Polskie uczelnie na linii frontu cyberwojny. „Krytyczny zasób państwa”

Materiał sponsorowany

Wojna o strategiczne zbiory danych, zastrzeżoną własność intelektualną i przełomowe technologie podwójnego zastosowania. Polskie uczelnie dawno przestały być jedynie kuźniami kadr, a stały się pierwszą linią frontu. O tym, jak zorganizowane grupy hakerskie z Rosji i Chin biorą na celownik polską naukę, w ekskluzywnym wywiadzie dla serwisu Defence24 mówi Paweł Słoń, ekspert do spraw współpracy w Centrum Cyberbezpieczeństwa AGH.

Defence24: Czym są dzisiaj uczelnie w Polsce?

Paweł Słoń, ekspert Centrum Cyberbezpieczeństwa AGH: Na pewno nie są tym, czym były przez wiele lat – centrum kształcenia przyszłych kadr zawodowych. Te czasy już się dawno skończyły.

Więc?

Dziś publiczna uczelnia staje się tarczą i jednym z najważniejszych komponentów budowania gospodarki opartej na wiedzy i narodowej suwerenności technologicznej. Weźmy pierwszy z brzegu przykład AGH – bierzemy aktywny udział w zaawansowanych, międzynarodowych programach, takich jak chociażby DIANA, czyli akcelerator innowacyjnych startupów NATO.

Polska nauka przestała jedynie uczyć, a zaczęła też coś tworzyć?

Wiem, jaki jest stereotyp, ale ostatnie lata naprawdę przyniosły zauważalny skok. Podam kilka przykładów. Nowoczesny wóz bojowy piechoty Borsuk został w dużej mierze opracowany bezpośrednio w murach Politechniki Warszawskiej. Tak zwany „Potwór z Tarnowa” czyli zaawansowany system antydronowy powstał we współpracy z Wojskową Akademią Techniczną. Z kolei superkomputerami o wielkich mocach obliczeniowych niezbędnych do skomplikowanych symulacji dysponują AGH„ Politechnika Gdańska, Politechnika Wrocławska czy Poznańskie Centrum Superkomputerowo-Sieciowe.

To nie są zwykłe studenckie referaty, lecz odkrycia i prace naukowe o strategicznej, kluczowej wartości dla stabilności całego państwa polskiego. Innymi słowy, uczelnie stały się krytycznym zasobem państwa i z tego powodu w naszej branży operujemy dziś pojęciem research security, czyli zintegrowanego bezpieczeństwa prowadzonych badań.

Przypomina mi się informacja sprzed kilkunastu dni. Chiny oficjalnie i z premedytacją objęły sankcjami polską Politechnikę Wrocławską oraz giełdową spółkę Vigo Photonics. Sprawa dotyczyła właśnie transferu technologii podwójnego zastosowania. Uważa Pan, że to dowód na to, że globalne mocarstwa przestały się z nami bawić w białych rękawiczkach?

Podjęcie takich bezpośrednich działań przez Pekin nie dziwi mnie. Z każdym kwartałem zaostrza się rywalizacja z globalnymi podmiotami, które nie podzielają naszych demokratycznych wartości. To już dawno nie jest wyłącznie wojskowe wyzwanie ze strony agresywnego sąsiada ze Wschodu, ale realne, cyfrowe napięcie na linii z potęgą chińską.

Oczywiście do wszelkich oficjalnych doniesień dyplomatycznych z Chin należy podchodzić z chłodną głową i najwyższą ostrożnością, jednak ten wrocławski incydent to namacalny i bardzo konkretny dowód na to, że globalna cyberwojna to nie jest mglista pieśń dalekiej przyszłości.

Jak celnie diagnozuje to mój redakcyjny kolega Wojciech Górecki w książce „Wojna w czasach AI”, cel wojny polegający na eliminacji możliwości przeciwnika pozostał dokładnie ten sam, ale całkowicie i nieodwracalnie zmieniły się stosowane narzędzia. To zjawisko dzieje się tu i teraz, a my żyjemy w czasach, w których instytucje publiczne muszą nauczyć się funkcjonować ze stale podwyższoną czujnością.

Jak pogodzić tę niezbędną czujność i cybernetyczną ochronę z wolnym od ograniczeń naukowym fermentem i współpracą międzynarodową? To się nie wyklucza?

Dotyka pan w tym momencie samego sedna filozoficznego problemu koncepcji research security. Cyberbezpieczeństwo z definicji stoi w nierozwiązywalnym, permanentnym napięciu z ogólną użytecznością i łatwym dostępem do sieci. Nauka z kolei musi być maksymalnie otwarta na otaczający świat, ponieważ hermetyczne zamknięcie się we własnych, sterylnych silosach to najkrótsza droga do zahamowania innowacji. Znamy jednak z niedalekiej przeszłości kilka lekcji.

Wszyscy pamiętają słynną sprawę rosyjskiego badacza, który przez długie lata pracował na uniwersytetach w Estonii, by po dekonspiracji okazać się agentem wrogiego wywiadu. Podobne zmagania toczymy na polu komercyjnej współpracy z chińskimi inżynierami, którzy dowiadują się u nas na projektach, jak działają zaawansowane systemy technologiczne, a następnie wracają do siebie i je odtwarzają, ignorując przy tym zachodnie normy ochrony własności intelektualnej.

Jak więc powinniśmy sobie z tym radzić?

Z jednej strony mamy realne zagrożenie, z drugiej współpraca jest nam niezbędna do budowania europejskiej odporności. W Centrum Cyberbezpieczeństwa AGH zrealizowaliśmy niezwykle ważny projekt SOCCER, będący efektem bliskiej i bezpośredniej kooperacji uczelni pochodzących wyłącznie z regionu Europy Środkowo-Wschodniej.

Kiedy początkowo składaliśmy dokumentację o zagraniczne granty, radzono nam w kuluarach, aby dobrać sobie silnego, wiodącego partnera ze „starej Europy”. Stanowczo odrzuciliśmy te sugestie i stwierdziliśmy, że zbudujemy system własnymi, regionalnymi siłami.

Zrobiliśmy to i jesteśmy z tego osiągnięcia bardzo dumni. Pokazujemy całemu rynkowi, że Europa Środkowo-Wschodnia potrafi skutecznie wyznaczać standardy cyberbezpieczeństwa uczelni wyższych. Praktycznym i namacalnym rezultatem tej kooperacji jest udostępniony przez nas w sieci „SOC4Academia Toolbox”.

To całkowicie otwarty zbiór ścisłych rekomendacji, sprawdzonych dobrych praktyk oraz narzędzi, który bezpłatnie oddajemy w ręce całego środowiska akademickiego. Dzięki niemu nawet znacznie mniejsze instytucje dysponujące skromniejszym budżetem mogą rzetelnie ocenić stopień swojej organizacyjnej dojrzałości i precyzyjnie zaplanować rozwój własnych struktur monitorowania zagrożeń.

Skoro mamy już tak świetne narzędzia i ramy współpracy, gdzie leży rdzeń realnego problemu polskiej nauki? Z waszych badań wyłania się obraz sporych niedomagań infrastrukturalnych. Kto w rzeczywistości ponosi winę za luki w systemie? Brak pieniędzy, czy brak wyobraźni menedżerów?

To jest wielowymiarowy problem, w którym każda ze stron ma swoją obiektywną rację. Z perspektywy władz rektorskich kluczowym argumentem jest przewlekłe, historyczne niedofinansowanie polskiej nauki. Jeśli uczelnia państwowa otrzymuje subwencję wynoszącą nominalnie równe sto procent wartości z zeszłego roku, to przy obecnej inflacji jej budżet w praktyce maleje.

Tymczasem zapewnienie cyberodporności nie jest jednorazowym zakupem sfinansowanym z dotacji celowej. To permanentna inwestycja w złożone procesy, opłacanie specjalistów i szybko starzejące się technologie cyfrowe.

Zupełnie odmienną optykę w tej dyskusji przyjmują jednak szeregowi informatycy odpowiedzialni w uczelniach za zabezpieczenia. Na te mocno niedofinansowane działy zrzucono obowiązki wdrożenia unijnych przepisów RODO, a tuż po tym dorzucono wymogi ustawy o Krajowym Systemie Cyberbezpieczeństwa.

Co więc Państwo wyczytali z badań?

W ramach badań „Cyberuczelnia” pytaliśmy polskie uczelnie o poziom przygotowania organizacyjnego oraz świadomości istniejących zagrożeń na uniwersytetach. Zderzyliśmy się tam z brutalną rzeczywistością polskich kampusów. Pracownicy IT opowiadali o rotacji kadr i przestarzałych systemach informatycznych typu legacy, których modernizacja bywa bardzo droga.

Jedna z badanych uczelni wyznała nam, że czysto techniczne, wygospodarowanie z budżetu funduszy na wysokiej klasy eksperta od cyberbezpieczeństwa nie byłoby problemem. Stanie się nim dopiero zatrudnienie go za rynkową stawkę, co natychmiast wywołałoby niezadowolenie reszty znacznie gorzej opłacanej kadry naukowej i dydaktycznej z powodu znacznych dysproporcji płacowych.

Należy też wspomnieć o niefrasobliwości samych pracowników naukowych, którzy w imię swobody badań nagminnie wynoszą krytyczne państwowe dane na domowych, niechronionych laptopach do publicznych i niezabezpieczonych kawiarni.

Jak zatem w praktyce wyglądają dzisiejsze cyberataki na uczelnie nad Wisłą? Z jakimi zagrożeniami się mierzycie?

Na tym etapie możemy wytypować kilka głównych wektorów cyberagresji. Po pierwsze, jest to zmożona i precyzyjna aktywność aktorów państwowych, czyli wyszkolonych i hojnie finansowanych przez dyktatorskie reżimy grup hakerskich z Rosji, Chin czy Iranu, które dysponują najnowocześniejszymi i niedostępnymi komercyjnie technologiami.

Druga równie spora kategoria to niezależni cyberprzestępcy kierujący się wyłącznie chęcią szybkiego i anonimowego zysku. Wykorzystują oni złośliwe oprogramowanie ransomware, szyfrując całe środowiska i bazy danych uczelni, żądając następnie okupu za odszyfrowanie informacji.

Generuje to wielkie dylematy finansowe i wizerunkowe dla władz uniwersytetu decydujących czy negocjować z bandytami. Dziś absolutnie każdy internetowy amator może pobrać z sieci gotowe narzędzia bazujące na sztucznej inteligencji czy oprogramowanie Kali Linux do automatycznego przeprowadzenia ataku na sieć kampusową.

Trzecim, rzadko poruszanym w sferze publicznej tematem, są tak zwane ataki wewnętrzne. Obejmuje to bardzo często sfrustrowanych, byłych pracowników administracyjnych, którzy tuż po zwolnieniu z uczelni dokonują celowego sabotażu z chęci zemsty. Do tej puli zaliczają się również zdolni studenci ulegający pokusie.

Mieliśmy potwierdzony przypadek dużej uczelni, w której adepci informatyki wykryli poważną podatność w systemie studenckiego radiowęzła. Bez wahania zhakowali ten system wyłącznie dla wpłynięcia na wyniki i wygrania konkursu muzycznego, by później z uśmiechem na twarzy zgłosić tę lukę bezpieczeństwa. Z taką różnorodnością motywów zmagają się administratorzy uczelniani.

A co jest na samym szczycie zagrożeń?

Na pierwszej, najszerzej zakrojonej linii starcia królują jednak ataki phishingowe i tak zwany whaling, czyli precyzyjne uderzenia dedykowane w kluczowe osoby decyzyjne z najwyższych szczebli uniwersyteckich. Zwykły rektor potrafi otrzymać sfałszowanego, wiarygodnie wyglądającego maila od bliskiego kolegi po fachu, zawierającego szkodliwy link pod pretekstem pilnego dofinansowania.

My sami w Centrum przeżyliśmy incydent socjotechniczny, który pokazał poziom wyrachowania hakerów. Podczas naszej zagranicznej delegacji, nasza koleżanka, która została w Krakowie, otrzymała mistrzowsko spreparowanego maila wysłanego – jak się wydawało – od przełożonej z pilnym poleceniem kliknięcia w odnośnik. Hakerzy przeprowadzili skuteczny biały wywiad, ponieważ dokładnie i w czasie rzeczywistym wiedzieli o naszym wyjeździe.

Przed kompromitacją uratowała nas czujność naszej koleżanki, która natychmiast wyczuła podstęp i zweryfikowała polecenie telefonicznie. To wyraźnie pokazuje, z jak bezwzględnym, przebiegłym i wyrachowanym przeciwnikiem polska nauka mierzy się każdego dnia.

Do czego nas to wszystko więc prowadzi?

Do prostego wniosku – to ciągła walka z zagrożeniem, którego nie widać wprost, ale jest ono realne, jest ono już z nami – tu i teraz. A uczelnie i własność intelektualna naszych badań to cenny zasób, który będzie atakowany przez nieprzychylne nam reżimy.

Politycy, jak i sami akademicy muszą to zrozumieć i zmienić swoje podejście do cybezbezpieczeństwa sektora akademickiego. Sprawa jest fundamentalna i kluczowa dla naszego kraju na najbliższe lata, jak nie dekady.

Dziękujemy za rozmowę.