Reforma bezpieczeństwa samorządu - LLC to projekt organizacyjny, nie technologiczny

Lokalne Centra Cyberbezpieczeństwa to pierwsza systemowa próba stworzenia modelu współdzielonych usług cyberbezpieczeństwa dla administracji lokalnej. „Jeśli się powiedzie, może stać się najważniejszą zmianą organizacyjną w tej sferze funkcjonowania JST od momentu powstania Krajowego Systemu Cyberbezpieczeństwa” mówią eksperci Stormshield i Dagma Bezpieczeństwo IT. Wskazują jednocześnie, że program zdecydowanie nie powinien być traktowany jako kolejna okazja do zakupów sprzętu i technologii.

LLC to cyfrowa regionalna straż pożarna

Choć budżet programu niekoniecznie może to sugerować, jednak budowa sprawnych centrów bezpieczeństwa może przynieść większy efekt organizacyjny niż wynikałoby to z puli przeznaczonych środków. Cyberbezpieczny Samorząd (budżet ok. 1,5 mld złotych) pozwalał gminom pozyskać środki na zabezpieczenie własnego podwórka, podczas gdy LCC finansuje budowę regionalnej „straży pożarnej” dla wielu samorządów.

Nie boję się użyć słów, że dzięki programowi, oczywiście przy założeniu, że uda się zrealizować jego cele, dokonamy niejako reformy obszaru zarządzania bezpieczeństwem sfer IT i OT będących pod pieczą samorządów

Aleksander Kostuch

inżynier Stormshield, doradca cyberbezpieczeństwa dla sektora samorządowego i infrastruktury krytycznej

Model funkcjonowania Lokalnego Centrum Cyberbezpieczeństwa obejmie specjalistów obsługujących wiele JST, SOC lub zespół monitoringu (tu dopuszcza się opcję częściowego korzystania z usług firm zewnętrznych) oraz reagowania na incydenty, wspólne zakupy licencji i usług. Zbudowana dzięki pozyskanym środkom architektura umożliwi centralne zarządzanie firewallami, segmentację sieci i tworzenie bezpiecznych połączeń VPN. Dodatkowo także rozwinięcie centralnego monitorowania w oparciu o system SIEM, wspólnych procedur obsługi incydentów, zarządzanie ryzykiem, opracowanie planów ciągłości działania oraz współpracy z krajowymi zespołami CSIRT.

Jednak by centrum działo sprawnie najważniejsze jest określenie odpowiedzialności między uczestnikami konsorcjum. Trzeba zdefiniować procesy eskalacji incydentów, raportowania i podejmowania decyzji.

Stawiając sprawę jasno, sukces projektu zależy w większym stopniu od skutecznego zarządzania niż technologii, których zakup może być sfinansowany w ramach konkursu

Piotr Zielaskiewicz

menadżer w DAGMA Bezpieczeństwo IT

Podpisanie porozumienia nie gwarantuje powstania sprawnie działającego konsorcjum

Choć jednostki samorządowe coraz lepiej rozumieją znaczenie cyberbezpieczeństwa, to często występują między nimi różnice co do poziomu dojrzałości w tym obszarze - wykorzystywanych technologii, procedur czy możliwości kadrowych i skali dostępnych budżetów.

I to właśnie ten aspekt, by doprowadzić do sytuacji, w której zróżnicowane potencjały będą się uzupełniać, jest kluczowy. Przed uruchomieniem LCC trzeba uzgodnić nie tylko listę zakupów, lecz przede wszystkim model współpracy. Kluczowe będzie wskazanie lidera, zdolnego zarządzać przedsięwzięciem, który zgodnie z założeniami ponosić będzie odpowiedzialność finansową, rzeczową i terminową za realizację projektu

Aleksander Kostuch

inżynier Stormshield, doradca cyberbezpieczeństwa dla sektora samorządowego i infrastruktury krytycznej

Liderem powinna być jednostka samorządu, która już świadczy wspólne usługi IT lub cyberbezpieczeństwa, a tym samym nie będzie musiała budować kompetencji w tym obszarze od podstaw. Liczy się posiadanie odpowiednich struktur organizacyjnych, kompetencji technicznych i zdolności do podejmowania decyzji w imieniu całego partnerstwa. Partnerzy powinni uzupełniać jego potencjał.

Podmioty tworzące konsorcjum, których systemy będą chronione przez konkretne LLC, powinni podzielić kompetencje w obszarze podejmowania decyzji technicznych, odpowiedzialności za monitoring, koordynacji działań w przypadku wystąpienia incydentu, określenia polityki dostępu do logów i systemów poszczególnych jednostek. Zasady świadczenia usług muszą uwzględniać oczekiwane czasy reakcji, standardy zabezpieczeń oraz reguły dołączania kolejnych jednostek.

Najtrudniejsze może się okazać określenie zasad rozliczania kosztów funkcjonowania centrum. Przy tym należy również określić, co stanie się w przypadku wystąpienia partnera z porozumienia, kto w takiej sytuacji pozostanie właścicielem sprzętu, licencji i zgromadzonej wiedzy.

Harmonijna współpraca beneficjentów, w tym korzystanie ze wsparcia wyspecjalizowanych firm zewnętrznych, a taką opcję projekt dopuszcza, przyniesie korzyści. Jednak by tak się stało niezbędne jest odpowiednie planowanie, by minimalizować ryzyko sytuacji, w których niedookreślenie pewnych spraw wydłuży procesy decyzyjne lub doprowadzi do rozmycia odpowiedzialności. Bo to może obniżyć poziom bezpieczeństwa

Piotr Zielaskiewicz

DAGMA Bezpieczeństwo IT

Wyzwaniem jest utrzymanie i rozwój systemu

Cyberbezpieczeństwo nie jest jednorazową inwestycją, którą można zakończyć wraz z dostarczeniem urządzeń. Wyzwaniem pozostanie utrzymanie i rozwój systemu po zakończeniu finansowania projektu, którego okres trwałości to 5 lat.

Wspólne centrum dla mniejszych gmin jest drogą do uzyskania dostępu do specjalistów i narzędzi, których nie byłyby w stanie utrzymywać samodzielnie. Warunkiem powodzenia jest jednak potraktowanie LCC nie jako czasowego projektu, a jako trwałej usługi publicznej, posiadającej jasno określone finansowanie, odpowiedzialność i model zarządzania w dłuższej perspektywie

Aleksander Kostuch

inżynier Stormshield, doradca cyberbezpieczeństwa dla sektora samorządowego i infrastruktury krytycznej