Wojsko ma "doświadczenie w prowadzeniu operacji ofensywnych" w cyberprzestrzeni [WYWIAD]

Andrzej Kozłowski: Na mocy podjętej już decyzji, rozpoczyna się opracowywanie koncepcji budowy wojsk obrony cyberprzestrzeni (WOC). Jakie powinny być zadania tego nowego rodzaju wojsk?

Płk Karol Molenda: Minister Mariusz Błaszczak zdecydował o utworzeniu Wojsk Obrony Cyberprzestrzeni oraz zobowiązał mnie do przedstawienia koncepcji i harmonogramu ich sformowania.  

Rozpoczniemy od zdefiniowania zadań, które powinny realizować wojska obrony cyberprzestrzeni, by na ich podstawie zaproponować odpowiednie struktury organizacyjne.  Dla resortu obrony narodowej zdefiniowana została, choćby w ustawie o krajowym systemie cyberbezpieczeństwa, kluczowa rola w zakresie zapewnienia odpowiedniego poziomu bezpieczeństwa cyberprzestrzeni RP.

Dlaczego akurat Pan jest tym oficerem, który został wyznaczony do stworzenia koncepcji WOC?

Myślę, że o wyborze mojej osoby zadecydowało kilka czynników, a nie jeden.

Zapewne kluczowy był fakt, że mam ponad 12-letnie doświadczenie w kwestiach związanych z bezpieczeństwem teleinformatycznym. Przez ten okres byłem odpowiedzialny w Służbie Kontrwywiadu Wojskowego za budowanie kompetencji w zakresie bezpieczeństwa cyberprzestrzeni oraz realizacji zadań związanych z cyberkontrwywiadem. Z racji pełnionej funkcji bardzo dobrze orientuję się w strukturach i zadaniach realizowanych przez poszczególne jednostki organizacyjne resortu w domenie cyberprzestrzennej. Dotychczas odpowiadałem za funkcjonowanie Centrum Koordynacyjnego Systemu Reagowania na Incydenty Komputerowe. W przeszłości przewodniczyłem również zespołom audytującym bezpieczeństwo poszczególnych systemów teleinformatycznych. Stąd znaczna cześć zadań realizowanych przez resort obrony narodowej w domenie cyberprzestrzennej jest mi bliska. 

Zna Pan specyfikę resortu, jeśli chodzi o cyberbezpieczeństwo?

Przez wiele lat zajmowałem się tematami związanymi z akredytacją bezpieczeństwa teleinformatycznego, certyfikacją urządzeń przeznaczonych do ochrony informacji niejawnych, obsługą incydentów komputerowych czy działaniami związanymi z cyberkontrwywiadem. Ufam, że to doświadczenie pozwoli mi określić odpowiednie zadania jakie powinny realizować wojska obrony cyberprzestrzeni oraz zaplanować adekwatne do tego typu zadań struktury.

Czy NATO może pomóc w budowaniu WOC?

W NATO kwestie związane z działaniem w cyberprzestrzeni są obecnie często poruszane. Równolegle trwa szereg prac związanych ze zdefiniowaniem zakresu działań, kompetencji i struktur Sojuszu Północnoatlantyckiego, tak by operacje w cyberprzestrzeni były realizowane na równi z operacjami w pozostałych domenach. W NATO powołano jednostkę NATO CYBER OPERATION CENTER, która ma za zadanie budowanie tzw. „świadomości sytuacyjnej w cyberprzestrzeni”. Uważam, że doświadczenia zdobyte z prac grup roboczych NATO w znacznym stopniu mogą pomóc przy budowaniu wojsko obrony cyberprzestrzeni.

Obecny CSIRT w MON będzie rozbudowywany?

CSIRT-MON, czyli Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego, działający na poziomie krajowym, prowadzony przez Ministra Obrony Narodowej, realizuje kluczową rolę w procesie zapewnienia odpowiedniego poziomu bezpieczeństwa cyberprzestrzeni RP.

Ustawa z 2018 roku o krajowym systemie cyberbezpieczeństwa definiuje szereg zadań jakie musi realizować CSIRT-MON, dla przykładu monitoruje, reaguje oraz koordynuje obsługę wszelkiego typu zagrożeń cyberbezpieczeństwa w tym incydentów związanych ze zdarzeniami o charakterze terrorystycznym. Nasz zespół nie tylko musi być rozbudowywany, ale również w jego strukturach powinni służyć najbardziej doświadczeni specjaliści.

Dlaczego akurat centralizacja? Wzorujemy się tutaj na USA?

Łatwiej jest zarządzać bezpieczeństwem jednej rozległej sieci niż bezpieczeństwem stu odseparowanych. Pozwala to również na optymalizację niezbędnych do tego celu kadr.

Oczywiście w wojskowym środowisku niemożliwe jest dokonanie centralizacji wszystkich zasobów teleinformatycznych, gdyż armia dysponuje szeregiem różnych systemów, w tym przetwarzających informacje niejawne, które muszą być odseparowane. Niemniej jednak uważam, że pewna centralizacja jest niezbędna.

Czy rozpoznanie jest potrzebne do działań w cyberprzestrzeni?

To jest temat złożony. Oczywiście musimy budować kompetencje w tym zakresie, bo bez odpowiedniego rozpoznania nie możemy mówić o żadnym działaniu ofensywnym.

Analogicznie do działań konwencjonalnych, których nie prowadzi się przecież bez wcześniejszego rozpoznania sił i środków potencjalnego przeciwnika. Żaden dowódca nie zdecyduje się na wysłanie statków powietrznych, nie mając pełnej wiedzy na temat systemów radiolokacyjnych, czy rozmieszczenia poszczególnych elementów obrony przeciwlotniczej przeciwnika. W każdym z rodzajów wojsk, decyzja o przeprowadzeniu działań zaczepnych, a nawet o sposobie prowadzenia aktywnych działań obronnych, może być bowiem podejmowana jedynie w oparciu o kompletne i wiarygodne dane rozpoznawcze. Prowadzenie aktywnych działań obronnych oraz ofensywnych w cyberprzestrzeni musi więc rządzić się analogicznymi zasadami.

Mówiąc o rozpoznaniu, jak można byłoby wykorzystać potencjał sektora prywatnego i z nim współpracować?

W sektorze prywatnym istnieją firmy, które już posiadają niezbędną wiedzę, umiejętności kompetencje oraz sprzęt, który mógłby okazać się pomocny dla WOC.

Zawsze podkreślałem, że współdziałanie sfery wojskowej i instytucji cywilnych jest niezbędne do zapewnienia właściwego poziomu cyberbezpieczeństwa RP. Na pewno będę dążył do tego celu.

Myśląc o cyberrozpoznaniu, czy możemy to porównać do współpracy NSA - USCYBERCOM, oczywiście w innej skali?

Poruszył Pan ważny i bardzo ciekawy temat, o którym za dużo powiedzieć nie mogę by nie ujawnić wrażliwych danych. Jednak dla bacznego obserwatora rzuca się w oczy fakt, że Dyrektor NSA jest jednocześnie Dyrektorem U.S. Cyber Command. Wynika to zapewne z faktu, że cześć zadań w cyberprzestrzeni jest i może być realizowana przez służbę specjalną, jaką jest NSA, a część zadań może być realizowane przez wojsko.

Służby specjalne poszczególnych krajów mają uprawniania do realizacji pewnych zadań, w tym  wywiadowczych. Wojsko w czasie pokoju ma w tym zakresie ograniczone pole działania.

My również podczas tworzenia wojsk obrony cyberprzestrzeni będziemy musieli wyznaczyć granicę i zakres działań jaki realizować będzie mogło wojsko w czasie pokoju, a jakie zadania będą tylko i wyłącznie w odpowiedzialności poszczególnych służb specjalnych.

Czy Państwo rozważają wprowadzenie takich programów jak Hack the Pentagon czy Hack the Army?

Jak najbardziej. Uważam, że takie programy mogą tylko poprawić poziom bezpieczeństwa resortowych systemów teleinformatycznych. Oczywiście, nim uruchomimy takie programy, musimy być przekonani, że zespół CSIRT MON jest gotowy i ukompletowany we właściwy sposób zarówno, jeżeli chodzi o ilość specjalistów jak i ich umiejętności.

Z doświadczenia naszych partnerów zagranicznych wynika, że Hack the Army jest dobrym przykładem programu podnoszącego wymiernie poziom bezpieczeństwa systemów teleinformatycznych. Z jednej strony osoby z zewnątrz dostają zgodę, żeby oddziaływać na sieci.  Z drugiej strony istnieje możliwość wykrycia przez te osoby nieznanych dotychczas luk i podatności. Oczywiście w tle pojawią się również hakerzy, którzy działają złośliwie i niezgodnie z upoważnieniami. To był jeden z problemów, jaki napotkali Amerykanie.  Pomimo tego, odbiór programów był bardzo pozytywny. Ponadto, zachęcił kilka osób do dołączenia do zespołu bezpieczeństwa, ponieważ ta praca wydała się im interesująca.

Czy miałby zajmować się dwie nowe instytucje?

Chciałbym podkreślić, że nie tworzymy dwóch dodatkowych nowych jednostek zajmujących się działaniami w cyberprzestrzeni, a konsolidujemy kompetencje obecnie występujące w Narodowym Centrum Kryptologii i Inspektoracie Informatyki. To na ich podstawie utworzone zostanie Narodowe Centrum Bezpieczeństwa Cyberprzestrzeni. Pozwoli to na pogłębienie współpracy ekspertów odpowiedzialnych za bezpieczeństwo teleinformatyczne oraz wsparcie kryptologiczne komórek odpowiedzialnych za zakup sprzętu i oprogramowania oraz utrzymanie resortowych sieci i systemów.

Natomiast na bazie Centrum Operacji Cybernetycznych sformowany zostanie Inspektorat Sił Obrony Cyberprzestrzeni, który docelowo zostanie przekształcony w wojska obrony cyberprzestrzeni.

Narodowe Centrum Bezpieczeństwa Cyberprzestrzeni oraz Inspektorat Sił Obrony Cyberprzestrzeni realizować będą pełne spektrum działań w cyberprzestrzeni.

W mediach pojawiają się wątpliwości czy WOC mają być nowym rodzajem wojsk czy nowym rodzajem sił zbrojnych?

Myślę, że świat podąża w takim kierunku, że wojskowe struktury odpowiedzialne za realizacje zadań w cyberprzestrzeni będą w przyszłości stanowiły nowy rodzaj sił zbrojnych. Niemniej jednak podjęta została decyzja, że my obecnie budujemy struktury nowego rodzaju wojsk. Tak więc gdy Inspektorat Sił Obrony Cyberprzestrzeni osiągnie swoją gotowość operacyjną zostanie przekształcony w nowy rodzaj wojsk.

W trakcie panelu stwierdzono, że COC prowadziło już działania w pełnym spektrum operacyjnym czy to znaczy, że operacje ofensywne w cyberprzestrzeni były już przeprowadzane?

Centrum Operacji Cybernetycznych ma już pewne doświadczenia w operacjach w cyberprzestrzeni. Osobiście uczestniczyłem w kilku z nich wraz z żołnierzami COC. Opowiedzieć mogę o jednym, podczas którego miałam przyjemność dowodzić trzema zespołami specjalistów centrum, w ramach ćwiczeń Anakonda-16. Wówczas to prawdopodobnie po raz pierwszy w historii NATO, prowadzone były operacje cyber w rzeczywistych systemach teleinformatycznych funkcjonujących na potrzeby ćwiczenia.

Takie działania wymagały zgody Ministra Obrony Narodowej i znacznie przyczyniły się do budowania świadomości zagrożeń wśród wyższej kadry kierowniczej wojska.

Ćwiczenia polegały na tym, że specjaliści z COC oddziaływali na nasze sieci, żeby odgrywać scenariusz przeniknięcia nieprzyjaciela.

Jakie był rezultaty tych ćwiczeń?

Sieć wcześniej przechodziła audyty. Udało się jednak znaleźć pewne podatności. Wzbudziło to zainteresowania generalicji, która powiedziała, że nie wyobraża sobie, żeby zabrakło ich na kolejnych ćwiczeniach. Generał Wojciechowski pozwolił również zaatakować kierownictwo, sam mógł być celem. Kierowaliśmy ataki phisingowe, żeby sprawdzić świadomość zagrożeń. Na pewno podniosło to poczucie bezpieczeństwa. Kierownicy ćwiczenia wiedzieli, że nie zawsze można ufać sieci, w której się wydaje rozkazy. Istnieje zagrożenie, że włamując się do systemu można zmienić rozkaz i przykładowo wydać polecenie ataku na inny cel.  

Jak będzie wyglądała integracja WOC z innymi rodzajami sił zbrojnych oraz w jaki sposób zostanie zapewniona ochrona żołnierzom stacjonującym w misjach poza Polską?  

W pełni na to pytanie będę w stanie odpowiedzieć w czerwcu, jak ukończę pracę nad koncepcją. Mamy wzory z innych państw, jak np. z USA jak ten problem rozwiązać. Myślimy nad zakresem wsparcia, które miałoby być udzielane wojskom konwencjonalnym.  W Iraku i w Afganistanie, amerykańskie oddziały odpowiedzialne za działania w cyberprzestrzeni utrudniały komunikację przeciwnikowi, modyfikowały ją, przejmowały i próbowały zniszczyć systemy czy poczynić inne szkody.  Mówimy również o aktywnej obronie sieci.

W całej koncepcji WOC brakuje mi elementu nawiązania do ustawy o krajowym systemie cyberbezpieczeństwa. Jak będzie wyglądała współpraca z pełnomocnikiem rządu ds. cyberbezpieczeństwa Karolem Okońskim, CSIRTem NASKu i ABW?

W koncepcji, którą mam do przedstawienia Ministrowi Obrony Narodowej, aspekt współpracy w zakresie cyberbezpieczeństwa zostanie uwzględniony. Muszę podkreślić, że obecnie współpraca pomiędzy trzema krajowymi CSIRT-ami jest już realizowana i to w sposób zadawalający.

Moim zadaniem będzie takie zaprojektowanie struktury wojsk obrony cyberprzestrzeni, by znacząco wzmocnić funkcjonowanie CSIRT-MON, a przez to funkcjonowanie całego systemu cyberbezpieczeństwa RP.

Jak się rysuje kwestia budżetu i kwestia kadr?.  Pan opracowuje koncepcję, którą przedstawi Ministrowi do czerwca 2019 roku. Czy w tym dokumencie zostanie przestawiona liczba żołnierzy, która jest potrzebna oraz budżet?

Będzie to raczej stwierdzenie, że potrzebujemy „nie mniej niż”.  Struktura powinna wynikać z zadań, a nie zadania ze struktury.  Musimy określić, jakie zadania będziemy realizować oraz jakie minimalne środki są nam niezbędne do zapewnienia odpowiedniego poziomu bezpieczeństwa systemów teleinformatycznych resortu obrony narodowej.

Rozpoczniemy od określenia potencjału jakim już dziś dysponujemy i jakim docelowo powinniśmy, jako kraj, dysponować w tym obszarze.

Chciałbym określić w strukturze minimalne potrzeby zasobów osobowych, które są potrzebne do realizacji określonych zadań. Specjaliści powinni mieć możliwość okresowej rotacji pomiędzy zespołami, co wnosi pewien element świeżości do ich pracy oraz pozwala zdobyć dodatkowe doświadczenie.

Jeżeli budżet na to pozwoli, będzie można stworzyć więcej zespołów. Ludzie są najcenniejsi, ale trzeba pamiętać również o sprzęcie, oprogramowaniu, koordynacji działań i szkoleniu. Dlatego jest to proces złożony.

Jak sobie poradzić i zebrać ludzi, kiedy sektor komercyjny oferuje wyższe wynagrodzenia?

Jest szereg argumentów, które skłaniają do tego, aby związać się z Wojskiem i dbać o bezpieczeństwo Polski w cyberprzestrzeni. Przykładowo w firmie komercyjnej, pracownicy przede wszystkim muszą wypracować zysk. Od wypracowanego zysku oraz stanu realizacji zadań często zależy, czy zostaną skierowani na dodatkowe kursy specjalistyczne lub konferencje.

Część osób z mojego zespołu, która zdecydowała się w pewnym okresie swojego życia na pracę w sektorze prywatnym, po pewnym czasie powróciła do służby. Pracując w sektorze prywatnym zdobyły nowe doświadczenia, ale kultura pracy była zupełnie inna. Byli przedmiotem a nie podmiotem.  Każde działanie było nastawione na zysk oraz na optymalizację czasu jego realizacji.

W resorcie obrony narodowej w odróżnieniu od części firm komercyjnych, przykładamy dużą wagę do jakości wykonywanej pracy. W szczególności w zakresie bezpieczeństwa cyberprzestrzeni nie możemy sobie pozwolić na błędy. Zakończenie realizacji zadania uwarunkowane jest od jego efektu, a nie daty zakończenia kontraktu. Wydaje mi się, że w sektorze prywatnym często wygląda to zupełnie inaczej.

Musimy też pamiętać, że pieniądze to nie wszystko. Część osób ma poczucie wykonywania misji, inni cenią sobie możliwość pracy z interesującymi technologiami czy pewną unikalność działań. Będziemy inwestować w młode osoby, które będą chciały rozwijać swoją wiedzę i umiejętności wraz z nami.

To oczywiste, że sektor prywatny oferował, oferuje i będzie oferował wyższe wynagrodzenia.

Wbrew temu co się mówi, problem ten występuje nie tylko w Polsce. Wszyscy nasi zagraniczni partnerzy również mają podobne trudności w pozyskiwaniu odpowiednio wykwalifikowanej kadry do realizacji swoich zadań.

Dobrym tego typu przykładem jest brytyjska służba specjalna GCHQ (Government Communications Headquarters), gdzie co tydzień odchodzi z pracy ok 3 specjalistów związanych z pracą w domenie cyberprzestrzennej. Jednak szef tej instytucji stara się na ich miejsce zatrudnić pięciu kolejnych zakładając, że cześć z nowoprzybyłych zwiąże się ze służbą na dłużej.

Musimy też pamiętać, że warunki służby w Wojsku Polskim stale się polepszają, mówię m.in. o ostatnich podwyżkach. Siły Zbrojne oferują także wiele dodatkowych uprawnień, np. mundurówkę czy dodatek za mieszkanie. Osobiście jestem spokojny, jeżeli chodzi o ilość chętnych osób chcących dołączyć do Wojsk Obrony Cyberprzestrzeni. Zrobię wszystko, by warunki jakie zastaną w służbie zachęcały ich do pozostania w naszych strukturach na dłużej.