Informacja jest zasobem strategicznym

fot. Materiały prasowe

Paulina Piasecka jest doktorem nauk społecznych w dyscyplinie nauki o bezpieczeństwie. Specjalistka w obszarze terroryzmu międzynarodowego i walki informacyjnej. Dyrektor Centrum Badań nad Terroryzmem Collegium Civitas w Warszawie oraz zastępca kierownika Instytutu Analizy Informacji Collegium Civitas. Stypendystka rządu Stanów Zjednoczonych w ramach programu International Visitor Leadership w zakresie cyberbezpieczeństwa

Jednym z ważniejszych wątków Szczytu Cyfrowego ONZ jest cyberbezpieczeństwo. Ostatnio ten temat nabiera szczególnego znaczenia.

Cyberprzestrzeń to wspólna platforma funkcjonowania państw, organizacji międzynarodowych i zwykłych ludzi. Nie ma w niej barier, nie ma granic. Szanse wynikające z wykorzystywania internetu, jak i zagrożenia z tym związane mają charakter globalny. Już w nowej koncepcji strategicznej NATO, dokumencie, który obowiązuje od 2010 r., zapisano, że „ataki cybernetyczne stają się coraz częstsze, lepiej zorganizowane i bardziej kosztowne, biorąc pod uwagę szkody, jakie wyrządzają administracjom rządowym, biznesowi, gospodarce […]”. W dokumencie zaznaczono wręcz, że tego rodzaju ataki mogą osiągnąć poziom, którego przekroczenie zagraża narodowemu i euroatlantyckiemu dobrobytowi, bezpieczeństwu i stabilności.

Dla szefów rządów najważniejsze jest zagwarantowanie cyberbezpieczeństwa państw. Co jest największym zagrożeniem?

Już sama definicja cyberbezpieczeństwa nastręcza wiele problemów. O czym bowiem mówimy przede wszystkim? O bezpieczeństwie przepływu informacji w cyfrowej przestrzeni? O bezpieczeństwie infrastruktury teleinformatycznej? O bezpieczeństwie użytkowników, instytucjonalnych i indywidualnych? A może wreszcie o zapobieganiu – skutecznym! – aktom dezinformacji i manipulacji, dla których cyberprzestrzeń jest doskonałym nośnikiem? Wydaje się, że na to pytanie nie ma jednoznacznej odpowiedzi. Sposoby reagowania muszą być równie zróżnicowane jak metody i formy ataków – oraz jak intencje państw oraz aktorów niepaństwowych, którzy w cyberprzestrzeni chcieliby nam zagrozić.

Które państwa są szczególne narażone na cyberataki?

Choć może to brzmieć nieco paradoksalnie – te najlepiej rozwinięte cyfrowo. Im więcej usług dla obywateli państwo realizuje przez internet, im więcej danych i systemów niezbędnych w zarządzaniu państwem przenosi do sieci – i tym więcej potencjalnych celów ataków generuje.

O jakich zagrożeniach, jeśli chodzi o cyberprzestrzeń, mowa? Które są najbardziej niebezpieczne i dlaczego?

Odpowiedź na to pytanie zależy od tego, z czyjego punktu widzenia dokonujemy analizy ryzyka. Inne zagrożenia wskażemy jako dominujące w przypadku sektora prywatnego, inne w przypadku indywidualnych osób, jeszcze inne – w przypadku państw. Przeglądami najważniejszych zagrożeń w każdym kraju zajmują się wyznaczone do tego zadania instytucje. W Polsce np. CERT Polska.

Na ile Polska jest celem ataków cybernetycznych, jak duże jest to zagrożenie i czym te ataki są motywowane?

Jednym z najlepszych źródeł umożliwiających monitorowanie tego rodzaju zagrożeń są raporty wspomnianego CERT Polska. W dokumencie za 2020 r. możemy znaleźć informacje o tym, że zarejestrowano 10420 incydentów, co stanowi wzrost o 60,7 proc. w porównaniu do 2019 r. Najpopularniejszym typem był phishing – stanowił aż 73 proc. wszystkich obsłużonych przez CERT incydentów. CERT informuje, że obserwowane były także akcje dezinformacyjne związane z włamaniami na portale informacyjne i konta polskich polityków. W trakcie takich operacji wykorzystywano konta do publikacji fałszywych artykułów, których celem było m.in. obniżenie zaufania społecznego do osób sprawujących oficjalne funkcje w państwie, a także wzbudzenie negatywnych nastrojów co do obecności wojsk amerykańskich w Polsce. Wskazuje to, że opisywana przez firmę Mandiant operacja „Ghostwriter” aktywnie realizowana była także w Polsce. Kolejnym poważnym zagrożeniem odnotowanym przez CERT są ataki z użyciem oprogramowania szyfrującego, czyli ransomware – na 110 tego rodzaju incydentów aż 69 zostało zgłoszonych przez instytucje publiczne oraz przedsiębiorstwa.

Niektóre państwa eliminują potencjalne zagrożenia. Ameryka zrezygnowała np. z chińskiego producenta Huawei. Polska jest w trochę innej sytuacji, choćby dlatego, że nie wytwarzamy urządzeń komputerowych i sieciowych, ale korzystamy z rozwiązań opracowanych i wyprodukowanych za granicą. Jak dobierać partnerów biznesowych w usługach cyfrowych, z kim współpracować – jakie tu są dobre praktyki?

Cyberbezpieczeństwo jest obszarem określanym jako „transsektorowy” – zajmuje się nim wiele instytucji w każdym państwie. Na dodatek w cyberprzestrzeni nie ma granic, więc trudno jest określić obszar „wyłącznej” odpowiedzialności państwa. Najlepszą zatem wskazówką do kreowania własnej polityki w tej przestrzeni jest współpraca z międzynarodowymi partnerami, zwłaszcza tam, gdzie w grę wchodzi konieczność interoperacyjności działań na rzecz bezpieczeństwa. Współdzielimy zasoby informacyjne i wiele systemów służących ich obsłudze, co szczególnie ważne staje się zwłaszcza w sytuacji rosnących napięć międzynarodowych oraz pojawiania się zagrożeń związanych w podejmowanymi przez niektórych członków społeczności międzynarodowej działaniami w ramach konfliktu hybrydowego. Dlatego solidarne reagowanie na zagrożenia i tworzenie wspólnej polityki zapewniania bezpieczeństwa wykorzystywanych technologii wydaje się jednym z najsensowniejszych możliwych podejść do rozwiązania tego problemu.

Wycieki danych, ataki hakerskie – o tym słyszy się coraz częściej. Czym to grozi, jeśli chodzi o zwykłych użytkowników? Jakie konsekwencje wynikają z tego, gdy wyciek danych dotyczy urzędników, funkcjonariuszy państwowych, służb?

Informacja jest jednym z najważniejszych zasobów na świecie – zasobem strategicznym. Uczy, kształtuje nasze opinie na temat otaczającego nas świata, jest także narzędziem kapitałotwórczym – jest trudnym do wycenienia zasobem w każdej instytucji, firmie czy przedsiębiorstwie. Na poziomie państwa – mówi wiele o jego strategii, systemie bezpieczeństwa i słabościach, a także o sposobach, na jakie można wywierać nacisk nawet na najważniejsze osoby w państwie. Może kompromitować, służyć podważaniu wiarygodności rządu, destabilizować i dezintegrować sytuację społeczną i polityczną. Ochrona bezpieczeństwa informacyjnego państwa to w XXI w. jedno z najważniejszych jego zadań.

Jakie niebezpieczeństwa niesie korzystanie z sieci dla zwykłych użytkowników internetu? O czym najczęściej zapominamy, jeśli chodzi o nasze bezpieczeństwo w sieci?

O tym, że internet jest niebezpieczny. Jest źródłem mnóstwa niesprawdzonych informacji, a także przestrzenią działania osób i organizacji, które nie mają na celu naszego dobrostanu. Również o tym, że w globalnej sieci możemy stać się celem ataku nawet z drugiego końca świata. I wreszcie o tym, że nie ma „darmowych obiadów”, że częste obietnice szybkiego zarobku, prostych odpowiedzi albo dozgonnej miłości to pułapki, w które wabi nas ktoś, kto chce pozyskać nasze dane, okraść nas albo w inny sposób oszukać.

Jakie są dobre praktyki, jeśli chodzi o bezpieczeństwo w sieci, które powinni stosować wszyscy użytkownicy internetu, zarówno najważniejsze osoby w państwie, przedsiębiorstwa, jak i osoby prywatne logujące się do sieci?

Zasada ograniczonego zaufania do ludzi, technologii i informacji. Krytyczne myślenie, śledzenie informacji o nowych zagrożeniach i sposobach ataków, utrzymywanie wysokiego poziomu przygotowania do przetwarzania informacji w bezpieczny sposób oraz dbałość o aktualność systemów zabezpieczeń technicznych i organizacyjnych – to sposoby na zwiększenie bezpieczeństwa. Ujmując to w sposób bardziej praktyczny: powinniśmy być czujni. Wiedzieć, co nam może grozić – w tym celu korzystając także z rad ekspertów czy specjalistycznych stron (jak CERT Polska, Niebezpiecznik.pl czy Sekurak). Mieć aktualne narzędzia – instalować systemowe aktualizacje w naszych komputerach i komórkach, korzystać ze sprawdzonych systemów antywirusowych, nie instalować oprogramowania ani aplikacji z niezaufanych źródeł. No i przede wszystkim… Myśleć. My sami jesteśmy najważniejszym elementem systemu bezpieczeństwa, a raczej możemy nim być, jeśli zachowujemy się odpowiedzialnie.

Jak wygląda sytuacja w Polsce, jeśli chodzi o systemowe rozwiązania dotyczące systemu obrony cyberprzestrzeni?

Polski system cyberbezpieczeństwa jest coraz bardziej rozwinięty. Od 2011 r., kiedy ostrożnie wprowadzano do polskiego systemu prawnego definicję cyberprzestrzeni, upłynęło sporo czasu. Dopracowaliśmy się w tym okresie takich dokumentów, jak Polityka Ochrony Cyberprzestrzeni RP z 2013 r. czy Doktryna Cyberbezpieczeństwa RP z roku 2015.

Krokiem milowym były jednak następstwa przyjęcia na poziomie unijnym Dyrektywy o bezpieczeństwie sieci informacji, czyli tzw. Dyrektywy NIS. Nałożyła ona na państwa członkowskie UE obowiązek stworzenia strategii cyberbezpieczeństwa. Polska zdecydowała się zrealizować ten obowiązek m.in. poprzez uchwalenie ustawy o krajowym systemie cyberbezpieczeństwa z 2018 r., dzięki której w następstwie powstała także polska strategia w tym obszarze. Zidentyfikowaliśmy zatem odpowiedzialne podmioty, wskazaliśmy obszary ich działania, implementujemy rozwiązania. Oczywiście nie jest to system idealny, ale też warto pamiętać, że incydenty, także krytyczne, w dziedzinie bezpieczeństwa sieci i informacji to nie wyłącznie polska domena. ©℗

Rozmawiała Wiktoria Szymańczyk