Boni: Nie oceniam najwyżej działań minister cyfryzacji

"Przed 2012 r. sprawy cyberbezpieczeństwa były mało rozumiane i rozproszone, jak zresztą w większości krajów europejskich. Ale w Polsce wcześniej już (1 lutego 2008 r. – przyp. red.) powstał CERT przy ABW (CERT.GOV.PL - przyp. red.) z określonymi zadaniami wobec instytucji publicznych. Powstał też CERT przy NASK (CERT Polska - przyp. red.) o bardzo dobrej jakości działań, operacyjności i w kooperacji z międzynarodowymi instytucjami. W tym z ENISĄ, europejską agencją do tych spraw. Był też powołany CERT przy MON (MIL-CERT - przyp. red.), skupiony na sprawach obronnych i wojskowych.

Doświadczenia ACTA spowodowały, że problem stał się widoczny. Po atakach na strony internetowe urzędów publicznych wspólnie z CERT przy NASK, a głównie z CERT przy ABW opracowaliśmy zasady przeglądu bezpieczeństwa cyfrowego instytucji publicznych, rekomendacje dla instytucji. Dokonany został przegląd - audyt stron internetowych i używania narzędzi komunikacji elektronicznej w resortach i instytucjach. Przygotowaliśmy także szkolenie dla odpowiednich osób z jednostek publicznych.

Zespół roboczy spotykał się regularnie. W efekcie prac zespołu zaczęły się prace nad zarysem strategii cyberbezpieczeństwa. Dokument po konsultacjach, we współpracy konsultanckiej z UE i odpowiednimi partnerami z Wielkiej Brytanii, powstał, został przyjęty przez Radę Ministrów. Był dobrze oceniany, wskazywał na mechanizmy kooperacji i wyznaczał zadania i zespół odpowiedzialny za koordynację działań. Nie było to rozwiązanie idealne, bo na miarę zgody wszystkich instytucji, z których każda chciała utrzymać swoją niezależność.

Polska z moim udziałem aktywnie uczestniczyła w pracach nad startem dyrektywy NIS, co ważne, bo wspieraliśmy ten nurt w pracach Rady (Unii Europejskiej - przyp. red.) nad dyrektywą, który zmierzał do pogłębienia współpracy, lepszej koordynacji, wymiany informacji i wzmocnienia definicji infrastruktury krytycznej dla spraw cyberbezpieczeństwa.

Słabością było to, że nie uzyskaliśmy odpowiednich zasobów, by w pełni koordynować te sprawy i mieć odpowiedni zespół ludzi (docelowo departament). Nie można winić za to wszystko Ministerstwa Administracji i Cyfryzacji. Jednak zrobiono to w niesprawiedliwym raporcie NIK, do którego składałem nieuwzględnione wyjaśnienia - za braki w bezpieczeństwie cyfrowym, co wykazały audyty przygotowywane przez nasz zespół - bo problemem był niski poziom świadomości w wielu instytucjach w odniesieniu do tych spraw, zewnętrzni operatorzy zabezpieczeń etc. Co do zmian - od pewnego momentu wszystkie instytucje mówiły: i tak czekamy na nową dyrektywę NIS.

Po moim odejściu (z dniem 27 listopada 2013 r. - przyp. red.) nie było koordynacji pełnej, uznano nieformalnie, że to temat dla BBN. Przedstawiam te wyjaśnienia, bo nieprawdziwe są zarzuty pani Minister, że nic się w tej dziedzinie nie działo. Zresztą - można sprawdzić różne protokoły i stanowiska rządowe w sprawie dyrektywy NIS.

Nie oceniam najwyżej działań pani minister,  bo model połączenia CERT-ów, jeśli to prawda, że takie ma być rozwiązanie, nie jest najlepszy ze względu na różne specyfiki różnych obszarów zagrożeń cyfrowych. Ale trzymam kciuki za to, żeby nadać sprawom cyberbezpieczeństwa dużą rangę" - powiedział Michał Boni w wywiadzie dla Cyberdefence24.pl.