Operations Security (OPSEC) – czym jest i jak stosować ją w firmie

Operations Security (OPSEC), po polsku bezpieczeństwo operacyjne, to proces, w którym patrzysz na własną organizację oczami przeciwnika i ograniczasz informacje, które mogłyby mu pomóc. Chodzi przede wszystkim o dane pozornie niewinne i jawne: zdjęcie z biura, ogłoszenie o pracę, autoodpowiedź „jestem na urlopie”, metadane w pliku PDF. Pojedynczo nic nie znaczą, ale złożone razem pokazują atakującemu, w co i kiedy uderzyć.

W tym artykule wyjaśniam, skąd wzięło się OPSEC, jak wygląda jego pięcioetapowy proces, jakie są najczęstsze wycieki w firmach i czym OPSEC różni się od Security Operations Center (SOC), z którym bywa mylone.

Skąd wzięło się OPSEC

Pojęcie narodziło się w armii USA w czasie wojny w Wietnamie. Zespół analityków w ramach operacji o kryptonimie Purple Dragon badał, dlaczego przeciwnik tak często wiedział o planowanych nalotach z wyprzedzeniem. Okazało się, że nie potrzebował szpiegów ani łamania szyfrów – wystarczyły rutynowe, jawne sygnały: wzmożony ruch radiowy, zmiany w zaopatrzeniu, przewidywalne procedury.

Wnioski zamieniono w metodę, którą w 1988 r. w USA sformalizowano dyrektywą NSDD 298 tworzącą narodowy program OPSEC. Z czasem metoda przeszła do administracji i biznesu, a w erze mediów społecznościowych i OSINT (białego wywiadu) stała się jednym z filarów cyberbezpieczeństwa.

Proces OPSEC w 5 krokach

Klasyczny proces OPSEC składa się z pięciu etapów, które powtarza się cyklicznie – na przykład raz w roku albo przy każdym większym projekcie.

1. Identyfikacja informacji krytycznych

Ustal, jakie informacje mogłyby zaszkodzić organizacji, gdyby poznał je przeciwnik. W firmie IT to m.in.:

• struktura sieci, nazwy serwerów, wersje systemów i używane technologie,
• harmonogramy: migracje, wdrożenia, okna serwisowe, urlopy kluczowych osób,
• dane o klientach, przetargach, fuzjach i przejęciach,
• procedury, np. jak dział IT resetuje hasła czy weryfikuje dzwoniącego,
• dane osobowe pracowników i schemat organizacyjny.

2. Analiza zagrożeń

Zastanów się, kto mógłby szukać tych informacji i po co: grupy ransomware, oszuści BEC podszywający się pod zarząd, konkurencja, haktywiści, nieuczciwi byli pracownicy. Każdy z nich ma inne cele i inne możliwości.

3. Analiza podatności

Sprawdź, którędy informacje krytyczne wyciekają lub mogą wyciec. To najbardziej praktyczny etap – w kolejnej sekcji znajdziesz listę typowych kanałów.

4. Ocena ryzyka

Dla każdej podatności oceń prawdopodobieństwo wykorzystania i skutki. Nie wszystko trzeba chronić – ukrycie technologii strony firmowej jest często niemożliwe i mało warte, ale ujawnianie dat migracji systemu płatności już tak.

5. Wdrożenie środków ochrony

Dobierz środki adekwatne do ryzyka: zasady publikacji w mediach społecznościowych, czyszczenie metadanych, zmiana treści ogłoszeń, szkolenia, procedury weryfikacji. Potem wróć do kroku 1 – zmiany w firmie tworzą nowe informacje krytyczne.

Najczęstsze wycieki informacji w firmach – przykłady

To, co w teorii brzmi abstrakcyjnie, w praktyce wygląda bardzo przyziemnie. Najczęstsze kanały wycieku:

• Zdjęcia i nagrania. Selfie z biura z identyfikatorem na smyczy, zdjęcie zespołu na tle tablicy z rysunkiem architektury, karteczka z hasłem przy monitorze w tle wywiadu telewizyjnego. Taki przypadek miał miejsce m.in. we francuskiej telewizji TV5Monde w 2015 r., gdy w relacji z redakcji widoczne były hasła do kont społecznościowych.
• Ogłoszenia o pracę. „Poszukujemy administratora do migracji z Exchange 2016 do Microsoft 365, środowisko VMware 6.7, firewalle FortiGate” – to gotowa lista celów i wersji do sprawdzenia pod kątem podatności.
• Metadane dokumentów. Pliki PDF, DOCX i zdjęcia zawierają nazwy autorów, loginy, ścieżki do udziałów sieciowych, wersje oprogramowania, a zdjęcia z telefonu – współrzędne GPS.
• Autoodpowiedzi e-mail. „Jestem na urlopie do 15.10, w sprawach pilnych proszę o kontakt z Janem Kowalskim, tel. …” – idealny materiał dla oszusta, który zadzwoni do Jana, podając się za przełożonego.
• Media społecznościowe pracowników. Profil na LinkedIn zdradza strukturę działu, technologie i nazwiska osób z dostępem administracyjnym; to podstawowe źródło przy przygotowaniu spear phishingu i ataków socjotechnicznych.
• Publiczne repozytoria i paste’y. Klucze API, hasła w plikach konfiguracyjnych, adresy wewnętrznych systemów w kodzie wrzuconym na GitHub.
• Infrastruktura internetowa. Rekordy DNS i dzienniki Certificate Transparency ujawniają nazwy subdomen, np. vpn-test.firma.pl czy jira-old.firma.pl.
• Dane z aplikacji. Głośny przykład to opublikowana w 2018 r. globalna mapa aktywności aplikacji Strava, na której dało się dostrzec trasy biegowe żołnierzy w bazach wojskowych.
• Rozmowy w miejscach publicznych. Telefoniczne rozmowy o projektach w pociągu, prezentacje na laptopie bez filtra prywatyzującego.

Jak wdrożyć OPSEC w firmie – praktyczne środki

Zrób rekonesans OSINT własnej organizacji

Najlepiej zacząć od sprawdzenia, co o firmie wie internet. Przejrzyj:

• wyniki wyszukiwania z operatorami, np. site:firma.pl filetype:pdf, site:firma.pl inurl:admin,
• certyfikaty wystawione dla domeny w serwisie crt.sh (dzienniki Certificate Transparency),
• profile firmy i pracowników w mediach społecznościowych i na portalach z ofertami pracy,
• publiczne repozytoria kodu pod kątem nazwy firmy i domeny,
• bazy wycieków danych pod kątem firmowych adresów e-mail.

Wnioski zapisz i potraktuj jako wynik kroku 3 procesu OPSEC.

Usuwaj metadane z publikowanych plików

Przed publikacją dokumentu użyj w Microsoft Word opcji Plik → Informacje → Sprawdź, czy są problemy → Przeprowadź inspekcję dokumentu i usuń właściwości oraz informacje osobiste. Zdjęcia i inne pliki wyczyścisz narzędziem ExifTool:

# Podgląd metadanych
exiftool raport.pdf

# Usunięcie wszystkich metadanych ze zdjęcia (tworzy kopię zapasową _original)
exiftool -all= zdjecie.jpg

Ustal zasady publikacji

• Zdjęcia z biura, serwerowni i wydarzeń firmowych przed publikacją przegląda ktoś, kto wie, czego szukać (ekrany, tablice, identyfikatory, dokumenty na biurkach).
• Ogłoszenia rekrutacyjne opisują kompetencje („doświadczenie z wirtualizacją i Microsoft 365”), a nie dokładne wersje i nazwy systemów.
• Autoodpowiedzi zewnętrzne są krótkie i ogólne, bez numerów telefonów prywatnych i dat powrotu, jeśli nie są konieczne.
• Polityka czystego biurka i ekranu: blokada ekranu przy odejściu od komputera, brak haseł na karteczkach.

Zasada wiedzy koniecznej i klasyfikacja informacji

Im mniej osób zna informację krytyczną, tym mniejsza szansa wycieku. Wprowadź prostą klasyfikację (np. publiczne, wewnętrzne, poufne) i dopasuj do niej uprawnienia w systemach. Tam, gdzie dane służą do testów czy analiz, rozważ anonimizację danych osobowych.

Szkolenia oparte na prawdziwych przykładach

Najskuteczniej działają szkolenia, na których pracownicy widzą, co da się znaleźć o ich własnej firmie. Abstrakcyjne „uważaj, co publikujesz” nie działa tak dobrze jak pokazanie zdjęcia z firmowego profilu z czytelnym loginem na ekranie.

Wskazówka: OPSEC nie polega na ukrywaniu wszystkiego. Firma musi rekrutować, promować się i komunikować z klientami. Celem jest świadoma decyzja, co ujawniasz, a nie milczenie.

OPSEC dotyczy też osób prywatnych. O tym, jak z rozproszonych informacji w sieci składa się profil konkretnej osoby, piszemy w artykułach o doxingu i cyfrowym śladzie.

OPSEC a SOC i SecOps – czym się różnią

Nazwy są podobne, więc łatwo je pomylić:

SOC to centrum, w którym analitycy – zwykle podzieleni na linie wsparcia L1, L2 i L3 – całodobowo analizują alerty z systemów SIEM, EDR i NDR, prowadzą threat hunting, czyli aktywne wyszukiwanie śladów ataków, i koordynują reakcję na incydenty. Wykorzystują przy tym m.in. wskaźniki kompromitacji (IOC). Firma może zbudować własny SOC albo kupić usługę zewnętrzną (SOC as a Service, MDR), co dla mniejszych organizacji jest zwykle bardziej realne kosztowo i kadrowo.

OPSEC i SOC się uzupełniają. OPSEC zmniejsza ilość informacji, na podstawie których atakujący przygotowuje kampanię, a SOC wykrywa atak, który mimo to się zaczął.

OPSEC z perspektywy atakującego

W branży bezpieczeństwa ofensywnego termin OPSEC ma też drugie znaczenie: dyscyplinę red teamu i pentesterów, którzy starają się nie zostawiać śladów i nie wywoływać alertów podczas testu. To dobra wskazówka dla obrońców – jeśli atakujący dbają o swoje OPSEC, Twoje zespoły powinny dbać o swoje.

Od czego zacząć – lista kontrolna

1. Spisz 10–20 informacji krytycznych dla firmy (krok 1).
2. Zrób rekonesans OSINT domeny, firmy i kluczowych pracowników.
3. Przejrzyj szablony ogłoszeń o pracę i autoodpowiedzi.
4. Wprowadź czyszczenie metadanych w plikach publikowanych na stronie.
5. Ustal zasady publikacji zdjęć i przeszkol osoby prowadzące media społecznościowe.
6. Sprawdź publiczne repozytoria i rekordy DNS pod kątem zapomnianych systemów.
7. Powtórz proces po roku lub przy dużej zmianie w organizacji.