Z tego artykułu dowiesz się:
- Jakie bariery finansowe i formalne sprawiają, że samorządy rezygnują z dotacji na ochronę wodociągów?
- Do czego mogą prowadzić udane cyberataki na infrastrukturę wodno-kanalizacyjną w Polsce?
- W jaki sposób drastyczne wzrosty cen sprzętu IT niweczą kosztorysy projektów grantowych?
- Dlaczego zakup systemów to dopiero początek i jakie są długofalowe wyzwania w utrzymaniu cyberbezpieczeństwa?
Cyfrowa tarcza czy dziurawe rury? To dylemat przed którym staje część samorządów. Rosnące zagrożenie cyberatakami na infrastrukturę krytyczną, będące elementem wojny hybrydowej i wzmożonej aktywności grup hakerskich, jest oczywiste. Mimo to polskie gminy i spółki wodno-kanalizacyjne muszą kalkulować, czy stać je na ochronę.
Nawet mimo rządowych projektów, jak finansowany ze środków KPO program „Cyberbezpieczne Wodociągi”, rezygnują z dedykowanych dotacji, bo system ich przyznawania i realia budżetowe sprawiają, że takie przedsięwzięcie się nie spina. Efekt? Lokalne wodociągi mogą stać się jednym ze słabszych ogniw cyfrowej tarczy państwa.
Cyfrowe najsłabsze ogniwo
Największe miasta mocno inwestują w ochronę IT, ale w mniejszych gminach brakuje pieniędzy na wkład własny do dotacji i ludzi do pracy na froncie walki z hakerami. Sytuacja jest poważna. Najwyższa Izba Kontroli ostrzega, że 71 proc. skontrolowanych urzędów nie utrzymałoby ciągłości działania systemów IT w razie awarii czy cyberataku. W połowie jednostek brakowało planów odtworzeniowych, a tam, gdzie plany istniały, nikt ich nie testował. NIK wprost wskazuje: w sytuacji kryzysowej (pożaru, czy zalania serwerowni, ataku hakerskiego lub działań hybrydowych) grozi to przerwaniem pracy urzędu. Te lokalne instytucje odpowiadają za sporą część infrastruktury krytycznej, takiej jak kanalizacja, ciepłownictwo czy wodociągi.
Czytaj więcej
Lokalne władze mogą już ubiegać się o finansowanie z Funduszu Bezpieczeństwa i Obronności. Łącznie do wzięcia jest nawet 11,2 mld zł. Samorządowcy...
To dlatego pod koniec czerwca minister infrastruktury wydał zarządzenie w sprawie powołania Sektorowego Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego (CSIRT) Infrastruktura (to konsekwencja znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa). Jak tłumaczą eksperci, celem powołania nowego CSIRT INFRA jest poprawa bezpieczeństwa systemów m.in. w przedsiębiorstwach wodociągowo-kanalizacyjnych (ten wyspecjalizowany organ wspiera podmioty, które wykorzystują rozwiązania automatyki przemysłowej OT).
– Pozytywnie oceniamy powołanie CSIRT Infrastruktura. Będzie ono stanowić dodatkowe wsparcie dla przedsiębiorstw wodociągowo-kanalizacyjnych w zakresie budowania bezpieczeństwa, wymiany informacji o zagrożeniach oraz reagowania na incydenty – mówi nam Martyna Bańcerek, rzecznik prasowa MPWiK we Wrocławiu.
A dlaczego właśnie ochrona takich podmiotów ma kluczowe znaczenie? Bo są na celowniku. Wystarczy wspomnieć, że w poprzednich latach odnotowano przypadki prób włamań do systemów uzdatniania wody oraz oczyszczalni ścieków w różnych częściach kraju, m.in. w Szczytnie, Wydminach, Kuźnicy, Tolkmicku czy Małdytach. Jak alarmował NASK, cyberataki często prowadziły do „manipulowania parametrami technicznymi urządzeń i stwarzały realne zagrożenie dla zdrowia i życia mieszkańców”.
Sytuację miał naprawić konkurs grantowy „Cyberbezpieczne Wodociągi”, adresowany do przedsiębiorstw wodociągowo-kanalizacyjnych. Część małych zakładów i podmiotów samorządowych podjęło jednak szokującą decyzję o rezygnacji ze wsparcia finansowego w ramach programu. Jak zaznacza Aleksander Kostuch, doradca ds. cyberbezpieczeństwa i inżynier Stormshield, w małych gminach i spółkach komunalnych decyzje co do inwestycji w tym obszarze podejmowane są pod presją ograniczonych budżetów, braków kadrowych oraz wielu konkurujących ze sobą potrzeb, które również trzeba sfinansować.
Czytaj więcej
Lokalna administracja jest dziś jednym z najsłabszych i najbardziej narażonych na ataki ogniw cybernetycznego łańcucha państwa. Urzędy nie są gotow...
– Dodatkową barierą jest konieczność pokrycia ze środków własnych części kosztów, takich jak VAT czy wydatki niekwalifikowane. To może powstrzymywać przed realizacją inwestycji, nawet w sytuacji, gdy uda się pozyskać dofinansowanie – komentuje. – Wobec faktu, że mandat do sprawowania władzy pochodzi od mieszkańców, naturalnym jest, że stawia się przede wszystkim na inwestycje, których efekt mieszkańcy dostrzegają natychmiast. Cyberbezpieczeństwo staje się priorytetem dopiero po wystąpieniu incydentu, który w przypadku wodociągów może wiązać się z przerwą w dostawie wody – kontynuuje ekspert.
Kiedy dotacja staje się ciężarem
Problemem pozostaje też formuła pomocy de minimis, na co zwrócili uwagę choćby przedstawiciele MPWiK w Warszawie. Zgodnie z obowiązującymi zasadami całkowita wartość takiej pomocy przyznanej jednemu przedsiębiorstwu przez państwo członkowskie UE nie może przekroczyć 300 tys. euro w okresie trzech lat.
– Problemem jest niedopasowanie instrumentu do sektora infrastruktury krytycznej, z uwagi na jego krytyczną rolę i duże potrzeby. Część podmiotów wykorzystała tę pulę, uczestnicząc w innych, projektach, co zamyka im drzwi w staraniu się o kolejne granty – analizuje Kostuch.
Centrum Projektów Polska Cyfrowa (CPPC) twierdzi jednak, że problem nie jest wcale znaczący, bo w ramach programu pozytywnie oceniono 759 wniosków o dofinansowanie, zawarto 733 umowy i 657 aneksów, które przedłużyły okres realizacji projektów. Umowy na granty (sięgające ponad 1 mln zł) podpisały np. MPWiK Wrocław, spółki z Radzymina i Siedlec czy gorzowskie Przedsiębiorstwo Wodociągów i Kanalizacji. Najwięcej umów zawarto w województwach: mazowieckim (77), wielkopolskim (71), dolnośląskim (68), a także pomorskim (58) i małopolskim (55). Tylko w 17 przypadkach podmioty zrezygnowały z zawarcia umów, zaś w dziewięciu przypadkach podpisanie kontraktu nie było możliwe z powodu przekroczenia limitu pomocy de minimis. Na takie problemy natrafiły np. przedsiębiorstwa ZGK Nowa Sarzyna, czy RPWiK Zawiercie.
Czytaj więcej
W obliczu drastycznie rosnących cen sprzętu i nowych wymogów prawnych, cyberochrona przestaje być zadaniem dla działów IT. O tym, jak budować realn...
Generalnie – jak podaje CPPC – zainteresowanie było jednak tak duże, iż w trakcie konkursu blisko dwukrotnie zwiększono pulę środków do podziału, a łączna wartość realizacji projektów przekroczyła 602 mln zł. Co więcej, Ministerstwo Cyfryzacji zdecydowało się na wydłużenie okresu realizacji bieżącej edycji programu „Cyberbezpieczne Wodociągi” do końca br. A na tym nie koniec – wicepremier i minister cyfryzacji Krzysztof Gawkowski zapowiedział ponad 3 mld zł z Funduszu Bezpieczeństwa i Obronności, które mają trafić na budowanie „odporności cyfrowej samorządów”. To pieniądze, z których JST mają skorzystać „szybko, bez skomplikowanych formalności i bez wymaganego wkładu własnego”. Cel? M.in. właśnie cyberbezpieczeństwo, nowoczesne usługi cyfrowe oraz zabezpieczenie infrastruktury krytycznej.
Z perspektywy sektora komunalnego oznacza to możliwość finansowania rozwiązań, które mają zapewniać ciągłość dostępu do podstawowych usług – takich jak dostawy wody, odbiór ścieków, energia, ciepło czy obsługa mieszkańców przez systemy urzędowe. Samorządy mogą korzystać z pożyczek oprocentowanych na 0 proc., ze spłatą rozłożoną nawet na 20 lat, przy czym finansowanie może objąć nawet do 100 proc. kosztów kwalifikowanych projektu (minimalna wartość pożyczki to 2 mln zł). Marta Postuła, wiceprezes BGK, zaznacza przy tym, że dla jednostek o niższej dochodowości przewidziano możliwość umorzenia 20 proc. pożyczki.
Jak utrzymać cyfrową tarczę?
Mimo to dla samorządów cyberochrona to potężne wyzwanie. – Największym jest długofalowe budowanie odporności całej organizacji. Bezpieczeństwo systemów IT i OT traktujemy jako ciągły proces obejmujący technologie, ludzi, procedury, zarządzanie ryzykiem oraz reagowanie na incydenty – tłumaczy Martyna Bańcerek.
Problem w tym, że brakuje specjalistów, a ceny technologii galopują. Do tego dochodzą rygorystyczne wymogi ustawy o KSC. Eksperci twierdzą, że program „Cyberbezpieczny Samorząd”, z którego skorzystało blisko 90 proc. jednostek, dla wielu z nich był pierwszą poważną inwestycją w bezpieczeństwo cyfrowe w historii. Zatem fakt, że – wraz z wdrażaniem unijnej dyrektywy NIS2 i noweli KSC – obowiązki urzędów jeszcze wzrosną, u władz samorządowych powoduje niepokój. Rodzi się choćby pytanie, jak utrzymać zabezpieczenia po wygaśnięciu dofinansowań?
Aleksandra Pokorska, specjalistka ds. informacji w spółce Wodociągi Płockie, tłumaczy nam, że cyberbezpieczeństwo nie jest jednorazową inwestycją polegającą na zakupie urządzeń lub licencji, wymaga stałego monitorowania, utrzymywania aktualności systemów, obsługi incydentów, audytów, szkoleń, testów odtwarzania danych i zapewnienia wsparcia technicznego. – Oznacza to konieczność ponoszenia kosztów również po zakończeniu projektu grantowego – wyjaśnia.
Nie pomaga drastyczny wzrost cen podzespołów i sprzętu sieciowego, choć coraz większy problem to w ogóle dostępność urządzeń zabezpieczających. Według analiz TrendForce w II kwartale ceny kontraktowe konwencjonalnych pamięci DRAM miały wzrosnąć o 58-63 proc. kwartał do kwartału, a ceny NAND Flash o 70-75 proc.
– Rosnące ceny komponentów sprzętowych są dość istotnym problemem. Wyższe koszty zakupu czy ograniczona dostępność określonych komponentów mogą utrudniać wdrożenie – przyznaje Piotr Zielaskiewicz, menedżer w Dagma Bezpieczeństwo IT.
Dla przedsiębiorstw wodno-kanalizacyjnych oznacza to ryzyko, że parametry sprzętowe np. wpisane do wniosków kilka miesięcy wcześniej, mogą nie odpowiadać aktualnym realiom zakupowym.
Czytaj więcej
Na monitorowanie lokalnych sieci i systemów informacyjnych, analizowanie potencjalnych zagrożeń czy koordynowanie działań w przypadku incydentów cy...
Aleksandra Pokorska potwierdza, że różnice pomiędzy kosztorysem przygotowanym na etapie składania wniosku a aktualnymi cenami rynkowymi są drastyczne, szczególnie w odniesieniu do infrastruktury serwerowej oraz pamięci masowych. – Największe odchylenia obserwujemy w obszarze infrastruktury serwerowej, w szczególności w cenach serwerów klasy enterprise, pamięci RAM oraz dysków SSD przeznaczonych do pracy ciągłej. W przypadku części komponentów wzrost cen przekracza kilkaset procent w stosunku do cen obowiązujących podczas przygotowywania wniosku grantowego. Wynika to zarówno ze zmian kursów walut, jak również z rosnących kosztów i zapotrzebowania na komponenty wykorzystywane przez producentów infrastruktury IT – komentuje.
Ale pieniądze i sprzęt to nie wszystko – potrzeba też wiedzy specjalistycznej i fachowych rąk do pracy. Kupno sprzętu i potrzebnych licencji to jedno, ale jest problem z ich implementacją. – Ograniczona dostępność specjalistów łączących wiedzę z zakresu cyberbezpieczeństwa, infrastruktury IT, sieci przemysłowych i automatyki OT to wyzwanie. Są to obszary wymagające bardzo specyficznych kompetencji oraz znajomości procesów technologicznych przedsiębiorstwa – podsumowuje Pokorska.
