Cyberbezpieczeństwo sięga dalej niż chmura. "Pracujemy też w terenie" | #lapTOP 11

Cześć, nazywam się Piotr. Jestem menadżerem w zespole cyberbezpieczeństwa w KPMG i odpowiadam za zespół OT Security, czyli bezpieczeństwa automatyki przemysłowej.

Cześć, jestem Michael. Jestem menadżerem w zespole cybersecurity i odpowiadam za kompetencje cloud security.

I za chwilę poznamy KPMG z perspektywy naszych laptopów.

Co masz zapisane w kalendarzu jutro o godzinie 11:00?

Jutro o 11 w kalendarzu. Dość łatwo jest na to odpowiedzieć, ponieważ najbliższe dwa dni, czyli jutro i pojutrze, spędzę u klienta. Akurat będziemy realizowali razem z kolegą z zespołu OT Security projekt dla klienta z branży farmaceutycznej. W okolice godziny 11 prawdopodobnie będziemy robić przegląd firewalla, jego konfiguracji, regułek, ACL. A z kolei kolejny dzień poświęcimy na zagadnienia mniej techniczne, bardziej procesowe, związane z wymaganiami dyrektywy NIS 2 i będziemy identyfikować luki u naszego klienta, co jeszcze wymaga poprawy, aby przygotować się na nadejście tych wymagań w najbliższej przyszłości.

U mnie będzie bardzo podobnie jutro o 11, natomiast u mnie spotkanie będzie onlinowe. Spotykam się z klientem zagranicznym z branży finansowej. Będziemy omawiać architekturę chmurową, która została zaproponowana bardzo niskopoziomowo. Będziemy tam się skupiać na zabezpieczeniach, które powinny się pojawić w tej architekturze. Będą to zabezpieczenia typu firewalle, ochronę DDoS, web application firewalle lub tak zwane WAFy oraz będziemy całościowo patrzeć na tą architekturę pod kątem regulacji.

Ile masz plików na pulpicie?

Ja mam na pulpicie aktualnie zero plików, bo używam tej funkcji, gdzie ukrywam pliki, które się wyświetlają. Aczkolwiek jak bym zajrzał w katalog pulpit, to tam myślę, że z 200 może się znaleźć.

Do kogo i dlaczego wysłałeś swojego ostatniego maila?

Ostatni mail, który wysłałem, tego nawet nie muszę sprawdzać w laptopie, bo wysłałem go dosłownie zanim tutaj przyszliśmy z Michaelem, aby nagrywać, wysłałem raport. Wysłałem raport do klienta z branży produkcyjnej. Jest to klient, z którym współpracujemy już od dobrych kilku lat i w ramach tej współpracy co roku robimy przeglądy bezpieczeństwa jego fabryk. A jako, że tych fabryk jest znacząca ilość i są one rozproszone geograficznie po całym świecie, w tym roku zrobiliśmy testy w około 20 fabrykach. Raport dzisiaj został wysłany, teraz będę czekał na potencjalne uwagi i projekt na ten rok będziemy mogli uznać za zakończony.

Ostatni mail, który wysyłałem był ofertą dla klienta, gdzie proponujemy przegląd konfiguracji usług SaaS z chmury Microsoft. Są to usługi takie jak OneDrive, SharePoint, Teams, Exchange. Chcemy się upewnić, że konfiguracja, która aktualnie istnieje dla tych aplikacji chroni dane klienta i upewnia klienta, że dane są przechowywane i przetwarzane bezpiecznie.

Jaki był Twój ostatni screen?

Temat screenshotów to jest coś, co idealnie przedstawia różnicę pomiędzy cloudem, którym zajmuje się Michael, a cyberbezpieczeństwem OT, czyli automatyki przemysłowej, ponieważ w moim przypadku zdecydowaną większość czasów podczas realizacji projektów spędzam w fabrykach bądź obiektach przemysłowych, a co za tym idzie, nie mam jak zrobić screenshota. Jeżeli jest potrzeba na udokumentowanie pewnej słabości do przedstawienia w raporcie, wówczas robię to w postaci zdjęcia, także moje screenshoty są zdjęciami na telefonie.

Ja ostatnio screenowałem dowody do raportu. Pisaliśmy raport kończący przegląd konfiguracji chmury dla banku. Bank posiada wiele różnych oddziałów. Dla większości tych oddziałów ustawił sobie oddzielny tenant w chmurze Azure. Przeglądaliśmy tę chmurę pod kontekstem aplikacji, które mają zestawione w środowisku chmurowym. Przeglądaliśmy Entra ID dla każdego z tych tenantów oraz zasoby, które zostały tam uruchomione.

3 słowa, które opisują dobre spotkanie online

Szybkie, merytoryczne i bez kamerek.

Co robisz od razu po włączeniu laptopa?

W momencie, gdy pracuję w domu, to staram się mieć taki nawyk. Oczywiście w miarę jak pozwalają na to projekty, obserwuję kilka stron z newsami z obszaru OT Security i staram się poświęcić kilka, kilkanaście minut z rana, aby przejść te newsy w miarę możliwości być na bieżąco z najświeższymi podatnościami. Z kolei, jeżeli pracuję u klienta, to zdecydowanie zaczynam od kawy z klientem. Jest to też okazja, żeby porozmawiać, lepiej się poznać, jeżeli to jest nowy projekt, czas na kuluarowe rozmowy. I dopiero potem włączam laptopa.

Jakie strony www odwiedzasz najczęściej?

Biorąc pod uwagę to, jak szybko i jak często się zmienia chmura Microsoft, najczęściej odwiedzam stronę Microsoft Learn. Na tej stronie publikują nowości, które się pojawiły oraz instruktaże, jak powinna być skonfigurowana ta chmura, więc staram się codziennie czytać, co zostało tam umieszczone i być na bieżąco z nowościami.

Który plik jest dla Ciebie najważniejszy?

Najważniejszy plik na moim komputerze? Nie jest łatwo odpowiedzieć na to pytanie, bo tych plików jest cała masa, z czego o zdecydowanej większości nie mogę opowiadać, z naturalnych przyczyn umów z naszymi klientami, ale coś, co dość często wykorzystuję w pracy, jest po prostu pomocne, to to są dwa raporty, które jako KPMG opracowujemy. Jeden to jest barometr cyberbezpieczeństwa, który co roku publikujemy na naszej stronie internetowej. Mam go oczywiście również na laptopie, ale raport, o którym chcę powiedzieć. Drugi to raport opracowany przez KPMG globalnie, nazywa się Control System Cyber Security Annual Report i tam przedstawiamy na ponad 70 stronach wyniki cyberbezpieczeństwa firm o różnych poziomach dojrzałości z całego świata. Niepokojącym wnioskiem, który wynika z tego raportu, jest to, że aż połowa ankietowanych firm określiła, że nie ma zbudowanego programu zarządzania cyberbezpieczeństwem ultim.

Skoro rozmawiamy o ważnych plikach, wspomnę o naszym zespole Red Team, który również pomaga chronić tego typu dane. Robimy to za pomocą testów penetracyjnych oraz symulowanych ataków. Takie testy mają za zadanie pokazać klientowi, jakie mają luki w zabezpieczeniach lub jakie podatności się pojawiają w systemach, w infrastrukturze. Przy takich symulacjach jesteśmy w stanie im zarekomendować, jak to zabezpieczyć i zapewnić, że dane, które przechowują, są zabezpieczone.

Tak jak Michael skupił się w tym, co opowiadał, na części infrastrukturalnej, czyli takiej klasycznej IT, to, co również robimy, to są testy bezpieczeństwa fizycznego. Czyli najprościej mówiąc, jesteśmy legalnymi włamywaczami. Zawsze jest to za pozwoleniem klienta i wygląda taki projekt w ten sposób, że ustalamy z klientem adres biura, którego testy mamy przeprowadzić, czy jakiegoś obiektu przemysłowego i wówczas, w określonym czasie, musimy do tego obiektu fizycznie spróbować wejść. Czy to poprzez klonowanie kart pracowników, czy używanie wytrychów, czy inne sposoby, na które w danym momencie będzie taka możliwość, po to, aby po przejściu fizycznie do biura naszych klientów piąć komputery i przystąpić do tego, o czym mówił Michael, czyli testów penetracyjnych infrastruktury sieciowej, bądź również fizycznie spróbować uzyskać dostęp do miejsc, gdzie są wrażliwe, krytyczne z punktu widzenia naszych klientów dane.

Ile masz aktualnie procent baterii na komputerze?

Ile mam procent baterii na komputerze? 3, także czas kończyć.