Boom na centra danych w Polsce: Bezpieczeństwo techniczne rozpoczyna się od e-maila – Sprzęt wart miliony dolarów wyrusza w drogę, ale nie dociera do właściwego celu…

Kierownik operacyjny w firmie logistycznej otrzymuje e-mail z nowym zleceniem transportu sprzętu technologicznego. Wiadomość przychodzi ze znanej skrzynki, zawiera znajome nazwiska, prawidłowo wyglądające numery referencyjne. Wszystko wskazuje na rutynowe zadanie. Sprzęt wart miliony dolarów wyrusza w drogę, ale nie dociera do właściwego celu.

Cyberprzestępcy na tym etapie nie muszą wiedzieć nic o serwerach. Potrzebują dostępu do poczty firmy transportowej i wiedzy, że wartościowy towar właśnie wyrusza w trasę. Kradzież zaczyna się kliknięciem w fałszywy link, a kończy na parkingu, gdzie zamiast właściwego przewoźnika czeka inny pojazd. Dane wskazują, że ten mechanizm nadal przynosi zyski przestępcom.

Wartość towaru rośnie szybciej niż liczba kradzieży

Dane firmy Verisk CargoNet pokazują paradoks: liczba zgłoszonych kradzieży ładunków spadła o 26 procent rok do roku, ale wartość skradzionych towarów wzrosła ponad dwukrotnie. Przestępcy atakują rzadziej, ale wybierają znacznie cenniejsze ładunki.

Szczególnie atrakcyjny jest sprzęt sieciowy i serwerowy klasy korporacyjnej. Liczba kradzieży transportów zawierających komponenty dla centrów danych znacznie wzrosła. W maju kalifornijskie służby odzyskały transport systemu chłodzenia o wartości ok. 4 milionów dolarów. W czerwcu policja znalazła osiem palet przełączników dla Meta warte ok. 550 tysięcy dolarów. Przesyłki zniknęły na drodze, bez incydentów. Przestępcy nie muszą atakować obiektu. Wystarczy, że przejmą transport.

Polska: miliardy w infrastrukturę, a bezpieczeństwo?

Według PMR Market Experts w Polsce planowanych jest ponad 20 projektów budowy lub rozbudowy centrów danych. Skumulowana wartość inwestycji z lat 2019–2025 to ok. 5 miliardów złotych. Polcom planuje budowę Data Center 3 w Skawinie o mocy do 40 MW, a w Koninie ma powstać kampus z mocą IT do 100 MW. To obiekty, do których trafi sprzęt tego samego rodzaju, co ten, na którego polują przestępcy w Stanach Zjednoczonych.

Każdy komponent będzie musiał bezpiecznie dotrzeć do serwerowni. Dla polskich firm transportowych to nowy rodzaj ładunku – niezwykle wartościowy i dla zorganizowanych grup przestępczych niezwykle atrakcyjny. Jak się na to przygotować?

Cybersecurity to nie wszystko

Tradycyjne podejście do bezpieczeństwa dzieli świat na cybernetyczny i techniczny. Transport sprzętu do centrów danych pokazuje, że ta granica zanika. Podejście zaczyna się w chmurze (np. poprzez przejęcie konta e-mail), a kończy się kradzieżą serwerów wartych milionów złotych.

„Wiele firm skupia się na ochronie sieci i danych, ale zapomina, że przestępcy nie muszą się włamywać do systemu. Mogą przejąć cały proces logistyczny, zanim sprzęt dotrze do siedziby. Incydenty tego rodzaju mają jedną wspólną cechę: mogą być zaplanowane bez widoku na cel fizyczny. Osoba przejmująca dostęp do konta transportowej firmy nie musi znać ani magazynu, ani trasy. Wystarczy wiedzieć, kiedy i co się rusza” – mówi Jakub Kozak, Sales Area Director ECE w Genetec.

Identyfikacja zamiast mocy

Tradycyjne zabezpieczenia techniczne: ogrodzenie, ochrona, kamera – tu stają się niewystarczające. Kradzież może zaplanować osoba, która nigdy nie widziała obiektu. Rzeczywista ochrona musiałaby sięgać od złożenia zamówienia, przez weryfikację przewoźnika, aż po śledzenie ładunku w czasie rzeczywistym. W ten sposób systemy stale będą potwierdzać prawidłowość zamówienia, a nie tylko sprawdzać je na początkowym etapie.

System będzie szukał odpowiedzi na pytania: Kto naprawdę zamówił transport? Czy to ten sam kierowca? Czy numer referencyjny zgadza się z ładunkiem? Dla operatorów logistyki to wymaga nowych procedur. Dla firm planujących centra danych – myślenia o bezpieczeństwie już na etapie projektu.

“Po wybudowaniu obiektu wprowadzenie zmian w bezpieczeństwie technicznym wymaga kosztownej i czasochłonnej przebudowy. Dlatego systemy weryfikacji tożsamości, strefy dostępu, trasy kontroli – wszystko to trzeba zaprojektować od początku, na etapie planowania infrastruktury” – podkreśla Jakub Kozak.

Okno projektowania się zamyka

Budowa centrum danych trwa od 18 miesięcy do trzech lat. Decyzje o podziale na strefy, punktach kontroli i systemach weryfikacji powinny zapaść teraz. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wymaga bezpieczeństwa technicznego, ale to minimum. Operatorzy przygotowujący się do uruchomienia tych obiektów powinni dziś zastanowić się, czy planując transport sprzętu za miliardy złotych, rozumieją, że cyberatak i kradzież rzeczywista to jedno i to samo. Przestępcy znają już odpowiedzi na te pytania.