Program FERC „Wzmocnienie cyberbezpieczeństwa oraz rozwój odpornej infrastruktury przetwarzania danych” nakłada na samorządy konkretny, ustawowy obowiązek: uruchomienie Lokalnego Centrum Cyberbezpieczeństwa, w skrócie LCC. Brzmi jak kolejny akronim do listy, ale to coś więcej niż zakup narzędzia i dopisanie go do rejestru licencji.
Żeby ochrona faktycznie działała, potrzeba trzech rzeczy naraz: technologii, procedur i ludzi, którzy wiedzą, co robić. Nowoczesne podejście do cyberbezpieczeństwa nie polega na jednorazowym zakupie sprzętu, tylko na budowaniu zdolności — do wykrywania zagrożeń, reagowania na incydenty i ciągłego uczenia się organizacji.
Czym właściwie jest LCC
LCC wdraża jeden, wspólny zestaw mechanizmów bezpieczeństwa dla całej grupy jednostek: urzędu miasta albo starostwa oraz podległych mu ośrodków pomocy społecznej, zarządów dróg, bibliotek, domów pomocy społecznej, szkół i przedszkoli.
Najważniejsze słowo w tym zdaniu to „jeden”. Nie chodzi o to, żeby każda jednostka kupiła sobie osobne narzędzie i miała spokój. Chodzi o wspólny standard: jeden punkt, z którego widać wszystkie zagrożenia, i jeden zespół, który odpowiada za reakcję.
Podstawę prawną tego zakresu stanowi Załącznik nr 2 do Kryteriów wyboru projektu, czyli „Minimalny zakres zadań LCC”, osadzony w wymaganiach Ustawy o krajowym systemie cyberbezpieczeństwa (uKSC).
Trzy drogi do zbudowania zdolności
Samorząd, który chce spełnić wymagania konkursu, ma tak naprawdę trzy opcje do wyboru.
Pierwsza to pełny outsourcing, czyli oddanie całego monitoringu i reagowania zewnętrznemu dostawcy MSSP. Działa szybko, a koszt na starcie jest przewidywalny. Problem pojawia się później, kiedy wiedza o środowisku IT zostaje u dostawcy, a nie w urzędzie. Samorząd uzależnia się od jednej firmy, a kiedy kończy się finansowanie projektu, zostaje po nim właściwie tylko opłacana subskrypcja, a nie żadna trwała zdolność.
Druga opcja to budowa własnego zespołu od zera. Słuszna co do zasady, tylko trudna do udźwignięcia w skali samorządu. Samo pokrycie 24/7/365 wymaga kilkunastu etatów na pierwszej linii, a stawki w administracji publicznej rzadko wygrywają z rynkiem. Efekt? Rotacja, wakaty, dziury w grafiku poza godzinami pracy urzędu. Do tego wąskich specjalizacji, jak informatyka śledcza czy analiza malware, po prostu nie da się utrzymać na etacie w pojedynczej gminie.
Trzecia droga, ta rekomendowana, to model hybrydowy — podział ról według tego, co każda ze stron naprawdę potrafi zrobić dobrze. Dane i wiedza o środowisku zostają po stronie samorządu, który przez cały czas kontroluje procesy i decyzje. Zespół LCC obsługuje pierwszą linię i prowadzi procesy Systemu Zarządzania Bezpieczeństwem Informacji w normalnym trybie pracy urzędu. Partner technologiczny bierze na siebie całodobowy dyżur, drugą i trzecią linię wsparcia oraz reagowanie na poważne incydenty, a przy okazji stale przekazuje wiedzę: przez wspólne dyżury, przeglądy i ćwiczenia z lokalnym zespołem.
Kiedy zestawi się te trzy modele obok siebie i sprawdzi je wobec ośmiu twardych kryteriów — czasu uruchomienia, pokrycia 24/7, odporności na rotację kadr, ryzyka uzależnienia od dostawcy, trwałości efektu — wynik wychodzi dość jednoznaczny. Tylko model hybrydowy spełnia wymogi ustawy i jednocześnie zostawia po sobie coś trwałego.
Siedem obszarów, sześć z nich to procesy, nie produkty
Minimalny zakres zadań LCC obejmuje siedem obszarów: obsługę cyberzagrożeń i incydentów, zarządzanie aktywami ICT i wsparcie SZBI, bezpieczne wersje oprogramowania i aktualizacje, zarządzanie uprawnieniami dostępu, ochronę danych łącznie z kopiami zapasowymi, kontrolę bezpieczeństwa komunikacji i poczty oraz doskonalenie kompetencji i cyberhigienę.
Tu warto się na chwilę zatrzymać, bo to łatwo przeoczyć: sześć z tych siedmiu obszarów to procesy, nie produkty. Ustawa wymaga, żeby procedury były przygotowane i regularnie testowane, żeby uprawnienia były cofane bezzwłocznie po ustaniu potrzeby dostępu, żeby kopie zapasowe były faktycznie sprawdzane, a nie tylko robione. Żadna z tych rzeczy nie dzieje się sama, automatycznie, po podpisaniu protokołu odbioru sprzętu. Trzeba to robić w kółko — co tydzień, co miesiąc.
Architektura w siedmiu warstwach — kolejność ma znaczenie
Docelowa architektura LCC ma siedem warstw, a kolejność ich wdrażania nie jest przypadkowa. Na dole jest fundament, czyli platforma i suwerenność technologiczna: wirtualizacja, pamięć masowa, chmura prywatna. Wyżej tożsamość i dostęp, potem ochrona brzegu sieci i stacji roboczych, dalej detekcja i widoczność zdarzeń, zdolność odtwarzania i ciągłości działania, warstwa procesów i usług, a na samej górze — człowiek, czyli szkolenia i budowanie cyberhigieny.
Zasada jest prosta: najpierw chmura prywatna i rozliczalne zarządzanie dostępem, potem detekcja, na końcu klasyfikacja informacji i ochrona przed wyciekiem danych. Odwrócenie tej kolejności daje system, który owszem widzi, że coś się dzieje, ale nie potrafi powiedzieć, kto w danym momencie miał dostęp do czego. A to potrafi bardzo utrudnić analizę każdego incydentu.
Jednostki podległe — najsłabsze ogniwo, które trzeba objąć tym samym standardem
Diagnoza przed wdrożeniem wygląda zwykle podobnie w większości samorządów. Wokół urzędu działa kilkanaście, czasem kilkadziesiąt jednostek podległych, z których każda radzi sobie po swojemu. W praktyce oznacza to najczęściej:
rozproszone, niejednolite rozwiązania informatyczne — własne łącze i router w konfiguracji fabrycznej, kupione kiedyś przez kogoś na własną rękę,
brak centralnego monitoringu zagrożeń i zbierania logów (o ile logi w ogóle są zbierane, a nie nadpisywane po kilku dniach),
antywirusy i inne licencje kupowane osobno przez każdą jednostkę — różne wersje, różne terminy ważności,
kopie zapasowe, jeśli w ogóle istnieją, na dysku zewnętrznym leżącym tuż obok serwera,
ograniczone zasoby kadrowe i zupełnie różne podejście do zarządzania dostępem.
To nie jest tylko kwestia porządku. Ośrodek pomocy społecznej przetwarza dane o sytuacji rodzinnej, zdrowotnej i majątkowej mieszkańców, a często jest zabezpieczony słabiej niż sam urząd. Wystarczy, że najsłabsza jednostka stanie się furtką dla ataku, a konsekwencje odczuje cały samorząd.
Odpowiedzią jest architektura typu hub-and-spoke. Urząd miasta albo starostwo staje się węzłem centralnym i jedynym punktem styku z internetem dla całej grupy, a jednostki podległe korzystają ze wspólnej usługi katalogowej, poczty, chmury prywatnej, kopii zapasowych, monitoringu i systemu zgłoszeniowego. To nie znaczy, że wszyscy siedzą w jednej, płaskiej sieci: segment każdej jednostki widzi tylko usługi wspólne huba, ruch między jednostkami jest domyślnie zablokowany, a sieci gościnne czy pracownie szkolne stoją w osobnych, odizolowanych segmentach.
Korzyść z tego jest bardzo konkretna: kiedy LCC wykryje zagrożenie, może zablokować złośliwy adres albo domenę dla wszystkich jednostek naraz, w kilka minut, bez konieczności osobnej konfiguracji każdej z nich. Bez huba to samo działanie oznaczałoby kilkadziesiąt telefonów do kilkudziesięciu różnych administratorów.
Bilans licencyjny: open source jako fundament niezależności
Wśród dziewiętnastu obszarów funkcjonalnych objętych koncepcją LCC około 79% opiera się w całości lub części na oprogramowaniu otwartym. Dwanaście obszarów, czyli 63%, korzysta wyłącznie z rozwiązań open source i kompetencji własnych zespołu — bez opłat licencyjnych, kosztem jest tu praca i wiedza, które zostają w organizacji. Kolejne trzy obszary (16%) to model mieszany: otwarty rdzeń plus wybrane moduły komercyjne tam, gdzie są naprawdę potrzebne. Tylko cztery obszary (21%) opierają się na rozwiązaniach komercyjnych, tam gdzie otwarte odpowiedniki po prostu nie dają wymaganej skuteczności. Trzeba to powiedzieć wprost, zamiast udawać, że open source rozwiąże każdy problem, bo nie rozwiąże.
To nie jest wybór ideologiczny. To warunek skalowalności. Dołączenie kolejnej gminy do struktury LCC nie oznacza skokowego wzrostu kosztów licencyjnych.
Model operacyjny: cztery linie wsparcia i mierzalne SLA
Obsługa zdarzeń w LCC działa w czterech liniach. Linia zerowa to same jednostki objęte LCC: zgłaszanie zdarzeń, stosowanie procedur, udział w szkoleniach. Linia pierwsza to zespół LCC razem z Service Deskiem partnera technologicznego, czyli przyjęcie i klasyfikacja zgłoszeń. Linia druga to obszar wspólnej pracy, gdzie zespół LCC współpracuje bezpośrednio z inżynierami partnera nad analizą zdarzeń i dostrajaniem reguł detekcji — i to właśnie tutaj zachodzi faktyczny transfer kompetencji, a nie na papierze. Linia trzecia to partner technologiczny, odpowiedzialny za poważne incydenty, informatykę śledczą i odtwarzanie środowiska po dużej awarii.
Cała współpraca opiera się na zobowiązaniach, które da się zmierzyć, a nie tylko zadeklarować. Incydent krytyczny — przerwanie świadczenia usługi publicznej, podejrzenie ransomware, przejęcie konta uprzywilejowanego — wymaga reakcji w czasie do 30 minut, w trybie 24/7/365, z raportem wstępnym w ciągu 24 godzin. Tym, co odróżnia model hybrydowy od zwykłego outsourcingu, jest strategia wyjścia zapisana wprost w umowie: dokumentacja techniczna należąca do LCC i na bieżąco aktualizowana, cykliczne wspólne przeglądy incydentów oraz przekazanie pełnej konfiguracji i danych historycznych w otwartym formacie na każde żądanie, bez dodatkowej opłaty.
Bezpieczeństwo zaczyna się od ludzi
Technologia jest ważna, ale to człowiek wciąż pozostaje jednym z najważniejszych elementów systemu bezpieczeństwa. Dlatego siódma, ostatnia warstwa architektury LCC to platforma szkoleniowa, kampanie edukacyjne, cykliczne testy socjotechniczne i szkolenia dla kierownictwa. Organizacja, która buduje taką kulturę, staje się odporna nie tylko na ataki techniczne, ale i na oszustwa wymierzone w ludzi — a to właśnie ten wektor odpowiada za większość skutecznych włamań.
Wdrożenie rozłożone na etapy
Pełne wdrożenie LCC rozkłada się na pięć etapów. Miesiące 1–3 to inwentaryzacja zasobów i projekt architektury. Miesiące 3–8 to budowa fundamentu platformowego: wirtualizacja, chmura prywatna, usługa katalogowa. Miesiące 6–12 to warstwa detekcji i ochrony razem z centralnym pulpitem LCC i uruchomionym Service Deskiem 24/7. Miesiące 9–18 to pełna dojrzałość operacyjna: komplet siedmiu obszarów zakresu i przeszkolony zespół. Naturalnym kolejnym krokiem po 18 miesiącach jest rozszerzenie modelu o klasyfikację informacji i ochronę przed wyciekiem danych.
Inwestycja w trwałą odporność
Dla mieszkańca liczy się w gruncie rzeczy jedna rzecz: czy urząd sprawnie załatwi jego sprawę i czy jego dane są bezpieczne. Cyberbezpieczeństwo stało się jednym z fundamentów ciągłości usług publicznych, a projekt unijny, którego efekt znika razem z finansowaniem, jest z tej perspektywy porażką — bez względu na to, ile sprzętu w międzyczasie kupiono.
Koncepcja Lokalnego Centrum Cyberbezpieczeństwa w modelu hybrydowym pokazuje, że nie trzeba budować wszystkiego od zera w każdej jednostce osobno. Zerowy vendor lock-in, bo kompetencje i dane zostają w samorządzie. Praktycznie nieograniczona skalowalność, bo kolejna dołączona jednostka nie oznacza skoku kosztów. I trwałość struktury współpracy, która przetrwa koniec zewnętrznego finansowania. Te trzy rzeczy razem decydują o tym, że taki model może żyć i rozwijać się długo po zamknięciu projektu.
W JSW IT Systems znamy to z drugiej strony biurka. Utrzymujemy środowisko IT/OT dla kilkunastu tysięcy użytkowników w Grupie Kapitałowej JSW i na co dzień, we własnej firmie w Jastrzębiu-Zdroju, uruchamiamy produkcyjnie dokładnie ten sam zestaw rozwiązań open source, o którym mowa w konkursie LCC.
