Eksperci: Polska musi być gotowa na cyberataki na infrastrukturę krytyczną

Cyberataki na operatorów usług kluczowych (OUK) i infrastrukturę krytyczną, taką jak m.in. rurociągi, elektrownie czy stacje uzdatniania wody pitnej, to rosnący problem na całym świecie, czego przykładem może być m.in. majowy paraliż systemów służby zdrowia w Irlandii, gdzie zaatakowali cyberprzestępcy posługujący się złośliwym oprogramowaniem szyfrującym dla okupu (ransomware).

Łukasz Gawron, dyrektor Klastra #CyberMadeInPoland wskazał, że "tak groźny atak jak ransomware byłby dla operatorów usług kluczowych w Polsce poważnym testem, nie można natomiast powiedzieć, że nie są czynione odpowiednie przygotowania".

Jak dodał opublikowana w 2018 roku, a obecnie nowelizowana ustawa o Krajowym Systemie Cyberbezpieczeństwa obliguje operatorów usług kluczowych do wdrożenia odpowiednio odpornych rozwiązań technicznych i organizacyjnych. Zdaniem Gawrona prace nad nowelizacją wskazują, że "jako państwo staramy się nadążać za nowymi trendami, które w branży cyberbezpieczeństwa zmieniają się niezwykle dynamicznie".

Specjalista zauważył również, że na poziomie unijnym trwają prace nad tzw. dyrektywą NIS2, która znacznie poszerzy katalog organizacji i firm kwalifikujących się jako infrastruktura krytyczna.

Coraz większa profesjonalizacja cybergangów

Według byłego doradcy ds. cyberwojny w Międzynarodowym Komitecie Czerwonego Krzyża w Genewie dr Łukasza Olejnika, zagrożenie wynikające z ransomware to szerszy aspekt, niż tylko paraliż systemów infrastruktury krytycznej. "Grupy cyberprzestępców posługujących się tą metodą otrzymują regularne i duże wpływy finansowe liczone w milionach dolarów" - zauważył ekspert.

Jego zdaniem wśród cybergangów, atakujących z wykorzystaniem ransomware następuje coraz większa profesjonalizacja, a za zgromadzonymi przez przestępców pieniędzmi idzie kolejne ryzyko - możliwości zakupu na czarnym rynku specjalistycznych narzędzi do atakowania, wobec których podmioty obrane za cel nie będą mogły się zabezpieczyć. "To nowe korsarstwo XXI wieku, w kwestii skali i zagrożeń - odpowiednik tego sprzed kilkuset lat" - ocenił Olejnik.

Gawron ocenił, że w kontekście obrony przed coraz bardziej zaawansowanymi cyberatakami "nie jest sztuką kupić dobry i drogi sprzęt czy oprogramowanie".

Jego zdaniem "najważniejszym aspektem jest, aby odpowiednio rozpisać procedury, polityki, procesy", a kluczem jest dobra organizacja systemu cyberbezpieczeństwa, który w efektywny sposób będzie mógł raportować o incydentach, przeciwdziałać atakom, czy zgłaszać je odpowiednim organom.

"W przypadku OUK jest jeszcze jedna ważna kwestia" - zauważył. "To stworzenie odpowiednich procedur zachowania ciągłości działania i powrotu do normalnej działalności po ataku. Ze względu na strategiczną dla gospodarki i społeczeństwa rolę, jaką pełni infrastruktura krytyczna, firmy te nie mogą pozwolić sobie na przerwanie działalności, gdyż może to prowadzić do katastrofalnych skutków" - podkreślił Gawron.

Olejnik, odnosząc się do pytania o to, jak na poziomie politycznym i reakcyjnym Polska powinna postępować, aby jak najlepiej radzić sobie z tego rodzaju zagrożeniami, zwrócił uwagę na rolę ustawy o Krajowym Systemie Cyberbezpieczeństwa. "Ustawa faktycznie dużo tu uporządkuje, bo powstanie komitet ds. cyberbezpieczeństwa i inne formalne podstawy do obsługi wydarzeń kryzysowych" - zauważył ekspert. Jak dodał, kwestie cyberbezpieczeństwa powinny być również dyskutowane na poziomie polityczno-strategicznym. "Jestem w stanie sobie wyobrazić, by był to przedmiot prac np. na posiedzeniu Rady Ministrów" - stwierdził.

Początek drogi ku transformacji cyfrowej

Zdaniem Olejnika Polska powinna budować sojusze w zakresie cyberobronności z państwami Unii Europejskiej oraz NATO, a także krajami regionu - np. w gronie Bałtów.

Gawron zwrócił w tym kontekście uwagę, że "zdecydowanie najwięcej aktywności w zakresie cyberbezpieczeństwa wykazuje Unia Europejska", choć "inicjatywa Trójmorza może być ogromną szansą na rozwój przemysłu cyberbezpieczeństwa dzięki współpracy regionalnej".

Jak wskazał, "państwa Trójmorza przede wszystkim łączy podobne położenie geograficzne i struktura gospodarki". Zdaniem Gawrona jednak, państwa te "stoją na początku drogi ku transformacji cyfrowej, nie licząc oczywiście światowego lidera - Estonii", dlatego zapotrzebowanie na produkty i usługi cyberbezpieczeństwa będzie w nich stale rosło.

Szef Klastra #CyberMadeInPoland stwierdził, że w krajach Trójmorza stwarza to okazję do wielu inwestycji z zakresu badań i rozwoju w dziedzinie cyberbezpieczeństwa, a także możliwości regionalnego eksportu oraz importu związanych z nią technologii. "Dzięki współpracy państw Trójmorza będzie łatwiej rozwinąć przemysł IT-sec w regionie, a co za tym idzie starać się +gonić+ państwa Zachodu, które są pod tym względem mocno rozwinięte i nasycone nowymi technologiami" - ocenił Gawron.

"Dodatkowo, ze względu na usytuowanie państw członkowskich inicjatywy Trójmorza, region ten jest w szczególny sposób narażony na cyberataki i wojnę informacyjną z podmiotami zza wschodniej granicy" - wskazał.

Dr Łukasz Olejnik w rozmowie z PAP stwierdził z kolei, że w wielu państwach cyberbezpieczeństwo jest integralnym elementem agendy politycznej, a nawet - systemu politycznego. Jego zdaniem kwestie związane z cyberbezpieczeństwem "to jeden z najważniejszych tematów w wielu krajach świata" i "zasadne jest pytanie o to, jak w Polsce zajmujemy się takimi sprawami, gdyż to nie jest już kwestia strategii i wizji tego, gdzie miałoby znaleźć się nasze państwo w ciągu 10 lat, ale bieżących potrzeb".

Klaster #CyberMadeInPoland to platforma do współpracy i promocji polskiego przemysłu cyberbezpieczeństwa, którego celem jest wsparcie kooperacji sektora prywatnego z instytucjami naukowymi, publicznymi i międzynarodowymi. Klaster powstał z inicjatywy think-tanku specjalizującego się w zagadnieniach cyberbezpieczeństwa w kontekstach geopolitycznych - Instytutu Kościuszki.

Dr Łukasz Olejnik zajmuje się konsultingiem z zakresu cyberbezpieczeństwa i prywatności oraz niezależnym badaczem tych dziedzin.