustalanie priorytetów odtworzenia.
Organizacje przygotowujące się do nowych obowiązków mogą również skorzystać z KSC Navigatora. Narzędzie pomaga uporządkować wymagania i ocenić obecny poziom przygotowania.
Celem nie jest rozbudowanie dokumentacji. Chodzi o stworzenie systemu, który pozwala utrzymać usługi i sprawnie reagować na zakłócenia.
