Tagadás, majd visszakozás

A kudankulami atomerőmű adatszivárgása a hét nemzeti beszédtémájává vált, miután az Indiai Atomenergia Társaság (NPCIL) először tagadta, hogy bármilyen „érzékeny adatszivárgás” történt volna az ország legnagyobb atomerőmű-projektjénél, majd később elismerte, hogy valóban kibertámadás történt. A The Hindu szerint az incidens a források által „teljes felfordulásként” jellemzett helyzetet idézett elő a projekt felső vezetésében, miközben a tisztségviselők igyekeztek pontosan meghatározni, hogy a zsarolóvírusos csoport mihez fért hozzá, és mennyire volt súlyos az adatkiszivárgás.

Ez a huzavona azért fontos, mert a kritikus infrastruktúrát üzemeltetők biztonsági incidensek során tanúsított kommunikációjának lényegét érinti. A kezdeti teljes tagadás, amit napokkal később egy árnyaltabb megerősítés követ, hajlamos aláásni a közbizalmat, még akkor is, ha a mögöttes tények kevésbé riasztóak, mint ahogyan azt először tartottuk. Amint korábbi tudósításunkban részleteztük, az NPCIL később megerősítette, hogy a szivárgás körülbelül 19 000 fájlt érint, de hangsúlyozta, hogy a nukleáris biztonsági vagy védelmi rendszerek nem sérültek.

Mi került valójában nyilvánosságra?

A vita középpontjában álló fájlok nem az NPCIL alapvető reaktorirányítási vagy biztonsági infrastruktúrájához, hanem a Kudankulam projekten dolgozó egyik alvállalkozóhoz kapcsolódnak. Ez a megkülönböztetés kiberbiztonsági szempontból rendkívül fontos. A nukleáris létesítményekben a biztonság szempontjából kritikus rendszerek jellemzően szigorúan elkülönített, légréses üzemeltetési technológiai (OT) hálózatokon futnak, elkülönítve a beszerzésre, humánerőforrásra, szerződéskötésre és általános üzleti működésre használt adminisztratív és hagyományos IT-hálózatoktól. Teljesen más forgatókönyv, ha egy zsarolóvírusos csoport alvállalkozói fájlokhoz fér hozzá, mintha a reaktorirányító rendszerekbe törne be, még akkor is, ha a közvélemény érthető módon megriad, amikor az „atomenergia” és az „adatszivárgás” szavak egy szalagcímben szerepelnek.

Ez azonban nem jelenti azt, hogy az incidens csupán azért, mert „hagyományos rendszereket” érintett, ne lenne aggodalomra okot adó. Amint a megerősített szivárgásról szóló korábbi jelentésünkben megjegyeztük, közel 19 000 fájlhoz férhettek hozzá, és a nukleáris létesítmény alvállalkozóihoz kötődő fájlok továbbra is tartalmazhatnak érzékeny működési részleteket, alkalmazottak és beszállítók személyes adatait, pénzügyi nyilvántartásokat és belső levelezést, amelyeket a rosszindulatú felek kémkedésre, pszichológiai manipulációra (social engineering) vagy további behatolási kísérletekre használhatnak fel a későbbiekben.

Adatvédelmi következmények az alvállalkozókra és munkavállalókra nézve

A kudankulami atomerőmű adatszivárgása rávilágít egy olyan adatvédelmi kockázatra, amelyet gyakran háttérbe szorít a nemzetbiztonsági szemlélet: azok az emberek, akiknek a személyes adatai alvállalkozói rendszerekben vannak, ritkán szólhatnak bele abba, hogy mennyire védettek ezek a rendszerek. A kritikus infrastrukturális projekteken dolgozó alkalmazottak, beszállítók és alvállalkozók rutinszerűen adják át személyazonosító okmányaikat, banki adataikat és foglalkoztatási nyilvántartásaikat olyan harmadik fél cégeknek, amelyek esetleg nem rendelkeznek olyan biztonsági költségvetéssel és felügyelettel, mint az elsődleges üzemeltető.

Amikor egy zsarolóvírusos csoport azt állítja, hogy több ezer fájlhoz fért hozzá, az nem csupán vállalati titkokat veszélyeztet. Hanem a hétköznapi munkavállalók személyes adatait is, akik közvetlen kapcsolatban sem álltak az atomenergetikai üzemeltetővel, adataik mégis a projekttel való üzleti kapcsolat során kerültek begyűjtésre. Ez visszatérő téma az ellátási láncok megsértésében az ágazatokban: a leggyengébb láncszem gyakran nem a zászlóshajó szervezet, hanem annak egyik számos alvállalkozója.

Mit jelent ez Önnek?

A legtöbb olvasó nem az NPCIL alvállalkozója, de ez a minta az iparágakban folyamatosan ismétlődik. Ha valaha is benyújtott személyes dokumentumokat egy nagyobb szervezettel dolgozó beszállítónak, alvállalkozónak vagy al-alvállalkozónak, adatainak biztonsága nagyban függ e kisebb cég biztonsági gyakorlatától, nem csupán a címlapokon szereplő márka hírnevétől.

Néhány gyakorlati lépés, amelyet érdemes megfontolni:

  • Ha kritikus infrastruktúrához kötődő alvállalkozónál dolgozik vagy velük van munkakapcsolatban, kérdezze meg, milyen adatmegőrzési és biztonsági irányelvek vonatkoznak személyes adataira.
  • Figyelje az olyan adathalászati vagy pszichológiai manipulációs kísérleteket, amelyek munkahelyi részletekre hivatkoznak, mivel a kiszivárgott alvállalkozói fájlok gyakran elegendő kontextust tartalmaznak ahhoz, hogy az átverő e-mailek meggyőzőnek tűnjenek.
  • Használjon egyedi jelszavakat és engedélyezze a többtényezős hitelesítést minden olyan fióknál, amely munkáltatói vagy beszállítói portálokhoz kapcsolódik, mivel a belépési adatok újrafelhasználása az egyik leggyakoribb módja annak, hogy a kezdeti jogsértések nagyobb problémákká fajuljanak.

A nagyobb összkép

Bármit is tár fel a végső műszaki értékelés, a kudankulami atomerőmű adatszivárgása emlékeztet arra, hogy a kritikus infrastruktúra biztonsága nem csupán a reaktorok és irányítótermek védelméről szól. Az alvállalkozók, beszállítók és adminisztratív rendszerek kiterjedt hálózatáról is, amelyek körülveszik őket, és amelyek mindegyike potenciális belépési pontot jelent, valamint valós személyek valós személyes adatait tárolja. Miközben a hivatalos közlemények továbbra is változnak, az olvasók egészséges szkepticizmussal kezeljék a korai tagadásokat, és várják meg az ellenőrzött technikai részleteket, ahelyett, hogy a legrosszabbat vagy a legjobbat feltételeznék egyetlen sajtóközlemény alapján.

Az, ha tájékozottak maradunk arról, hogyan bontakoznak ki ezek az incidensek, és megértjük az üzemeltetési technológia és az adminisztratív IT kitettség közötti különbséget, az egyik legegyszerűbb módja annak, hogy elkülönítsük a valódi kockázatot a szalagcímek okozta szorongástól.