Jeden wadliwy plik kanału unieruchomił 8,5 miliona maszyn Windows, uziemił samoloty i zamroził biura handlowe. W świetle DORA pytanie nie brzmi już 'czyja wina?' lecz 'gdzie była twoja symulacja?'
19 lipca 2024 r. wadliwa aktualizacja zawartości w powszechnie stosowanym agencie bezpieczeństwa punktów końcowych sprawiła, że około 8,5 miliona systemów Windows stało się niezdolnych do uruchomienia w ciągu kilku godzin. Linie lotnicze uziemiły swoje floty, szpitale wróciły do papieru, a instytucje finansowe odkryły, że jeden plik zewnętrzny może zrobić to, czego żaden atakujący nie zdołał dokonać. Żadnego przeciwnika, żadnego złośliwego oprogramowania, żadnego naruszenia — to właśnie sprawia, że jest to najczystsze studium przypadku odporności dekady.
Incydent
Jeden dostawca, jeden plik kanału, jedna globalna dystrybucja. Aktualizacja dotarła do każdej maszyny uruchamiającej agenta w praktycznie tym samym momencie, a tryb awarii był całkowity: niebieski ekran, pętla rozruchowa, ręczne odtwarzanie na urządzenie. Skala przekształciła defekt oprogramowania w infrastrukturalne zjawisko atmosferyczne.
Interpretacja regulacyjna
Unijne rozporządzenie o cyfrowej odporności operacyjnej (DORA) nie czerpie żadnej pociechy z nieobecności atakującego. Jego podstawowym wymogiem wobec podmiotów finansowych jest to, aby zakłócenia ICT, złośliwe lub nie, były przewidywane, znoszone i naprawiane. Trzy z jego filarów są bezpośrednio zaangażowane: ryzyko stron trzecich w zakresie ICT (wadliwy komponent znajdował się głęboko w łańcuchu dostaw prawie każdej instytucji, często poniżej poziomu widoczności kontraktowej), testowanie cyfrowej odporności (testy scenariuszowe muszą obejmować poważne, ale wiarygodne zakłócenia; jednoczesna awaria agenta punktów końcowych była wiarygodna, poważna i niemal nigdzie nie symulowana) oraz raportowanie incydentów (instytucje miały godziny, nie dni, na zrozumienie i sklasyfikowanie własnego narażenia).
Co zmieniłoby obliczenie
Zależność była poznawalna: pełny inwentarz aktywów pokazuje tego samego agenta na każdym punkcie końcowym, czyli jeden punkt skorelowanej awarii. Promień zniszczeń był obliczalny: symulacja Monte Carlo na tym inwentarzu, taka jaką DORA-MAST przeprowadza dla podmiotów finansowych, a cVaR dla każdej branży, wycenia scenariusz "zaufany agent zawodzi wszędzie naraz" w kategoriach strat finansowych, zamieniając niejasne obawy w liczbę na poziomie zarządu. A odtwarzanie jest szybsze, gdy dostępne są dowody: instytucje, które dokładnie wiedziały, które maszyny uruchamiają którą wersję agenta, odzyskały sprawność w godzinach; te, które odtwarzały swój park z arkuszy kalkulacyjnych, potrzebowały dni. Zautomatyzowane gromadzenie dowodów utrzymuje tę odpowiedź aktualną.
Przewiduj, symuluj, naprawiaj z wyprzedzeniem: żadna z tych czynności nie wymagała jasnowidzenia. Wymagała inwentarza, modelu i woli obliczenia nieszczęsnej ścieżki przed jej przeżyciem.