Edukacja kluczowym czynnikiem budowy zdolności w sferze informacyjnej

O jaki zagrożeniach dla bezpieczeństwa informacyjnego państwa możemy mówić w ujęciu systemowym? 

Mamy dwie główne płaszczyzny takich zagrożeń. Pierwsza z nich to sfera semantyczna, czyli związana z oddziaływaniem informacyjnym, a więc przekazem dezinformacji, informacji nieprawdziwych, wprowadzających w błąd. Mówimy tutaj o informacjach, które mają na celu wywoływanie podziałów społecznych, podburzanie społeczeństwa, zdezorientowanie go lub popchnięcia do różnych działań radykalnych, ale też wzmagających niechęć i brak zaufania do rządzących. 

Naturalnie musimy pamiętać, że jesteśmy także narażeni na ataki informacyjne ukierunkowane na pozyskiwanie danych o naszym społeczeństwie. To jest potrzebne w tradycyjnie rozumianych celach szpiegowskich, ale przede wszystkim po to, żeby zbudować pewien profil informacyjny określonych grup społecznych, tak aby łatwiej było dopasować operacje informacyjne do ich przekonań, by w ten sposób odbierali te działania pozytywnie. To jest obszar semantyczny prowadzony w języku zrozumiałym dla ludzi. 

Drugi obszar, informatyczny, prowadzony jest w języku zrozumiałym dla maszyn. Są to klasyczne zagrożenia, z którymi mamy do czynienia w cyberprzestrzeni, a więc nieuprawniony dostęp do baz zawierających informacje strategiczne, niszczenie i przekształcanie informacji, uniemożliwianie łączności, zakłócanie pracy systemów komputerowych np. tych sterujących zaopatrzeniem miast w wodę czy pozyskiwanie dostępu do kont bankowych. 

Obserwuje Pan zagrożenia dla bezpieczeństwa informacyjnego od jakiegoś czasu. Jakie najważniejsze zmiany możemy wskazać, które miały miejsce w ostatnim czasie?”

Zmiany dotyczą zarówno sfery semantycznej jak i informatycznej, choć trzeba to podkreślić, że są one ze sobą ściśle powiązane - dlatego, że podstawowym kanałem informacji dla coraz większej ilości ludzi jest internet. Każdy z nas zostawia jakieś ślady w sieci, które ułatwiają atakującemu budowanie profilu informacyjnego. Jedną ze zmian jest możliwość opracowywania różnego rodzaju algorytmów, pozwalających na zbudowanie naszego profilu informacyjnego na podstawie wszystkich danych, które pozostawiamy funkcjonując w sieci. Wystarczy tu wskazać przykład firmy Cambridge Analytica korzystającej z tego rozwiązania, aby lepiej trafiać z przekazem do określonych grup osób.

Okazuje się, że każdego dnia korzystając z internetu zostawiamy tak dużą ilość danych, że możemy zostać łatwo zidentyfikowani. Jeśli chodzi natomiast o całą sfera informatyczną, czyli te zagrożenia, które są związane z językiem programów komputerowych, to możemy dostrzec naturalny trend rozwoju nowych technologii i udoskonalaniem narzędzi informatycznych, które służą do prowadzenia cyberataków. Są one coraz bardziej zaawansowane, pozwalając atakującemu na osiągnięcie większej ilości efektów. Przy czym to, co kiedyś było programem specjalistycznym o wąskim zakresie, staje się dziś coraz powszechniejsze. Przykładem mogą tu być reklamy śledzące, czyli rejestrowanie przez odpowiedni program naszych zainteresowań konsumpcyjnych. W efekcie ich działania widoczne są dla nas reklamy związane z tym, co kiedyś robiliśmy w sieci.

Istotny element, który Pan porusza to budowa ofensywnych i defensywnych zdolności w infosferze. Jak to się odbywa w praktyce?”

Musimy pamiętać, że zasady funkcjonowania państwa i jego moc sprawcza uległy w ciągu ostatnich latach zasadniczym zmianom. Przede wszystkim funkcjonujemy w społeczeństwie sieciowym, a dominującą rolę zaczynają odgrywać podmioty pozapaństwowe, z kolei państwu przypada głównie rola regulacyjna i inicjująca. Natomiast gdybyśmy chcieli zacząć od początku od budowy ofensywnych i defensywnych zdolności w infosferze, to trzeba byłoby sparafrazować odpowiedź Napoleona na pytanie: „co jest potrzebne do prowadzenia wojny?” Jego odpowiedź brzmiała: „pieniędzy, pieniędzy, pieniędzy”. Moim zdaniem potrzebna jest przede wszystkim edukacja, edukacja i edukacja - i to na każdym poziomie zaczynając od tej na poziomie podstawowym, gdzie nacisk powinien zostać położony na naukę krytycznego myślenia i podkreślanie, że to, co znajdziemy w sieci nie zawsze musi być prawdą. Nie każda informacja i nie każdy opis jakiegokolwiek zdarzenia czy zjawiska musi być prawdziwy. 

Potem mamy edukację związaną z poszukiwaniem i poznawaniem źródeł informacji, które uznajemy za wiarygodne. Jakie tu należałoby zastosować kryteria? Naturalnie ważnym etapem kształcenia powinno być również położenie nacisku na środki bezpiecznego używania i dostępu w czasie procesu zdobywania informacji, bo przecież mamy do czynienia z podstawowymi zagrożeniami, a za tym wykształcenia nawyku używania programów antywirusowych czy szyfrowania naszej korespondencji. Problemem jest to, że uważamy te reguły za zbyt czasochłonne i pracochłonne i faktycznie często tak jest, ale obecnie są one niezbędne.

Istotne jest również nauczanie tego, że w sieci zostawiamy zawsze jakieś ślady, że nie istnieje coś takiego jak 100% bezpieczna łączność internetowa. To jest rolą edukacji. Natomiast rolą państwa jest skorelowanie działań na rzecz bezpieczeństwa z podmiotami pozapaństwowym. Żaden podmiot komercyjny nie będzie chętnie się przyznawał, że padł ofiarą cyberataku, bo to podważa jego wiarygodność i prestiż oraz komunikuje klientom banku A, że lepiej w nim nie mieć konta internetowego, bo ono jest zagrożone albo że nie należy kupować w tym sklepie, bo tutaj jesteśmy narażeni na potencjalne wycieki. 

Nie zmuszając tych podmiotów do ujawniania ataków w opinii publicznej, należy spowodować, aby informacja o tym była dostępna dla innych tego typu podmiotów jako ostrzeżenie przed potencjalnymi zagrożeniami. I tutaj państwo powinno odegrać swoją rolę, ponieważ jest głównym aktorem odpowiedzialnym za bezpieczeństwo.

Kolejnym wyzwaniem jest zbudowanie zaufania w dzisiejszych czasach - nie tylko w Polsce - do przekazu informacyjnego rządu, ale również co do przekazu mediów głównego nurtu. Jest to istotne z uwagi na daleko idące podziały społeczne, a jak silnie one są widzieliśmy chociażby 6 stycznia br. przy okazji akceptacji przez Kongres Stanów Zjednoczonych Joe Bidena na urząd prezydenta. Atak na Kongres był spowodowany działalnością informacyjną zwolenników Donalda Trumpa, którzy uwierzyli w to, co im się serwuje w tzw. mediach alternatywnych. Nie wierzą oni CNN czy The New York Times, a nawet Fox News, ale wierzą w to, co mówi jakiś tam człowiek, aktywnie udzielający się w mediach społecznościowych. Odbudowanie tego zaufania wydaje mi się tutaj kwestią kluczową. Rzeczywiście pozyskanie i stworzenie ludzkich zasobów, czyli wykształcenie osób posiadających wiedzę techniczną, którzy będą prowadzić w ramach państwa, ale również jego struktur lokalnych działalność polegającą na zabezpieczaniu przed aktywnością hakerską. 

Państwo musi jednak podejmować także działania aktywne i tak jak ma ono swoich szpiegów, tak musi posiadać własnych hakerów, którzy robią to samo co szpiedzy tylko, że w cyberprzestrzeni. Tak jak państwo ma swój kontrwywiad, tak musi mieć kontrwywiad w cyberprzestrzeni, aby bronić określonych sfer przed atakami.  

Jak Pan ocenia działania Polski zmierzające do zbudowania systemu ochrony przez zagrożeniami dla bezpieczeństwa informacyjnego?

Wszyscy Ci, którzy mówią, że nic się nie dzieje i Polska jest kompletnie bezbronna nie mają racji. To jest nieprawda. Znowu, inni, którzy mówią, że zabezpieczenia są na wysokim poziomie i gwarantują nam bezpieczeństwo też są w błędzie. Sytuacja uległa poprawie po wejściu w życie ustawy o Krajowym Systemie Cyberbezpieczeństwa. Ten akt prawny wprowadza regulacje, które, jeśli są przestrzegane i realizowane, rzeczywiście podwyższają stosowane zabezpieczenia. 

Widzę tutaj dwie podstawowe trudności w budowaniu tego systemu. Po pierwsze, państwo nie jest w stanie zaoferować wynagrodzeń ekspertom na takim poziomie, na jakim mają to podmioty prywatne. To jest wiedza, za którą trzeba płacić duże pieniądze, ale proszę mi znaleźć eksperta ds. cyberbezpieczeństwa, który przyjdzie do pracy za 5 tys. brutto. Student wyższych lat informatyki na politechnice pewnie by chętnie taką robotę złapał, ale właśnie w kategorii pracy podczas studiów, a nie rozwiniętego życia zawodowego. Sytuacje w jakieś mierze ratują formą wojskowe czy jednostki wschodzące w skład ABW.

To, czego nam ewidentnie brakuje i co widać gołym okiem, to pewnej strategii informacyjnej, która pozwalałby prezentowanie w przekonywujący sposób naszego punktu widzenia. Jest to też element walki informacyjnej. Wszelkiego typu ataki informacyjne w sferze semantycznej nie mogą być odpierane na zasadzie „nieprawdą jest jakoby”, bo to budzi śmiech i od razu widać, że coś jest nie tak, dlatego musi być wypracowana strategia reagowania na tego typu ataki informacyjne. Zwrócimy uwagę na to, co się dzieję w infosferze, chociażby, jeśli chodzi o kwestie pandemii, czy w szczególności w temacie szczepionek lub sieci 5G. Tu wracamy do problemu zaufania do przekazu rządowego. Jak widać część osób mocno wierzy, że te szczepionki są niebezpieczne, że rząd przesadza i ma własne ukryte cele wprowadzając lockdown z tytułu pandemii, a sieć 5G będzie służyła do totalnej inwigilacji społeczeństwa.