Chlebem powszednim każdego bezpiecznika pracującego z właścicielami i projektantami systemów informatycznych, a nierzadko także z osobami z szeroko pojętego managementu, jest to, że spotykamy się z kwestionowaniem wymaganych (sugerowanych) przez nas rozwiązań bezpieczeństwa. „Ale po co nam to?”, „Ale my zawsze tak robimy.” „Ale po co ktoś miałby nas atakować?”, „Ale jak działa, to po co zmieniać?” „Ale to utrudni nam pracę.” Słyszymy dużo tych „ale”. Są też przypadki w których właściciele systemów, jak i osoby je wdrażające czy też utrzymujące (często to te same osoby) ukrywają przed bezpiecznikami pewne urządzenia, połączenia, systemy, ogólnie ujmując – niewygodne fakty.
Wszystkich kwestionujących, mających wątpliwości i mnożących pytania typu „ale” chciałbym teraz przekierować do bardzo licznych doniesień w mediach branżowych, jak i tych „głównego nurtu”, odnośnie ataków na chłodziarki i lodówki(!) działające u francuskich gigantów z branży sprzedaży produktów spożywczych (m.in. Carrefour czy Intermarche). Myślę, że ten przykład jest bardzo obrazowy, wręcz idealny, dla każdego odbiorcy. Możemy pokazać jak niedbale (pod kątem bezpieczeństwa) wdrożony i zarządzany system prowadzi nie tylko do strat finansowych i wizerunkowych wielkich korporacji. Tutaj konsekwencje są odczuwalne przez znacznie szersze, często przypadkowe grono odbiorców – mamy do czynienia z psuciem się ogromnej ilości żywności, z pustymi półkami w sklepach i z potencjalnie drożejącym jedzeniem. Tak, ten przykład jest dużo lepszy i bardziej namacalny niż nawet najbardziej wyrafinowane ataki na elektrownie, fabryki samochodów czy wodociągi.
Wszystkim kwestionującym, czy też wręcz dyskredytującym pracę ludzi od cyberbezpieczeństwa wskazuję jako przykład właśnie ten konkretny atak i na mnożące się pytania w stylu ale po co i dlaczego, odpowiadam: właśnie dlatego.
Mimo tego, że publicznie wciąż nie są znane szczegóły tych ataków, motywy oraz poziom zaawansowania sprawców czy użyte przez nich narzędzia, to pewne wnioski można wyciągnąć. Pierwszym, który mi się nasuwa jest ten, że podchodząc profesjonalnie do cyberbezpieczeństwa tego typu systemów, można takich ataków uniknąć, ewentualnie odeprzeć je, czy też w najgorszym wypadku zareagować na nie i zniwelować ich skutki. Tyle, że profesjonalne podchodzenie nie kończy się na zatrudnieniu mądrych głów od cyber. Tutaj potrzeba też świadomych projektantów, wdrożeniowców oraz użytkowników systemów, a także ludzi decyzyjnych ufających swoim ekspertom i pozwalającym im stosować ich najlepszą wiedzę w praktyce.
Kończąc: do wszystkich profesjonalistów i amatorów cyberbezpieczeństwa – jeśli wasze sugestie odnośnie segmentacji, firewalli, komunikacji, ograniczania dostępu, monitoringów, wszelakich systemów kontroli i nadzoru czy wreszcie procedur i procesów stają pod gradobiciem pytań „na co?”, „po co?” i „dlaczego”, to możecie śmiało wskazać ten atak jako dobitny i bardzo namacalny przykład i powiedzieć: właśnie „kurka” dlatego.
