Polska w cyberbudowie. Eksperci alarmują, bo wojna informacyjna trwa w najlepsze

Polska strategia ceberbezpieczeństwa ma być gotowa w październiku 2019 r. Rosja i Stany Zjednoczone stworzyły swoje już 20 lat temu. Tymczasem codziennie jesteśmy na wojnie informacyjnej.

Przestrzeń informacyjna i cyberprzestrzeń są równie ważnym polem działań wojennych, jak tradycyjna przestrzeń lądowa - mówi doktryna bezpieczeństwa informacyjnego zarówno Federacji Rosyjskiej, jak i Stanów Zjednoczonych. Amerykanie i Rosjanie kładą nacisk na zabezpieczenie się w cyberprzestrzeni i wykorzystanie jej jako jednego z kluczowych elementów ekspansji międzynarodowej od co najmniej 20 lat. Polska dopiero tworzy swoją strategię. Ma być gotowa do 31 października 2019 roku.

Jesteśmy w stanie wojny informacyjnej
- Co roku odnotowujemy około 20 tys. ataków na kluczowe dla bezpieczeństwa Polski systemy - mówi nam minister Karol Okoński, pełnomocnik rządu ds. cyberbezpieczeństwa. Około 1,5 tys. z nich to poważne incydenty - dodaje. Polska jako kraj nie jest jednak głównym celem cyberataków. Znajdujemy się trochę na uboczu tych zdarzeń - dodaje minister Okoński - obserwujemy jednak zintensyfikowanie kampanii dezinformacyjnych w czasie wyborów oraz konfliktu na Ukrainie. - Tworzy się fałszywe komunikaty, których celem jest wywołanie wrażenie, że Ukraina nie jest wiarygodnym partnerem i że w interesie Polski jest trzymanie się na uboczu toczącej się tam wojny.

- Kampanie dezinformacyjne są prowadzone zarówno przez aktorów wewnętrznych, jak i zewnętrznych. Są to przekazy bazujące na emocjach ludzkich, które posługują się nieprawdziwymi lub zmanipulowanymi informacjami czy danymi w kwestiach społecznie wrażliwych, takich jak zdrowie, środowisko, bezpieczeństwo czy migracja - mówi nam Marija Gabriel, unijna komisarz ds. cyfryzacji. Komisja Europejska uważa, że została przekroczona czerwona linia jeśli chodzi a kampanie dezinformacyjne, których celem są obywatele Unii Europejskiej.

- Jesteśmy w stanie permanentnej wojny informacyjnej, choć jako kraj nie jesteśmy w stanie wojny hybrydowej - mówi prof. Ryszard Szpyra, były wojskowy specjalizujący się w tematyce dezinformacji i cyberbezpieczeństwa. - W relacjach dyplomatycznych między państwami przyjęło się, że cyberatak może zostać uznany za akt wypowiedzenia wojny. Dlatego też pomimo posiadania technicznych możliwości zablokowania czy zniszczenia np. infrastruktury energetycznej danego kraju, nie robi się tego, bo mogłoby to doprowadzić do otwartego konfliktu.

Kraje Unii Europejskiej ponoszą co roku około 265 mld euro strat w związku z atakami w cyberprzestrzeni - szacuje agencja Europol. Agencja wskazuje, że cyberprzestępczość znacząco wzrosła w latach 2013-2017. UE planuje wydać na ochronę swoich sieci 1,8 mld euro do 2020 r. Polski budżet na bezpieczeństwo w tej sferze wynosi 200 mln złotych. Zastrzyk na ten cel dostarcza również unijny program Horizon.

- Dezinformacją posługują się obecnie praktycznie wszystkie państwa i Wschodu, i Zachodu. To narzędzie prowadzenia dyplomacji, polityki, czy w skrajnym przypadku - wojny - dodaje prof. Szpyra. Komisja Europejska zidentyfikowała 33 państw, które używają dezinformacji jako narzędzia polityki zagranicznej. - Prowadzenie wojny informacyjnej jest tańsze niż konwencjonalnej - mówi nam Piotr Bączek, były szef kontrwywiadu wojskowego, wskazując, że Polska jest na etapie tworzenia struktur w służbach, które byłyby w stanie skutecznie odpowiedzieć na zagrożenia w cyberprzestrzeni. Za czasów Antoniego Macierewicza bardzo dużo mówiło się o stworzeniu cyberwojska. Ale póki co idea polskiego cyberwojska jest wciąż pewnego rodzaju science fiction. Zarówno Sztab Generalny, jak i Ministerstwo Obrony Narodowej (MON) nie odpowiadają na nasze pytania, w jakim stopniu Polska jest gotowa na odpieranie cyberataków i kto tak naprawdę koordynuje działania obronne. Wskazują na Agencję Bezpieczeństwo Wewnętrznego (ABW) oraz utworzone w 2013 r. Narodowe Centrum Kryptologii (NCK), któremu szefuje prof. Jerzy Surma, inżynier informatyk specjalizujący się w analizie danych, m.in w mediach społecznościowych. NCK podległe jest Ministerstwu Obrony Narodowej.

Unia nacisnęła Polskę
Polska przyjęła w sierpniu, z kilkumiesięcznym poślizgiem, ustawę o cyberbezpieczeństwie, która porządkuje wiele kwestii w polskiej cyberprzestrzeni. Tak naprawdę przyjęcie tej ustawy wymusiła na nas unijna dyrektywa w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (tzw. dyrektywa NIS). Z lektury ustawy, której autorem jest ministerstwo cyfryzacji, wynika, że Polska tworzy struktury, które mają chronić nasze państwo przed cyberatakami oraz kampaniami dezinformacyjnymi oraz próbuje skoordynować ich działania. Jeszcze w powijakach, a już jest to niezwykle skomplikowana siatka instytucji i urzędów, w której aktorzy publiczni przeplatają się z komercyjnymi. Obie sfery zależą od siebie, stąd też niezbędna jest ich ścisła współpraca.

Do tej pory instytucje te funkcjonowały bez scentralizowanej koordynacji. Ustawa ma to zmienić. Określa ona kluczowe instytucje w obszarze odpierania ataków na systemy informatyczne w Polsce. Są to tzw. CSIRT (Zespoły Reagowania na Incydenty Bezpieczeństwa Komputerowego): Agencja Bezpieczeństwa Wewnętrznego (CSIRT GOV), Naukowa i Akademicka Sieć Komputerowa - Państwowy Instytut Badawczy (CSIRT NASK) oraz Ministerstwo Obrony Narodowej (CSIRT MON). Te trzy instytucje mają współpracować ze sobą oraz ministrem do spraw informatyzacji i pełnomocnikiem rządu ds. cyberbezpieczeństwa. Ten z kolei prowadzi rejestr osób kontaktowych odpowiedzialnych za bezpieczeństwo obszaru cyfrowego w poszczególnych instytucjach państwowych i kluczowych dla bezpieczeństwa państwa firmach prywatnych, takich jak operatorzy telekomunikacyjni czy banki. Obecnie trwa nabór i weryfikacja tych osób.

Cały krajowy system cyberbezpieczeństwa tworzą instytucje administracji rządowej i samorządowej oraz najwięksi przedsiębiorcy z kluczowych sektorów gospodarki. Ustawa mówi o: operatorach usług kluczowych (OUK), są to m.in. największe banki, firmy z sektora energetycznego, przewoźnicy lotniczy i kolejowi, armatorzy, szpitale; dostawcy usług kluczowych (DUC), czyli m.in. internetowe platformy handlowe.

Operatorzy kluczowi są zobowiązani do wdrożenia systemu zarządzania cyberbezpieczeństwem. Muszą systematycznie szacować ryzyka wystąpienia incydentu, który może mieć wpływ na cyberbezpieczeństwo. Ich zadaniem jest również zbieranie informacji o zagrożeniach oraz stosowanie środków zapobiegających. Mają również prowadzić dokumentację wszystkich zdarzeń.

Zadaniem operatora będzie obsługa i sklasyfikowanie danego incydentu. W ciągu 24 godzin od momentu wykrycia takiego zdarzenia operator ma obowiązek zgłoszenia go do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV. Zespoły te, wraz z Rządowym Centrum Bezpieczeństwa, tworzą Zespół ds. Incydentów Krytycznych, który odpowiada na zdarzenia wykraczające poza kompetencje jednego CSIRT-u.

Dostawcy usług cyfrowych są odpowiedzialni za zapewnienie bezpieczeństwa świadczonych przez nich usług. Mają zarządzać ryzykiem i zawiadamiać CSIRT-y o wszystkich zdarzeniach, także ponadnarodowych. Proponowane przepisy nakładają na nich także obowiązek podjęcia odpowiednich środków zapobiegających i minimalizowanie wpływu zaistniałych incydentów. Za niedopełnienie swoich obowiązków zarówno operatorzy usług kluczowych, jak i dostawcy usług cyfrowych mogą być ukarani.