2024 był rokiem „przejściowym” w cyberbezpieczeństwie

W ramach podsumowań roku, pytamy ekspertów z branży o najważniejsze trendy, najistotniejsze incydenty czy największe wyzwania w ciągu ostatnich 12 miesięcy.

Czas na rozmowę z Łukaszem Gawronem, CEO polskiego klastra cyberbezpieczeństwa #CyberMadeInPoland.

Szymon Palczewski, CyberDefence24: Jak podsumowałbyś rok w branży cyberbezpieczeństwa i nowych technologii?

Łukasz Gawron, #CyberMadeInPoland: Rok 2024 w branży cyberbezpieczeństwa w Polsce został oczywiście zdominowany zagadnieniami związanymi z wdrażaniem Dyrektywy NIS2 oraz nowelizacji Ustawy o Krajowym Systemie Cyberbezpieczeństwa. 17 października minął czas na wdrożenie Dyrektywy do polskiego porządku prawnego, niestety zgodnie z oczekiwaniami ekspertów nasz kraj nie zdążył z nowelizacją ustawy. 

Niemniej, niewiele państw członkowskich wyrobiło się w terminie więc widać, że nadążanie z wdrażaniem regulacji to jedno z największych wyzwań nie tylko w Polsce, ale całej Unii Europejskiej. 

Kwestie związane z prawem nigdy nie są łatwe w przypadku technologii. Pozostaje mieć nadzieję, że wreszcie nowelizacja ustawy o KSC zostanie przyjęta i wdrożona, bo branża na to czeka. Na co jeszcze zwróciłbyś uwagę poza sprawami legislacyjnymi?

Oczywiście 2024 rok to również wiele debat nad rozwojem AI i zastosowaniem jej chociażby w dziedzinie cyberbezpieczeństwa czy w domenie militarnej. 

Myślę natomiast, że szerokim echem również w świecie technologii poniósł się tzw. raport Draghiego, który wskazuje drastyczny spadek konkurencyjności europejskich firm i startupów z dziedziny technologicznej. Uważam, że wielu ekspertom i decydentom otworzył oczy na wyzwania związane z konkurencyjnością i rozwojem innowacji w Państwach UE, szczególności w Europie Środkowo-Wschodniej. 

Do tego hasło dual-use chyba stało się modne, nie tylko w branży cyber.

Tak, to również bardzo modne ostatnimi czasy określenie. Rozwój technologii podwójnego zastosowania zagościł na stałe już nie tylko w świadomości poszczególnych państw, ale na stałe wpisał się w doktrynę NATO, co według mnie jest momentem przełomowym w kontekście rozwoju innowacyjnych start-upów, które pomagają państwom chronić obywateli.

Co okazało się być – Twoim zdaniem – największym wyzwaniem w 2024 roku w branży cyberbezpieczeństwa w Polsce?

Nie będę oryginalny - wdrażanie regulacji. NIS2 i DORA to były tematy numer jeden jeśli chodzi o rynek cyberbezpieczeństwa, które niestety uwypukliły też w wielu sektorach brak świadomości i umiejętności, a także zasobów, aby sobie poradzić i nadążyć.

Dodatkowo z perspektywy małych i średnich przedsiębiorstw działających w sektorze cyberbezpieczeństwa opóźnienia we wdrażaniu regulacji czy dedykowanych funduszy (jak „Cyberbezpieczny Samorząd”), spowodowało niską skłonność do inwestycji w rozwiązania cyberbezpieczeństwa, w szczególności w ostatnim kwartale tego roku.

A wśród największych wyzwań ostatnich miesięcy, co byś wymienił?

Przede wszystkim widzieliśmy dalszy wzrost skali ataków. Pomimo dynamicznego rozwoju technologii, dalej najbardziej popularnymi sposobami ataku był phishing, DDoS oraz ransomware.

Należy do tego dodać coraz częstsze wykorzystywanie sztucznej inteligencji do przeprowadzania ataków czy inżynierii społecznej, natomiast myślę, że to wyzwanie w dużej skali dopiero przed nami. 

Nie zapominajmy o ataku na łańcuchy dostaw, który staje się coraz popularniejszym wektorem ataku na duże przedsiębiorstwa. 

Ryzyko jest realne i wciąż mówimy o brakach specjalistów…

Dokładnie tak. Globalnym wyzwaniem cięgle jest niedobór specjalistów. Szacuje się, że w skali świata wynosi ponad 4,5 miliona wakatów. 

Świat technologii i cyber nie stoi w miejscu, a więc jakie zmiany przyniósł 2024 rok?

Oprócz wielokrotnie przytaczanej tutaj nowelizacji UKSC, warto wspomnieć o przyjęciu, bądź też zdynamizowaniu prac nad innymi regulacjami, m.in. AI Act, Prawa Telekomunikacji Elektronicznej czy Ustawy o Krajowym Systemie Certyfikacji Cyberbezpieczeństwa.

Cieszy również zwiększenie środków na Fundusz Cyberbezpieczeństwa, który pozwoli zatrzymać, a może i przyciągnąć do pracy w sektorze publicznym dobrych ekspertów z zakresu cyberbezpieczeństwa. Pozytywnie odbieram również zapowiedzi Ministerstwa Cyfryzacji odnośnie realnych inwestycji w podnoszenie poziomu cyberbezpieczeństwa.

Mówię „najważniejsze wydarzenie w branży w mijającym roku”, odpowiadasz…?

Nie chcę wskazywać jednego wydarzenia, bo na rynku działo się wiele, ale na pewno wyróżniłbym: reaktywowanie prac nad UKSC, kolejne wycieki i ataki ransomware na ważne instytucje i firmy w Polsce, Strategia Cyfryzacji Państwa czy potwierdzenie budowy Centrum Cyberbezpieczeństwa NASK. 

Wszystkie te wydarzenia łączy jeden wniosek - w dziedzinie cyberbezpieczeństwa należy działać szybko oraz reagować natychmiast na pojawiające się zagrożenia i trendy.

Czy widzisz jakąś decyzję z 2024 roku, którą – w Twojej ocenie – można było podjąć inaczej?

Nie chcę wskazywać konkretnych decyzji, raczej powiedziałbym, że do pewnych istotnych z punktu widzenia rozwoju rynku inicjatyw można było podejść szybciej i zwinniej. Nie mówię tu tylko o nowelizacji ustawy o krajowym systemie cyberbezpieczeństwie, ale chociażby opóźnieniach w realizacji projektu Cyberbezpieczeny Samorząd, czy dosyć niskiej aktywności sektora publicznego w kontekście działań rynkowych. 

W mojej opinii należy traktować rok 2024 jako przejściowy, podczas którego cementowały się nowe władze, trwały intensywne prace legislacyjne oraz przygotowania do Polskiej Prezydencji w Radzie UE. Myślę, że 2025 pod wieloma względami może być dla Polski przełomowy.

Technologia sztucznej inteligencji niezmiennie pozostaje tematem, który rozpala. Jak AI zmieniła dziedzinę, którą się na co dzień zajmujesz?

Eksperci wskazują, że AI na stałe wejdzie w domenę cyberbezpieczeństwa. Jesteśmy dopiero na początku drogi implementacji tej technologii w rozwiązania cyberbezpieczeństwa, ale nie mam wątpliwości, że producenci będą prześcigać się we wdrażaniu nowych modułów AI do istniejących rozwiązań lub tworzyć zupełnie nowe oparte na tej technologii. 

Ale z drugiej strony służy do ataków.

Tak, musimy pamiętać, że sztucznej inteligencji można użyć w celu automatyzacji i wspomagania działań obronnych w cyberprzestrzeni, ale także do ofensywnych operacji prowadzonych przez adwersarzy. Widzimy już, jaki ma wpływ chociażby na inżynierię społeczną i tworzenie deepfake«ów. Technologia ta ma więc dwa zupełnie różne oblicza, a oswojenie jej zajmie trochę czasu, niemniej jest to trend, przed którym nie ma ucieczki. 

Teraz parę zdań o przyszłości. Jakie najważniejsze trendy wskazałbyś na nadchodzący 2025 rok?

Podzieliłbym te trendy na dwa rodzaje: te, które już znamy z przeszłości i te, które dopiero pojawią się na horyzoncie w 2025. 

Jeśli chodzi o tą pierwszą grupę, na pewno zaliczyłbym do niej trend związany z intensywną regulacją obszaru cyberbezpieczeństwa na poziomie unijnym i polskim, wzrost liczby ataków (w szczególności ransomware oraz DDoS) oraz oczywiście rozwojem technologii AI w cyberbezpieczeństwie. Na pewno istotnym zagadnieniem będzie również atak na łańcuchy dostaw, a kwestia ta znalazła miejsce choćby w Dyrektywie NIS2, a także wzrost popularności modelu Ransomware-as-a-Serice. 

Myślę również, że 2025 rok to będzie początek pogłębionych debat nad cyberbezpieczeństwem urządzeń IoT. Po części będzie to spowodowane rosnącym rynkiem, a po części regulacjami w szczególności rozporządzeniem Cyber Resilience Act. Na sam koniec muszę wspomnieć o jeszcze jednej kwestii, która w mojej opinii będzie ważna dla rozwoju sektora, a mianowicie certyfikacji cyberbezpieczeństwa. 

Dziękuję za rozmowę.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na:[email protected].