Nikola Bochyńska, CyberDefence24.pl: 12 stycznia br. to pierwszy dzień istnienia Centralnego Biura Zwalczania Cyberprzestępczości (CBZC). Co od tamtej pory udało się zrobić? Na jakim etapie tworzenia Biura jesteście?

Komendant Centralnego Biura Zwalczania Cyberprzestępczości, Insp. Adam Cieślak: Ruszyliśmy 12 stycznia, ale już w listopadzie ubiegłego roku Komendant Główny Policji powołał mnie na Pełnomocnika ds. utworzenia CBZC. Dzięki temu zyskałem dwa miesiące na przygotowanie wielu formalności, których na co dzień nie widać. Aby stworzyć nowe biuro trzeba przygotować naprawdę wiele dokumentów, ale przede wszystkim też wprowadzić szereg zmian w już istniejących. Niektóre były mi tak odległe, że nie do końca byłem świadomy, że mogą one odnosić się do pracy Biura. W niektórych z nich trzeba było wprowadzić np. zwrot „Komendant CBZC”.

Tych obszarów jest bardzo dużo i z każdym dniem - zamiast zadań ubywać, to przybywa. Od pomysłów na nową siedzibę centrali i zarządu warszawskiego, po adaptację i budowę kilku innych – terenowych. Opracowanie planów pomieszczeń, ich przystosowanie – to jedna z trudniejszych spraw. Do tej pory były to dla mnie tematy odległe, w swojej karierze nie zajmowałem się logistyką. Do tego rekrutacja, która jest bardzo istotnym elementem. To weryfikacja obecnego pionu cyber w Komendach Wojewódzkich i Stołecznej oraz w Komendzie Głównej Policji. Ustawa nakłada obowiązek przejęcia ludzi, którzy posiadają odpowiedni zasób wiedzy. To przygotowanie zarówno pytań, jak i zadań, przeprowadzenie rozmów z kilkuset osobami – było ich ponad 600.

Do połowy marca funkcjonariusze Policji mogli złożyć dokumenty do Centralnego Biura Zwalczania Cyberprzestępczości (CBZC). Jak przebiegła rekrutacja wśród tych planowanych – docelowo - 1800 osób?

Pierwsza tura to był etap kwalifikacji dla policjantów. Dokumenty złożyło prawie 900 osób. Po ich analizie do rozmów przystąpiło prawie 650 osób, z czego z obecnego pionu cyber – z wydziałów Komend Wojewódzkich, Komendy Stołecznej i biura cyber Komendy Głównej Policji – ponad 320, które przystąpiły do postępowania kwalifikacyjnego. Z tego zakwalifikowało się blisko 70 proc. policjantów.

Czy to nie jest wzajemne „podbieranie” sobie pracowników? Dotychczasowe struktury do walki z cyberprzestępczością już istniały, a zarobki mogą sprawić, że praca w CBZC będzie atrakcyjniejsza.

Tak, ale w momencie, kiedy policjanci z obecnego pionu cyber przejdą do CBZC, to tamten pion zostanie rozwiązany. Ci, którzy nie dostaną się do CBZC, będą nadal pracować w strukturach Komend Wojewódzkich – miejsca, w których odbędą służbę, wyznaczą im komendanci w zależności od ich predyspozycji i umiejętności.

CBZC nie będzie zajmowało się wszystkimi sprawami związanymi z cyber, jest ich zbyt wiele. Nie damy rady - przynajmniej w początkowym okresie - zająć się wszystkimi. CBZC w niektórych sprawach ograniczy się tylko do ustaleń i wsparcia innych jednostek, być może przejmą one część spraw z pogranicza cyber i np. przestępczości ekonomicznej.

Uprawnienia CBZC będą takie, jak Policji

W praktyce jakie dodatkowe uprawnienia zyska CBZC w porównaniu do tych, które już posiadały wydziały ds. walki z cyberprzestępczością?

Uprawnienia CBZC będą takie same, jak całej polskiej Policji. Nie będziemy mieć „szczególnych” uprawnień. Tak samo jest w CBŚP, istotna jest kwestia częstszego wykorzystywania tych metod. Przy zmianie ustawy (zmianie ustawy o Policji oraz niektórych innych ustaw w związku z powołaniem Centralnego Biura Zwalczania Cyberprzestępczości – red.) doszły nowe uprawnienia, ale one dotyczą wszystkich policjantów, w większej mierze będą wykorzystywane również przez CBZC. Uprawnienia są przyznane Policji, a korzysta z nich ten, kto prowadzi sprawy tego typu i stosuje zaawansowane metody pracy operacyjnej.

Kiedy minister Mariusz Kamiński ogłaszał powstanie CBZC, pojawiły się opinie, że to „tworzenie kolejnej komórki w strukturze Policji”, a istnieją już służby ds. walki z cyberprzestępczością. Jak pan Komendant to skomentuje? Co jest w takim razie powodem utworzenia CBZC?

Głównym powodem jest rosnąca skala cyberprzestępczości. Obserwujemy ją na całym świecie, nie tylko w Polsce. Druga kwestia, to moim zdaniem fakt, że sprawdził się model funkcjonowania biura z centralnym zarządzeniem, z silną koordynacją – tak jest w przypadku CBŚP. Myślę, że taki był zamysł, aby stworzyć podobne biuro, które będzie zajmowało się zwalczaniem cyberprzestępczości, rozwiązywaniem najpoważniejszych spraw, najtrudniejszych, najbardziej skomplikowanych. O zasięgu krajowym, międzynarodowym. Podobnie, jak robi to CBŚP.

Ile trwa wyszkolenie dobrego cyberpolicjanta? Będziecie rekrutowali do CBZC także osoby niebędące funkcjonariuszami policji. Jaką ścieżkę do CBZC będzie przechodziła taka osoba?

Moim zdaniem, osób gotowych do pracy będzie bardzo mało. Nastawiamy się na wielopoziomowy, wielosystemowy cykl szkoleń i podnoszenie kompetencji policjantów, którzy będą pracowali w Biurze. Chodzi o określone specjalizacje. Nie da się „stworzyć” policjanta, który będzie znał się bardzo dobrze na wszystkim. Ludzie będą musieli posiadać odpowiedni zasób wiedzy technicznej, ale później rozwijać się w swoich kierunkach. Planujemy otworzyć studia podyplomowe w Wyższej Szkole Policji w Szczytnie.

Te studia już nie ruszyły od października?

Tak, ale to studia z zakresu cyberbezpieczeństwa. Powtarzam, że zwalczanie cyberprzestępczości i cyberbezpieczeństwo to dwie ścieżki, które często się ze sobą przeplatają, mają wiele punktów styku, jednak wciąż są różne. Często działamy wtedy, kiedy komuś uda się przełamać zabezpieczenia. Czasami mamy wiedzę wyprzedzającą atak, ale ochrona systemów nie będzie zadaniem tego Biura, je będą realizowały inne komórki odpowiedzialne za ochronę systemów w swoich strukturach, a w przypadku Policji np. w przypadku ataku na systemy policyjne będzie to Biuro Łączności i Informatyki KGP.

Wracając do oferty szkoleniowej: będą studia podyplomowe dla tych, którzy już mają pierwszy stopień wyższego wykształcenia. Planujemy edukację w kilku obszarach: informatyki śledczej, zaawansowanej informatyki śledczej, analizy kryminalnej nastawionej pod kątem cyberprzestępczości, zaawansowanej analizy kryminalnej oraz oddzielny moduł dla wszystkich, którzy będą zajmowali się pracą operacyjną i śledczą.

Druga oferta będzie dla tych, którzy mają ukończoną szkołę średnią, umożliwi ona zostanie oficerem Policji. Będą to 3-letnie studia oficerskie z wliczonym kursem podstawowym, po którym chcemy mieć oficera przygotowanego już do prowadzenia spraw operacyjnych i procesowych, z dużą wiedzą teoretyczną. Na tych studiach będzie mocny nacisk na zwalczanie cyberprzestępczości. Potem dojdzie czas na praktykę. Studia będą miały charakter modułowy. Kandydaci będą spędzać część swojego czasu w jednostkach Policji – pracować ramię w ramię ze swoimi starszymi kolegami i uczyć się od nich, a następnie będą wracać do szkoły pogłębiać wiedze teoretyczną.

Mamy też świadomość, że kilkudniowe szkolenia – zarówno wewnętrzne, jak i zewnętrzne są konieczne. Zakładamy, że aby zwiększać kompetencje, trzeba cały czas się uczyć i doskonalić. Wiem, że to jeden z ważniejszych punktów – aby Biuro się rozwijało, policjanci też muszą, również we własnym zakresie – podnosić swoje kwalifikacje.

Idealny kandydat na cyberpolicjanta

Oczywistym jest, że osoby, które rekrutujecie muszą posiadać zdolności informatyczne. Natomiast jakie szczególne cechy musi posiadać cyberpolicjant?

Przede wszystkim szukamy ludzi, którzy mają poczucie misji i chęć zrobienia czegoś dobrego. Jednym z niezbędnych kryteriów podjęcia pracy w CBZC jest wstąpienie do Policji. Ustawa jest tak skonstruowana – nie tak jak w wielu krajach zachodnich - że cyber biura tworzą zarówno policjanci, jak i pracownicy cywilni – specjaliści. W CBZC zwalczaniem cyberprzestępczości będą zajmowali się tylko policjanci, kandydaci muszą więc wstąpić do służby.

Co do profilu osobowościowego, nie jest on jasno określony. Z jednej strony dobrze, żeby to byli ludzie, którzy potrafią pracować w zespołach. Trudno jest prowadzić sprawy operacyjne czy procesowe i zajmować się informatyką śledczą bez takiej umiejętności. Powstaną też takie komórki, gdzie policjant będzie musiał również pracować sam - w skupieniu przed komputerem. Umiejętność pracy zespołowej i komunikatywność nie są wtedy już tak ważne.

Do 2025 roku CBZC ma liczyć 1800 etatowych policjantów. Jakie macie założenia, jeśli chodzi o rekrutację osób z doświadczeniem z pionu cyber, w stosunku do nowo zatrudnionych?

Trudno zakładać liczby, bo jesteśmy przed pierwszym etapem rekrutacji zewnętrznej. Mamy dosyć dużą konkurencję na rynku. Po pierwszym etapie rekrutacji będziemy wiedzieli, jakie jest zainteresowanie.

Przyjąłem założenie, że ci, którzy dostali się do CBZC – to są policjanci z pionu cyber, jak i spoza – będą oni stanowili „bazę” wiedzy policyjnej dla młodych kandydatów. Pracy operacyjnej, procesowej czy chociażby analitycznej, będą uczyć doświadczeni policjanci.

Pozostali? Będą to młodzi policjanci, którzy przystąpią do rekrutacji, a ci, którym się nie powiodło jeszcze raz spróbują się do nas dostać – albo ludzie z zewnątrz, którzy będą chcieli wstąpić do Policji i do nas dołączyć. Po tych przeniesieniach policjantów, jakie wkrótce się rozpoczną, a niektóre z nich potrwają jeszcze kilka miesięcy – stan biura będzie wynosił około 400 osób, na koniec tego roku. Kolejne 500 etatów przybędzie w przyszłym roku, następne 500 w 2024 roku. W 2025 roku stan etatowy Biura będzie liczył 1800 etatów.

Ile procent tych wakatów w 2025 roku będzie zapełnionych? Trudno mi powiedzieć. Kiedy rozmawiałem z kolegami z zagranicy, którzy budowali lub budują takie komórki od wielu lat –powtarzają, że ważna jest jakość, a nie ilość. Czas pokaże.

"Nikt nie mówi o włamywaniu się po cichu"

Na każdym kroku powtarza się, że największym problemem jest brak specjalistów w branży cyber. Jak w takim razie konkurować z korporacjami międzynarodowymi, które oferują znacznie atrakcyjniejsze wynagrodzenia? Policjanci w CBZC będą zarabiali więcej w porównaniu do ich kolegów, ale wciąż - w porównaniu z zachodnimi korporacjami - nie będą to spektakularne kwoty.

Myślę, że takim czynnikiem będzie atrakcyjna praca. W CBZC nie będzie jak w korporacji, gdzie trzeba siedzieć wiele godzin przed komputerem. Będziemy mieć naprawdę ciekawą ofertę pracy dla ludzi, którzy nie lubią monotonii. Każdy dzień to inne wyzwania: będzie możliwość brania udziału w realizacjach; robienia czegoś, czego legalnie robić nie można, a tu jest okazja działać i to w majestacie prawa, będąc policjantem.

Mowa o hackingu.

Chodzi o wiele rzeczy, ale nie chcę o nich mówić. Są oczywiście zapisane w ustawie i odnoszą się do uprawnień Policji.

W projekcie ustawy był zapis, który wzbudził sporo kontrowersji właśnie w tej kwestii.

Myśli pani o 19c?

Tak.

Zapisy pozwalające na stosowanie ofensywnych metod pracy operacyjnej już istnieją, np. na kontrolę operacyjną wobec końcowego użytkownika. Oczywiście za zgodą sądu, prokuratora, wszystko to dzieje się zgodnie z prawem. Nikt nie mówi o włamywaniu się po cichu. Moim zdaniem należy wdrożyć w Polsce uregulowania prawne, które już funkcjonują w niektórych zachodnich krajach, pozwalające na skuteczniejszą walkę z cyberprzestępcami.

Wracając jeszcze do pytania o konkurencję z firmami prywatnymi – oczywiście, rynek komercyjny zawsze będzie atrakcyjniejszy finansowo – nie tylko w Polsce, wszędzie tak jest. Myślę jednak, że pieniądze nie są w życiu najważniejsze. Oczywiście są ważne, ale ja – wstępując w szeregi Policji wiele lat temu – wiedziałem, że to jest fajna i ciekawa praca. Dla młodych ludzi, którzy nie znoszą nudy, powtarzalności każdego dnia. To jest praca, gdzie można robić naprawdę ciekawe rzeczy, a każdy dzień może być inny.

Każda sprawa to nowe wyzwanie, ma się kontakt z ludźmi, można się rozwijać i podnosić swoje kompetencje. Stawiamy na sprawy duże, ogólnokrajowe, ale o charakterze międzynarodowym. Można być uczestnikiem wielu spraw z kolegami z innych krajów. Można jechać do nich na realizację lub współpracować z nimi w Polsce. Możemy wspólnie zatrzymywać cyberprzestępców, oczywiście na zasadach określonych w prawie. Taką ofertę kieruję do młodych ludzi, którzy nie cierpią nudy, chcą zrobić coś dobrego, chcą być policjantami, chcą się rozwijać. Uda się stworzyć dobre, nowoczesne Biuro w dużej formacji jaką jest Policja.

Współpraca z WOC i NASK

Zmieniając temat: ostatnio ogłaszaliście porozumienie z NASK-iem. Co zakłada i co zmienia się w tym zakresie? Kilka lat temu podpisywaliście już podobne porozumienie.

Porozumienie faktycznie było podpisane kilka lat temu. Jego inicjatorem jest Biuro ds. Walki z Cyberprzestępczością KGP i to biuro pracowało nad nim. CBZC będzie prawnym następcą tego porozumienia, NASK stanie się jednym z naszych głównych partnerów. To właśnie tam pojawiają się nowe informacje o sposobach działania cyberprzestępców, o atakach, ich zasięgu, czasami o wektorze incydentów.

Zresztą nie tylko z NASK-iem będziemy współpracować, takich podmiotów będzie wiele. W różnych obszarach - począwszy choćby od uczelni technicznych np. w zakresie konsultingu, wypracowania skuteczniejszych narzędzi, wymianę wiedzy – po pozyskanie ludzi. To także współpraca z CSIRT-ami, Europolem, Interpolem, partnerami z innych biur cyber w Europie i na świecie.

Z Wojskami Obrony Cyberprzestrzeni też będziecie współpracowali?

Na pewno też. Koledzy trochę wcześniej zaczęli budowanie swoich struktur. Jestem po kilku rozmowach z WOC. Widzę, w którym kierunku się rozwijają. Będziemy się ich radzić - jako starszych kolegów - przynajmniej w niektórych rozwiązaniach.

Co jest w takim razie w najbliższej przyszłości do zrobienia?

W najbliższej przyszłości: formalne przyjęcie ludzi z obecnego pionu cyber, co wydarzy się niedługo. Przejęcie spraw - przynajmniej tych, które w większości już były prowadzone w pionie cyber. Kolejna rekrutacja osób, tym razem z zewnątrz. Chcemy zobaczyć, ilu mamy chętnych do CBZC z Policji. Inwestycje, które są robione od początku, a które będą trwały jeszcze jakiś czas: zakup sprzętu, oprogramowania. Wdrożenie systemu szkoleń zewnętrznych i wewnętrznych, doprecyzowanie programu nauczania i rozpoczęcie szkoleń w Szczytnie - mówimy o studiach oficerskich oraz podyplomowych.

Moją pracę podzieliłem na etapy, ale rzeczywistość pokazuje, że często nie mieścimy się w „ramach” założonych etapów, bo nagle trzeba zająć się czymś innym. Istotnym elementem jest promocja, jak i profilaktyka. Tych kierunków działań jest wiele.

Poza przejęciem spraw – dosyć istotne jest ułożenie systemu pracy Biura trochę na innych zasadach. Zmiana sposobu działania policjantów, postrzeganie prowadzonych spraw w dużo szerszej perspektywie.

Jeśli chodzi o zmianę mentalności, chodzi panu Komendantowi o poszerzenie horyzontów poza granice kraju?

Też, ale czasem sprawa, którą realizują jest częścią większej. Warto popracować z innymi kolegami – z innych wydziałów, nie zastanawiać się nad tym, że „muszę komuś oddać swój sukces”, bo być może „moje śledztwo wyląduje w Rzeszowie czy Szczecinie”. Przeciwnik jest jeden. Chodzi o zmianę mentalności i wprowadzenie zdrowej rywalizacji, a także o poprawę współpracy między komórkami. Ważne jest skupienie się na poważnych sprawach.

W cyberbezpieczeństwie często podkreślają, że ważna jest gra zespołowa.

Oczywiście. Przez wiele lat, będąc w CBŚP, obserwowałem, jak ważna jest gra zespołowa i jak często można coś popsuć poprzez np. statystykę, nieumiejętne rozliczanie, albo brak cierpliwości do sprawy, a ile zyskać poprzez właściwe wyznaczanie priorytetów. Przez ostatnie kilka lat bardziej cieszyłem się, jeśli ktoś potrafił oddać efekty swojej ciężkiej pracy i swoich ludzi do innego wydziału, wiedząc, że to dla dobra sprawy. Wiedząc, że warto. Byłem zadowolony, że osoba odpowiedzialna za sprawę zrobiła kawał dobrej roboty, ale potrafiła ją oddać. W CBZC będę dążył do tego, aby statystyka służyła do badania trendów, skali, zjawisk cyberprzestępczości, a nie była wyznacznikiem pracy.

Wyzwaniem: ludzie i logistyka

To może kwestia odpowiedniego wynagradzania?

Czasami takie spojrzenie nie jest dobre dla całokształtu sprawy. Dodatki w CBZC będą bardzo wysokie - dla tych, którzy będą brali bezpośredni udział w zwalczaniu cyberprzestępczości. Bardzo wysokie, bo mówimy o kwotach od prawie 5 tys. złotych brutto do niemal 9 tys. zł brutto dla policjanta. Są na pewno czynnikiem bardzo motywującym, ale z drugiej strony mogą być czynnikiem, który będzie powodował trudności w zarządzaniu zespołem. Niektórzy nie dostaną tego dodatku, a też będą ciężko pracowali.

Kwestia pieniędzy często potrafi poróżnić. Co jest w takim razie największym wyzwaniem w budowie CBZC?

Są dwa główne wyzwania. Od początku zakładem, że to kapitał ludzki. Budowanie biura na dobrych specjalistach, na trafnych wyborach, aby zachęcić ich, żeby zechcieli do nas dołączyć. Wyzwanie kadrowe - tak bym je nazwał.

Druga kwestia, to wyzwanie logistyczne. Do tej pory większość reorganizacji w Policji polegała na tym, że etaty z jednej komórki były przenoszone do drugiej; albo z istniejących etatów tworzono kolejną komórkę. Tu jest nieco inna sytuacja, w Policji powstanie 1800 nowych etatów, one oczywiście będą się zwiększać.

To także budowa siedzib, adaptacja już istniejących, aby ludzie mieli swoje stanowiska pracy, byli odpowiednio wyposażeni, mieli komfort pracy. Proces inwestycyjny nie przebiega z dnia na dzień, ale długofalowo. To jedno z ważniejszych wyzwań, jakie będzie nam towarzyszyło od samego początku, przez kilka kolejnych lat.

W cyberbezpieczeństwie mówią też, że czynnik ludzki jest często najsłabszym ogniwem. W walce z cyberprzestępczością również?

Myślę, że tak będzie. Bardzo wiele czasem zależy od jednej osoby, a czasem od zespołu. Za sukcesami będzie stało Biuro, ale często rozwiązana sprawa to osiągnięcie jednej czy dwóch osób, które wpadły na trop, często poświęcając swój wolny czas i mając na tyle determinacji, aby doprowadzić ją do końca. Mówię to na przykładzie pracy w CBŚP, gdzie wiele spraw, które wszyscy obserwujemy w telewizji, to sukcesy naprawdę małych zespołów.

Nie ma pan czasem poczucia, że walka z cyberprzestępczością, to walka z wiatrakami, zważając na to, że cyberprzestępstw będzie pewnie coraz więcej?

A możliwości ich ustaleń bardzo ograniczone. Tak, ale nie podjąłbym się tego wyzwania, gdybym nie wierzył, że jest szansa złapać ludzi, którzy dopuszczają się tych przestępstw. Oni też popełniają błędy. Czasami potrzeba cierpliwości, potrzeba miesięcy – może i lat, ale istnieje szansa na ich złapanie. A na pewno tych którzy nie są na tyle zaawansowani technicznie i łakomią się na szybki, łatwy zysk. Zresztą świadczą o tym sukcesy kolegów, którzy już pracują w obecnym pionie cyber.

Dziękuję za rozmowę.

Chcemy być także bliżej Państwa – czytelników. Dlatego, jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected]. Przyszłość przynosi zmiany. Wprowadzamy je pod hasłem #CyberIsFuture.