Kyberbezpečnost ČD se zvyšuje

Zákon o kybernetické bezpečnosti bude brzy považovat České dráhy za poskytovatele základní služby. Co si pod tím představit? Dopravce spadá mezi základní obsluhovatele státu a jako strategický partner musí dodržovat přísné podmínky kybernetické bezpečnosti. Proto musí ještě více dbát na zabezpečení své IT infrastruktury, přístupů, dat, aktiv a dalších, byť už dnes jsou například systémy ČD velmi dobře chráněné.

 „IT systémy, které jsou z pohledu zákona velmi citlivé, nesou množství různých informací a musí nad nimi existovat dohled a být zabezpečené proti zneužití. Budeme tedy mít celou řadu povinností,“ upozornil Miloš Žák, vedoucí oddělení strategie, bezpečnosti a odbavovacích systémů ČD. Smyslem všech opatření je ochrana v kybersvětě. „Zákon jasně stanovuje, co by společnosti měly normativně mít, a zpřesňuje opatření, která by měla nastat. Jde o úpravy procesní i softwarové,“ doplnil Žák.

Zabezpečení podle 802.1x

Ve chvíli, kdy bude dopravce Národním úřadem pro kybernetickou a informační bezpečnost (NÚKIB) či jiným státním orgánem uznán základním obsluhovatelem státu, dostane roční lhůtu na aplikaci všech opatření.  Nicméně termín je pro firmu velikosti ČD prakticky nesplnitelný, už nyní tedy provádí první kroky k tomu, aby veškeré legislativní náležitosti zvládla. „Zabezpečujeme sítě podle protokolu 802.1x, kontrolujeme aktivní prvky na síti tak, aby nedocházelo k narušení. Například mezi jednotlivými servery uvnitř společnosti bude muset probíhat šifrovaná komunikace,“ upřesnil.

Změny se dotknou i vrcholných administrátorů kritických IT systémů, které musí chránit právě pro poskytování základní služby. Takovému systému se říká Správa privilegovaných účtů. Znamená to, že správa privilegovaných identit – rozumí se účet typu administrátor v operačním systému, databázi a aplikacích – bude procesem řízeným a zároveň musí být plně řízena dopravcem tak, jak to určuje zákon. „Umožní nám aplikovat politiku řízení přístupů, plnou personalizaci k privilegovaným identitám, záznamy veškerých aktivit spojených s použitím těchto účtů a dalších povinností, které zákon ukládá,“ popsal Žák jednu z novinek s tím, že ČD, vlastník systémů, musí mít nad administrátory kontrolu.

Hrozba? Odpojit a řešit

Částečně je v tuto chvíli implementován už Logmanagement, systém pro centralizovanou správu událostí a logů. Jedním z nástrojů je Logmanager, nástroj, který umožní sběr událostí a logů ze všech síťových a bezpečnostních zařízení, serverů a stanic. Tento nástroj umožňuje forenzní analýzy a rychlá vyhledávání, upozorňuje na incidenty a provádí reporting. Plně splňuje požadavky jak ZKB, tak i ISO 27001, které ČD budou muset také zavést. Jde o soubor systémů a opatření, která na sebe navazují. Připomněl, že jde například o antivirový software včetně nástroje na prediktivní chování systémů End point security, který kontroluje, zda se nějaká aplikace či program nechovají jinak, než je případný virus nalezen společností poskytující antivir. „Je to věc, která hlídá počítač před nestandardním chováním daných aplikací. Nehlídá zaměstnance, nicméně oni mohou dostat zavirovaný mail s trojským koněm nebo škodlivý kód z neautorizovaného flash disku. Systém jej začne například množit, rozesílat, scanovat klávesnici. Endpoint toto chování zaznamená a začne celou situaci řešit,“ zmínil Žák princip fungování dalšího prvku.

Z pohledu běžného uživatele se zatím moc nezmění. Jen počet znaků v heslech, kterými se zaměstnanci ČD přihlašují do různých programů a aplikací, bude nově zvýšen z osmi na dvanáct. Hesla se rovněž nebudou moci tak jednoduše opakovat či lehce obměňovat jako nyní. Dále se zpřísní uplatňování bezpečnosti jako ochrana před zákonnými postihy. Veškerou implementaci všech zabezpečovacích prvků mají České dráhy rozplánovanou do necelých tří let. Cestujících se změny nedotknou, wi-fi ve vlacích je od zmíněného zcela oddělena.