Żyć bezpiecznie w cyfrowym państwie

W ubiegłym roku powstał projekt nowelizacji Ustawy o Krajowym Systemie Cyberbezpieczeństwa. W styczniu tego roku upubliczniona została kolejna wersja zmian tego aktu prawnego. Nowe rozwiązania stały się koniecznością w związku z ciągłym rozwojem technologii. To również efekt działań naszego kraju w ramach opracowania unijnego zestawu narzędzi na potrzeby cyberbezpieczeństwa sieci 5G.

Między innymi właśnie te tematy były składową drugiego dnia konferencji Państwo 2.0 organizowanej przez Computerworld. Wystąpienie wprowadzające do problematyki związanej z cyberbezpieczeństwem, w tym zmian prawnych dotyczących KSC oraz wypracowaną już dwa lata temu Strategią Cyberbezpieczeństwa RP przedstawił Robert Kośla, dyrektor Departamentu Cyberbezpieczeństwa w Kancelarii Prezesa Rady Ministrów.

Krajowy system

„Zebraliśmy dwa lata doświadczeń funkcjonowania Ustawy o Krajowym Systemie Cyberbezpieczeństwa . W oparciu o własne analizy, jak i informacje otrzymywane od partnerów społecznych, dokonaliśmy przeglądu ustawy i zidentyfikowaliśmy obszary wymagające usprawnienia” – mówił Robert Kośla. Jakie są te najważniejsze sprawy? Na pewno ograniczony jest rozwój sektorowych i branżowych zespołów cyberbezpieczeństwa. Kluczowy pozostaje dostęp do wiedzy eksperckiej dotyczącej cyberzagrożeń, ponieważ nie zostały utworzone centra wymiany informacji między podmiotami KSC gromadzące informacje o podatności i zagrożeniach bezpieczeństwa informacyjnego. Problemem jest wykorzystywanie przestarzałych technologicznie rozwiązań, niedobór wyspecjalizowanych kadr i finansowania. Brakuje też właściwych struktur u operatorów usług kluczowych. Niedostateczny jest również zakres posiadanych kwalifikacji i informacji o cyberzagrożeniach, co utrudnia skuteczne reagowanie na incydenty. Ważną sprawą jest także podniesienie cyberodporności przemysłowych systemów sterowania (OT) oraz IT.

Zobacz również:

  • Minister Edukacji i Nauki powołał pełnomocnika ds. transformacji cyfrowej
  • Menedżer haseł to kluczowe narzędzie w firmach

Robert Kośla mówił też, że niezbędne jest wzmocnienie współpracy podmiotów publicznych na poziomie województw – szczególnie trudna sytuacja występuje w jednostkach samorządu terytorialnego. Konieczne jest zwiększenie wymiany informacji o incydentach z sektorem telekomunikacyjnym. Należy też rozwijać współpracę ze szkołami i uczelniami w celu kształcenia przyszłej kadry ekspertów. Ważne zadanie to opracowanie narzędzi wspierających prowadzenie audytów bezpieczeństwa.

Znakomita większość zgłoszeń incydentów w ostatnim roku dotyczyła oszustw komputerowych. Rok do roku to wzrost o 61 %.

Cyberbezpieczeństwo jest jednym z celów strategicznych w obszarze bezpieczeństwa naszego państwa i zapewnia ochronę kluczowym sektorom gospodarki, obywatelom oraz przedsiębiorcom. To obszar wymagający stałego rozwoju i rozbudowy. Cyberbezpieczeństwa państwa nie da się zapewnić, jeśli nie stworzy się bezpiecznej infrastruktury IT. Oczywiście mowa tu o infrastrukturze całościowej dla administracji, służb mundurowych i krytycznych usług. A że to sprawy ważne świadczy chociażby liczba incydentów poważnych zgłoszonych przez operatorów usług kluczowych. W 2019 roku odnotowano dziewięć incydentów poważnych. Do 30 września 2020 r. zgłoszonych zostało 27 incydentów poważnych (bankowość –23, zdrowie –3, energia –1). Ponadto, w tym samym czasie zespoły CSIRT przyjęły jedno zgłoszenie incydentu istotnego.

Żyć bezpiecznie w cyfrowym państwie

Robert Kośla, dyrektor Departamentu Cyberbezpieczeństwa w Kancelarii Prezesa Rady Ministrów oraz gen. bryg. Karol Molenda, dyrektor Narodowego Centrum Bezpieczeństwa Cyberprzestrzeni.

Jak z tego widać problemów i zadań jest sporo. Uchwalona jest jednak i działa Strategia Cyberbezpieczeństwa RP na lata 2019-2024. Między innymi uruchomiono pierwszy w Polsce sektorowy zespół cyberbezpieczeństwa. CSIRT-KNF. Rozpoczął on funkcjonowanie 1 lipca 2020 roku. W październiku ubiegłego roku ruszył pierwszy w naszym kraju zespół ISAC (Centrum Wymiany Informacji i Analizy). Mamy też Centrum ISAC-Kolej, które powstało z oddolnej inicjatywy podmiotów z podsektora kolei, przy silnym wsparciu ze strony resortu infrastruktury oraz pomocy eksperckiej sfinansowanej z dotacji podmiotowej dla CSIRT NASK. Warto też zaznaczyć, że zakończono kolejne etapy prac nad przygotowaniem uruchomienia Systemu S46. Jest to zautomatyzowany system do wymiany informacji o zagrożeniach, incydentach oraz przekazywania dobrych praktyk pomiędzy podmiotami krajowego systemu cyberbezpieczeństwa. System stał się operacyjny od 1 stycznia tego roku.

Atak na wielu poziomach

Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa będzie mieć duże przełożenie na wdrażanie w Polsce technologii 5G oraz wybór dostawców sprzętu i oprogramowania dla nowego standardu. Bez jej uchwalenia nie ruszy też aukcja UKE na częstotliwości niezbędne dla budowy polskiej sieci 5G.

Sprawy rozwiązań prawnych są bardzo istotne, ale nie tylko one były tematami zagadnień związanych z bezpieczeństwem w ciągle rozwijającym się państwie cyfrowym (ostatni rok był pod tym względem wyjątkowy, pandemia Covid-19 wyraźnie wpłynęła na rozwój usług sieciowych). Szerokie spectrum tematów pojawiło się podczas debaty poświęconej cyberbezpieczeństwu państwa prowadzonej przez Grzegorza Stecha, zastępcę redaktor naczelnej „Computerworld”, jaka odbyła się podczas konferencji Państwo 2.0.

W rok od początku pandemii koronawirusa uczestnicy zostali m.in. zapytani, co dzisiaj – kiedy duża część naszej aktywności została przeniesiona do świata cyfrowego – jest na celowniku tych złych, którzy chcą naruszyć bezpieczeństwo. Juliusz Brzostek, dyrektor ds. cyberbezpieczeństwa w Naukowej i Akademickiej Sieci Komputerowej powiedział, że znakomita większość zgłoszeń w ostatnim roku (w sumie odnotowano ich 34 tys.) dotyczyła oszustw komputerowych. Rok do roku to wzrost o 61 %. Powód? Znaczne poszerzenie świata szeroko rozumianych e-usług i wejście do niego internetowych nuworyszy, którzy nie zdają sobie sprawy z czyhających niebezpieczeństw. Robert Kośla, dyrektor Departamentu Cyberbezpieczeństwa KPRM dodał, że ataki odbywają się na czterech płaszczyznach. Podstawowa to tożsamość, następnie dane, aplikacje i infrastruktura. Jan Kostrzewa, dyrektor Biura Cyberbezpieczeństwa Ministerstwa Sprawiedliwości zwrócił też uwagę na błędy popełniane przez użytkowników, którzy nierzadko nie w pełni kontrolują dostęp do danych, jakie udostępniane są na przykład podwykonawcom. Rejestracja sesji zdalnych dla podwykonawców powinna być czymś powszechnym.

Edukacja jest kluczem

W czasie dyskusji panelowej Kacper Konopiński, prezes IT Solution Factor zwrócił uwagę na konieczność redefiniowania długofalowych potrzeb związanych z bezpieczeństwem. Związane jest to z mobilnością pracowników (praca zdalna) i zwiększeniem korzystania z usług chmurowych.

„Dzisiaj edukacja staje się kluczowa. Pamiętajmy też, że jeżeli chodzi o sięgnięcie do e-usług bardzo jako społeczeństwo przyspieszyliśmy w ciągu ostatniego roku, ale tak szybko jak urośliśmy, tak szybko możemy stracić zaufanie do tego wirtualnego świata. Brak bezpieczeństwa przeszkodzi w rozwoju cyfrowego państwa” – mówił Tomasz Panufnik, Sales Director Public Sector z Dell Technologies Polska. „Cyberprzestępcy sięgają po najniżej wiszący owoc” – stwierdził gen. bryg. Karol Molenda, dyrektor Narodowego Centrum Bezpieczeństwa Cyberprzestrzeni. Dlatego wszyscy uczestnicy dyskusji byli zgodni, że o nikim nie można zapomnieć. Robert Kośla wskazał przede wszystkim na działania z MSP i samorządami, bo to dzisiaj są najsłabsze ogniwa. Nie licząc oczywiście osób indywidualnych. Podczas gdy przestępstwa takie jak włamanie i napaść są czymś co widzimy, cyberprzestępczość jest w dużej mierze niewidoczna, przez co wiele osób nie docenia realnych szkód jakie wyrządza. A te naprawdę mogą być ogromne.

Żyć bezpiecznie w cyfrowym państwie

Zdalni uczestnicy debaty: Mirosław Szymczak, Business Development Manager, Infradata Polska oraz Tomasz Panufnik, Sales Director Public Sector z Dell Technologies Polska

Jeżeli chodzi o wspomniane wcześniej samorządy, to w maju 2020 roku uruchomiono kampanię #CyberbezpiecznySamorząd, która ma na celu wsparcie jednostek samorządu terytorialnego w obszarze podnoszenia wiedzy (poradniki) oraz kompetencji (szkolenia). Między innymi Robert Kośla zwrócił uwagę na portal samorzad.gov.pl. Pojawiło się bowiem bezpieczne i standaryzowane miejsce, na którym swoje internetowe serwisy mogą publikować wszystkie podmioty administracji publicznej. Inicjatywa jest kontynuacją Projektu Portal RP, który realizowany jest na rzecz budowy spójnego systemu informacyjnego na portalu gov.pl dla całej administracji. Jest to cyfrowa brama, udostępniająca różnego typu informacje i e-usługi oferowane przez administrację publiczną. Portal samorząd.gov.pl oferuje szereg możliwości i ułatwień dla administracji, począwszy od systemu do zarządzania treścią, który w łatwy i wygodny sposób umożliwia redaktorom na zarządzanie treściami i ich aktualizowanie.

Gdzie nazbyt często leży istota zagrożenia? Przestępcy pojawiają się tam, gdzie znajdują się luki cyfrowej rzeczywistości. Jedną z najczęstszych jest ta wynikająca z lenistwa. Mowa tu o hasłach dostępu do naszych informacji. Bardzo często złamanie ich nie stanowi dla „włamywaczy” najmniejszego problemu. Niestety spotykamy się też całkiem często z niestarannością i bylejakością serwisów. Masowy wyciek danych cały czas się zdarza. Duży problem to też niewiedza użytkowników. Świadomość tego, że są bezpieczne generatory haseł losowych (bardzo trudnych do złamania przez przestępców) cały czas jest niewielka. To kolejny przykład konieczności edukacji na wszystkich poziomach.

Finansowe wsparcie

Bezpieczeństwo i jego rozwój – co zaznaczali wszyscy uczestnicy debaty – nie jest możliwy bez środków finansowych na jego rozwój. I tutaj pojawiły się dobre informacje. Z jednej strony przyjęty przez rząd Krajowy Plan Odbudowy, a z drugiej nowy program operacyjny Polska Cyfrowa (na lata 2021 – 2027).

Ze względu na ważność problematyki cyberbezpieczeństwa, 443 mln euro zarezerwowano w ramach KPO na realizację inwestycji w zakresie oprogramowania, urządzeń i infrastruktury towarzyszącej służących cyberbezpieczeństwu przesyłu i gromadzenia danych. W ramach tych działań planuje się m.in.: powstanie sześciu nowych sektorowych zespołów CSIRT, utworzenie siedmiu regionalnych centrów cyberbezpieczeństwa, podłączenie 385 podmiotów krajowego systemu cyberbezpieczeństwa do Systemu S46, budowę trzech ustandaryzowanych centrów przetwarzania danych –Rządowa Chmura Obliczeniowa.

W ramach Polski Cyfrowej cyberbezpieczeństwo będzie celem szczegółowym jednej z osi priorytetowych. Środki finansowe zostaną przeznaczone m.in. na rozwiązania innowacyjne w obszarze cyberbezpieczeństwa, rozwój narzędzi służących do monitorowania bezpieczeństwa, zbierania, analizy i wymiany informacji o zagrożeniach, podatnościach i incydentach oraz budowę i rozwój krajowego systemu certyfikacji cyberbezpieczeństwa produktów, usług i procesów.

Dodatkowym mechanizmem finansowym, który wspiera działania związane z budową silnego cyfrowego państwa, jest REACT-EU (umożliwia refinansowanie niektórych działań nawet na poziomie 100 %). Projekty objęte REACT-EU kwalifikują się do finansowania od 1 lutego 2020 r. z mocą wsteczną. Środki finansowe można wykorzystywać do końca 2023 r.

W celu komercyjnej reprodukcji treści Computerworld należy zakupić licencję. Skontaktuj się z naszym partnerem, YGS Group, pod adresem [email protected]

TOP 200