Wdrożenie SOC w przedsiębiorstwie wodociągowym [case study]

Zapewnienie ciągłości dostaw wody dla całego regionu to odpowiedzialność, która nie kończy się na infrastrukturze fizycznej. W dobie cyberzagrożeń równie ważne są „cyfrowe rury” – systemy IT, które sterują procesami. Oto historia o tym, jak przedsiębiorstwo wodociągowe znalazło sposób na skuteczną ochronę w gąszczu przepisów i tysięcy alertów.

Charakterystyka Klienta

Ze względów bezpieczeństwa operacyjnego, nazwa podmiotu pozostaje poufna. Jest to jednak jeden z liderów rynku usług wodociągowych w Polsce, obsługujący rozległą sieć wodno-kanalizacyjną i tysiące gospodarstw domowych. Jako dostawca usług kluczowych, podmiot ten już od 2018 roku podlega rygorom dyrektywy NIS, co wymusza na nim najwyższe standardy ochrony danych i ciągłości procesów technologicznych.

Wyzwanie: Pułapka „wykrywania bez reagowania”

Klient przeszedł długą drogę modernizacji – od audytów, przez wprowadzenie procedur, aż po ujednolicenie technologii w oparciu o rozwiązania marki Fortinet. Kluczowym elementem strategii było wdrożenie systemu SIEM (oprogramowanie służące do zarządzania informacjami i zdarzeniami bezpieczeństwa), który miał centralizować logi z całej sieci.

Wkrótce po uruchomieniu systemu pojawił się problem typowy dla dużych organizacji: przeciążenie analityczne. Mimo posiadania kompetentnego, 8-osobowego zespołu IT, ilość danych generowanych przez SIEM okazała się niemożliwa do przetworzenia w czasie rzeczywistym. Zespół, zamiast skupiać się na rozwoju, został zasypany alertami, których nie był w stanie rzetelnie weryfikować w trybie 24/7.

Wybór modelu

Podjęto decyzję o outsourcingu funkcji SOC. Po analizie rynku wybrano ofertę Network Expert. O wyborze zdecydowały dwa kluczowe czynniki:

1. Ochrona inwestycji: Nie narzucaliśmy wymiany istniejących narzędzi. Jako integrator potrafiliśmy „wejść” w infrastrukturę klienta i wykorzystać posiadany już system SIEM, oszczędzając budżet klienta.
2. Elastyczność i integracja: Zaproponowaliśmy dobudowanie warstwy automatyzacji (SOAR), która połączyła technologię z naszymi analitykami.

Warto wiedzieć: Czym właściwie jest SOC?

Security Operations Center (SOC) to centrum dowodzenia cyberbezpieczeństwem. To nie tylko oprogramowanie, ale usługa łącząca trzy filary:

• Ludzi: Analityków, którzy monitorują sieć 24/7/365.
• Technologię: Narzędzia do wykrywania (SIEM) i automatycznego reagowania (SOAR).
• Procesy: Gotowe scenariusze postępowania na wypadek konkretnych ataków.

Dla kogo? Przede wszystkim dla firm, które nie mogą pozwolić sobie na przestój: przemysłu, finansów, sektora publicznego, medycznego oraz wszystkich podmiotów objętych dyrektywą NIS2. Ale również małych firm, które znajdują się w łańcuchu dostawców dla powyższych podmiotów (np. biura rachunkowe, kancelarie prawne itd.).

Realizacja: Od zbierania logów do aktywnej obrony

Wdrożenie przebiegło w modelu hybrydowym, co pozwoliło zachować kontrolę klienta nad danymi, przy jednoczesnym wsparciu zewnętrznych ekspertów.

• Optymalizacja SIEM: Zespół Network Expert przeanalizował istniejące reguły korelacji, eliminując fałszywe alarmy.
• Wdrożenie SOAR: Dodaliśmy warstwę automatyzacji, która pozwala na błyskawiczne blokowanie zagrożeń (np. izolację zainfekowanego komputera) bez czekania na reakcję człowieka.
• Gotowość na OT: Unikalnym elementem projektu było przygotowanie pod monitoring sieci technologicznej (OT). W branży wodociągowej to systemy sterujące pompami i oczyszczalniami są najbardziej krytyczne. Nasz SOC był gotowy na ich objęcie dozorem, co było kluczowym wymogiem audytora.

Efekty i korzyści

1. Spełnienie wymogów NIS2: Organizacja zyskała monitoring 24/7/365 i mechanizmy raportowania incydentów wymagane prawem.
2. Efektywność kosztowa: Wykorzystanie już posiadanych licencji SIEM znacząco obniżyło koszt wejścia w zaawansowany model ochrony.
3. Odciążenie zespołu IT: 8-osobowy dział IT może zająć się wspieraniem biznesu, mając pewność, że kwestie bezpieczeństwa są pod stałą opieką specjalistów.

Poradnik: Kto potrzebuje SOC w kontekście NIS2?

Dyrektywa NIS2, która weszła w życie, drastycznie rozszerza listę podmiotów kluczowych zobowiązanych do wysokiego poziomu cyberbezpieczeństwa. Do grupy tej należą już nie tylko wodociągi czy energetyka, ale także:

• Produkcja i przetwórstwo (np. branża spożywcza, chemiczna),
• Bankowość i finanse,
• Administracja publiczna,
• Transport,
• Dostawcy usług cyfrowych.

Jeśli Twoja firma zatrudnia powyżej 50 pracowników i działa w jednym z wymienionych sektorów, SOC staje się fundamentem zgodności z przepisami.

Podsumowanie

Przykład tego wdrożenia pokazuje, że nowoczesne cyberbezpieczeństwo nie polega na kupowaniu coraz to nowszych narzędzi. Kluczem jest mądra integracja tego, co firma już posiada, z wiedzą i czasem analityków zewnętrznych.