Čím skôr začnete, tým lepšie, Ing. Anton Gérer, Názory,

Čím skôr začnete, tým lepšie

Ransomware je typ zákerného softvéru, ktorý po infikovaní počítača zablokuje prístup k niektorým alebo všetkým súborom až do chvíle, kým nie je zaplatené výkupné. Toľko na úvod definícia z Wikipédie. V polovici mája napadol tento typ softvéru desiatky tisíc počítačov patriacich nemocniciam, bankám, školám, univerzitám, automobilkám, železniciam či jednotlivcom. Prípady boli hlásené z viac ako 100 krajín po celom svete. Slovensko je v boji a ochrane proti kybernetickým útokom veľmi pasívne a podľa prieskumu spoločnosti KPMG len päť percent najvyšších predstaviteľov firiem na Slovensku považuje kybernetický útok za najväčšiu hrozbu.

O tom, aké obrátky táto téma naberá, svedčia správy spoza veľkej mláky, kde 800 členov Americkej národnej stráže (U. S. National Guard) prejde tento rok v rámci programu Cyber Shield 17 intenzívnym certifikovaným školením a cvičeniami zameranými na obranu pred kybernetickými útokmi. Ani priemyselné výrobné podniky nie sú v tomto smere žiadnou výnimkou. Z hľadiska celospoločenského významu sú mimoriadne citlivé najmä sieťové odvetvia – energetika, plynárenský či vodárenský priemysel. Posun o krok vpred by malo znamenať aj nové vydanie normy IEC 61511-1: 2016, ktoré obsahuje úplne novú časť 8.2.4 zameranú na ochranu priemyselných riadiacich a automatizačných systémov pred kybernetickými útokmi.

Koncoví používatelia musia v podstate vykonať posúdenie bezpečnostného rizika s cieľom identifikovať potenciálnu bezpečnostnú zraniteľnosť bezpečnostných riadiacich systémov spojitých procesov (SIS). Časť 8.2.4 ďalej uvádza, že treba zaviesť opis zariadení, na ktoré sa vzťahuje toto posudzovanie rizika, spolu s opisom identifikovaných hrozieb, ktoré by mohli zneužiť slabé miesta a predstavovať bezpečnostnú hrozbu. V hodnotení by mali byť zahrnuté tiež úmyselné útoky na hardvér, aplikačné programy a súvisiaci softvér, ako aj neúmyselné udalosti vyplývajúce z ľudského pochybenia. Cieľom novej časti normy IEC 61511-1:2016 je odhaliť zraniteľnosť SIS a jeho schopnosť vykonávať bezpečnostné funkcie.

Pre mnohých používateľov budú požiadavky časti 8.2.4 nové a nebude jednoduché rozhodnúť sa, kde začať. Podobne ako v prípade životného cyklu bezpečnosti, aj tieto nové požiadavky možno realizovať v etapách prostredníctvom vypracovania stratégie a plánu implementácie. V prvom kroku by bolo dobré posúdiť „priepasti“, ktoré určia, na čo sa treba prioritne sústrediť, a načrtnú stratégiu dosiahnutia zhody s požiadavkami. Táto fáza nie je vôbec časovo náročná a nevyžaduje viazanie zdrojov na dlhé časové obdobie. Či už sa rozhodnete riadiť požiadavkami z uvedenej normy, alebo si vypracujete vlastný prístup ochrany pred kybernetickými útokmi, jedno je isté – čím skôr tak urobíte, tým skôr ochránite svoje prevádzky pred stratami ziskov a, nedajbože, závažnejšími dôsledkami ohrozujúcimi zdravie ľudí či životné prostredie.