Strachy na Lachy

Obrona cyberprzestrzeni wciąż wielu osobom jawi się jako problem techniczny, mało istotny dla państwa. Czy potrzeba katastrofy, aby Polak zmądrzał po szkodzie?

System ARAKIS, przeznaczony dla wsparcia ochrony zasobów teleinformatycznych administracji publicznej, odnotował dzisiaj najwięcej podejrzanych połączeń ze strony Rosji. Domena *.gov jest raczej bezpieczna - ot, trwa tradycyjne sondowanie rządowych systemów na zasadzie "a nuż się uda"? Co by się jednak stało, gdyby liczba ataków wychodzących z Rosji spowodowała zablokowanie elektronicznej administracji, albo wręcz doszłoby do skutecznego ataku na zabezpieczenia rafinerii w Płocku? Czy byłby to powód do ogłoszenia stanu wojennego?

Cyfrowy stan nadzwyczajny

Taką możliwość daje Ustawa z 30 sierpnia 2011 r. o zmianie ustawy o stanie wojennym oraz kompetencjach Naczelnego Dowódcy Sił Zbrojnych i zasadach jego podległości konstytucyjnym organom Rzeczypospolitej Polskiej, jak również niektórych innych ustaw. Wprowadziła ona pojęcie cyberprzestrzeni do polskiego porządku prawnego. Jeżeli Prezydent RP uzna, że np. atak cybernetyczny na system zarządzania siecią energetyczną zagraża bezpieczeństwu państwa, ma prawo wprowadzić jeden ze stanów nadzwyczajnych, w zależności od okoliczności: stan klęski żywiołowej, wyjątkowy lub wojenny.

Nie miejmy jednak złudzeń, nikt normalny nie wprowadzi stanu wojennego po cyberataku i nie ogłosi Rosji najeźdźcą. "Kto tak naprawdę zaatakował? Państwo czy sieć botnetów sterowana skądkolwiek? W cyberprzestrzeni przecież nie ma granic" - skomentował tę nowelizację dr Krzysztof Różanowski z Warszawskiej Wyższej Szkoły Informatyki podczas debaty Stowarzyszenia Euro-Atlantyckiego "Bezpieczeństwo cyberprzestrzeni".

Idąc tym tropem, można sobie wyobrazić, że cyberterroryści przejmują kontrolę nad niewielką liczbą komputerów zarejestrowanych w domenie .pl oraz np. w domenie .fr, które następnie jako botnety zaczną ze sobą walczyć. Czy to byłby wystarczający casus belli dla obu państw sojuszniczych? Notabene raport CERT Polska za I półrocze 2011 r. ujawnia, że w tym okresie zgłoszono prawie 4 mln incydentów naruszenia bezpieczeństwa sieciowego.

Zawirusowany program ochrony cyberprzestrzeni

"Ta nowelizacja to dopiero początek prac nad zabezpieczeniem państwa w tym obszarze. Liczymy, że wywoła dyskusję i pobudzi wszystkich do refleksji nad poziomem ochrony cyberprzestrzeni" - wyjaśniał dr Krzysztof Liedel z Biura Bezpieczeństwa Narodowego. Tymczasem jednak rządowy program Ochrony Cyberprzestrzeni RP na lata 2011-2016 powstał w MSWiA latem 2010 r. Od tego roku zapadła nad tym dokumentem cisza. Czyżby padł ofiarą jakiegoś wirusa? Szkoda, ponieważ jest w zasadzie dobrze pomyślany i coraz bardziej potrzebny w świetle wymagań stawianych nam przez NATO i UE.

Za realizację programu mają odpowiadać MSWiA, ABW, MON oraz Służba Kontrwywiadu Wojskowego, jako podmioty odpowiedzialne za bezpieczeństwo wewnętrzne państwa zgodnie z posiadanymi kompetencjami. Natomiast Rządowe Centrum Bezpieczeństwa stanie się odpowiedzialne za koordynację działań w zakresie ochrony teleinformatycznej infrastruktury krytycznej. Aby ułatwić koordynację krajową i zagraniczną, program postuluje powołanie Pełnomocnika Rządu ds. Ochrony Cyberprzestrzeni RP. Jego działania wspierałby Międzyresortowy Zespół Koordynujący ds. Ochrony Cyberprzestrzeni RP. Ma koordynować działania instytucji realizujących zadania nałożone przez program oraz organizować cykliczne spotkania i rekomendować proponowane rozwiązania z bezpieczeństwa cyberprzestrzeni.

W zarządzaniu bezpieczeństwem cyberprzestrzeni RP w obszarze administracji publicznej szczególną rolę już dzisiaj pełni Rządowy Zespół Reagowania na Incydenty Komputerowe CERT.GOV.PL. Ale program dostrzega konieczność współpracy i podziału odpowiedzialności za obszary cyberprzestrzeni między właśnie CERT.GOV.PL (administracyjny), CERT Polska - cywilny a MIL CERT (wojskowy). Zarazem Szef Agencji Bezpieczeństwa Wewnętrznego stałby się, wraz ze swoim kadrowym zapleczem technicznym, Krajowym Punktem Centralnym w ramach polityki ochrony cyberprzestrzeni NATO. Można się domyślać, że Pełnomocnik Rządu wziąłby na siebie relacje z Europejską Agencją Bezpieczeństwa Sieci i Informacji (ENISA).

Program stawia również na silną współpracę w zakresie bezpieczeństwa teleinformatycznego z sektorem teleinformatycznym. "Główny nacisk położony zostanie na wprowadzenie na rynek urządzeń i oprogramowania standardowo zawierającego skonfigurowane rozwiązania pozwalające na zapewnienie minimalnego poziomu bezpieczeństwa" - czytamy w programie. Zgodnie z unijnymi i natowskimi politykami, program przewiduje także organizację ćwiczeń na wypadek zakrojonych na szeroką skalę ataków zagrażających bezpieczeństwu sieci oraz stałego sprawdzenia poziomu bezpieczeństwa sieci.

Niestety, program ciągle jest dokumentem nieuchwalonym, bez śladu konsultacji społecznych, tak jakby dwie istotne instytucje - MSWiA i ABW - zwarły się w bojowym klinczu o funkcję pełnomocnika i samą koncepcję, nie zamierzając jedna drugiej odpuścić. Chyba to wirus niechęci do współpracy. Właściwie to dobrze, że prezydent RP wziął na siebie ciężar prawnej definicji cyberprzestrzeni i konsekwencji braku jej ochrony. Może teraz, po zaprzysiężeniu rządu, ktoś wreszcie poważnie potraktuje tę sferę?

W celu komercyjnej reprodukcji treści Computerworld należy zakupić licencję. Skontaktuj się z naszym partnerem, YGS Group, pod adresem [email protected]

TOP 200