Cyberataki na infrastrukturę krytyczną - coraz bardziej wyrafinowane

„Cyberprzestrzeń stanowi układ nerwowy i system kontrolny naszego kraju. Dlatego zdrowe funkcjonowanie cyberprzestrzeni jest kluczowe dla naszej ekonomii i naszego bezpieczeństwa narodowego” – przekonywał wiceprezes instytutu NASK Karol Pietras, przypominając, iż infrastruktura krytyczna budowana jest zarówno przez publiczne, jak i prywatne podmioty.

Dyrektor departamentu cyberbezpieczeństwa w Kancelarii Prezesa Rady Ministrów Łukasz Wojewoda zauważył, że w myśl polskich przepisów pojęcia operatora usługi kluczowej i operatora infrastruktury krytycznej są rozłączne. Stąd, jak wskazał, potrzeba zastanowienia się nad regulacjami, które uczynią system cyberbezpieczeństwa bardziej spójnym, by poziom zabezpieczeń był optymalny i odpowiedni dla każdego operatora.

„Warto pomyśleć, czy nie pora, żebyśmy z podejścia operatora przeszli na podejście ukierunkowane na zabezpieczenie całego systemu infrastruktury krytycznej – czyli tej, która dostarcza zasoby niezbędne do bezpiecznego funkcjonowania państwa” – powiedział dyr. Wojewoda.

Wiceprezes wyspecjalizowanej m.in. w zapewnianiu cyberbezpieczeństwa firmy Exatel Szymon Ruman wyjaśnił, że w szerokim pojęciu infrastruktury krytycznej mieszczą się m.in. obiekty, instalacje i budynki niezbędne do funkcjonowania państwa w różnych dziedzinach.

„Skuteczny atak fizyczny czy cybernetyczny na któryś z takich obiektów powoduje w pewnych dziedzinach utrudnienie lub uniemożliwienie funkcjonowania państwa. Trudno sobie wyobrazić skalę strat np. w przypadku skutecznych ataków na infrastrukturę firm przesyłających gaz, ropę czy energię elektryczną” – powiedział wiceprezes Ruman, zastrzegając, że dotąd – mimo nasilonych w ostatnich miesiącach ataków - nie było w Polsce poważniejszych incydentów tego typu.

„Po 24 lutego (tj. od czasu zbrojnej napaści Rosji na Ukrainę – PAP) ataków przybyło, jednak udaje się je skutecznie odpierać. Nasi klienci np. z sektora energetycznego są bezpieczni – nie było dotąd skutecznych ataków na ich infrastrukturę” – dodał wiceprezes Exatela, namawiając wszystkie podmioty, by nie lekceważyły problematyki cyberbezpieczeństwa i budowały – obok zatrudniania specjalistycznych firm – także własne zespoły w tej dziedzinie.

„Nie można działać z zamysłem, że +jakoś to będzie+ i iść po linii najmniejszego oporu. W infrastrukturze krytycznej nie można tak myśleć. Straty i skutki skutecznego ataku mogą być dla takiej firmy ogromne i w obecnych czasach nawet trudne do przewidzenia” – podsumował wiceprezes Ruman.

Problem cyberbezpieczeństwa – jak wskazywano w debacie – jest wspólny dla różnych państw i organizacji. Dyrektor ds. współpracy międzynarodowej Narodowego Urzędu ds. Bezpieczeństwa Słowacji Matej Szalmik przytoczył dane z niedawnego audytu wśród spółek ciepłowniczych w tym kraju. Wykazał on, że wszystkie obowiązki prawne związane z cyberbezpieczeństwem wypełnia zaledwie 0,82 proc. audytowanych podmiotów; dwa z nich nie spełniały żadnego z 266 rozmaitych wymogów - w większości o charakterze technicznym.

„Audyt jasno pokazał, że infrastruktura krytyczna nie jest przygotowana na zagrożenia. To tylko kwestia czasu, kiedy mogą pojawić się incydenty mogące zaburzyć funkcjonowanie usług publicznych i wpłynąć na każdego obywatela i obywatelkę Słowacji” – powiedział Matej Szalmik. Zaznaczył, że na cyberataki zdecydowanie lepiej przygotowane są np. sektor bankowy czy ochrony zdrowia, gorzej – administracja publiczna.

W debacie podkreślano konieczność międzynarodowej współpracy w dziedzinie cyberbezpieczeństwa.