Ocena w terenie według formalnego protokołu: dziewięć faz, trzynaście klas zagrożeń, wartości zmierzone zamiast opinii. Efektem jest priorytetyzowany plan z budżetem, nadający się jako specyfikacja do przetargu.
Najpierw zmierzyć, potem kupować.
Najdroższy sposób dowiedzenia się o martwej strefie to dowiedzieć się o niej w trakcie incydentu. Audyt patrzy na obiekt oczami wrogiego operatora: skąd wejdzie, co mu się uda, ile czasu będzie miała wasza zmiana i co wolno jej zrobić. Wynikiem nie jest opinia konsultanta, lecz zmierzone wielkości, które obronicie przed zarządem i przedstawicie regulatorowi.
Sześć obszarów, żaden nie jest pomijany.
W zależności od typu obiektu zmienia się priorytet obszarów, lecz nie ich skład. Jeśli w danym obszarze nie ma czego opisać, w raporcie znajdzie się właśnie to: sprawdzono, brak istotnych ustaleń.
Obiekt sprawdzany jest nie „ogólnie”, lecz wobec zamkniętej listy trzynastu klas zagrożeń. Lista jest weryfikowana nie rzadziej niż dwa razy w roku.
| Grupa zagrożeń | Co obejmuje | Czym jest pokrywana |
|---|---|---|
| Kanały sterowania, których nie widać | Światłowód, sterowanie przez sieć komórkową, lot autonomiczny w ciszy radiowej, kanał satelitarny | Rubież radiowa jest wobec nich pusta. Pracują akustyka, radar i optyka |
| Zwykłe sterowanie radiowe | Seryjne statki na znanych pasmach, także z Remote ID | Pasywna rubież radiowa, 5–10 km — najwcześniejsze możliwe ostrzeżenie |
| Warunki utrudniające obserwację | Mała skuteczna powierzchnia odbicia, noc, mgła, deszcz, użycie grupowe | Radar i akustyka, optyka z kanałem termowizyjnym, przećwiczone procedury |
| Oddziaływanie fizyczne | Zrzut ładunku, porażenie kontaktowe, przerzut przez ogrodzenie | Bliski kontur wykrywania plus procedura ukrycia personelu i zatrzymania procesów |
| Obserwacja i przygotowanie | Rozpoznanie rytmu obiektu, filmowanie procesów, powtarzające się przeloty | Rejestrowanie zdarzeń i porównanie z wcześniejszymi przelotami |
| Loty własne i legalne | Drony wykonawców, insider, podszycie nawigacji własnych statków | Rejestr dozwolonych lotów, tryb dopuszczenia, kontrola sytuacji nawigacyjnej |
| Atak na samą ochronę | Zagłuszanie, odcięcie zasilania, uszkodzenie węzłów, oddziaływanie na kanały łączności | Autonomia węzłów, kanały zapasowe, fizyczna ochrona masztów i szaf |
Dziewięć faz w ścisłej kolejności. Pominięcie fazy możliwe jest wyłącznie za pisemną zgodą i jest odnotowywane w raporcie.
| Faza | Co się dzieje | Orientacyjnie |
|---|---|---|
| 0. NDA i przygotowanie | Praca zaczyna się od podpisania umowy o poufności — wcześniej nie prosimy o żadną informację o obiekcie. Następnie: kwestionariusz dla zamawiającego, otwarte dane przestrzenne, sytuacja w przestrzeni powietrznej i ograniczenia lotów. Zespół przyjeżdża na obiekt z gotowymi hipotezami co do korytarzy podejścia, a nie z pustym notesem. | 1–2 dni, zdalnie |
| 1. Spotkanie otwierające | Podpisanie regulaminu danych z wyborem wariantu przechowywania, przepustki, doprecyzowanie listy aktywów krytycznych z kierownictwem, uzgodnienie sprawdzenia reakcji. | 2–3 godziny |
| 2. Nalot i cyfrowy bliźniak | Fotogrametria obiektu albo złożenie modelu z danych otwartych. Do modelu trafiają budynki i ich wysokości, rzeźba terenu, linie ogrodzenia, roślinność oraz pozycje istniejących kamer. | 0,5–1 dzień |
| 3. Pomiary terenowe | Widmo i GNSS, tło akustyczne w miejscach możliwego montażu węzłów, inwentaryzacja czujników, przeloty testowe uzgodnionego statku, weryfikacja korytarzy w terenie. | 1–2 dni |
| 4. Analiza na bliźniaku | Obliczenie faktycznych objętości pokrycia, mapa martwych stref, przebieg profili podejścia dla każdego aktualnego scenariusza zagrożeń. | 1–2 dni |
| 5. Sprawdzenie ludzi i procedur | Ćwiczenie „zimny start”: mierzony jest czas od pojawienia się celu do gotowości człowieka z uprawnieniami do podjęcia decyzji. | 3–4 godziny |
| 6. Opracowanie prawne | Co jest legalne na tym obiekcie, kto jest uprawniony do zastosowania środków, jaki jest tryb wezwania i wymogi wobec materiału dowodowego. | 0,5 dnia |
| 7. Raport | Złożenie pakietu pięciu dokumentów i ustna obrona wyników. Raport, którego nikt nie omówił na głos, pozostaje nieprzeczytany. | 2–3 dni |
| 8. Przekazanie i tryb danych | Realizacja wybranego wariantu przechowywania (A1, A2, A3 lub B), przekazanie klucza szyfrującego zamawiającemu, protokół, ustalenie planowej rewizji za 12 miesięcy. | 0,5 dnia |
Audyt uznaje się za wykonany, gdy dla każdego wiersza istnieje wartość zmierzona albo uzasadniona adnotacja „nie dotyczy”.
| Wskaźnik | Jak go uzyskujemy | Kiedy to problem |
|---|---|---|
| Czas do decyzji | Ćwiczenie ze stoperem: od pojawienia się celu do gotowości człowieka z uprawnieniami | Powyżej trzech minut albo nigdy nie mierzony |
| Udział pokrytych zagrożeń | Macierz „zagrożenie — warstwa” według faktycznego stanu obiektu | Pokryto mniej niż dziesięć klas z trzynastu |
| Warstwy niezależne od kanału radiowego | Istnienie co najmniej jednej rubieży działającej przy pełnej ciszy radiowej celu | Takich warstw nie ma — ustalenie krytyczne |
| Przekrycie korytarzy podejścia | Obliczenie na cyfrowym bliźniaku dla wysokości do 50 m | Przekryto mniej niż 80 % wykrytych korytarzy |
| Obserwowalność | Kto i kiedy faktycznie patrzy na ekran | Alarm trafia tam, gdzie o tej godzinie nikogo nie ma |
| Ślad dowodowy | Kompletność zapisów po zdarzeniu testowym | Brak trajektorii, wideo lub znaczników czasu |
| Autonomia węzłów | Praca bez zasilania zewnętrznego i łączności | Poniżej czterech godzin |
Pokrycie i martwe strefy jako obliczenie, a nie ocena naniesiona na zdjęcie satelitarne.
Tradycyjnym wynikiem audytu jest dokument. Dokumenty opisują martwe strefy, ale przelecieć przez nie nie sposób. Model przestrzenny obiektu zmienia to, co audyt w ogóle jest w stanie pokazać: widać, gdzie kończy się pole widzenia każdego czujnika, gdzie dwa pola się nie stykają i jak wygląda niskie podejście wzdłuż skraju lasu z każdej już zainstalowanej kamery — zanim ktokolwiek poprosi o zatwierdzenie zakupu. Model uruchamiany jest w środowisku A3O Mini Rapid. Na jego podstawie liczone są mapy pokrycia i martwych stref wchodzące do raportu. Symulacja ataków na modelu oraz tryb treningu operatorów z adwersaryjną SI dostępne są uczestnikom programu pilotażowego i wykonywane na zestawie A3O Mini rozmieszczonym na obiekcie.
Zespół przyjeżdża z własnym zamkniętym zestawem i nie podłącza się do waszej sieci.
Nalot, przetwarzanie i przechowywanie materiałów odbywają się na autonomicznym sprzęcie, który przywozimy ze sobą: laptop z pełnym szyfrowaniem dysku, klucz sprzętowy, izolowany przełącznik polowy bez dostępu do internetu, nośniki w zaplombowanej walizce. Do waszej sieci firmowej, Wi-Fi ani chmury nie podłączamy się na żadnym etapie. Materiały obiektu istnieją wyłącznie wewnątrz tego zestawu, dopóki nie zdecydujecie, co dalej.
Model przestrzenny obiektu to w istocie szczegółowa mapa jego słabych punktów. Wariant wybierany jest przed rozpoczęciem prac i utrwalany w regulaminie podpisywanym wraz z umową. We wszystkich wariantach, w których model jest zachowywany, klucz szyfrujący należy do was: bez waszego udziału fizycznie nie jesteśmy w stanie otworzyć pliku.
Model leży zaszyfrowany na naszym serwerze w jurysdykcji europejskiej. Szyfrowanie jest kopertowe: plik zamknięty jest kluczem sesyjnym, a sam klucz sesyjny — waszym. My przechowujemy kontener, wy klucz; bez niego zawartości nie da się odczytać nawet przy pełnym dostępie do dysku. Każde odwołanie jest rejestrowane, a po 12 miesiącach następuje planowa aktualizacja modelu bez powtórnego nalotu.
Dowiedz się więcej →Zaszyfrowany kontener zostaje u was: na waszym serwerze, w waszym konturze, według waszych zasad kopii zapasowych. U nas nie zostaje ani kopia, ani klucz. Na potrzeby planowej aktualizacji po roku udzielacie nam dostępu do kontenera na czas prac — i odbieracie go zaraz po nich.
Dowiedz się więcej →Model zapisywany jest na dwa szyfrowane nośniki i przekazywany wam protokolarnie; przechowywania sieciowego nie ma w ogóle. Wariant dla obiektów, na których jakakolwiek obecność danych w sieci uznawana jest za ryzyko nie do przyjęcia. Aktualizacja po roku wykonywana jest na nośniku, który wydajecie zespołowi na czas prac.
Dowiedz się więcej →Wszystkie materiały są niszczone w ciągu 10 dni roboczych od odbioru raportu, wraz z kopiami zapasowymi, z podpisanym protokołem. Wam zostaje raport, mapy i obliczenia; nam wyłącznie fakt wykonania prac. Powtórna ocena wymagać będzie pełnego cyklu prac wraz z nowym nalotem.
Dowiedz się więcej →Pięć dokumentów, które wystarczą, aby zatwierdzić albo odrzucić budżet bez dodatkowych badań.
Realistyczne dla waszego terenu scenariusze z oceną prawdopodobieństwa i skutków, rejestr ustaleń z ratingiem ryzyka.
Dowiedz się więcej →Co istniejące czujniki naprawdę widzą, którędy biegną szwy i które z nich wychodzą na korytarze podejścia.
Dowiedz się więcej →Pozycje i uzasadnienie liczone od aktywów i skutków, a nie od długości ogrodzenia.
Dowiedz się więcej →Co jest legalne na waszym obiekcie, kto jest uprawniony, jaki jest tryb wezwania i co rejestrować, aby incydent dało się przekazać organom ścigania.
Dowiedz się więcej →Plan etapowy, w którym pierwszy etap ma samodzielną wartość i może być zrealizowany bez pozostałych.
Dowiedz się więcej →Obiekt średniej złożoności: perymetr do 4 km, do 40 istniejących kamer, jedna zmiana dyżurna.
Pełny cykl zajmuje od siedmiu do jedenastu dni roboczych, z czego zespół spędza na obiekcie dwa–trzy dni. Duże lotnisko albo rozległy obiekt liniowy liczone są osobno. Tereny tego samego typu zwykle ocenia się na reprezentatywnej próbie, a wnioski rozciąga się na resztę.
Pokaz demonstruje, co potrafi produkt w warunkach dobranych przez dostawcę. Audyt ustala, czego potrzebuje wasz obiekt, niezależnie od jakiegokolwiek produktu, i daje specyfikację, której produkt ma następnie odpowiadać. Właśnie taka kolejność chroni przed zakupem czujnika, który nie zobaczy podejścia naprawdę istotnego.
Nie, a audyt, który to zakłada, jest złym audytem. Częsty i całkowicie uprawniony rezultat: istniejące kamery i procedury pokrywają więcej niż oczekiwano, a właściwy następny krok okazuje się wąski — jeden czujnik w martwym rogu albo zmiana na liście osób, do których dzwoni się w nocy.
Pełny cykl to siedem do jedenastu dni roboczych dla obiektu średniej złożoności, z czego dwa–trzy dni prac terenowych. Rejestracja widma i modelowanie pokrycia idą równolegle, raport i mapa drogowa powstają później.
Decydujecie o tym przed rozpoczęciem prac, a wariantów są cztery. Model może być przechowywany w postaci zaszyfrowanej na naszym serwerze w UE, na waszym własnym terenie, offline na nośnikach w waszym sejfie — albo wcale: wszystkie materiały są niszczone w ciągu dziesięciu dni roboczych od odbioru raportu, z protokołem. We wszystkich trzech wariantach przechowywania klucz szyfrujący należy do was, więc otwarcie modelu bez waszego udziału jest dla nas technicznie niemożliwe. Materiały waszego obiektu nie są przekazywane osobom trzecim w żadnych okolicznościach i nie służą do trenowania modeli bez odrębnej pisemnej zgody.
Dyrektywa o odporności podmiotów krytycznych wymaga przeglądu nie rzadziej niż raz na cztery lata — to dolna granica, a nie cel. W praktyce powodem jest zmiana sytuacji: rozpowszechnia się nowa klasa podejścia, obok wyrasta budynek, przenoszony jest proces, zmienia się schemat dyżurów. Jeśli model obiektu został zachowany, powtórna kontrola wykonywana jest na nim i kosztuje istotnie mniej niż pierwszy audyt.
Nie, i to jest zasadnicze. Cztery klasy zagrożeń z trzynastu — światłowód, sterowanie przez sieć komórkową, lot autonomiczny w ciszy radiowej i kanał satelitarny — w ogóle nie są wykrywane rubieżą radiową. Jeśli obiekt nie ma ani jednej warstwy działającej przy pełnym milczeniu celu, odnotowuje się to jako ustalenie krytyczne, niezależnie od tego, ile pieniędzy włożono w sprzęt radiowy.
Nie. Pomiary prowadzone są przy normalnej pracy zakładu — co więcej, część z nich ma sens wyłącznie tak: tło akustyczne mierzy się i na zmianie roboczej, i w ciszy, ponieważ od niego zależy realny zasięg warstwy akustycznej.
Mapa drogowa budowana jest tak, by pierwszy etap miał samodzielną wartość i mógł być zrealizowany bez pozostałych. Wielu zaczyna od pilotażowego rozwinięcia na najbardziej problematycznym odcinku — to zarazem pozwala sprawdzić obliczenia audytu w praktyce.
Znajdźcie lukę, zanim znajdą ją za was.
Audyt zamienia „potrzebujemy ochrony antydronowej” w plan z liczbami i staje się dokumentem, który uzasadnia całą dalszą pracę — zarówno wobec własnego kierownictwa, jak i wobec regulatora. Opiszcie obiekt w formularzu poniżej, a wrócimy z planem prac i terminami.
Albo napiszcie do nas bezpośrednio: audit@dronedefender.eu
Zacznij od krótkiej konsultacji, demo na żywo lub ustrukturyzowanego programu pilotażowego.
