Korporacja energetyczna przygotowywała ofertę do wielomiliardowego przetargu. Siedziba była „za głośna”, więc dyrektor projektu przeniósł sztab do hotelu pięć minut od lotniska. Tylko że hotele mają swoje zwyczaje: inteligentne telewizory, sprytne access pointy, zestawy głośnomówiące i ludzi, którzy lubią pomagać. Poproszono nas o natychmiastowy audyt TSCM i zabezpieczenie „war roomu”, zanim pierwsze dokumenty wyjadą na drukarkę.
Firma korzystała z sali konferencyjnej i dwóch pokoi połączonych w apartament. Do „war roomu” wjechały laptopy, drukarka, segregatory i tablice. Zespół pracował na trzy zmiany, a przez korytarz mijały ich brygady sprzątające i room service. Kilka godzin po starcie dyrektor usłyszał od konkurenta na lunchu nazwę modułu, który… widniał tylko w wewnętrznym szkicu. Skończyły się żarty, zaczęła się kontr-inwigilacja.
Czas i logistyka. Wszystko miało wydarzyć się tak, aby nie zamykać „war roomu”. Trzeba było pracować warstwami: testy wieczorem, inspekcje nocą, korekty o świcie.
Środowisko hotelowe. W obiekcie działały dziesiątki access pointów, repeatery, urządzenia IoT, system komunikacji DECT, telewizory SmartTV z mikrofonami, a w sali konferencyjnej – komputer do wideokonferencji, soundbar i kamera PTZ.
Ryzyko „pozytywnej obsługi”. Personel hotelu ma odruch – pomaga. To oznacza, że łatwo wjechać z dodatkową „listwą” czy AP na wózku serwisowym i zostawić go „na chwilę”.
Wektor nieoczywisty. Wiedzieliśmy, że podsłuch nie musi nadawać. Pasywne rejestratory i „mądre” urządzenia potrafią zbierać dźwięk godzinami i wysyłać go dopiero po sieci, kiedy nocą „wszyscy śpią”.
Zaczęliśmy od tego, co widać i czego nie widać: zdemontowaliśmy fronty stołów konferencyjnych, sprawdziliśmy skrzynki podłogowe, listwy zasilające, przepusty kablowe i oświetlenie. Endoskopem zajrzeliśmy w belki sufitowe i zabudowy. W apartamencie odłączyliśmy SmartTV, zaklejając porty i odpinając mikrofony w soundbarze. Ktoś powie: przesada. My mówimy: standard. Telewizory hotelowe mają tryby serwisowe i łączą się z chmurą producenta. Nie ryzykujemy.
Następnie „odchudziliśmy” salę: własna listwa z plombami, własny switch, wyłączony komputer salowy (wszystko na sprzęcie klienta). Uzgodniliśmy z kierowniczką piętra „brak sprzątania” i wprowadziliśmy jedną osobę kontaktową z ochrony – reszcie grzecznie dziękujemy. Klucz do sali? Tylko do rąk dyrektora projektu i naszej ekipy.
Rozstawiliśmy analizator widma w trybie ciągłym i ręczny detektor nieliniowy. Na starcie zobaczyliśmy mieszaninę sygnałów hotelowych, ale w okolicy sali – coś więcej: nieautoryzowany SSID o sile większej niż sieci obiektu. Po mapowaniu sygnału w korytarzu dopłynęliśmy do… wózka serwisowego. W jego dolnej szufladzie leżał mały access point z powerbankiem – urządzenie klasy „kieszonkowej”, które tworzy dodatkową sieć i potrafi zbierać ruch. Nie wiemy, czy służyło „do wygody” personelu, czy komuś innemu, ale wiemy, że było nielegalne w tym miejscu.
W sali zanotowaliśmy też beacony Bluetooth – niewinne „lokalizatory” potrafią stać się znacznikiem obecności osób. Wyłączyliśmy je i opisaliśmy w protokole. System DECT hotelu przenikał do sali – wdrożyliśmy izolację przez ekranowanie miejsca rozmów i ustawienie stołów z dala od baz. Po stronie klienta utworzyliśmy wydzieloną sieć na routerze z własnym LTE (bez śladu na logach hotelu).
Każdy element sali konferencyjnej przeszedł naszą check-listę. Kamera PTZ? Odpięta. Soundbar? Zasilany przez naszą listwę z plombą. Komputer salowy? Wyłączony, porty zablokowane, USB port blockers wpięte. Sprawdziliśmy układ mikrofonów sufitowych – okazało się, że w trybie stand-by urządzenie „nasłuchuje” słowa budzącego. Dla nas to za dużo: odłączenie fizyczne i taśma plombująca z datą.
W apartamencie wykonaliśmy „ciszę medyczną”: telefony i smartwatch’e w etui Faradaya, prywatne laptopy – poza strefą. Do rozmów telefonicznych wyznaczyliśmy jedno konkretne miejsce (z dala od szyb i pionów instalacyjnych), a do „tajnych” druków – naszą drukarkę z pamięcią czyszczoną po sesji.
Całość zebraliśmy w Protokole TSCM: lista znalezisk (AP w wózku, beacony, ustawienia mikrofonów), zdjęcia, metadane, mapy sygnału, rekomendacje. Przeszkoliliśmy zespół: „czysta sala – czyste kieszenie”, „mówimy tu, nie w korytarzu”, „drukujemy tu i od razu zszywamy”. Wprowadziliśmy kontrole przed i po codziennych sesjach oraz krótką checklistę (z datą i podpisem odpowiedzialnego). Rano zrobiliśmy follow-up: nic nowego nie weszło do sali, spektrum czyste.
Po 24 godzinach „war room” stał się naprawdę cichy. Nieautoryzowany access point zniknął z korytarza; hotel – po rozmowie z kierownictwem ochrony – wprowadził zakaz własnych AP wózkowych i dodatkową kontrolę pięter. Z toru audio-wideo usunęliśmy wszystkie „uśpione” mikrofony i wyłączone, ale czujne urządzenia. Klient pracował na własnym, wydzielonym LTE, a telefony i zegarki lądowały w torbie Faradaya zawsze, gdy zaczynały się rozmowy z liczbami.
Przez kolejne dni nie pojawił się ani jeden „przeciek” zawierający słowa kluczowe z wewnętrznych dyskusji. W dokumentacji projektowej została czytelna ścieżka audytu: kto miał dostęp, kiedy sala była sprawdzana, co było podłączone, czego nie było. Gdy przetarg się zakończył, dyrektor projektu wykorzystał nasz Protokół TSCM jako załącznik do sprawozdania dla zarządu – dowód, że ryzyko informacyjne było zarządzane. Zespół wyniósł z hotelu nie tylko segregatory i pendrive’y, ale przede wszystkim nawyki poufności, które przetrwały powrót do siedziby.
Najlepszą miarą rezultatu okazał się… brak sensacji. Konkurencja przestała „zgadywać” nazwy modułów i liczby w arkuszach. A klient, już po złożeniu oferty, wprowadził do swojej procedury projektowej stały punkt: „TSCM off-site przed startem prac”. Cisza przestała być dziełem przypadku – stała się procedurą.