Case study · Paliwa i energia

Weryfikacja bezpieczeństwa w sektorze paliw i energii

Circle K — międzynarodowa sieć stacji paliw i sklepów convenience, z silnym polskim hubem inżynieryjnym. Własne zespoły wytwórcze, rozbudowany zespół testerski i sieć Security Championów.

Sektor: Paliwa i energia Zakres: Warsztaty PMZ + transformacja QA Temat: Weryfikacja bezpieczeństwa

01 — Punkt startowy

Najpierw rozmowa, potem dwa szkolenia.

Współpraca z Circle K zaczęła się od rozmowy diagnostycznej. Po niej klient zamówił 4 warsztaty z modelowania zagrożeń dla Security Championów.

Następnie Circle K zleciło program szkoleniowy z testowania bezpieczeństwa dla 20-osobowego zespołu testerów i inżynierów QA. Zespół miał solidne doświadczenie w testach funkcjonalnych.

Trigger. Oba programy, dla Security Championów i dla zespołu QA, były częścią szerszej inicjatywy cyberbezpieczeństwa po stronie Circle K, prowadzonej m.in. w kontekście NIS2. Były to dwa osobne projekty, dla dwóch różnych zespołów.

02 — Co zrobiliśmy razem

Cztery warsztaty dla Security Championów i sześć tygodni z zespołem QA.

Security Championi: modelowanie zagrożeń

Dla Security Championów przeprowadziliśmy w biurze klienta 4 całodniowe warsztaty z praktyki modelowania zagrożeń w formule Threat Modeling Workshop, po jednym dla każdej z 4 grup. Certyfikat ukończenia dostały 34 osoby. Każdy warsztat kończył się ćwiczeniem na architekturach systemów Circle K. Uczestnicy w podgrupach samodzielnie budowali w nim model zagrożeń. Circle K dostało po warsztatach raport poszkoleniowy z obserwacjami i rekomendacjami.

Zespół QA: testowanie bezpieczeństwa

Zespół QA przeszedł QA Security Testing Transformation, czyli program oparty na kursie OTWA (Ofensywne Testowanie Web Aplikacji). Przez 6 tygodni pracował w kohorcie, z cotygodniowymi spotkaniami na żywo i materiałem obejmującym OWASP Top 10, ASVS i WSTG.

Na zakończenie zespół podzielił się na 4 podgrupy. Każda przetestowała aplikację szkoleniową i napisała raport z testów bezpieczeństwa, z częścią biznesową i techniczną oraz spójną oceną krytyczności. Raporty zrecenzowaliśmy i omówiliśmy z zespołem. Cały program oparliśmy na narzędziach open source, więc zespół może z nich dalej korzystać bez kosztów licencji. O certyfikacie z wyróżnieniem decydował oddany raport, a nie obecność. Zespołowi przekazaliśmy wprost zasadę: „Raport nie musi być idealny. Musi być".

03 — Co się zmieniło

Umiejętności zostały w zespołach. Kolejny krok to proces.

Security Championi potrafią zbudować model zagrożeń bez wsparcia prowadzącego. Zrobiły to wszystkie 4 grupy w ćwiczeniu końcowym. W każdej grupie są osoby, które poradziłyby sobie z poprowadzeniem sesji modelowania zagrożeń w swoim zespole.
Zespół QA napisał 4 kompletne raporty z testów bezpieczeństwa. To dowód, że umie przejść całą drogę, od znalezienia podatności, przez jej udokumentowanie i ocenę krytyczności, po opis w raporcie.
Zespół QA jest przygotowany, żeby wyłapywać w sprincie podstawowe klasy podatności na bazie OWASP Top 10 i ASVS poziomu 1.

Raport poszkoleniowy z warsztatów wskazał też, co czeka Security Championów. Części z nich przydałyby się jeszcze 1–2 sesje praktyczne, żeby pewnie prowadzić modelowanie zagrożeń w swoich zespołach. Kolejnym krokiem byłoby zaprojektowanie procesu modelowania zagrożeń w organizacji. Rekomendacje z raportu podpowiadają, kiedy robić sesję, kto ma korzystać z jej wyników i jaką rolę ma pełnić zespół bezpieczeństwa.

Słowami klienta

„Szkolenie było bardzo merytoryczne i wyczerpujące temat na tę ilość czasu, jaką mogliśmy spędzić w salce. Na pewno pozwoliło naszym Championom na spojrzenie na sprawy bezpieczeństwa systemów, które budują, w nowy sposób."