Wojna uderza w centra danych na wschodzie Europy. Jak budować odporność cyfrową Polski?

Data center celem na wojnie

Szymon Palczewski, CyberDefence24: W ostatnim czasie zrobiło się głośno o kinetycznych atakach wymierzonych w centra danych. Wystarczy wspomnieć o np. zniszczeniach po stronie rosyjskiego Yandexu. Dlaczego stały się atrakcyjnym celem?

Piotr Kowalski, dyrektor zarządzający w Polish Data Center Association: Wraz z postępującą cyfryzacją znaczenie centrów danych wyraźnie wzrosło, ponieważ coraz większa część gospodarki i usług publicznych zależy od dostępu do danych i mocy obliczeniowej. Nie powiedziałbym jednak, że są z definicji bardziej atrakcyjnym celem niż inne elementy infrastruktury istotnej dla funkcjonowania państwa, takie jak energetyka, telekomunikacja czy transport. 

Ale ich rola w cyfrowym świecie jest ogromna. Atakujący doskonale zdaje sobie z tego sprawę, co dobitnie pokazuje chociażby wojna za naszą wschodnią granicą.

To prawda. Centra danych obsługują usługi administracji publicznej, sektora finansowego, telekomunikacji, ochrony zdrowia, transportu, handlu, chmury oraz coraz większej liczby systemów wykorzystujących sztuczną inteligencję. 

Zakłócenie działania dużego obiektu może więc wywołać skutki wykraczające poza samą infrastrukturę techniczną: problemy z dostępem do usług chmurowych i systemów administracji, zakłócenia w płatnościach, komunikacji czy logistyce, a w przypadku ochrony zdrowia – utrudniony dostęp do danych potrzebnych do diagnostyki i leczenia.

Do tego dochodzi infrastruktura mająca charakter dual-use.

Zgadza się. Są „elementy”, które na co dzień służą przede wszystkim celom cywilnym i gospodarczym, ale w sytuacji kryzysu lub konfliktu mogą również wspierać działania związane z bezpieczeństwem i obronnością, m.in. poprzez zapewnienie mocy obliczeniowej, komunikacji i możliwości przetwarzania dużych ilości danych. Oznacza to, że ich znaczenie dla odporności państwa jest więc obecnie większe niż jeszcze kilka lat temu.

Znaczenie data center pokazują też obowiązujące przepisy. Wystarczy wspomnieć o unijnym NIS 2. Przepisy wprost wskazują, że mówimy o fundamencie cyberbezpieczeństwa i odporności państwa.

Zgadza się. Podejście regulacyjne to potwierdza. Wspomniana europejska dyrektywa NIS2 obejmuje dostawców usług centrów danych wymogami dotyczącymi cyberbezpieczeństwa i odporności, a w części państw europejskich infrastruktura data center jest ujmowana w systemach ochrony infrastruktury krytycznej. Jako PLDCA zwracamyuwagę, że wraz z postępem cyfryzacji infrastruktura przetwarzania danych przestaje być wyłącznie technicznym zapleczem biznesu, a staje się jednym z elementów odporności państwa.

Tylko jak powinniśmy rozumieć wspomnianą „odporność"?

Musimy rozgraniczyć „odporność operacyjną” od „odporności na zagrożenia militarne”.

Komercyjne centra danych są projektowane pod kątem maksymalnej dostępności usług – wykorzystują m.in. redundantne systemy zasilania, agregaty awaryjne, zwielokrotnione systemy chłodzenia i łączności. 

Nie oznacza to jednak, że są projektowane z myślą o bezpośrednich atakach rakietowych czy innych działaniach wojennych. Tego rodzaju zagrożenia wykraczają poza typowy zakres zabezpieczeń stosowanych przez operatorów centrów danych i wymagają szerszego systemu ochrony państwa. 

Zatrzymajmy się przy temacie kinetycznych ataków. Co fizyczne zniszczenie data center oznacza dla jego właściciela?

Przede wszystkim trzeba rozróżnić awarię infrastruktury od całkowitej utraty usług i danych. Profesjonalne centra danych są projektowane i budowane z myślą o zagwarantowaniu najwyższej dostępności operacyjnej poprzez systemy zasilania awaryjnego, chłodzenia czy redundancję infrastruktury. Natomiast co do zasady nie są projektowane pod kątem odporności na bezpośrednie ataki militarne. 

Atak kinetyczny wprowadza więc zupełnie inną skalę ryzyka, ponieważ oznacza fizyczne uszkodzenie obiektu. Jeżeli obejmie ono kluczowe elementy budowlane i instalacyjne, standardowe mechanizmy redundancji wewnątrz jednego obiektu mogą okazać się niewystarczające.

Dla właściciela oznacza to nie tylko koszt zniszczonego sprzętu. Dochodzą utracone przychody, koszty odtworzenia infrastruktury, migracji klientów oraz ewentualne zobowiązania wynikające z umów SLA.

Z perspektywy klientów to również problem. Jak duży?

Dla klientów pierwszym skutkiem jest niedostępność usług. W przypadku systemów obsługujących procesy krytyczne elementem planowania ciągłości działania jest utrzymywanie kopii danych i rezerwowych zasobów w niezależnych ośrodkach Disaster Recovery (DR), odpowiednio oddalonych geograficznie od lokalizacji podstawowej. Pozwala to ograniczyć skutki utraty jednego obiektu i, w zależności od przyjętej architektury, przełączyć usługi do lokalizacji zapasowej oraz możliwie szybko przywrócić ich działanie.

Yandex ma problem. Z czym wiąże się zniszczone data center?

To teraz skupmy się na konkretnym przykładzie. Co zniszczenie tak istotnego centrum danych, jak tego należącego do Yandex-u, może oznaczać dla zwykłych użytkowników?

Przykład zakłóceń w funkcjonowaniu infrastruktury tak dużego dostawcy usług cyfrowych jak Yandex pokazuje praktyczne skutki wysokiej koncentracji usług. 

Znaczenie centrum danych nie wynika wyłącznie z wartości znajdujących się w nim serwerów. Istotniejsza jest liczba procesów, firm i użytkowników, którzy są od tej infrastruktury zależni. Im większa koncentracja usług u jednego dostawcy i w ograniczonej liczbie lokalizacji, tym większe mogą być skutki awarii lub fizycznego zniszczenia obiektu.

I tym samym słabsza odporność.

To także praktyczny wymiar dyskusji o suwerenności cyfrowej. Odporność oznacza nie tylko posiadanie własnej infrastruktury, ale także jej geograficzne rozproszenie, właściwą architekturę backupu oraz realną możliwość przeniesienia kluczowych systemów w przypadku niedostępności jednej lokalizacji.

Czy my, jako Europa, rozumiemy ten problem?

Właśnie w takim kierunku zmierzają regulacje unijne. Data Act ma ułatwiać zmianę dostawcy usług chmurowych i ograniczać ryzyko uzależnienia od jednego operatora. Z kolei projekt Cloud and AI Development Act wskazuje na potrzebę zwiększania dostępności mocy obliczeniowych w Europie i ich bardziej zrównoważonego geograficznie rozwoju. 

Jako PLDCA podkreślamy, że rozwój krajowych mocy obliczeniowych, przy jednoczesnym zapewnieniu odpowiedniego rozproszenia i odporności infrastruktury, jest elementem bezpieczeństwa państwa i odporności gospodarki.

Wiemy, jakie skutki wiążą się z kinetycznym atakiem na data center. Mówimy o realnym scenariuszu, którego doświadczył Yandex. Pytanie, jak długo może potrwać jego odbudowa w rosyjskich warunkach?

Bez wiedzy o dokładnym zakresie zniszczeń nie da się wiarygodnie podać jednej liczby. Czym innym jest przywrócenie części usług poprzez przeniesienie obciążenia do innych centrów danych, a czym innym fizyczna odbudowa obiektu i odtworzenie porównywalnej mocy obliczeniowej. Budowa nowoczesnego centrum danych jest procesem wieloletnim nawet w normalnych warunkach rynkowych. 

Odbudowa zniszczonego obiektu może wyglądać inaczej niż realizacja inwestycji od podstaw, szczególnie jeśli część infrastruktury – np. przyłącze energetyczne, konstrukcja obiektu czy instalacje techniczne – pozostanie sprawna. 

Jeżeli jednak uszkodzenia są rozległe i konieczne jest odtworzenie również infrastruktury energetycznej, systemów chłodzenia oraz warstwy IT, mówimy o przedsięwzięciu liczonym raczej w latach niż w miesiącach. W rosyjskich warunkach dodatkowym czynnikiem wydłużającym ten proces są ograniczenia w dostępie do zaawansowanych technologii i komponentów objętych sankcjami.

Z jakimi kosztami, oczywiście szacunkowo, może wiązać się odbudowa trafionego data center?

Ponownie, bez znajomości skali obiektu i zakresu zniszczeń nie da się odpowiedzialnie podać jednej kwoty. Można natomiast pokazać skalę kosztów na podstawie aktualnych benchmarków branżowych.

I jak to wygląda? O jakich kwotach mówimy?

Szacunkowy koszt samej budowlanej i technicznej infrastruktury Data Center – bez kosztu gruntu oraz pasywnej/aktywnej warstwy IT – kształtuje się zazwyczaj w przedziale 10-14 mln USD za 1 MW mocy IT.

Natomiast w przypadku nowoczesnych obiektów dedykowanych sztucznej inteligencji, tzw. AI factories, łączny nakład inwestycyjny sięga około 50 mln USD za 1 MW, z czego około 10-12 mln USD przypada na sam budynek i infrastrukturę techniczną Data Center, zaś pozostałe 38–40 mln USD stanowi koszt aktywnego sprzętu IT, serwerów oraz akceleratorów GPU. 

Ostateczny koszt odbudowy zależy od tego, co ocalało: konstrukcja obiektu, przyłącze elektroenergetyczne, stacje transformatorowe czy systemy chłodzenia. Im większy zakres koniecznego odtworzenia tych elementów, tym koszt będzie bliższy realizacji nowego centrum danych od podstaw.

Skąd zatem Rosja może pozyskać komponenty potrzebne do odbudowy data center?

Sankcje i ograniczenia eksportowe ciążące na Rosji ograniczają bezpośredni dostęp do części nowoczesnych technologii wykorzystywanych w centrach danych, szczególnie do najbardziej zaawansowanych procesorów i komponentów potrzebnych do budowy infrastruktury AI. 

Jako PLDCA nie analizujemy szczegółowo łańcuchów dostaw zagranicznych podmiotów ani sposobów pozyskiwania technologii przez państwa objęte ograniczeniami eksportowymi, dlatego nie chcielibyśmy spekulować, z jakich konkretnie źródeł Rosja może uzupełniać brakujące komponenty. 

Chiny pewnie „zacierają już ręce" i mogą zaangażować się w ich odbudowę.

Nie można wykluczyć, że chińskie firmy będą uczestniczyć w odbudowie lub modernizacji uszkodzonej infrastruktury. 

Chiny dysponują rozbudowanym sektorem technologicznym, a tamtejsi producenci oferują wiele rozwiązań wykorzystywanych w centrach danych: od serwerów i urządzeń sieciowych po systemy zasilania i chłodzenia. Trzeba przy tym pamiętać, że Rosja funkcjonuje w warunkach licznych sankcji i ograniczeń importowych, które wpływają na dostępność określonych technologii i urządzeń.

Sama odbudowa centrum danych to jednak złożony proces, który wymaga nie tylko dostępu do odpowiedniego sprzętu, ale także kompetencji projektowych, integracyjnych i serwisowych.

Na obecnym etapie trudno przewidywać, jakie firmy mogłyby zaangażować się w ewentualną odbudowę konkretnych obiektów. Nie dysponujemy informacjami, które pozwalałyby wskazać potencjalnych wykonawców lub dostawców technologii.

Cyfrowe serce Polski

Przejdźmy na „krajowe podwórko'. Ile w Polsce mamy dużych data center?

W Polsce funkcjonują już duże centra danych obsługujące globalne platformy chmurowe, przedsiębiorstwa i instytucje. Rynek centrów danych nad Wisłą rozwija się bardzo dynamicznie, a skala działającej już infrastruktury jest znacząca. 

Według naszych danych, łączna moc centrów danych w Polsce wynosi obecnie około 250 MW, z czego około 170 MW przypada na Warszawę i jej okolice. To właśnie tutaj koncentruje się największa część krajowej infrastruktury, choć coraz większy potencjał inwestycyjny mają również inne regiony naszego kraju.

Jak to się ma do np. centrum rosyjskiego Yandexu?

Dla porównania, centrum danych Yandexu w Kałudze, według informacji opublikowanych przez samą firmę, zostało zaprojektowane z myślą o mocy 63 MW i pomieszczeniu ponad 3800 szaf serwerowych. To obiekt o skali hyperscale, a więc znacznie większej niż typowa serwerownia przedsiębiorstwa. 

Jakie są perspektywy dla polskiego rynku?

W najbliższych latach skala polskiego rynku będzie nadal rosła. Według naszych prognoz, do 2031 roku jego łączna moc może przekroczyć 550 MW. 

Nasz kraj już dysponuje kompetencjami technologicznymi, zapleczem inżynieryjnym i doświadczeniem w obsłudze dużych projektów infrastrukturalnych. To solidny fundament do przyciągania kolejnych inwestycji, w tym wielkoskalowych centrów danych rozwijanych na potrzeby sztucznej inteligencji.

Wspomniał Pan, że „cyfrowym sercem" Polski jest Warszawa i jej okolice. Z czego to wynika?

To efekt wieloletniego rozwoju infrastruktury telekomunikacyjnej i chmurowej, obecności dużych klientów biznesowych oraz dostępu do najważniejszych węzłów wymiany ruchu internetowego. Stolica pozostaje głównym ośrodkiem polskiego rynku, ale istotną rolę odgrywają również Poznań, Kraków, Wrocław, Gdańsk i Łódź, gdzie od lat rozwija się infrastruktura centrów danych.

Czy ten układ „cyfrowej siły" naszego kraju może się zmienić? W grę wchodzą chociażby fabryki sztucznej inteligencji.

W kolejnych latach możemy obserwować stopniową zmianę tej mapy, przede wszystkim za sprawą rozwoju wspomnianej sztucznej inteligencji. 

W przypadku tradycyjnych usług chmurowych bliskość infrastruktury względem użytkowników często ma duże znaczenie. Inaczej wygląda to przy trenowaniu dużych modeli AI, gdzie opóźnienia transmisji danych są mniej istotne, a o wyborze lokalizacji w większym stopniu decydują dostępność mocy zasilającej, odpowiedniego terenu, infrastruktury energetycznej i możliwości chłodzenia.

To otwiera nowe możliwości dla regionów położonych poza największymi aglomeracjami. Duże kampusy obliczeniowe mogą powstawać wszędzie tam, gdzie istnieją odpowiednie warunki do ich zasilania i rozwoju. Polska ma więc szansę nie tylko zwiększać skalę infrastruktury cyfrowej, ale również bardziej równomiernie rozkładać związane z nią inwestycje i korzyści gospodarcze pomiędzy poszczególne regiony.

Czy w południowo-wschodniej części Polski, zwłaszcza w pobliżu granicy z Ukrainą i Białorusią, ulokowane są jakieś istotne data center?

Nie mamy potwierdzonych informacji o funkcjonowaniu w bezpośrednim sąsiedztwie wschodniej granicy dużych centrów danych o skali porównywalnej z największymi obiektami komercyjnymi w Polsce. Nie oznacza to jednak, że nie ma tam infrastruktury o istotnym znaczeniu dla konkretnych instytucji czy usług. 

Pełna mapa takich obiektów, zwłaszcza infrastruktury wykorzystywanej przez sektor publiczny, nie jest powszechnie dostępna. Dlatego nie byłoby uzasadnione wskazywanie konkretnych lokalizacji ani przypisywanie im szczególnego znaczenia bez potwierdzonych danych.

Jest jeszcze jedna rzecz, na którą warto zwrócić uwagę.

Zamieniam się w słuch.

Samo położenie centrum danych daleko od granicy wcale nie przesądza o jego bezpieczeństwie. Znaczenie ma to, jak obiekt został zaprojektowany, jak wygląda jego łączność z resztą infrastruktury i czy w razie poważnego incydentu można szybko przenieść obsługiwane przez niego usługi gdzie indziej.

Dlatego ważniejsza od samej odległości od granicy jest dla mnie odpowiedź na pytania:

• Co wydarzy się, gdy jeden z obiektów przestanie działać? 
• Czy użytkownicy nadal będą mieli dostęp do swoich danych i usług? 
• Czy inne centrum będzie w stanie przejąć jego zadania? 

Właśnie pod tym kątem powinniśmy oceniać odporność krajowej infrastruktury cyfrowej.

Polskie centra danych są bezpieczne?

A jak ocenia Pan ochronę data center w Polsce przed kinetycznymi atakami lub innymi formami fizycznego zniszczenia?

Nowoczesne centra danych w Polsce są projektowane z myślą o zapewnieniu ciągłości działania, również w sytuacjach awaryjnych. Wyposażone są w zaawansowane systemy bezpieczeństwa, monitoring, kontrolę dostępu, zasilanie rezerwowe oraz redundantne systemy chłodzenia. Pozwala to ograniczać skutki awarii technicznych, pożarów czy innych zakłóceń, ale nie oznacza pełnej odporności na każdy rodzaj zagrożenia.

Trzeba wyraźnie rozróżnić ochronę przed typowymi zagrożeniami fizycznymi od ochrony przed bezpośrednim atakiem militarnym. 

Komercyjne centra danych nie są obiektami wojskowymi projektowanymi do odpierania uderzeń rakietowych czy ataków dronów. Za zapewnienie bezpieczeństwa obiektów przed tego rodzaju zagrożeniami odpowiada przede wszystkim państwo i jego system obronny. Rolą operatorów jest natomiast odpowiednie zabezpieczenie infrastruktury oraz przygotowanie procedur awaryjnych. 

Kluczowe znaczenie mają tu również rozwiązania z zakresu disaster recovery, czyli tworzenie kopii zapasowych danych i utrzymywanie możliwości odtworzenia usług w innych, oddalonych geograficznie lokalizacjach. Dzięki temu nawet poważne uszkodzenie jednego centrum danych nie musi oznaczać bezpowrotnej utraty informacji czy długotrwałego paraliżu obsługiwanych przez nie usług.

Może powinniśmy czerpać z doświadczeń innych państw?

Warto przyjrzeć się rozwiązaniom przyjętym w Wielkiej Brytanii, gdzie we wrześniu 2024 roku centra danych zostały oficjalnie uznane za element krajowej infrastruktury krytycznej, na równi z infrastrukturą energetyczną czy wodociągową. 

Oznacza to ściślejszą współpracę operatorów z administracją państwową, większy nadzór nad bezpieczeństwem sektora oraz lepszą koordynację działań w sytuacjach kryzysowych.

Pana zdaniem ryzyko wrogich aktów wymierzonych w data center w Polsce jest wysokie, a może wręcz przeciwnie?

Ryzyko bezpośredniego ataku militarnego na centra danych w Polsce oceniamy jako bardzo niskie. Trzeba wyraźnie rozróżnić sytuację naszego kraju od tego, co dzieje się w Ukrainie, gdzie trwa pełnoskalowa wojna. 

Polska jest bezpiecznym i stabilnym państwem, członkiem NATO, objętym gwarancjami wspólnej obrony. Jednocześnie należy do liderów Sojuszu pod względem nakładów na bezpieczeństwo i modernizację armii w stosunku do PKB. To ważne czynniki, które wzmacniają nasze bezpieczeństwo i tworzą stabilne warunki dla rozwoju strategicznej infrastruktury, w tym centrów danych.

Polskie centra danych są przygotowane do działania w wymagającym środowisku i spełniają wysokie standardy bezpieczeństwa. Operatorzy stosują wielopoziomowe zabezpieczenia fizyczne i cyfrowe, a także rozwiązania zapewniające ciągłość działania nawet w przypadku nieprzewidzianych zakłóceń. Obejmują one m.in.: zasilanie rezerwowe, redundantne systemy infrastrukturalne oraz procedury odtwarzania danych i usług. 

Branża stale rozwija te rozwiązania, współpracując również z administracją państwową i odpowiednimi służbami. Dzięki temu polska infrastruktura cyfrowa stanowi stabilne i bezpieczne zaplecze dla przedsiębiorstw, instytucji publicznych oraz globalnych dostawców usług technologicznych.

Dziękuję za rozmowę.