Jak przygotować firmę na cyberatak? Od cyberbezpieczeństwa do odporności operacyjnej

Do czasu wybuchu wojny w Ukrainie w 2022 roku wielu specjalistów traktowało ryzyko ataków na systemy OT(Operational Technology) czyli systemy sterowania instalacjami przemysłowymi, z pewnym dystansem. Sytuacja się zmieniła, Polska znalazła się w obszarze działań wojny hybrydowej. Coraz częściej pojawiają się próby naruszenia bezpieczeństwa systemów infrastruktury krytycznej. W tej rzeczywistości samo „cyberbezpieczeństwo” to za mało. Czas zacząć budować odporność operacyjną (resilience).

W EKO-KONSULT, jako eksperci w kwestiach bezpieczeństwa procesowego stale śledzimy najnowsze technologie w dziedzinie cyberbezpieczeństwa. Wybraliśmy się w ostatnim czasie na konferencję INFRA SEC FORUM 2026. Łącząc nasze doświadczenie z pozyskaną konferencyjną wiedzą przygotowaliśmy dla Państwa zestaw praktycznych informacji na temat - jak przygotować firmę na cyberatak?

1. Jakie jest najczęstsze źródło cyberataku w firmie czy organizacji?

Zacznijmy od świadomości źródła. W wielu przypadkach cyberataków decydujący jest czynnik ludzki. Grupy hakerskie często wykorzystują błędy użytkowników lub administratorów. Przykładem są pozostawione konta dla zewnętrznych wykonawców albo nieusunięty zdalny dostęp utworzony podczas uruchamiania systemu. Takie luki są dla atakujących łatwiejsze do wykorzystania niż techniczne łamanie zabezpieczeń.

Najczęstsze „otwarte furtki” w systemach OT:

• Pozostawione konta dostępowe dla zewnętrznych wykonawców po zakończeniu prac.
• Nieaktywne, ale wciąż aktywne technicznie zdalne dostępy utworzone podczas wdrażania systemów.
• Brak regularnej higieny haseł i uprawnień w warstwie automatyki.
• Dlatego kluczem do sukcesu jest budowanie kultury bezpieczeństwa. Każdy automatyk i operator musi mieć świadomość, że jego działania na poziomie sterownika PLC mają bezpośrednie przełożenie na bezpieczeństwo narodowe.

2. Jak budować odporność operacyjną infrastruktury krytycznej i firmy przed cyberatakiem?

Tradycyjne podejście do ochrony skupiało się na budowaniu murów. Jednak doświadczenie uczy nas, że każdy mur można sforsować, a wektor ataku często pozostaje nieznany aż do momentu wystąpienia cyberataku i awarii. Dlatego w naszych strategiach przesuwamy akcent z pytania „Jak się bronić?” na pytanie: „Czy nasza organizacja przetrwa poważny incydent i będzie w stanie funkcjonować dzień po ataku?” oraz ”Jak zbudować procesy tworzące taką odporność operacyjną?”.

Odporność to nie tylko technologia. To proces zarządczy, który obejmuje:

• Precyzyjną analizę wpływu przerwy w działalności na krytyczne procesy.
• Realne, a nie „papierowe” scenariusze awaryjne (utrata zasilania, łączności, sterowania).
• Testowane w praktyce procedury odtworzeniowe.

Priorytetyzacja zasobów

W instalacjach przemysłowych liczba urządzeń może sięgać setek. Nie wszystkie wymagają takiego samego poziomu ochrony. Najpierw trzeba wskazać elementy krytyczne i zabezpieczyć je w pierwszej kolejności. Skuteczna ochrona to:

1. Identyfikacja elementów krytycznych dla procesu.
2. Ocena ryzyka dla każdego węzła.
3. Koncentracja zasobów na zabezpieczeniu “serca” systemu.

Trzeba pamiętać i zabezpieczyć zależności zasobów energetycznych - woda, energia, gaz – te sektory są ze sobą powiązane. Incydent w jednym z nich może uruchomić efekt domina.

3. Kto w firmie powinien odpowiadać za cyberbezpieczeństwo? IT czy OT?

Wdrażanie ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) wymusza na firmach jasny podział kompetencji. Często spotykamy się z konfliktem na linii IT (informatyka biurowa) a OT (automatyka przemysłowa).

Nasze stanowisko jest jasne: Większą rolę w zabezpieczaniu instalacji przemysłowych muszą odgrywać automatycy. To oni najlepiej znają dynamikę procesów technologicznych. Specjalista IT może zablokować podejrzany ruch sieciowy, ale to automatyk wie, czy takie działanie nie doprowadzi do poważnych skutków jak np. gwałtownego zatrzymania turbiny lub rozszczelnienia instalacji.

4. Odpowiedzialność kadry zarządzającej za cyberbezpieczeństwo

Czasy, w których cyberbezpieczeństwo było “problemem działu IT”, bezpowrotnie minęły. Nowe regulacje europejskie oraz krajowe przepisy wprowadzają osobistą odpowiedzialność karną i finansową członków zarządu za zaniedbania w obszarze odporności podmiotów kluczowych.  Organizacje infrastruktury krytycznej będą zobowiązane do:

• regularnej aktualizacji analizy ryzyka,
• opracowania i testowania planów ciągłości działania,
• składania corocznych oświadczeń pod rygorem odpowiedzialności karnej.

To fundamentalna zmiana. Odporność staje się elementem ładu zarządczego, a nie wyłącznie zagadnieniem technicznym. Chcesz sprawdzić, na jakim etapie budowania odporności jest Twoja firma?

Jako EKO-KONSLUT możemy przeprowadzić dla Ciebie audyt oraz przygotować dedykowane szkolenia dla kadr inżynierskich w ramach naszej Akademii Bezpieczeństwa. Zapraszamy do kontaktu.

Jak zacząć budować odporność? 4 pytania strategiczne

Jeśli zarządzasz infrastrukturą krytyczną lub dużym zakładem przemysłowym, zadaj sobie i swojemu zespołowi te cztery pytania:

1. Czy wiemy, które procesy są absolutnie krytyczne dla przetrwania firmy przez pierwsze 24h po ataku?
2. Jaki jest rzeczywisty czas (RTO), w którym musimy odtworzyć sterowanie procesem, by uniknąć katastrofy?
3. Kiedy ostatni raz przeprowadziliśmy pełny scenariusz awaryjny „na żywo”, a nie tylko na papierze?
4. Czy uwzględniliśmy zależności od naszych dostawców (łańcuch dostaw)?

Jakie by nie były odpowiedzi na powyższe pytania, ataki będą się zdarzać – to fakt, z którym musimy żyć. Jednak to od naszych dzisiejszych decyzji zależy, czy incydent będzie jedynie kosztowną lekcją, czy początkiem końca działalności firmy. Odporność to inwestycja w stabilność, która buduje zaufanie klientów i partnerów biznesowych. Zapraszamy do współpracy firmy z branż przemysłowej i energetycznej, które mają świadomość zagrożeń i chcą zminimalizować ryzyko. Możemy przeprowadzić Państwa przez pełen proces zapobiegania i budowania odporności na cyberataki. 

Autorzy:

Rafał Frączek | Prezes Zarządu

Od ponad 25 lat zajmuje się technicznymi aspektami bezpieczeństwa w przemyśle. Prowadził i nadzorował liczne projekty doradcze i analizy ryzyka dla dużych inwestycji i zakładów przemysłowych. Jako certyfikowany specjalista bezpieczeństwa funkcjonalnego (EXIDA-CFSP) łączy wiedzę inżynierską z praktyką terenową.

Grzegorz Kulczykowski | Koordynator Szkoleń

Specjalista komunikacji ryzyka, zajmuje się bezpieczeństwem od 2010 roku, wieloletni redaktor Magazynu Ex – periodyku poświęconego bezpieczeństwu przeciwwybuchowemu, koordynator szkoleń ASE, ukończył z wyróżnieniem studia podyplomowe na Politechnice Łódzkiej Bezpieczeństwo Procesów Przemysłowych, autor licznych artykułów z zakresu bezpieczeństwa.