OPSEC — co to jest, 5 kroków i przykłady błędów

OPSEC (Operational Security, po polsku: bezpieczeństwo operacyjne) to metodyka ochrony informacji polegająca na identyfikowaniu tego, co warto ukryć — zanim zrobi to za Ciebie atakujący. Termin pochodzi z wojska USA, ale dziś stosują go firmy, dziennikarze, aktywyści i każda osoba, która chce świadomie kontrolować swoje dane. Podstawowa zasada OPSEC brzmi: nie każda informacja jest tajna, ale każda informacja może być użyteczna dla przeciwnika.

Co to jest OPSEC — definicja

OPSEC to proces składający się z pięciu kroków, który pozwala zidentyfikować, analizować i chronić informacje wrażliwe przed nieuprawnionym ujawnieniem. W odrożnieniu od tradycyjnego bezpieczeństwa informacji, OPSEC skupia się nie tylko na danych „tajnych”, ale również na pozornie niewinnych szczegółach, które złożone razem tworzą kompletny obraz — niebezpieczny dla organizacji lub osoby.

Przykład: adres biura, lista klientów i harmonogram spotkań CEO — każda z tych informacji z osobna jest trywialna. Razem dają komuś możliwość zaplanowania ataku, kradzieży lub szantażu.

Historia OPSEC — skąd pochodzi ten termin

Pojęcie OPSEC zostało sformalizowane w latach 60. XX wieku przez wojsko Stanów Zjednoczonych podczas wojny wietnamskiej. Dowódcy zauważyli, że amerykańskie siły zbrojne regularnie przegrywają operacje — nie dlatego, że Wietkong złamał kody, ale dlatego, że analizował publicznie dostępne informacje: ogłoszenia o urlopach żołnierzy, zamówienia na żywność, rozkłady lotów. Z tych pozornie nieszkodliwych danych składał obraz nadchodzącej operacji.

W odpowiedzi amerykańska armia uruchomiła Operation Purple Dragon — pierwszy formalny program OPSEC. NSA (Agencja Bezpieczeństwa Narodowego USA) później skodyfikowała pięciokrokową metodykę, która jest stosowana do dziś — zarówno w wojsku, jak i w sektorze prywatnym.

Pięć kroków OPSEC

Klasyczna metodologia OPSEC składa się z pięciu etapów, które tworzą ciągły cykl:

1. Identyfikacja informacji krytycznych — co chronimy? Nie tylko hasla i dane klientów, ale również: struktura organizacyjna, harmonogramy projektów, informacje o dostawcach, plany wydawnicze, dane o pracownikach. Na tym etapie pytasz: co wiedza o mnie lub mojej firmie mogłaby zaszkodzić?
2. Analiza zagrożeń — kto może chcieć tych informacji? Konkurencja, hakerów, dziennikarz, pracownik z urżalem, państwowy wywiad? Każdy aktor ma inne motywacje i zdolności — zagrożenia należy oceniać osobno.
3. Analiza podatności — gdzie przecieka informacja? Media społecznościowe pracowników, publiczne przetargi, wywiady prasowe, metadane dokumentów, polityka urlopowa widoczna na Facebooku. To etap, na którym organizacja szuka dziur w swoim opłotkowaniu.
4. Ocena ryzyka — które podatności są krytyczne? Nie każdą da się załatać — ważyaną jest prawdopodobieństwo ataku vs. koszt osłony. Priorytet dostają luki z wysokim prawdopodobieństwem i dużymi skutkami.
5. Wdrożenie środków ochrony — konkretne działania: szkolenia, procedury, ograniczenie dostępów, polityki publikowania w mediach społecznościowych, szyfrowanie, monitoring. Cykl wraca do kroku 1 — OPSEC nie jest projektem z datą zakończenia, to stały proces.

Najczęstsze błędy OPSEC — przykłady

Błędy OPSEC są zaskakująco częste i zdarza się je popełniać nawet doświadczonym firmom:

• LinkedIn i social media — pracownik ogłasza „Właśnie zaczynałem pracę nad nowym projektem dla klienta X”. Dla konkurenta to sygnał, że firma X jest aktywna w danym obszarze.
• Zdjęcia z biura — zdjecie na Instagramie z widocznym ekranem z danymi, tablicą z mapą infrastruktury lub dokumentem z logo klienta.
• Metadane plików — PDF wysłany do przetargu może zawierać w metadanych ścieżkę plików, nazwę serwera wewnętrznego lub login autora.
• Ogłoszenia o pracę — szczegółowy opis stanowiska IT ujawnia stos technologiczny firmy (konkretne wersje oprogramowania, rodzaj chmury). Dla atakującego to mapa do szukania CVE.
• Harmonogramy urlopów i podróży — „Jadę na konferencję do Berlina 15-17 marca” — publikacja tego na social mediach informuje złodzieja, kiedy mieszkanie będzie puste.

OPSEC w firmie — jak wdrążyć

OPSEC w organizacji to nie tylko dział bezpieczeństwa IT — to kultura, którą musi rozumieć każdy pracownik:

• Polityka publikowania w mediach społecznościowych: co wolno pisać o pracy, co jest zakazane.
• Klasyfikacja informacji: które dane są publiczne, wewnętrzne, poufne, ściśle tajne.
• Zasada najmniejszych uprawnień: pracownik ma dostęp tylko do tego, czego potrzebuje — ogranicza to zakres szkód po kompromitacji.
• Procedury wynosiniu laptopów i urządzeń poza siedzibę: szyfrowanie dysku, VPN, zakaz korzystania z publicznych sieci Wi-Fi bez tunelu.
• Regularne audyty: sprawdzanie, co o firmie można znaleźć w Google, LinkedIn, przetargach i rejestrach publicznych.

OPSEC dla osób prywatnych

OPSEC nie jest zarezerwowany dla wojska ani dużych firm. Każda osoba narzeżona, aktywista, dziennikarz lub zwykły użytkownik internetu może zastosować jego zasady:

• Nie publikuj zdjęć z biletów lotniczych z widocznym kodem kreskowym (skanowanie daje dostęp do danych rezerwacji).
• Spróbuj wygooglować swoje imię i nazwisko — co widzi obca osoba? Zarchiwizowane posty, adres zamieszkania z KRS, zdjęcia z imprezy.
• Ogranicz metadane zdjęć: smartfony domyslnie zapisują GPS w metadanych EXIF zdjęć. Wysłanie takiego zdjęcia ujawnia Twój adres domowy.
• Uważaj na „niewinne” pytania w formularzach i ankietach: imię zwierzątka, ulica, przy której się wychowałeś — to częste pytania pomocnicze do resetu hasła.

Źródła:

• Cyberforces — OPSEC, czyli sztuka ochrony danych według armii USA
• cyberwiedza.pl — Operations Security (OPSEC)
• kompetencjecyfrowe.gov.pl — OPSEC — podstawy ochrony informacji w praktyce