W kontraktach zawieranych przez Pentagon nie uwzględnia się wymogów dotyczących cyberbezpieczeństwa, co stanowi zagrożenie dla państwa i może mieć bezpośredni wpływ na misje prowadzone przez amerykańskie sił zbrojne – oceniło Biuro Odpowiedzialności Rządu USA. Problem dotyczy przede wszystkim systemów uzbrojenia, które mają kluczowe znaczenie dla koordynacji prowadzonych działań na polu bitwy i skuteczności wojskowych operacji. „Jeśli nie uwzględnisz wymagań dotyczących cyberbezpieczeństwa w kontrakcie, nie możesz oczekiwać, że zostaną one spełnione przez wykonawcę” – alarmuje dyrektor Biura.
Biuro Odpowiedzialności Rządu USA (U.S. Government Accountability Office – GAO) to podmiot, który regularnie dostarcza Kongresowi, szefom agencji wywiadowczych i społeczeństwu aktualnych, bezstronnych i opartych na faktach informacji, jakie można wykorzystać do usprawnienia pracy sektora państwowego oraz zaoszczędzenia miliardów dolarów z kieszeni podatników.
Współcześnie Departament Obrony Stanów Zjednoczonych coraz bardziej stawia na wykorzystanie nowoczesnych systemów broni, aby w ten sposób zapewnić amerykańskim siłom zbrojnym przewagę na polu bitwy. Jednak te zaawansowane, złożone i drogie systemy uzbrojenia są narażone na cyberataki. Pentagon dopiero stosunkowo od niedawna zaczął przywiązywać dużą wagę do kwestii cyberbezpieczeństwa, które z czasem stało się priorytetem rządu.
William Russell, dyrektor GAO, wyjaśnił, że pod pojęciem „systemy uzbrojenia” należy rozumieć infrastrukturę przeznaczoną do tworzenia sieci między np. autonomicznymi lub półautonomicznymi urządzeniami, jak drony, a tradycyjnymi pojazdami bojowymi, w tym czołgami, dzięki czemu możliwa jest koordynacja działań i skuteczniejsze prowadzenie operacji. „Ich systemy są połączone w ramach jednej sieci i współpracują ze sobą, co zapewnia wiele korzyści. Z drugiej strony generuje jednak wiele podatności, przed którymi należy się chronić” – tłumaczy William Russell.
Jak podkreślił dyrektor GAO, najważniejszą kwestią dla sił zbrojnych jest to, aby wszystkie systemy działały sprawnie na polu bitwy, dlatego też zadaniem Pentagonu musi być dbanie o najwyższy poziom cyberodporności, czyli dążenie do sytuacji, w której wojsko może nieprzerwanie prowadzić misję, pomimo cyberataku na jego infrastrukturę.
Przeciwnicy USA naprawdę inwestują dużo energii i czasu na rozwijanie swoich ofensywnych cyberzdolności, aby móc skutecznie zaatakować amerykańskie sieci i inne elementy infrastruktury, w celu zmniejszenia przewagi militarnej USA.
W swojej najnowszej ocenie GAO wykazało, że Departament Obrony USA stara się, aby systemy uzbrojenia były odporne na cyberataki, dlatego też podjęto pewne kroki, które wymiernie przekładają się na podniesienie cyberbezpieczeństwa amerykańskich sił zbrojnych. W tym kontekście wskazano m.in. na organizowanie większej liczby testów i symulacji dotyczących działań w cyberprzestrzeni, a także ułatwienie dostępu do specjalistycznej wiedzy. „Ważne jest, aby Pentagon kontynuował swoje wysiłki w zakresie poprawy cyberbezpieczeństwa systemów uzbrojenia” – podkreśla GAO.
Trzy z pięciu kontraktów nie zawierało żadnych wymagań w zakresie cyberbezieczeństwa w momencie przyznania.
Z drugiej jednak strony Biuro dopatrzyło się nieprawidłowości, przyczyniających się do zwiększenia niepotrzebnego ryzyka. Zgodnie z analizą GAO programy Pentagonu nie zawsze zawierają wymagania dotyczące cyberbezpieczeństwa, zwłaszcza w odniesieniu do zapisów kontraktowych. „Wykonawcy są odpowiedzialni tylko za dotrzymanie warunków zapisanych w umowie” – wskazuje Urząd. Jak dodano, sprawdzone przez GAO kontrakty nie uwzględniały kwestii związanych z cyberbezpieczeństwem w momencie ich przyznania. Wiele wymagań było dodawanych do dokumentów w późniejszym czasie, lecz były one sformułowane niejasno, co nie niwelowało problemu.
Jeśli nie uwzględnisz wymagań dotyczących cyberbezpieczeństwa w kontrakcie, nie możesz oczekiwać, że zostaną one spełnione przez wykonawcę.
GAO stwierdziło, że Departament Obrony USA oraz służby wojskowe opracowały szereg dokumentów odnoszących się do polityki i wytycznych w celu poprawy cyberbezpieczeństwa systemów uzbrojenia, lecz jest to za mało, aby w pełni zapewnić ochronę oraz odporność infrastruktury. W tym kontekście konieczne jest kompleksowe podejście do problemu, co odnosi się również do uwzględniania konkretnych wytycznych w zakresie cyberbezpieczeństwa już w zapisach kontraktowych, co zobowiąże wykonawcę do spełnienia stawianych żądań.
Wyjątek stanowią Siły Powietrzne USA, które – zdaniem Urzędu – rzeczywiście przywiązują dużą wagę do uwzględniania w kontrakcie kwestii cyberbezpieczeństwa. Jak wskazuje GAO, dowództwo w umowach szczegółowo opisuje wymagania, jakie muszą zostać spełnione, aby dany podmiot mógł realizować określone działania. Takie podejście nie powinno być wyjątkiem, lecz zjawiskiem normalnym, zwłaszcza w sektorze wojskowym, który jest kluczowy z perspektywy bezpieczeństwa państwa. Urząd jednoznacznie stwierdził, że systemy broni amerykańskich sił zbrojnych muszą sprawnie działać w każdych okolicznościach i nie mogą zostać zakłócone przez cyberataki.
