Lessons Learned – případová studie – NIS2 Ready

Implementace vícevrstvé bezpečnostní infrastruktury ve vodárenském podniku podle principů NIS2

Stavěl jsem bezpečnostní infrastrukturu podle principů, které dnes vyžaduje NIS2 již před 15 lety. Jenže to tenkrát, kdy to ještě neukládal zákon, bylo vnímáno jako osobní útok na pohodlí a nikoliv jako pro ochranu firmy. V některých povinných firmách je to tak bohužel chápáno i dnes, a to i přes to, že to již zákon ukládá. Důvody pramení primárně z neznalosti hrozeb a tím pádem z jejich podceňování. Vedení společností provozujících kritickou infrastrukturu si totiž často neuvědomují, že svým lehkovážným jednáním ohrožují své zákazníky, občany, kteří jsou na jejich službách závislý a nemají možnost zvolit si jiného dodavatele vody, když do nemovitosti vedou jediné trubky jediného dodavatele.

A když má někdo takový mindset, tak se s ním o segmentaci sítí, firewallových vrstvách nebo auditovatelnosti prostě nedá vést racionální debata. Já jsem byl garant bezpečnosti, ne jen správce IT. Vedení firmy bylo ve funkci, která vyžadovala důvěru v odborníky, ale místo toho se řídili egem a pohodlím. Výsledkem bylo, že odmítli bezpečnostní logiku, protože ji nechápali a nechtěli chápat. Zvyšovala náklady a snižovala pohodlí. Nejčastějším argumentem bylo: Kdo by na nás útočil, jste paranoidní, ta pitomá hesla apod. A to jsem si ani nedovolil ze strachu zavést 2FA, i když jsem jí měl již připravenou k nasazení a otestovanou. Co to ukazuje? Někdy je největší zranitelnost firmy právě v jejím vedení. Bezpečnostní opatření nejsou jen o technologiích, ale jsou také o kultuře, důvěře a kompetenci. A když se rozhoduje podle ega místo podle rizik, odborník je první na odstřel. I tak jsem pro tuto firmu spravoval IT více než 15 let, souběžně s dalšími firmami, včetně naší Sympatiky.

Autor – Bezpečnostní architekt, implementátor a garant kybernetické odolnosti v kritických provozech

 Kontext projektu

Vodárenský podnik provozující:

• Administrativní systémy (ERP, HR, účetnictví)
• Technologii úpravy vody (SCADA, PLC, HMI)
• IoT vodoměry (vzdálený monitoring, MQTT, API)

Před implementací byla infrastruktura:

• neoddělená, bez segmentace,
• bez firewallů,
• bez řízení přístupů,
• s vysokým rizikem laterálního pohybu útočníka.

Implementovaná architektura

Principy, které jsem prosazoval

• Defense in depth – každá vrstva má vlastní ochranu, žádné spoléhání na jediný bod selhání
• Segmentace sítí – fyzické i logické oddělení provozních celků
• Princip nejmenších privilegií – přístup jen tam, kde je nutný
• Auditovatelnost – vše logováno, dokumentováno, připraveno pro kontrolu
• Redundance – více firewallů, různé OS, různí výrobci pro zvýšení odolnosti

Reakce vedení

• Infrastruktura byla označena za „příliš složitou“
• Byl přijat nový správce za nižší odměnu, který architektuře nerozuměl
• Najal externí firmu, která:
  • sloučila segmenty do jedné sítě,
  • odstranila vrstvy firewallů,
  • zjednodušila přístup bez ohledu na bezpečnost
• Výsledkem bylo snížení bezpečnosti, ztráta odolnosti a zvýšené riziko kompromitace

Lessons Learned

1. Bezpečnostní architektura musí být srozumitelná i pro neodborné vedení

Technická dokonalost nestačí — je nutné ji umět „prodat“ v jazyce rizik, odpovědnosti a dopadů.

2. Odolnost je důležitější než pohodlí — ale musí být obhájena

Bezpečnostní principy je třeba vysvětlovat jako investici do odolnosti, ne jako překážku.

3. Správce bez bezpečnostního mindsetu může zničit roky práce během týdnů

Výběr správce IT musí zahrnovat hodnocení bezpečnostního uvažování, ne jen technické dovednosti.

4. Segmentace není luxus — je to základní obranný mechanismus

V kritické infrastruktuře je segmentace minimální požadavek, ne volitelný bonus.

5. Open-source nástroje jsou plně použitelné — pokud jsou správně nasazeny

Rozpočet není překážkou, pokud máte know-how. Komerční řešení nejsou nutná pro splnění NIS2.

6. Kultura bezpečnosti musí být součástí firemní DNA

Školení, komunikace a zapojení vedení jsou klíčové pro dlouhodobou udržitelnost bezpečnostní politiky.

„Já jsem si už prošel tím, co se stane, když se bezpečnost ignoruje kvůli pohodlí. A vím, jak to navrhnout tak, aby to fungovalo, i když to není populární.“  To je odborná zkušenost, která se nedá koupit.