Joanna Trzos
Lista stanów, w których odnotowano podejrzane cyberataki na systemy wodociągowe i oczyszczalnie ścieków, stale się wydłuża. Jednak śledztwo NBC Chicago ujawniło, że w Illinois nie istnieje żaden przepis zobowiązujący dostawców wody do zgłaszania takich incydentów władzom stanowym lub lokalnym.
Specjaliści ds. cyberbezpieczeństwa podkreślają, że nawet gdyby irańscy hakerzy zaatakowali system wodociągowy w Illinois, operator nie miałby prawnego obowiązku poinformowania o tym kogokolwiek. Istnieją jedynie federalne zalecenia dotyczące zgłaszania takich ataków odpowiednim służbom, jednak nie są one obowiązkowe. Illinois znajduje się w gronie 40 stanów, które nie wymagają zgłaszania cyberataków na wodociągi.
Mimo pytań dziennikarzy NBC 5 przedstawiciele Chicagowskiego Departamentu Wodociągów nie odpowiedzieli, czy system był celem ewentualnych ataków. Z kolei stanowa Agencja Zarządzania Kryzysowego (Illinois Emergency Management Agency) poinformowała jedynie, że monitoruje sytuację w innych stanach.
W Illinois działa około 1740 publicznych dostawców wody. Żaden z nich nie ma obecnie obowiązku zgłaszania cyberataków lub naruszeń bezpieczeństwa swoich systemów.
„Obecnie w Illinois nie ma obowiązku zgłaszania cyberataków. Od lat zabiegamy o zmianę tych przepisów” – powiedział stacji NBC 5 John Martinelli, były instruktor federalnej Agencji ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA).
Martinelli oraz inni eksperci z Chicago od lat apelują o wprowadzenie obowiązkowego raportowania ataków na infrastrukturę wodociągową. Ich zdaniem właśnie systemy dostarczania wody należą do najbardziej narażonych elementów infrastruktury krytycznej.
„To właśnie bezpieczeństwo systemów wodnych od lat najbardziej nas niepokoi. Woda jest ważniejsza niż energia elektryczna. Bez prądu można funkcjonować przez kilka dni, ale bez czystej wody bardzo szybko zaczynają umierać ludzie” – podkreślił Martinelli.
Obecnie stanowy parlament analizuje projekt ustawy, która wprowadziłaby taki obowiązek. Jak dotąd podobne regulacje obowiązują jedynie w dziesięciu stanach, w tym w sąsiedniej Indianie.
Zdaniem ekspertów brak obowiązku zgłaszania może sprawiać, że rzeczywista skala obecnych ataków pozostaje nieznana. Dodatkowo wiele systemów wodociągowych może nawet nie wykryć, że padło ofiarą cyberprzestępców.
„Nie wiemy nawet, ile takich obiektów jest w stanie wykryć, że zostało zaatakowanych. W wielu przypadkach cyberatak nie wyłącza urządzeń z pracy, lecz blokuje dostęp do systemu. Właśnie dlatego od lat obawiamy się ataku na systemy uzdatniania wody. Wystarczy jeden skuteczny atak, by po odkręceniu kranu nie popłynęła z niego woda”– ostrzegł Martinelli.
Eksperci podkreślają, że samo uchwalenie nowych przepisów nie rozwiąże problemu. Konieczne będzie również zapewnienie środków na analizowanie zgłoszeń, reagowanie na incydenty oraz wsparcie operatorów infrastruktury krytycznej. W obliczu napiętych budżetów znalezienie odpowiedniego finansowania może okazać się jednym z największych wyzwań.
Joanna Trzos
[email protected]
