Cyber-strachy na Lachy
W Polsce wrze. Wicepremier i minister cyfryzacji w jednej osobie, od wiosny gra cyber-wojenne larum. Zaczęło się podczas organizowanej przez NASK konferencji SECURE 2024 w kwietniu: „Polska jest zagrożona i narażona na różne ataki hybrydowe, najbardziej w cyberprzestrzeni”. Pada teza o 80 tysięcy incydentów w 2023 r, względem 40 tysięcy w 2022. W opublikowanym na tej samej konferencji Raporcie Rocznym z działań CERT POLSKA można znaleźć taką liczbę. To incydenty w podmiotach gospodarki. Przy czym 95% tej liczby to… oszustwa komputerowe (fałszywe sklepy internetowe, czy lewe inwestycje). Trochę mało to wojenne. Wykorzystywanie podatności, ataki na dane, włamania czy dostępność zasobów to mniej niż 3% tej liczby. Ponadto Raport wskazuje, że Incydentów objętych krajową ustawą o systemie cyberbezpieczeństwa było 40 (czterdzieści!), 31 w sektorze bankowym i 9 w ochronie zdrowia. Plus kilka wystawionych do publicznego Internetu urządzeń sterowania przemysłowego. W wyniku złej konfiguracji. Nic o infrastrukturze firm telekomunikacyjnych. Fakty te nie przeszkadzają, aby w maju w wywiadzie dla PAP ogłosić, że „Polska jest w stanie zimnej wojny cybernetycznej z Rosją”. Wojna przestaje być zimną w czerwcu w TVP INFO: „Polska jest celem wojny cybernetycznej; codziennie dochodzi do ataków na infrastrukturę krytyczną na wielu różnych polach - transport, zdrowie, administracja elektrownie, wodociągi. Miękkie podbrzusze jest w samorządach”. Stan cyberbezpieczeństwa w samorządach to akurat rzeczywisty dramat. Ma zostać poprawiony milionami środków publicznych na zwiększanie ich odporności. I dobrze, tylko jak się to ma do wojny? Kumulacja straszenia nas następuje w lipcu, kiedy dowiadujemy się, że „Polska jest dziś najbardziej atakowanym państwem UE”. Tymczasem według syntetycznego wskaźnika cyber-zagrożenia poszczególnych państw publikowanego przez MixMode Threat Research (maj 2024) w oparciu o 4 globalnie uznawane indeksy bezpieczeństwa Polska jest na pozycji 49 i znacznie bardziej zagrożone są Bułgaria (21), Rumunia (31), Grecja (38), Łotwa (42), Portugalia (43), Węgry (44), Włochy (45). Tylko jeden punkcik bezpieczniejsze niż Polska są Niemcy, Słowacja, Hiszpania, Irlandia i Francja.
Co się kryje za straszeniem cyberwojną
Harmonogram tej eskalacji nie jest przypadkowy: w kwietniu Ministerstwo Cyfryzacji rozpoczęło konsultacje mocno kontrowersyjnych, bo przygotowanych jeszcze za poprzedniego rządu, zgodnie z panującym wówczas stylem zarządzania i autorytarnymi wartościami, zmian w ustawie o krajowym systemie cyberbezpieczeństwa. Głównym celem jest wprowadzenie europejskiej dyrektywy NIS2. Konsultacje zakończyły się w ostatnim tygodniu maja. Wpłynęło grubo ponad 100 stanowisk od organizacji branżowych, społecznych, ekspertów i osób prywatnych oraz kilkanaście od administracji publicznej. Na projekcie nie zostawiono suchej nitki, chociaż zarzuty są różnego kalibru.
Zagrożeni kontrowersyjną, bo opartą na czynnikach wyłącznie politycznych, procedurą wyznaczania dostawcy wysokiego ryzyka (HRV) Chińczycy protestują przeciwko temu mechanizmowi. I nie tylko oni. Wspierają ich operatorzy i dostawcy internetu, w szczególności zrzeszeni w Krajowej Izbie Komunikacji Ethernetowej, wskazując – skądinąd słusznie – że powierzenia decyzji technicznych dotyczących cyberbezpieczeństwa politykom – w kraju pełnym świetnych inżynierów – nie jest najlepszym pomysłem. Procedurę eliminującą Chińczyków chwalą natomiast przedstawiciele amerykańskiej izby handlowej (AMCHAM), wszakże projekt przewiduje, że produkty naszych sojuszników z NATO nie są poddawane ocenie w tym zakresie; to ciekawe, biorąc pod uwagę wspomniany raport CERT NASK i np. zeszłoroczną wpadkę z poważną podatnością Outlooka od Microsoftu.
Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone.
Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A. Kup licencję.