Eksperci do spraw nowych technologii, cyfryzacji i prawa zaproszeni do debaty Instytutu Jagiellońskiego zastanawiali się nad wyzwaniami, które dziś stoją przed polską gospodarką w zakresie bezpieczeństwa. 

Cyberataki na spółki skarbu państwa

Kontekstem debaty były również różnego rodzaju ataki wymierzone w strategiczne spółki skarbu państwa. Ich celem jest nie tylko uzyskanie korzyści ekonomicznej, ale przede wszystkim podważenie zaufania do tych przedsiębiorstw, często największych pracodawców w kraju i podmiotów znacząco oddziałujących na całą naszą gospodarkę. Przykładem może być tutaj nieustannie borykająca się z kolejnymi próbami cybernetycznych ataków KGHM Polska Miedź S.A. Jego zakorzenienie w systemie ekonomicznym państwa, rynkowa pozycja i międzynarodowy charakter działalności sprawiają, że – podobnie jak np. Orlen czy działająca tylko w Polsce PGE – dla państw oraz grup dążących do destabilizacji naszej części Europy wydaje się celem niemal idealnym.

Wojna hybrydowa

Rozprawiano także nad tym, jak sprawiać, aby nowoczesna wojna hybrydowa w jak najmniejszym stopniu zagrażała interesom Polski. Jak działania hybrydowe wpływają na nasze codzienne życie? Realizacji jakich celów służą? I wreszcie – jak im przeciwdziałać? To najważniejsze pytania, na które odpowiadali goście konferencji.

Przewodniczący Rady Cyfryzacji Józef Orzeł ocenił, że w sferze cyberbezpieczeństwa „trwa wyścig zbrojeń”. 

„Kto jest szybszy? W myśli, w technice, w organizacji, w edukacji – przestępcy, czy policja. Cyberprzestępczość to po prostu jest skrzydło cyberinnowacyjności. Niczym w tym przypadku nie różni się technika – różni się tylko i wyłącznie kierunek, interes i stosunek do prawa. Często także zaplecze, nie tylko organizacyjne, ale również polityczne” – powiedział. 

„Ten drugi – wirtualny – świat cały czas ewoluuje i podlega procesom globalizacji. Eksperci od cyberbezpieczeństwa od dawna mówią, że jest to rzeczywistość poszerzająca otaczający nas świat” – powiedział Orzeł.

Ochrona tożsamości w sieci

Eksperci zwracali też uwagę na problemy związane z cyberbezpieczeństwem, które w ostatnim okresie nasilały się najbardziej. 

„Ochrona tożsamości i problem jej kradzieży – to są problemy, z którymi się cały czas borykamy i które są niezwykle istotne. Powinniśmy podjąć działania mające na celu wyeliminowanie bądź ograniczenie kradzieży tożsamości, czyli podszywania się pod inne osoby" – powiedziała w trakcie debaty dr Agnieszka Gryszczyńska z Działu ds. Cyberprzestępczości Prokuratury Krajowej. 

„W ciągu ostatnich trzech lat najczęściej obserwowaliśmy ataki przy użyciu tak zwanych fałszywych bramek, czyli podszywaniem się pod agentów rozliczeniowych. Najczęstszym punktem wejścia było rozsyłanie do użytkowników SMS-ów zawierających prośbę o dopłatę” – dodała Gryszczyńska. 

Wymieniła m.in. dopłatę na szczepienie przeciw COVID-19, czy dopłatę do energii elektrycznej. Oceniła, że cyberprzestępcy bazują na „dobrym scenariuszu socjotechniczny”. Dodała także, że prowadzenie podobnych masowych ataków w Polsce nie stanowi problemu pod względem technicznym. 

„Musimy dbać o cyberhigienę i cyberodporność” – zaapelowała. 

Cyberzagrożenia pochodzą z zewnątrz i wewnątrz organizacji

Były dyrektor Departamentu Cyberbezpieczeństwa KPRM Robert Kośla wyjaśnił, że zagrożenia w cyberprzestrzeni można podzielić na prowadzone z zewnątrz jak i wewnątrz organizacji. 

„Mamy cztery główne obszary na których ochronie powinniśmy się skupić, jak również obszary podniesienia tzw. cyberodporności. Zdefiniowaliśmy to jako główny cel strategii Cyberbezpieczeństwa RP na lata 2019-2024. Ten cel to podnoszenie poziomu odporności na ataki, jak również podniesienie poziomu ochrony informacji w systemach teleinformatycznych. Chodzi tu tak o systemy prywatne, administracji publicznej i systemy wojskowe”.

4 strefy wymagające szczególnej ochrony

Kośla wymienił 4 sfery, które powinny być szczególnie chronione: tożsamość, dane, aplikacje oraz infrastruktura.

Jak powiedział, zabezpieczeniem tożsamości np. przed cyberatakami ukierunkowanymi na jej kradzież w sieci może być zmiana haseł i stosowanie wraz z nimi innych równoległych sposobów uwierzytelniania. 

Jego zdaniem, dane powinny być chronione „szyfrowaniem ich oraz przechowywaniem w miejscach, które utrudniają wysoką dostępność” oraz poprzez stosowanie ich kopii zapasowych. W obszarze aplikacji podkreślił, że „chodzi o to, żeby mieć świadomość, w jaki sposób korzystamy z aplikacji, na co się zgadzamy, instalując aplikację”. 

„Wiemy, że bardzo dużo aplikacji w całym ekosystemie, szczególnie dla urządzeń mobilnych, to aplikacje zmodyfikowane celowo” – dodał. Podkreślił, że aplikacje powinny podlegać badaniom pod kątem bezpieczeństwa. 

Cyberbezpieczeństwo infrastruktury

Ostatni obszar jaki wskazał były szef Departamentu Cyberbezpieczeństwa KPRM, to obszar cyberbezpieczeństwa infrastruktury.  

„Mamy tu do czynienia przede wszystkim z kwestiami dostępności informacji. Ingerencja w tę sferę jest dokonywana poprzez zakłócanie funkcjonowania sieci. Kwestia dostawców wysokiego ryzyka dotyczy nie tylko poufności, ale także dostępności tych usług. Gdy instalujemy oprogramowanie od dostawcy, który nie zapewnia odpowiedniej jakości, może doprowadzić to do sytuacji w której utracimy dostęp do infrastruktury” – powiedział.    

Jak przypomniał ekspert ds. cyberbezpieczeństwa Jarosław Mojsiejuk, w opublikowanym niedawno projekcie nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) w polskim porządku prawnym pojawia się po raz pierwszy instytucja „dostawcy wysokiego ryzyka”, czyli takiego, którego produkty wprowadzone do polskiego obrotu gospodarczego mogą stanowić „różnego rodzaju zagrożenia”. 

Zdaniem prezesa Polskiego Towarzystwa Informatycznego Wiesława Paluszyńskiego problemem jest „kompletna nieświadomość, bądź lekceważenie” tego problemu cyberbezpieczeństwa przez kierownictwa firm. „Musimy wiedzieć, gdzie mamy aktywa, gdzie mamy najważniejsze obszary, które należy chronić” - powiedział. 

Jakość oprogramowania

Paluszyński ocenił, że kolejnym obszarem, który w polskich warunkach potrzebuje zdecydowanych działań jest „dbanie o jakość wytwarzanego oprogramowania” z punktu widzenia cyberbezpieczeństwa. 

„Jeśli robimy coś w zakresie certyfikowania sprzętu, to nie robimy zupełnie nic by nałożyć wymagania na wytwórców oprogramowania. To >>grzech pierworodny<<, który funkcjonuje teraz w Polsce i temu trzeba przeciwdziałać” - dodał Paluszyński.  

Zdaniem prezesa firmy ComCert Krzysztofa Dyki, świadomość zagrożeń dotyczących cyberbezpieczeństwa w większości polskich firm prywatnych jest niewielka. 

„Dostrzegam bardzo duże braki pod względem adresowania ryzyk cyberbezpieczeństwa na rynku prywatnym. Rynek ten może nie jest tak nonszalancki jak rynek publiczny, ale nie jest od niego wiele lepiej zabezpieczony” – zaznaczył.