Kritična infrastruktura

Zagotavljanje zaščite oz. kibernetske varnosti kritične infrastrukture je zato postalo eno pomembnejših vprašanj državne varnosti in gospodarske stabilnosti. Strokovnjaki v naslednjih letih napovedujejo porast napadov na sisteme za upravljanje kritične infrastrukture. Za napade pa se bo koristila informacijsko komunikacijska tehnologija. Ta je v današnjem času hitro, poceni, kvalitetno in dostopno orodje za upravljanje in nadzor omrežij. Vendar pa se vsi upravljavci kritične infrastrukture še ne zavedajo moči orodij, ki jih imajo napadalci na voljo za izvedbo kibernetskega napada.

Prav tako se prednost še vedno daje udobju upravljanja omrežij, varnost pa je drugotnega pomena (npr. oddaljen dostop do upravljavskega omrežja preko javnega internet omrežja.) S tem pa sistem še bolj izpostavimo kibernetskemu kriminalu. Posledice lahko prizadenejo ne samo gospodarske družbe, ampak vse državljane, zato je pomembno, da je področje kritične infrastrukture (državnega pomena) sistemsko urejeno. Kar prispeva k večji odpornosti družbe na sodobne kibernetske groženje.

Kaj kritična infrastruktura sploh je?

V Sloveniji zagotavljanje neprekinjenega delovanja kritične infrastrukture tako ureja Zakon o kritični infrastrukturi (Uradni list RS, št. 75/17), ki natančno ureja ugotavljanje in določanje kritične infrastrukture, načela in načrtovanje njene zaščite, naloge organov in organizacij na področju kritične infrastrukture ter obveščanje, poročanje, zagotavljanje podpore odločanju, varovanje podatkov in nadzor na področju kritične infrastrukture.

V gradivu Kritična infrastruktura v Republiki Sloveniji še piše: “Kritična infrastruktura državnega pomena v Republiki Sloveniji obsega tiste zmogljivosti, ki so ključnega pomena za državo in bi prekinitev njihovega delovanja ali njihovo uničenje pomembno vplivalo in imelo resne posledice za nacionalno varnost, gospodarstvo, in druge ključne družbene funkcije ter zdravje, varnost, zaščito in blaginjo ljudi.”

Zakon kot sektorje kritične infrastrukture definira naslednje sektorje:

• energetika,
• promet,
• prehrana,
• preskrbe s pitno vodo,
• zdravstvo,
• finance,
• varovanja okolja,
• informacijsko-komunikacijska omrežja in sistemi.

Kriteriji za ugotavljanje kritične infrastrukture po sektorjih

Zakon prav tako opredeljuje nosilce sektorjev, upravljavce in kriterije za ugotavljanje kritične infrastrukture.

Sektor energetike:

• Zmogljivost, katere resna motnja v njenem delovanju ali prekinitev njenega delovanja lahko povzroči razpad elektroenergetskega sistema Republike Slovenije v obsegu, da je za njegovo ponovno vzpostavitev na celotnem ozemlju Republike Slovenije potrebnih teden dni.

• Zmogljivost, katere resna motnja v njenem delovanju ali prekinitev njenega delovanja lahko povzroči prekinitev preskrbe z električno energijo za tri dni na območju z več kot 100.000 prebivalci.

• Zmogljivost, katere resna motnja v njenem delovanju ali prekinitev njenega delovanja lahko povzroči prekinitev preskrbe z naftnimi derivati za več kot teden dni na območju z več kot 100.000 prebivalci.

• Zmogljivost, katere resna motnja v njenem delovanju ali prekinitev njenega delovanja lahko povzroči prekinitev preskrbe z zemeljskim plinom za več kot teden dni na območju z več kot 100.000 prebivalci.

Sektor prometa:

• Zmogljivost, katere resna motnja v njenem delovanju ali prekinitev njenega delovanja lahko onemogoči ves železniški promet na ključnih smereh za najmanj teden dni.

• Zmogljivost, katere resna motnja v njenem delovanju ali prekinitev njenega delovanja lahko onemogoči pristaniško dejavnost v koprskem tovornem pristanišču za najmanj teden dni.

• Zmogljivost, katere resna motnja v njenem delovanju ali prekinitev njenega delovanja lahko onemogoči izvajanje letalskega prometa v zračnem prostoru Republike Slovenije za več kot 12 ur.

Sektor prehrane:

• Zmogljivost, katere resna motnja v njenem delovanju ali prekinitev njenega delovanja lahko povzroči prekinitev preskrbe z osnovnimi prehrambnimi proizvodi za več kot teden dni na območju z več kot 100.000 prebivalci.

Sektor preskrbe s pitno vodo:

• Zmogljivost, katere resna motnja v njenem delovanju ali prekinitev njenega delovanja lahko povzroči prekinitev preskrbe s pitno vodo več kot 100.000 prebivalcev za več kot teden dni.

Sektor zdravstva:

• Zmogljivost, katere resna motnja v njenem delovanju ali prekinitev njenega delovanja lahko onemogoči zagotavljanje nujnih zdravstvenih storitev in zdravstvene oskrbe prebivalstva za več kot teden dni na območju z več kot 100.000 prebivalci, z izjemo slabše dostopnega in redkeje poseljenega geografskega področja, ki ima več kot 50.000 prebivalcev.

Sektor financ:

• Zmogljivost, katere resna motnja v njenem delovanju ali prekinitev njenega delovanja lahko povzroči prekinitev preskrbe z gotovino za več kot tri dni na območju z več kot 50.000 prebivalci.

• Zmogljivost, katere resna motnja v njenem delovanju ali prekinitev njenega delovanja lahko povzroči nedelovanje državnega proračuna več kot teden dni.

• Zmogljivost, katere resna motnja v njenem delovanju ali prekinitev njenega delovanja lahko povzroči nedelovanje plačilnega prometa več kot en dan.

Sektor varovanja okolja:

• Zmogljivost, katere resna motnja v njenem delovanju ali prekinitev njenega delovanja lahko povzroči onesnaženje ali radioaktivno kontaminacijo okolja z neposrednim kratkoročnim vplivom na zdravje ljudi na območju z več kot 50.000 prebivalci ali na območju, ki je večje od 100 ha.

Sektor informacijsko-komunikacijskih omrežij in sistemov:

• Zmogljivost, katere resna motnja v njenem delovanju ali prekinitev njenega delovanja lahko povzroči štiri ure nedelovanja elektronskih komunikacijskih omrežij in storitev, ki podpirajo delovanje enega od sektorjev kritične infrastrukture ali nacionalnovarnostni sistem, šest ur nedelovanja elektronskih storitev javnega sektorja ali 24 ur nedelovanja elektronskih komunikacijskih omrežij in storitev na območju z več kot 50.000 prebivalci.

Medsektorski kriteriji in njihove mejne vrednosti:

• Kritično infrastrukturo, ki zaradi nedelovanja povzroči ali vpliva na smrt večjega števila od 50 oseb,
• Kritično infrastrukturo, ki zaradi nedelovanja povzroči pomemben vpliv na zdravje prebivalstva v takšni meri, da je potrebno hospitalizirati več kot 100 oseb za več kot teden dni,
• Kritično infrastrukturo, ki zaradi nedelovanja povzroči poškodovanje, uničenje dejavnosti, objektov ali območij z vplivom na nacionalno varnost Republike Slovenije do te mere, da je oteženo izvajanje obrambe, notranje varnosti ali varstva pred naravnimi in drugimi nesrečami,
• Kritično infrastrukturo, ki zaradi nedelovanja vpliva na izvajanje gospodarske ali druge dejavnosti v obsegu povzročene škode ali izpada dohodka več kot 10 mio evrov na dan,
• Kritično infrastrukturo, ki zaradi nedelovanja vpliva na veliko škodo na kopenski ali vodni življenjski prostor na površini več kot 100 ha, zaradi onesnaženja ali radioaktivne kontaminacije okolja.
• Prekinitev preskrbe z osnovnimi dobrinami in zagotavljanja osnovnih storitev (pitna voda, osnovni prehrambni proizvodi, električna energija, naftni derivati, zemeljski plin, oskrba z gotovino, nujne zdravstvene storitve) ter druge resne motnje, ki vplivajo na vsakdanje življenje več kot 50.000 prebivalcev.

>>> Preberite tudi strokovni članek Kako zaznati kibernetske grožnje v kritični infrastrukturi? >>>

Prednostni vrstni red sektorjev kritične infrastrukture kot vsebinsko zaokroženih celot delovanja kritične infrastrukture je naslednji:

1. Sektor energetike – preskrba z električno energijo;
2. Sektor informacijsko-komunikacijskih omrežij in sistemov;
3. Sektor preskrbe s pitno vodo;
4. Sektor prehrane;
5. Sektor zdravstva;
6. Sektor energetike – preskrba z naftnimi derivati;
7. Sektor prometa – železniški promet;
8. Sektor prometa – letalski promet;
9. Sektor prometa – pristaniška dejavnost;
10. Sektor energetike – preskrba s plinom;
11. Sektor financ – delovanje plačilnega prometa;
12. Sektor financ – preskrba z gotovino;
13. Sektor financ – delovanje državnega proračuna;
14. Sektor varovanja okolja

Vse večji pomen kibernetske varnosti kritične infrastrukture

Eden izmed odmevnejših primerov napada na kritično infrastrukturo je zagotovo hekerski napad na elektroenergetski sistem v Ukrajini decembra 2015, ki je onemogočili dobavo električne energije uporabnikom in skoraj povsem ohromil gospodarstvo. Verjetno si nobena država ali organizacija ne želi doživeti tega scenarija, zato je pomembno, da kibernetski varnosti oz. njenim mehanizmom zagotavljanja nemotenega delovanja kritičnih sistemov posvetimo več pozornosti. Le tako bomo zmanjšali izpostavljenost vitalnih sistemov tveganjem in proaktivno poskrbeli za njihovo neprekinjeno delovanje.

Imate tudi vi potrebo po vzpostavitvi popolnega pregleda nad vašim kritičnim omrežjem – elementi in protokoli – z vidika kibernetske ogroženosti? Skupaj s kolegi za kibernetsko varnost vam lahko svetujemo in pomagamo začeti.