Gdy mówimy o cyberbezpieczeństwie, przed oczami staje nam z reguły komputerowy wirus przesłany mailem lub złośliwe oprogramowanie ściągnięte nieintencjonalnie z internetu. W kontekście działalności przedsiębiorstw dużo ważniejsze w moim odczuciu jest jednak skuteczne zabezpieczenie urządzeń przemysłowych, które są oparte na technologiach informatycznych i pracują w sieci.
Ireneusz Jazownik, dyrektor naczelny Centralnego Ośrodka Przetwarzania Informacji, KGHM Polska Miedź S.A.
Widzimy to na przykładzie KGHM. Coraz więcej procesów przemysłowych, które prowadzimy, podlega automatyzacji i informatyzacji. W skali całego przedsiębiorstwa — od przodka w kopalniach do czystej miedzi opuszczającej bramy naszych hut — posiadamy obecnie ponad 200 systemów istotnych dla zachowania ciągłości procesu produkcyjnego i potencjalnie narażonych na cyberataki. Ochrona cybernetyczna ma jednoznaczne przełożenie finansowe — jedna minuta ciągłości procesu produkcyjnego warta jest ponad 50 tys. zł. Ale nie chodzi tylko o wymiar finansowy. Poprawne funkcjonowanie systemów i urządzeń to przede wszystkim bezpieczeństwo ludzi z nimi pracujących.
Co robić, aby skutecznie je chronić? Przede wszystkim warto zmienić podejście z bieżącego zabezpieczania się na tworzenie bezpiecznych rozwiązań od samego początku, inaczej mówiąc — „security by design”. Chodzi o to, by już na poziomie projektowania danej maszyny czy systemu były one konstruowane w sposób, który ograniczałby ich podatność na ataki. Tak jak w samochodach na etapie produkcji montowane są pasy bezpieczeństwa czy poduszki powietrzne chroniące nas przed skutkami wypadków. Świadome projektowanie systemów i urządzeń jest ważne również z ekonomicznego punktu widzenia.
Zapewnienie bezpieczeństwa środowiska informatycznego na etapie jego planowania kosztuje w efekcie prawie dwukrotnie mniej niż jego zabezpieczenie w późniejszych etapach. Kluczem do cyberbezpieczeństwa jest budowanie świadomości zagrożeń wśród ekspertów, twórców rozwiązań i wewnątrz samej organizacji. Rozwiązania technologiczne w obszarze IT Security są w ostatecznym rozrachunku na tyle skuteczne, na ile świadomy jest człowiek potrafiący je wykorzystać. W budowaniu tej świadomości w pewnej mierze mogą dopomóc przepisy i regulacje prawne, ale nowoczesne przedsiębiorstwo musi przede wszystkim samo wziąć odpowiedzialność za tę sferę.