Napjainkban a hibrid fenyegetések korát éljük. Már nem kell egy államnak nyílt háborút indítania az ellenlábasa ellen, hogy komoly zavarokat, károkat okozzon. Sokkal kifinomultabb eszközök is léteznek manapság, melyek egyszerűbben, kisebb kockázattal alkalmazhatók, sőt, akár az államtól független szereplők is képesek lehetnek ezek bevetésére. Az egyik ilyen eszköz nem más, mint a kritikus infrastruktúrák, létesítmények elleni támadások mind a fizikai, mind a kibertérben. A hibrid fenyegetések pedig hibrid védelmi megoldásokat igényelnek a biztonsági szereplők részéről.

Mi is az a kritikus infrastruktúra? Az Európai Tanács irányelve¹ szerint azon eszközök vagy rendszerek, amelyek elengedhetetlenek a létfontosságú társadalmi feladatok ellátásához, az egészségügyhöz, a biztonsághoz, valamint az emberek gazdasági és szociális jólétéhez. Az irányelv meghatározza továbbá az úgynevezett európai kritikus infrastruktúra fogalmát is (European critical infrastructures, ECI), amely az uniós országokban található olyan kritikus infrastruktúra, amelynek megzavarása vagy megsemmisítése jelentős hatással lenne legalább két uniós országra (pl. villamosenergia-erőművek vagy olajszállító vezetékek). Ezen infrastruktúrák vonatkozásában is alkalmazandók azok az alapelvek és védelmi mechanizmusok, amelyek kifejtésére alább sor kerül, védelmüknek részletes tárgyalása viszont meghaladná ezen esszé kereteit.

A kritikus infrastruktúra fentebb leírt fogalmából következik, hogy miért is kiemelten fontos feladat a védelme; valamely elemének zavara az egész társadalomra jelentős negatív hatást gyakorol, így ennek megelőzése nemzetbiztonsági érdek, amely közös erőfeszítést igényel több állami illetve magánszereplő részéről. Ezen folyamat fő szempontjainak bemutatása az esszé célja.

A kritikus infrastruktúra védelmének első lépése a kockázatértékelés, amely során reális képet kaphatunk, milyen elhárítani kívánt veszélyekkel kell számolnunk, milyen sérülékenységek elhárítására kell felkészülnünk. Fontos leszögezni, hogy napjainkban már nem csupán a szó legszorosabb értelmében vett védelemről beszélhetünk a kritikus infrastruktúra kapcsán, hiszen az Európai Parlament és a Tanács újabb, 2022-es irányelve² korszerűbb felfogásban átdolgozta, kiegészítette a fentebb hivatkozott, 2008-as irányelvet. Ebben immár a reziliencia, vagyis az ellenállóképesség követelményét határozták meg, szerteágazóbb vizsgálatra van tehát szükség.

A mérlegelni szükséges főbb veszélyek közé tartoznak a természeti katasztrófák illetve a szélsőséges időjárás, ami az idei extrém szárazság tükrében különösen aktuálissá vált. Figyelembe kell venni, hogy a hőmérsékleti értékek és a csapadék mennyisége és gyakorisága megváltozott ahhoz képest, amire egy létesítmény tervezve lett akár néhány évtizeddel ezelőtt, vizsgálni szükséges tehát, milyen zavarokat okozhat ez a rendeltetésszerű működés során. Számolni kell továbbá a műszaki meghibásodásokkal, amelyek kiküszöbölése inkább mérnöki, mintsem biztonságszakmai kérdéskörbe tartozik, de a kockázatértékelés során nem mehetünk el mellette szó nélkül, különösen a reziliencia követelményére figyelemmel. Tervvel kell rendelkezni a különböző elemek, alkatrészek hibáinak elhárítására, javítására és cseréjére. Vizsgálni szükséges továbbá az ellátási láncok, függőségek témakörét, mit csinálunk például, ha nem áll rendelkezésre a működéshez elég áram, víz vagy gáz? Hogyan tudjuk a létesítményünket vagy rendszerünket működtetni csökkentett üzemmódban, honnan tudjuk pótolni a kiesett energiát, alapanyagot? Kell-e, tudunk-e diverzifikálni a beszerzések során a függőségek csökkentésére?

Térjünk rá végül az emberi tevékenység által előidézett zavarokra. Itt szó lehet szabotázsról, fizikai vagy kibertámadásról, esetleg az ellátási láncok megzavarásáról. Úgy tartják, hogy a technológia háborúban fejlődik a leggyorsabban, aminek igazáról első kézből győződhetünk meg a szomszédunkban zajló konfliktus kapcsán. Négy évvel ezelőtt még tankok vonulásáról és vadászgépek által elért légi fölényről volt szó, ma pedig a háborús felek tömeggyártott, filléres drónokkal tudnak húsba vágó károkat okozni egymás energetikai rendszereiben akár a fronttól többszáz kilométeres távolságban. Komplex tervezés szükségeltetik tehát a megfelelő védelemhez.

A kockázatértékelés fázisát követi a tervezés szakasza, amely során meghatározzuk azokat az intézkedéseket, amik alkalmasak az értékelés során feltárt veszélyek, sérülékenységek elhárítására. Ennek része kell, hogy legyen a fizikai védelem, ami ideális esetben az élőerős őrzés és az intelligens rendszerek, mint a biztonsági kamerák, mozgásérzékelők, tűzjelző rendszerek kombinációja. A biztonsági rendszerek biztosítják számunkra a folyamatos, objektív megfigyelést, míg az élő erő a rugalmasságot és a döntéshozatalt. Ki kell dolgozni az illetéktelen személyek távoltartásának módját például kerítés vagy más fizikai akadály létesítésével. Szükséges a létesítmény területére való belépési pont(ok) kijelölése és a belépés módjának meghatározása. Talán a biztonsági őrnél elhelyezett listák és az arcmemóriára való hagyatkozás ideje már lejárt, így célszerű valamilyen beléptető rendszer telepítése, ami csökkenti a hibák lehetőségét. Meg kell határozni azt is, hogy a belépésre jogosult személyek, dolgozók milyen módon azonosítják magukat a könnyebb ellenőrizhetőség érdekében, célszerű például jól látható helyen hordott belépőkártya és/vagy egyenruha viselésének előírása területen belül.

Elengedhetetlen, hogy kidolgozásra kerüljenek különböző cselekvési tervek az egyes rendkívüli események bekövetkeztének esetére, így nem fokozott stresszhelyzetben, az idő szorításában kell majd döntést hozni. Ezeket célszerű gyorsan elérhető helyen, fizikai formában tárolni, például az őrség vezetőjénél vagy más, döntéshozatalra feljogosított személynél, így egy esetleges áramkimaradás vagy az elektronikus adatok elérhetetlenné válása esetén is hozzáférhetőek maradnak.

Ezzel pedig rá is kanyarodhatunk a legújabbkori fenyegetésekre, a kibertámadásokra. Mivel egyre több adatot tárolunk elektronikusan, és sok rendszer, erőmű, közlekedési vállalat egyre inkább automatizáltan működik, ezen adatok elérhetetlenné tétele, illetéktelen törlése vagy ellopása nagyban megzavarhatja vagy akár meg is béníthatja az adott infrastruktúra működését. Fontos tehát ezeket megfelelő védelemmel ellátni a külső behatolással szemben, magától értetődő tehát egy korszerű vírusírtó és tűzfal alkalmazása, valamint biztonsági másolat készítése. Minden védelem azonban annyira erős csak, mint a leggyengébb láncszeme, ami itt nem más, mint az ember. A könnyen felismerhető tömeges spamek után megjelent a célzott adathalászat, az úgynevezett „spear phishing”, ahol az elkövetők célzott adatgyűjtést végeznek az adathalászattal megcélzott személy, munkavállaló kapcsán, majd személyre szabott üzenettel próbálják rávenni, hogy egy fertőzött fájlt, linket megnyisson, valamilyen jelszót vagy adatot megadjon részükre, esetleg pénzt utaljon át. Egy hihető történetet kreálnak, gyakran a célszemély kollégájának, főnökének vagy egy vele kapcsolatban álló cég képviselőjének adják ki magukat, általában sürgető jelleggel azonnali intézkedést kérnek, ami alkalmas lehet arra, hogy az ítélőképességet befolyásolják.³ Szükséges tehát a munkavállalók edukálása a legújabb módszerek, trendek kapcsán, hogy felismerhessék az adathalászati kísérleteket. Metodikát kell továbbá kidolgozni az esetleges adatvesztés bejelentésének módjára, következményeinek csökkentésére, a további veszteségek elhárítására.

A tervezési szakaszt követi a védelem végrehajtása. Fontos leszögezni azonban, hogy a kockázatértékelés nem egyszeri tevékenység; folyamatosan monitorozni szükséges a fennálló helyzetet, körülményeket, elemezni a rendelkezésre álló információkat, szükség szerint felülvizsgálni a kialakított cselekvési terveket.

A védelem mindig szoros együttműködést igényel a tényleges fizikai védelmet általában ellátó biztonsági szolgálat vagy az erre a feladatra rendelt rendőrök, az általános rendőri feladatok ellátására létrehozott szerv, a terrorelhárítási feladatokat ellátó szerv illetve a titkosszolgálatok között, mely főleg az információmegosztáson és a koordináción, a hatáskörök tisztázásán alapul.

A világ, és így a biztonsági helyzet is gyorsabban változik, mint az emberiség történetében valaha, ezért a kritikus infrastruktúra védelméért felelős szakembereknek is naprakésznek, dinamikusnak és rugalmasnak kell lenniük, hogy lépést tarthassanak a napról napra fejlődő fenyegetésekkel.

Felhasznált források:

¹ Az Európai Tanács 2008/114/EK irányelve (2008. december 8.) az európai kritikus infrastruktúrák azonosításáról és kijelöléséről, valamint védelmük javítása szükségességének értékeléséről

² Az Európai Parlament és a Tanács (EU) 2022/2557 irányelve (2022. december 14.) a kritikus szervezetek rezilienciájáról és a 2008/114/EK tanácsi irányelv hatályon kívül helyezéséről

³ What is spear phishing? (https://www.cisco.com/site/us/en/learn/topics/security/what-is-spear-phishing.html)