Prawie 70,5 tys. podmiotów w wykazie KSC. Teraz czas na realne zabezpieczenia

3 października br. zakończył się termin samorejestracji podmiotów objętych nowelizacją ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). Do 3 kwietnia 2027 roku organizacje muszą przełożyć nowe wymagania na konkretne procedury i zabezpieczenia. Jednym z najważniejszych zadań będzie uporządkowanie dostępu do krytycznych systemów IT, zwłaszcza uprawnień administratorów i zewnętrznych dostawców.

Według danych Ministerstwa Cyfryzacji, na które powołuje się „Rzeczpospolita”, w Wykazie Krajowego Systemu Cyberbezpieczeństwa znajduje się już prawie 70,5 tys. podmiotów. Ponad 8,1 tys. zgłosiło się samodzielnie, a 62,3 tys. wpisano z urzędu. To znacznie więcej niż szacowane wcześniej 35-38 tys. organizacji. Nowe przepisy, wdrażające unijną dyrektywę NIS2, obejmują podmioty kluczowe i ważne m.in. z sektorów energetyki, transportu i ochrony zdrowia.

Od dokumentacji do praktyki

Termin 3 października dotyczył organizacji, które już w dniu wejścia w życie nowelizacji spełniały kryteria ustawowe i musiały złożyć wniosek o wpis. Teraz najważniejszą datą jest wspomniany 3 kwietnia 2027 roku. Do tego czasu podmioty objęte okresem dostosowawczym mają wdrożyć wymagane rozwiązania, w tym system zarządzania bezpieczeństwem informacji, oraz rozpocząć korzystanie z systemu S46.

Dla wielu podmiotów oznacza to konieczność przeanalizowania nie tylko stosowanych zabezpieczeń, ale również sposobu zarządzania dostępem do infrastruktury IT. Organizacje będą musiały ustalić, które systemy mają kluczowe znaczenie dla ich działalności, kto może z nich korzystać i czy przyznane uprawnienia odpowiadają rzeczywistym potrzebom.

„Największym błędem byłoby potraktowanie najbliższych miesięcy wyłącznie jako czasu na przygotowanie dokumentacji. Zgodność z regulacjami powinna mieć przełożenie na rzeczywisty poziom bezpieczeństwa. Jednym z pierwszych obszarów, które warto uporządkować, jest dostęp do najważniejszych systemów: kto go posiada, do jakich zasobów, w jakim celu i czy zakres tych uprawnień nadal odpowiada rzeczywistym potrzebom” – wskazuje Paweł Dawidek, CEO Fudo Security.

Administratorzy i dostawcy pod kontrolą

Szczególnej uwagi wymagają konta uprzywilejowane, z których korzystają administratorzy, integratorzy i zewnętrzne firmy serwisujące infrastrukturę. Problemem są uprawnienia pozostawione po zakończeniu projektu, zmianie obowiązków lub ustaniu współpracy. W efekcie do wrażliwych systemów mogą nadal mieć dostęp osoby, które już go nie potrzebują.

Szczególne znaczenie ma to w przypadku zewnętrznych serwisantów, którzy łączą się z systemami organizacji sporadycznie. Utrzymywanie dla nich stałych uprawnień zwiększa liczbę aktywnych punktów dostępu do infrastruktury, a tym samym może powiększać powierzchnię potencjalnego ataku.

„W praktyce warto rozdzielić dwa pytania: czy dana osoba może mieć dostęp oraz czy potrzebuje go właśnie teraz. Administrator albo zewnętrzny serwisant może być uprawniony do pracy z określonym systemem, ale nie oznacza to, że szerokie uprawnienia powinny pozostawać aktywne przez cały rok. Im bardziej dostęp jest ograniczony do konkretnego zasobu, zadania i czasu, tym mniejsza pozostaje przestrzeń do błędu lub wykorzystania przejętego konta” – mówi Paweł Dawidek.

Liczy się także możliwość odtworzenia działań

Kontrola dostępu nie kończy się na sprawdzeniu, kto zalogował się do systemu. W razie incydentu organizacja powinna móc ustalić, jakie operacje wykonano i jakie były ich skutki. Ma to znaczenie zarówno przy przejęciu konta, jak i błędzie administratora. Dlatego obok regularnego przeglądu uprawnień istotne są rozwiązania pozwalające czasowo przyznawać dostęp, monitorować sesje administracyjne i odtwarzać przebieg działań użytkowników uprzywilejowanych.

Do kwietnia 2027 roku organizacje muszą więc nie tylko wdrożyć formalne wymagania, lecz także sprawdzić, czy potrafią skutecznie zarządzać dostępem do kluczowych zasobów.

„Polityka bezpieczeństwa może być dobrze opisana, a jednocześnie szybkie ustalenie, ilu administratorów ma dostęp do kluczowego systemu, którzy zewnętrzni dostawcy nadal posiadają uprawnienia i jaki jest ich zakres, nie zawsze jest oczywiste. Możliwość udzielenia na takie pytania jasnej odpowiedzi pokazuje, na ile kontrola dostępu działa również w praktyce” – podsumowuje Paweł Dawidek.