W kręgu pięciu żywiołów

Rządowy program ochrony cyberprzestrzeni RP na lata 2009-2011 to pierwszy dokument w miarę całościowo obejmujący kwestie bezpieczeństwa przestrzeni cybernetycznej państwa.

Rządowy program ochrony cyberprzestrzeni RP na lata 2009-2011 to pierwszy dokument w miarę całościowo obejmujący kwestie bezpieczeństwa przestrzeni cybernetycznej państwa.

Mówi się o sile wodnego żywiołu podczas powodzi, o trąbach powietrznych, o trzęsieniach ziemi, o pożarach. Na walce z żywiołami oparta jest strategia zarządzania kryzysowego w każdym kraju. Ale współcześnie pojawił się nowy żywioł, nieznany starożytnym – cyberprzestrzeń. Jak nad nią zapanować? Jak ją utrzymać w karbach? Jak zminimalizować skutki katastrof wywołanych w przestrzeni wirtualnej światowych gospodarek i ataków na infrastrukturę krytyczną, począwszy od ujęć wody, poprzez sieci energetyczne i telekomunikacyjne, aż po systemy finansowe?

Każde państwo musi umieć sobie teraz odpowiedzieć na to pytanie. Z atakami cyberterrorystycznymi mamy do czynienia na co dzień, czego jaskrawym przykładem były ataki „nieznanych sprawców” na Estonię i Gruzję. Z tej perspektywy należy ocenić rządowy program ochrony cyberprzestrzeni RP na lata 2009-2011, jako tworzący klimat do ujednolicenia pojęć, postaw i praktyk w zakresie bezpieczeństwa narodowego – nie tylko sprowadzonego do fizycznych ataków na budynki czy drogi, bezpieczeństwa energetycznego albo walki ze starymi żywiołami, ale także inwazji internetowych robaków czy ataków typu DoS.

W tym Programie zawarte są propozycje działań o charakterze prawno-organizacyjnym, technicznym i edukacyjnym, których celem jest zwiększenie zdolności do zapobiegania i zwalczania cyberterroryzmu oraz innych pochodzących z Sieci zagrożeń dla państwa.

Współpraca biznesu i sektora prywatnego

Program traktuje cyberprzestrzeń jako przestrzeń komunikacyjną tworzoną przez system wszystkich powiązań internetowych znajdujących się w obrębie państwa. Cyberprzestrzeń państwa w przypadku Polski określana jest również mianem cyberprzestrzeni RP. „Obejmuje ona m.in. systemy, sieci i usługi teleinformatyczne o szczególnie ważnym znaczeniu dla bezpieczeństwa wewnętrznego państwa, system bankowy, a także systemy zapewniające funkcjonowanie w kraju transportu, łączności, infrastruktury energetycznej, wodociągowej i gazowej oraz systemy informatyczne ochrony zdrowia, których zniszczenie lub uszkodzenie może stanowić zagrożenie dla życia i zdrowia ludzi, dziedzictwa narodowego oraz środowiska albo spowodować poważne straty materialne” – czytamy w Programie.

Celem strategicznym Programu jest wzrost poziomu bezpieczeństwa cyberprzestrzeni państwa. Aby tak się stało, należy stworzyć ramy organizacyjno-prawne oraz „system skutecznej koordynacji i wymiany informacji pomiędzy podmiotami administracji publicznej oraz innymi podmiotami, których zasoby stanowią krytyczną infrastrukturę teleinformatyczną kraju, na wypadek ataków terrorystycznych wykorzystujących publiczne sieci teleinformatyczne”. Wśród celów szczegółowych Program wymienia m.in. zwiększenie poziomu bezpieczeństwa krytycznej infrastruktury teleinformatycznej państwa skutkujące zwiększeniem poziomu odporności państwa na ataki cyberterrorystyczne, stworzenie trwałego systemu koordynacji i wymiany informacji pomiędzy publicznymi i prywatnymi podmiotami odpowiedzialnymi za zapewnianie bezpieczeństwa cyberprzestrzeni państwa oraz władającymi zasobami stanowiącymi krytyczną infrastrukturę teleinformatyczną państwa, czy też zwiększenie świadomości obywateli.

Stanie się tak, jeśli uda się stworzyć zapowiedziany w Programie system koordynacji zwalczania, przeciwdziałania i reagowania na zagrożenia i ataki na cyberprzestrzeń państwa, w tym ataki o charakterze cyberterrorystycznym. W ślad za tym musi nastąpić powszechne wdrożenie wśród jednostek administracji mechanizmów służących zapobieganiu i wykrywaniu zagrożeń.

Realizatorami programu będą podmioty odpowiedzialne za ochronę infrastruktury krytycznej kraju. Z tego względu wiodące role w realizacji programu odgrywać będą: Ministerstwo Spraw Wewnętrznych i Administracji - jako podmiot odpowiedzialny za informatyzację państwa oraz infrastrukturę krytyczną i Agencja Bezpieczeństwa Wewnętrznego - jako podmiot odpowiedzialny za bezpieczeństwo wewnętrzne. Ponieważ jedynie nieznaczna część infrastruktury krytycznej, w tym teleinformatycznej, jest własnością państwa, dużą rolę w realizacji programu powinny mieć te podmioty prywatne, które są właścicielami tego typu zasobów.

Za godny pochwały należy uznać fakt potraktowania w tym Programie biznesu jako partnera, bez którego nie da się zrealizować zakładanego celu. To prawdziwe wyzwanie dla obu stron. Wystarczy wspomnieć nieustające boje prawne o sposób realizacji Rozporządzenia Rady Ministrów w sprawie obowiązków operatora na rzecz obronności kraju dotyczące tego, kto ma zapłacić za świadczenia operatorów na rzecz państwa, w tym podsłuchy.

Rządowy CERT

Za bezpośrednie działania na rzecz ochrony bezpieczeństwa teleinformatycznego państwa ma odpowiadać powołany w lutym 2008 r., w strukturze Departamentu Bezpieczeństwa Teleinformatycznego (DBTI) ABW, Rządowy Zespół Reagowania na Incydenty Komputerowe – CERT.GOV.PL. Wyznaczono mu takie zadania jak kreowanie polityki w zakresie ochrony przed cyberzagrożeniami, koordynowanie przepływu informacji pomiędzy podmiotami w tym zakresie, wykrywanie, rozpoznawanie i przeciwdziałanie cyberzagrożeniom, czy też reprezentacja RP w kontaktach międzynarodowych, w tym w zakresie współpracy wojskowej, w porozumieniu z Centrum Koordynacyjnym Systemu Reagowania na Incydenty Komputerowe MON. W Programie zdecydowano bowiem, że Szef ABW wraz z kadrowym zapleczem technicznym stanowił będzie Krajowy Punkt Centralny (Focal Point) w ramach polityki ochrony cyberprzestrzeni NATO. Wobec tego Rządowy CERT staje się główną naszą jednostką do obrony w cyberwojnie.

Miło nam poinformować, że o pięciu żywiołach i próbie zapanowania nad nimi w ramach polityki bezpieczeństwa narodowego będziemy debatować na VI konferencji „Wolność i bezpieczeństwo”. Tym razem zapraszamy na molo w Sopocie w dniach 20 – 22 maja wespół z naszym partnerem Sopockim WOPR. W sprawie programu konferencji prosimy o kontakt z autorem artykułu pod adresem mailto:[email protected] .

KOMENTARZ

Ten program to ogromny postęp, dający nadzieję na poprawę rangi bezpieczeństwa informacji w nowoczesnym państwie. Niedawno bez rozgłosu zaczął działać rządowy CERT, powstało też Centrum Antyterrorystyczne, wykorzystujące w sposób bezprecedensowy dla polskich służb informatyczne narzędzia do przetwarzania informacji z wielu źródeł. Teraz trzeba wzmocnić organizacyjną i prawną koordynację bezpieczeństwa informacyjnego.

W projekcie pionierskiego programu na razie nie brak wpadek. Najpoważniejsza ma podłoże aksjologiczne. Funkcjonariusze chroniący sieci administracji mają chroniczny problem z dostrzeganiem innych sfer bezpieczeństwa niż rządzenie, co widać już w podsumowującym wstępie. Nie brak spostrzeżeń, że większość infrastruktury krytycznej posiada sektor prywatny, że trzeba poprawić wymianę informacji, ale przeważa abstrakcyjne pojmowanie zadań państwa, jako administracji rządzenia, zamiast bezpieczeństwa obywateli lub interesów gospodarczych.

To determinuje niefortunne definiowanie zagrożeń. Skąd pomysł, aby mówić o wydzieleniu cyberprzestrzeni RP? Istotą nowych zagrożeń jest to, że nie mieszczą się w geograficznych granicach. Czy ważna dla bezpieczeństwa globalnego walka z terroryzmem jest strategicznym celem dla Polski? Cyberterroryzm jest specyficznym narzędziem terroryzmu, a nie odrębną kategorią. To samo dotyczy penalizacji cyberprzestępczości.

Piotr Rutkowski

W celu komercyjnej reprodukcji treści Computerworld należy zakupić licencję. Skontaktuj się z naszym partnerem, YGS Group, pod adresem [email protected]

TOP 200