Miks on küberturbe strateegiline prioriteet vee- ja kanalisatsioonisektoris muutunud?

Digitaalsete muutuste eestvedamisel integreerivad Brasiilia kommunaalettevõtted üha enam nutikaid tehnoloogiaid – alates kaugandurite ja telemeetriasüsteemidest kuni integreeritud automatiseerimise platvormideni –, et oma toiminguid optimeerida ja kaotusi vähendada. Probleem seisneb selles, et see edasiminek suurendab küberrünnakute pinda ja sektor, mis on küberkuritegijate poolt üha enam sihtrühmaks, võib sattuda häkkerite rünnakute ohvriks.

Tulemuseks on see, et küberturvalisust ei käsitleta enam pelgalt IT-tehnilise küsimusena, vaid veekeskkonnaettevõtetes strateegilise prioriteedina. Veeettevõtted tegelevad nüüd keerukate küberohtudega, mis on sageli suunatud pumbasüsteemide, puhastamise või kvaliteedikontrolli süsteemide häirimiseks või manipuleerimiseks.  

Kriitiline infrastruktuur ohus: küberrünnakud on tõusuteel

Statistika kinnitavad küberrünnakute globaalset eskaleerumist elutähtsate teenuste pakkujate vastu, sealhulgas ka kanalisatsioonifirmade vastu. Check Pointi uuringu kohaselt kannatasid energia- ja kommunaalteenuste sektorid 2025. aastal ülemaailmselt keskmiselt 1872 rünnakukatset nädalas organisatsiooni kohta, mis on 531% suurem võrreldes eelmise aasta sama perioodiga.  

Brasiilia utiliidi sektoris registreeriti septembri 2024 ja veebruari 2025 vahel umbes 3059 nädalast rünnakukatset organisatsiooni kohta. Üheks põhjuseks on sellise infrastruktuuri strateegiline atraktiivsus: kurjategijad eelistavad sihtmärke, mis võivad põhjustada ulatuslikke katkestusi ja kahjusid, sest nad teavad, et ühiskond nõuab kiireid lahendusi – mis sageli tähendab lunaraha maksmist teenuste taastamiseks.

Paljudes veekontsessioonärid, eriti need, mis teenindavad väikeseid või keskmise suurusega elanikke, töötavad vananenud juhtimissüsteemidega, mida kunagi polnud projekteeritud praeguse küberohtude stsenaariumi vastu pidama. SCADA-võrgud, programmeeritavad loogilised kontrollerid (PLC-d) ja kaugjuurdepääsu väravad sageli puuduvad põhilistest turvameetmetest, näiteks krüpteeritud suhtlusest või tugevatest autentimismehhanismidest.  

Turvalisuse värskendused ja parandused on haruldased või teostatamatud, kuna süsteemid peavad olema töös ja arvestada tuleb ka ühilduvusega. Selle olukorra tõttu on valdkonnapõhised riskihindamised ja süsteemiauditid olulised, et mõista ja leevendada nõrkusi.

Tegelik mõju: teenuste katkestus, saastumine ja mainekahjustus

Küberrünnakud kanalisatsioonisüsteemide vastu ei ole pelgalt teoreetilised ohud, vaid on juba reaalseid tagajärgi põhjustanud. Illustratiivne juhtum leidis aset 2021. aasta veebruaris Oldsmaris, Floridas (USA), kus ründaja sai kaugjuurdepääsu veepuhastussüsteemile ja üritas järsult suurendada naatriumhüdroksiidi (kaustilise sooda) doosi joogivees – 100 ppm-st 11 000 ppm-ni.  

Kui meeskond seda muudatust kohe ei avastanud, oleks see joogivee mürgitanud, põhjustades tõsiseid ärritusi, kopsukahjustusi ja isegi pimedaksjäämisohtu elanikkonnale. Õnneks märkasid ametivõimud muudatust õigeaegselt ja tühistasid selle enne, kui saastunud vesi kraanidest välja voolas.  

Küberturvarünnakud võivad veevarustust täielikult katkestada või selle toimimist raskendada isegi ilma saastumist põhjustamata. Suurbritannias, 2022. aasta augustis, sattus üle 1,6 miljoni inimesega ühendatud veevarustust pakkuv ettevõte South Staffordshire Water lunavara rünnaku ohvriks, mis mõjutas selle IT-süsteeme. Kurjategijad väitsid, et neil oli ligipääs ka OT-võrgule, sealhulgas vee keemilise koostise jälgimissüsteemidele.

Kuigi rünnak ei põhjustanud kohest veepuudust, oli reageerimiseks kulunud aeg ja tekkinud ebakindlus äärmiselt kahjulikud. Sellised olukorrad toovad kaasa lisakulusid, hädaolukordade meeskondade mobiliseerimise ja tarbijate usalduse languse. Avalik arusaam, et "häkkerid tungisid veesüsteemi", võib kahjustada veevarustuse ettevõtte mainet aastateks.

Kaitsestrateegiad

Ettevõtted on oma toimingute kaitsmiseks hakanud kasutama edasiarendatud küberturbe strateegiaid. Üks tõhusamaid lähenemisviise on nullusaldus arhitektuur, mis lähtub põhimõttest, et ühelegi juurdepääsule – olgu see siis kasutaja, seadme või rakenduse poolt – ei tohiks vaikimisi usaldada, isegi kui see on juba võrgus.

Teine sammas on IT (infotehnoloogia) ja OT (operatsioonitehnoloogia) võrkude segmenteerimine. Tööstuskeskkondade eraldamine ülejäänud korporatiivsest struktuurist raskendab oluliselt rünnakute levikut.  

Paljudel juhtudel on ettevõtetel siiski vaja teha põhjalikumat infrastruktuurianalüüsi, mis hõlmab varade inventuuri ja klassifitseerimist ning võrguarhitektuuri ülevaatamist. Selle põhjal on võimalik lisaks edasijõudnumate tehnoloogiate valimisele teha ka OT-keskkondade ohu modelleerimist ja intsidentide vastuse kavade väljatöötamist. Välised eksperdid, kellel on kogemusi tööstussüsteemidega, saavad neid teenuseid pakkuda ilma et see ohustaks operatiivset järjepidevust.

Veede- ja kanalisatsioonisektor täidab riigi infrastruktuuris ainulaadset rolli: see on hädavajalik rahvatervise seisukohast, äärmiselt detsentraliseeritud ja töötab tehnoloogilise ökosüsteemiga, mis on nii mitmekesine kui ka keeruline. Arvestades pidevalt arenevaid küberohtusid, on selle sektorile hädavajalik oma digitaalse turvalisuse lähenemisviisi küpsemisele viia. Varem täiendava toena peetud sõltumatu tehniline ekspertiis on tänaseks saanud oluliseks teguriks teenuste jätkumise tagamiseks, elanikkonna usalduse säilitamiseks ja operatiivse vastupanuvõime tugevdamiseks üha keerukamaks muutuvate riskide ees.

Eduardo Gomes, Küberturvalisuse Juht TÜV Rheinlandis