Witamy na stronie Klubu Jagiellońskiego. Jesteśmy republikańskim i niepartyjnym stowarzyszeniem, które próbuje oddziaływać na politykę w duchu troski o dobro wspólne. Piszemy pogłębione artykuły o polityce, gospodarce, historii i kulturze. Formułujemy obywatelskie postulaty zmian i wysyłamy petycje do władz. Publikujemy komentarze ekspertów i tematyczne raporty. Działamy w całej Polsce.

Zachęcamy do regularnych odwiedzin naszej strony. Informujemy, że korzystamy z cookies.
dr Maciej Gurtowski  9 marca 2016

Cyberzagrożeniom trzeba zapobiegać, a nie leczyć ich skutki

dr Maciej Gurtowski  9 marca 2016
przeczytanie zajmie 4 min
Cyberzagrożeniom trzeba zapobiegać, a nie leczyć ich skutki Free Press/flickr.com

Ministerstwo Cyfryzacji opublikowało „Założenia strategii cyberbezpieczeństwa dla Rzeczypospolitej Polskiej”. Dokument ten przygotowuje grunt pod przyjęcie unijnej dyrektywy w sprawie bezpieczeństwa sieci, która postuluje wprowadzenie jednolitego standardu cyberbezpieczeństwa, m.in. poprzez uregulowanie obowiązków firm w zakresie stosowania procedur ochronnych oraz ich współpracy z instytucjami państwowymi. Niestety, Strategia ma reaktywny charakter i w rezultacie koncentruje się bardziej na wprowadzaniu systemów monitorowania i łagodzeniu negatywnych skutków zagrożeń, aniżeli zapobieganiu im. 

Strategia, odwołując się do treści dyrektywy w sprawie bezpieczeństwa sieci i informacji (Network and Information Security Directive – NIS), definiuje kilka konkretnych zadań. Pierwszym z nich jest powołanie w administracji państwowej zespołów reagowania na incydenty  w cyberprzestrzeni. Po drugie, dokument zakłada stworzenie w Ministerstwie Cyfryzacji Ośrodka Koordynacji Działań związanych z ochroną cyberprzestrzeni, zgodnie z zaleceniem NIK do czasu wdrożenia docelowych struktur. Po trzecie, Strategia wskazuje na konieczność uzupełnienia Krajowego Planu Zarządzania Kryzysowego o zagrożenia związane z cyberbezpieczeństwem. Wreszcie, postuluje się opracowanie i wdrożenie Strategii Ochrony Cyberprzestrzeni Państwa.

Dotychczas w administracji naszego kraju funkcjonowały równolegle różne instytucje (cywilne i wojskowe) odpowiedzialne za ogólnie rozumiane bezpieczeństwo, którym powierzono także pewne kompetencje w zakresie cyberbezpieczeństwa.

Strategia dowodzi, że ten rodzaj bezpieczeństwa zasługuje na wyodrębnienie wyspecjalizowanego ośrodka. Dlatego zgodnie z założeniami Strategii, funkcję tę ma pełnić Ministerstwo Cyfryzacji (MC), które będzie odpowiedzialne za tworzenie, konsultowanie i przedstawianie odpowiednich rozwiązań legislacyjnych pozwalających na funkcjonowanie całego systemu bezpieczeństwa cyberprzestrzeni.

Po drugie, MC działając w logice horyzontalnej będzie odpowiedzialne za przygotowywanie projektów aktów prawnych o charakterze międzysektorowym, a także harmonizację z prawodawstwem Unii Europejskiej. Warto również zauważyć, że Strategia postuluje utworzenie we współpracy z podmiotami rynkowymi oraz środowiskiem akademickim ośrodka analitycznego −Narodowego Centrum Cyberbezpieczeństwa. Rozwiązanie to przypomina próbę zastosowania na poziomie państwa doświadczeń znanych z kultury korporacyjnej. Z tej perspektywy nowy ośrodek pełniłby funkcję państwowego CSO (Chief Security Officer), jak w korporacjach określa się osobę odpowiedzialną za wdrażanie i utrwalanie procedur bezpieczeństwa. Poza rozwiązaniami o charakterze instytucjonalnym, głównym założeniem projektu jest standaryzacja procedur reagowania w sytuacji zagrożeń. W praktyce oznacza to stały monitoring, opracowanie procedur reagowania na ataki oraz w sytuacji ich wystąpienia szacowanie i minimalizację strat.

Strategia ma za zadanie przygotować państwo do reagowania na sytuacje kryzysowe w cyberprzestrzeni. Niestety, twórcy dokumentu nie docenili znaczenia działań o charakterze prewencyjnym.

W rezultacie, założenia Strategii można przyrównać do sytuacji, w której dowódca tworzy ambitny plan obrony cyfrowej fortecy, a jednocześnie zapomina wyjaśnić obrońcom, iż nie powinni otwierać bram bez sprawdzenia, kto zapukał.

Najlepsze drzwi antywłamaniowe i system alarmowy nie wystarczą bowiem do zapewnienia bezpieczeństwa naszemu domowi w sytuacji, gdy nie nauczymy dziecka, że nie można wpuszczać do domu obcych. Niestety, polskiemu społeczeństwu wciąż brakuje cyfrowej kindersztuby − pamiętamy, by zamykać drzwi domu na klucz, ale wciąż powszechnie używamy przez wiele lat tych samych słabych haseł. Przykładowo, z badań przeprowadzonych w styczniu br. przez IQS na zlecenie mBanku wynika, że Polacy lekceważą kwestie bezpieczeństwa w sieci. Co prawda w założeniach Strategii autorzy wspominają o konieczności przeznaczenia środków na edukację w zakresie cyberbezpieczeństwa, ale nie określono w precyzyjny sposób celu takich działań i kogo dokładnie miałyby one objąć. A trzeba pamiętać, że każdy użytkownik sieci jest podatny na zagrożenia i wszystko, co jest związane z życiem zapośredniczonym przez sieci komputerowe, staje się infrastrukturą krytyczną, decydującą czasem o życiu lub śmierci.

Analizując nową strategię cyberbezpieczeństwa należy zdać sobie sprawę, że podstawowy problem z bezpieczeństwem w Internecie wynika z samej jego konstrukcji. Sieć nie została bowiem zaprojektowana jako obszar bezpieczny, poddający się kontroli. Zgodnie z założeniami twórców Internetu, Sieć jest strukturą informacyjno-komunikacyjną, która dzięki cechom rozproszenia, amorficzności i decentralizacji umożliwia przechowanie danych i komunikację w warunkach uderzenia jądrowego. W efekcie nie można w prosty sposób kontrolować Internetu ani zapewnić bezpieczeństwa jego użytkownikom. Można jedynie łagodzić negatywne skutki korzystania z Sieci dzięki zarządzaniu bezpieczeństwem teleinformatycznym. W praktyce oznacza ono kontrolowanie zakresu, w jakim inne systemy – ludzie, maszyny, czy wręcz całe fabryki, są uzależnione od Internetu.

Z tego powodu na poziomie państwa, a być może także na poziomie regionalnym, musimy określić, jakie elementy infrastruktury nie powinny być oparte i uzależnione od sieci teleinformatycznych. Nie chodzi tu wyłącznie o przygotowanie proponowanej w Strategii łączności zapasowej na wypadek awarii.

Chodzi o intencjonalne zarządzanie cyfrowym wykluczeniem,na które należy spojrzeć nie jako na symptom cywilizacyjnego zacofania, ale jako zasób strategiczny państwa.

Niestety autorzy Strategii proponują, by problem uzależnienia funkcjonowania infrastruktury krytycznej państwa, przedsiębiorstw i obywateli od sieci teleinformatycznych rozwiązywać poprzez pogłębianie tegoż uzależnienia. W ten sposób problem społeczno-organizacyjny został przez autorów Strategii sprowadzony wyłącznie do kwestii natury technicznej.

Tekst pierwotnie został opublikowany na stronie Centrum Analiz Klubu Jagiellońskiego.