BEZPIECZEŃSTWO W UNWASTE

Bezpieczeństwo projektujemy jako system, nie jako listę pojedynczych zabezpieczeń

W Unwaste bezpieczeństwo informacji jest częścią sposobu, w jaki projektujemy, rozwijamy i utrzymujemy nasze rozwiązania.

Nie sprowadzamy bezpieczeństwa do zastosowania konkretnego narzędzia, firewalla czy szyfrowania. Patrzymy na nie jako na ciągły proces zarządzania ryzykiem, obejmujący technologię, ludzi, organizację, dostawców i sposób reagowania na zdarzenia.

Do systematycznej oceny naszego podejścia wykorzystujemy strukturę zabezpieczeń ISO/IEC 27001:2022, a obszary cyberbezpieczeństwa analizujemy również z perspektywy zagadnień objętych dyrektywą NIS2.

Chcesz poznać pełniejszy obraz naszego podejścia do bezpieczeństwa?

Zwróć się o udostępnienie Deklaracji Stosowania (Statement of Applicability – SoA), w której przedstawiamy zabezpieczenia analizowane przez Unwaste według struktury Załącznika A do ISO/IEC 27001:2022.

Ze względów bezpieczeństwa zakres udostępnianych informacji może zostać dostosowany tak, aby nie ujawniać danych, które mogłyby zwiększyć ryzyko dla naszych systemów.

Bezpieczeństwo zaczyna się od architektury

Jedną z istotnych cech rozwiązań Unwaste jest architektura local-first. Zasadnicza część danych dotyczących funkcjonowania instalacji energetycznej może pozostawać w lokalnym środowisku użytkownika i nie musi być automatycznie przekazywana do infrastruktury Unwaste.

Usługi chmurowe wykorzystywane są przede wszystkim tam, gdzie jest to potrzebne do realizacji określonych funkcjonalności – np. zdalnego dostępu, synchronizacji wybranych ustawień, zarządzania kontem czy obsługi serwisowej.

To dla nas ważna zasada bezpieczeństwa: dane, których nie musimy otrzymywać, nie powinny trafiać do naszej infrastruktury tylko dlatego, że technicznie byłoby to możliwe.

1. Zarządzamy bezpieczeństwem w sposób uporządkowany

Bezpieczeństwo traktujemy jako proces zarządczy. Identyfikujemy aktywa, analizujemy ryzyka, określamy odpowiedzialności i rozwijamy wewnętrzne zasady postępowania z informacją.

Do porządkowania tego procesu wykorzystujemy systematykę ISO/IEC 27001:2022. Obejmuje ona zarówno zabezpieczenia już funkcjonujące operacyjnie, jak i obszary, w których formalizujemy, dokumentujemy lub rozwijamy istniejące praktyki.

Takie podejście pozwala nam nie tylko pytać „czy mamy dane zabezpieczenie?”, ale również: czy jest ono adekwatne do ryzyka, czy działa w praktyce, kto za nie odpowiada i jak możemy je ulepszyć?

2. Dostęp tylko tam, gdzie jest potrzebny

Stosujemy zasadę need-to-know. Dostęp do informacji i systemów jest ograniczany do osób, które potrzebują go do realizacji powierzonych zadań.

W praktyce wykorzystujemy m.in. zarządzanie rolami i uprawnieniami, uwierzytelnianie użytkowników, ograniczanie dostępu do środowisk i danych produkcyjnych oraz kontrolę dostępu do infrastruktury i zasobów. Polityka Unwaste przewiduje również, że dostęp pracowników i współpracowników do danych użytkownika może następować wyłącznie w określonych przypadkach, takich jak realizacja usługi, wsparcie techniczne, usuwanie awarii czy zapewnienie bezpieczeństwa.

Rozwijamy jednocześnie formalne mechanizmy zarządzania całym cyklem życia uprawnień – od ich nadania, przez okresową kontrolę, aż po odebranie po zmianie roli lub zakończeniu współpracy.

3. Chronimy komunikację i infrastrukturę

Komunikację z systemami chronimy przy użyciu mechanizmów kryptograficznych, w tym bezpiecznych protokołów komunikacyjnych. Zdalny dostęp wymaga ustanowienia zabezpieczonego połączenia i uwierzytelnienia użytkownika.

Stosujemy również segmentację sieci i separację określonych obszarów infrastruktury. Środowiska developerskie, testowe i produkcyjne są rozdzielane, a dostęp do danych produkcyjnych podlega szczególnym ograniczeniom.

Nasze podejście do kryptografii i ochrony infrastruktury jest rozwijane wraz ze zmianami technologicznymi oraz wynikami analizy ryzyka.

4. Rejestrujemy zdarzenia i monitorujemy bezpieczeństwo

Logi są dla nas jednym z podstawowych źródeł informacji o stanie systemów. Rejestrujemy informacje pozwalające diagnozować problemy, identyfikować zdarzenia związane z bezpieczeństwem oraz analizować działanie usług.

W zależności od systemu mogą to być m.in. informacje o czasie zdarzenia, adresie IP, rodzaju operacji, urządzeniu, błędach oraz zdarzeniach bezpieczeństwa.

Monitoring nie służy nieuzasadnionej obserwacji użytkowników. Dane techniczne wykorzystujemy w zakresie potrzebnym do utrzymania usług, diagnozowania problemów, poprawy stabilności i zapewnienia bezpieczeństwa.

5. Zarządzamy podatnościami i aktualizacjami

Cyberbezpieczeństwo zmienia się każdego dnia, dlatego bezpieczeństwo systemu nie kończy się w momencie jego wdrożenia.

Monitorujemy informacje o podatnościach i zagrożeniach oraz podejmujemy działania w przypadku zidentyfikowania informacji istotnych dla wykorzystywanej technologii. Aktualizujemy komponenty i biblioteki oraz rozwijamy proces zarządzania podatnościami.

Rozwijamy także mechanizmy threat intelligence, tak aby informacje o nowych zagrożeniach były w coraz większym stopniu pozyskiwane, oceniane i wykorzystywane w sposób systematyczny.

6. Bezpieczeństwo jest częścią rozwoju oprogramowania

Zmiany w naszych rozwiązaniach przechodzą uporządkowany proces obejmujący określenie wymagań, development, testowanie, wersjonowanie i zatwierdzenie przed wydaniem.

Oddzielamy środowiska development, test i production, ograniczamy dostęp do produkcji, a do testowania nie wykorzystujemy danych produkcyjnych.

Rozwijamy ten model w kierunku coraz pełniejszego Secure Development Lifecycle – obejmującego formalizację wymagań bezpieczeństwa aplikacji, zasad secure-by-design i secure coding oraz rozszerzanie metod weryfikacji bezpieczeństwa.

Nie traktujemy tego obszaru jako zakończonego projektu. Bezpieczny rozwój oprogramowania jest procesem, który powinien dojrzewać razem z produktem i zmieniającym się krajobrazem zagrożeń.

7. Przygotowujemy się również na sytuację, w której coś pójdzie niezgodnie z planem

Dojrzałe podejście do bezpieczeństwa nie polega na założeniu, że incydent nigdy się nie wydarzy.

Dlatego stosujemy mechanizmy tworzenia kopii zapasowych, monitorowania systemów i zdarzeń oraz procedury reagowania na incydenty. Polityka Unwaste wymienia wprost kopie zapasowe, rejestrowanie zdarzeń, monitoring, zarządzanie podatnościami oraz reagowanie na incydenty jako elementy stosowanego modelu bezpieczeństwa.

Rozwijamy również rozwiązania dotyczące ciągłości działania i odtwarzania usług tak, aby odporność organizacji obejmowała nie tylko zapobieganie incydentom, ale także zdolność do odpowiedniej reakcji i powrotu do normalnego działania.

8. Bezpieczeństwo obejmuje również naszych dostawców

Bezpieczeństwo systemu jest tak silne, jak istotne elementy jego łańcucha dostaw. Dlatego ryzyko związane z usługami zewnętrznymi traktujemy jako część naszego własnego modelu zarządzania ryzykiem.

Analizujemy dostawców infrastruktury, usług IT i innych istotnych usług pod kątem zakresu powierzanych im informacji, stosowanych zabezpieczeń i charakteru świadczonych usług. Polityka Unwaste przewiduje, że dostawcy działający na rzecz spółki otrzymują dane wyłącznie w zakresie potrzebnym do realizacji powierzonych zadań i na podstawie odpowiednich umów.

Ten obszar rozwijamy zgodnie z podejściem do bezpieczeństwa łańcucha dostaw, które jest istotnym elementem zarówno ISO/IEC 27001, jak i modelu zarządzania ryzykiem cyberbezpieczeństwa przewidzianego przez NIS2.

9. Ludzie są częścią systemu bezpieczeństwa

Technologia nie zastępuje odpowiedzialności człowieka.

Dostęp do informacji wiążemy z określonymi rolami i zakresem obowiązków. Osoby uzyskujące dostęp do danych i systemów są zobowiązane do zachowania poufności, a zasady dostępu i korzystania z zasobów są rozwijane i formalizowane wraz z dojrzewaniem naszego systemu zarządzania bezpieczeństwem.

Rozwijamy również program świadomości i szkoleń dotyczących cyberbezpieczeństwa – zarówno dla osób technicznych, jak i dla kierownictwa.

10. Bezpieczeństwo fizyczne też ma znaczenie

Cyberbezpieczeństwo nie zaczyna się dopiero po zalogowaniu do systemu.

Uwzględniamy ochronę urządzeń, miejsc pracy i infrastruktury, zasady czystego ekranu i blokowania urządzeń, kontrolę dostępu oraz bezpieczeństwo sprzętu wykorzystywanego poza siedzibą.

Tam, gdzie charakter pracy tego wymaga, rozwijamy również zasady dotyczące urządzeń mobilnych, pracy zdalnej, nośników danych oraz bezpiecznego wycofywania sprzętu z użytkowania.

11. ISO/IEC 27001 daje nam wspólny język bezpieczeństwa

Wykorzystujemy Załącznik A do ISO/IEC 27001:2022 jako systematykę kontroli bezpieczeństwa. Dzięki temu bezpieczeństwo możemy analizować w pełnym przekroju: od zarządzania i ludzi, przez aktywa, dostawców i bezpieczeństwo fizyczne, po sieci, kryptografię, monitoring, rozwój oprogramowania, zarządzanie zmianą i ciągłość działania.

Świadomie wykorzystujemy uznany międzynarodowy standard jako punkt odniesienia do oceny, porządkowania i ciągłego rozwoju naszych zabezpieczeń.

Nasza Deklaracja Stosowania pozwala śledzić ten proces w sposób uporządkowany – wskazując zarówno mechanizmy funkcjonujące obecnie, jak i obszary podlegające dalszej formalizacji i rozwojowi.

12. Patrzymy również przez pryzmat NIS2

W naszym podejściu uwzględniamy obszary zarządzania ryzykiem cyberbezpieczeństwa odpowiadające systematyce NIS2 – w szczególności analizę ryzyka, reagowanie na incydenty, ciągłość działania i odtwarzanie po awarii, bezpieczeństwo łańcucha dostaw, bezpieczeństwo rozwoju i utrzymania systemów, zarządzanie podatnościami, ocenę skuteczności zabezpieczeń, cyberhigienę i szkolenia, kryptografię, kontrolę dostępu oraz bezpieczną komunikację.

Traktujemy te wymagania przede wszystkim jako dobry model zarządzania ryzykiem technologicznym, niezależnie od zakresu, w jakim określone obowiązki prawne mają zastosowanie do konkretnej działalności Unwaste.

Bezpieczeństwo nie jest stanem końcowym

Nie chcemy komunikować bezpieczeństwa tylko poprzez hasło „jesteśmy bezpieczni”. W świecie technologii takie stwierdzenie byłoby zbyt proste.

Nasze podejście jest inne: identyfikujemy ryzyka, wdrażamy adekwatne zabezpieczenia, sprawdzamy ich działanie i rozwijamy je wraz z technologią, produktem oraz zmieniającymi się zagrożeniami.

Dlatego częścią naszego modelu są zarówno działające zabezpieczenia techniczne, jak i proces ciągłego doskonalenia – formalizacja procedur, rozwój monitoringu, bezpieczeństwa procesu wytwarzania oprogramowania, zarządzania podatnościami oraz metod niezależnej weryfikacji zabezpieczeń.

Chcesz wiedzieć więcej?

Zwróć się do nas o udostępnienie Deklaracji Stosowania (Statement of Applicability – SoA).

Dokument przedstawia bezpieczeństwo Unwaste według systematyki zabezpieczeń ISO/IEC 27001:2022 i pozwala uzyskać bardziej szczegółowy obraz obszarów podlegających naszej ocenie.

Nie ujawniamy publicznie informacji technicznych, których publikacja mogłaby sama w sobie obniżyć bezpieczeństwo naszych systemów – transparentność musi iść w parze z odpowiedzialnością. Tę samą zasadę przyjmuje obecna Polityka Prywatności.

Kontakt: hello@unwaste.energy