Słownik Pojęć i Regulacji

Ustawa wskazuje 11 systemów IK, m.in.: zaopatrzenia w energię, surowce energetyczne i paliwa, łączności, sieci teleinformatycznych, finansowe, zaopatrzenia w żywność i wodę, ochrony zdrowia, transportowe, ratownicze, zapewniające ciągłość działania administracji publicznej oraz produkcji, składowania i stosowania substancji chemicznych i promieniotwórczych. Wykaz konkretnych obiektów, instalacji i urządzeń uznanych za IK prowadzi Rządowe Centrum Bezpieczeństwa i ma status informacji niejawnej — dlatego audytor pracuje zwykle na podstawie własnej klasyfikacji ryzyka obiektu, a nie bezpośredniego dostępu do tego wykazu.

Rozróżnienie ma znaczenie praktyczne: podmioty kluczowe podlegają nadzorowi ex ante (proaktywne kontrole organu nadzorczego, nawet bez podejrzenia naruszenia), a podmioty ważne — nadzorowi ex post (kontrola dopiero po zgłoszeniu lub podejrzeniu incydentu). Klasyfikacja zależy od sektora działalności i wielkości podmiotu (liczba zatrudnionych, obrót roczny) — mały podmiot w sektorze kluczowym może więc podlegać łagodniejszemu reżimowi niż duży podmiot w tym samym sektorze.

Typowa architektura SCADA obejmuje: stacje operatorskie (HMI) w dyspozytorni, serwer SCADA gromadzący dane, oraz sterowniki PLC/RTU komunikujące się bezpośrednio z czujnikami i urządzeniami wykonawczymi w terenie. Ponieważ systemy SCADA sterują realnym procesem fizycznym (np. przepływem wody, ciśnieniem, temperaturą), incydent bezpieczeństwa w tej warstwie ma bezpośrednie skutki fizyczne — to kluczowa różnica względem typowego IT, gdzie skutkiem incydentu jest zwykle utrata danych, a nie np. skażenie wody.

Dobrą praktyką jest architektura wg modelu Purdue, w której między siecią korporacyjną (poziom 4-5) a siecią sterowania procesem (poziom 0-2) znajduje się strefa DMZ przemysłowa (poziom 3.5) — żadne urządzenie z IT nie łączy się bezpośrednio z siecią OT, cała wymiana danych przechodzi przez serwery pośredniczące w DMZ. Najczęstsze naruszenia tej zasady w praktyce audytowej to: prywatne punkty dostępowe Wi-Fi podłączane przez personel, laptopy serwisowe podłączane bez wcześniejszej weryfikacji, oraz porty USB niezablokowane na stacjach operatorskich.

Zgłoszenie ma charakter wieloetapowy: wczesne ostrzeżenie w ciągu 24h (sam fakt wystąpienia, bez pełnej analizy), zgłoszenie incydentu w ciągu 72h (zaktualizowana ocena powagi i wpływu) oraz raport końcowy nie później niż miesiąc po obsłużeniu incydentu. Kryteria „poważnego zakłócenia” obejmują m.in. liczbę dotkniętych użytkowników usługi kluczowej, czas trwania przerwy oraz zasięg geograficzny — audytor weryfikujący zgodność powinien sprawdzić, czy operator w ogóle posiada udokumentowaną procedurę klasyfikacji incydentów wg tych kryteriów, a nie tylko sam formularz zgłoszeniowy.

Trzy kategorie składników to: wiedza (hasło, PIN), posiadanie (token sprzętowy, aplikacja generująca kody, karta) i cecha biometryczna (odcisk palca, skan twarzy). Sam SMS z kodem jest traktowany jako słabszy wariant MFA (podatny na przejęcie numeru telefonu — SIM swapping) i coraz częściej odradzany dla dostępów o podwyższonym ryzyku, np. zdalnego dostępu serwisowego do sieci OT. Audytor powinien weryfikować nie tylko istnienie MFA, ale i to, dla jakich dokładnie kont i systemów jest ono wymuszone — częstym ustaleniem jest MFA wdrożone dla kont administracyjnych, ale pominięte dla kont serwisowych zewnętrznych dostawców.