Чому кібератака на "Укрзалізницю" має стати уроком: час змінити підхід до вантажних перевезень і безпеки

Масштабна кібератака на ключові операційні системи "Укрзалізниці" (УЗ), що паралізувала її онлайн-сервіси, оголила не лише вразливість цифрової інфраструктури компанії, а й глибші системні проблеми залізничного транспорту. Цей інцидент має навчити нас, що без євроінтеграційної реформи УЗ, відкритості даних і конкуренції в управлінні логістикою ми приречені на повторення криз.

Коли онлайн-сервіси УЗ "лягли", реакція керівництва компанії була показовою: "Укрзалізниця" оперативно знайшла ресурси для організації продажу квитків через каси, забезпечення пасажирам доступу до платних залів очікування за паперовими квитками, чай та інші бонуси.

На тлі активного піклування голови правління УЗ про комфорт пасажирів у цій ситуації, я не міг відмахнутися від думки: що за всі роки (а я займаюсь залізничною логістикою вантажів 29 років) не було жодного разу, коли б "Укрзалізниця" так само переймалася незручностями інших своїх клієнтів – власників вантажів та турбувалась би про їхні втрачені час і гроші. Коли вантажі простоюють навіть не внаслідок кібератак, а через дії самої УЗ, і вантажовласники зазнають збитків, це не викликає жодних заходів із компенсації – чи хоча б визнання проблеми. Вантажовласники змушені мовчки зазнавати втрат. Їхні потреби й проблеми залишаються невидимими для УЗ. Хоча перевезення вантажів єдині генерують позитивну маржинальність для УЗ та зокрема є джерелом фінансування пасажирських перевезень.

В особі голови правління УЗ, який проактивно реагує та впроваджує компенсаційні пропозиції для пасажирів, ми бачимо турботливого директора пасажирських перевезень. Але де наш директор вантажних перевезень, який би запропонував компенсацію за незручності, що їх зазнають вантажовласники?

Я не закликаю ігнорувати проблеми пасажирів залізниці, однак їхні незручності не порівнянні з проблемами, з якими стикаються клієнти вантажних перевезень. Фінансові втрати пасажирів не можна порівняти з тими, що несуть вантажовласники. Проте про нас згадують лише побіжно, обмежуючись фразою: "Ви маєте працювати в таких умовах, і все".

УЗ турбується про свій рейтинг у публічному просторі, але втрати бізнесу – зупинка постачань, зірвані контракти, мільйонні збитки – для неї ніби не існують. Пасажирські перевезення формують імідж, а вантажні – дохід, але пріоритети зміщені. Реагування УЗ на кібератаку показало: без окремої структури, яка б відповідала за вантажні перевезення, інтереси бізнесу залишатимуться на другому плані. Клієнти вантажних перевезень сьогодні – як гуси, яких щипають для подушок пасажирів, – і цю парадигму треба змінювати.

Наступний момент – це вразливість УЗ через монополію та закритість. Чому УЗ стала легкою мішенню? Бо вся її цифрова інфраструктура – це одна система. Чому одна система? За ті гроші, які виділялися на тендери на розробки програм та компонентів, можна було зробити три дублюючі. Одна мішень для хакерів – ідеальний сценарій для атаки. Якби було кілька незалежних систем, злам однієї не зупинив би все.

Але монополія УЗ на дані й процеси унеможливлює конкуренцію й дублювання. Більше того, інформація про вантажі – де знаходяться вагони, куди вони їдуть – стала товаром для "комерції". Монополіст торгує цими даними – і це пояснює, чому доступ до них платний і закритий, а не відкритий для власників вантажів, як у нормальній логістиці. Кібератака довела: закритість і монополія – не сила, а слабкість.

Хто відповідав за безпеку, які компетенції цих людей? – варто запитати, згадуючи вірус Petya 2017 року, коли УЗ уже проходила подібний урок. Де фахівці, які боролися з тодішньою кризою? Чому їх замінили тими, хто вміє лише "тендери формувати"? УЗ – це не соціальний ліфт для лояльних, а кровоносна судина економіки, від якої залежить рух товарів і виживання країни. Призначення за лояльністю, а не за знаннями, призвело до того, що система безпеки виявилась вразливою. Торговець медикаментами не врятує ваше здоров’я, – і так само він не захистить УЗ від кіберзагроз.

Ця кібератака – не просто технічний збій, а дзеркало системних проблем залізничного транспорту. Хто відповість за те, чому не виконуються технічно-організаційні заходи, які були розроблені на основі попереднього досвіду? На сьогодні дуже важко захиститися від кіберзагроз, але абсолютно неприпустимо бути настільки безпомічними.

Уроки, які мусимо засвоїти:

1. Поділ УЗ на інфраструктурну, вантажну та пасажирську вертикалі – невідкладна потреба

Виробникам потрібно, щоб їхніми інтересами та потребами почали перейматися так само як через пасажирів. Один керівник не може однаково дбати про пасажирські рейтинги й потреби вантажовласників. Окрема структура для вантажних перевезень із власним KPI змусить УЗ працювати на бізнес, а не общипувати нас як гусей. Новий Закон про залізничний транспорт, який лежить у шухляді, треба ухвалити негайно – це єдиний шлях до балансу інтересів.

1. Відкритість даних замість торгівлі ними

Дані про вантажі мають належати їхнім власникам, а не бути предметом "комерції" УЗ. Чому не зробити дані відкритими для тих, кому вони належать? У системі "Нової пошти" ви бачите, де ваша посилка, і вам не треба за цю інформацію платити ГІОЦу або "повз касу". Відкритість усуне корупцію й знизить вразливість: коли дані не зосереджені в одному кошику, атака втрачає сенс.

1. Конкуренція в IT-системах

Одна система – це одна ціль для ворога. Потрібно кілька конкурентних сервісів управління. Якщо розробники змагатимуться за якість і безпеку, ми отримаємо надійніші продукти. Сьогодні ж IT "Укрзалізниці" тримається на лояльності до керівництва, а не на прагненні до ефективності. Конкуренція змусить систему еволюціонувати, а дублюючі сервіси стануть страховкою від атак.

1. Кадрова революція

УЗ чекає порожнеча, якщо не буде кадрових рішень. Компетентність, а не лояльність, має стати критерієм підбору. Нам потрібні технарі, які розуміють кібербезпеку й логістику, а не "торговці тендерами". Без цього кожна нова атака буде сильнішою, а вантажовласники платитимуть за чужі помилки.

Якщо УЗ і держава не зроблять висновків, і все буде зведено до роздачі чаю пасажирам та спрямування ще 200 млн з кишень вантажовласників на ту саму систему, – ми приречені на повторення атак. І втрачатимемо не лише онлайн-сервіси, а й конкурентоспроможність усієї країни. Час учитися на помилках – і діяти, щоб не просто виправити наслідки, а змінити правила гри.