Zbudować szczelny mur, zamiast odganiać pojedynczych rzezimieszków – taka filozofia powinna przyświecać wzmocnieniu bezpieczeństwa państwa w sferze cyfrowej.
– Zarządzanie ryzykiem bardzo długo skupiało się na zwalczaniu skutków. Jak w straży pożarnej: zadzwonią, to pojedziemy gasić – mówi Witold Skomra, ekspert Rządowego Centrum Bezpieczeństwa.
To podejście zmieniło się wraz z rozwojem technologii cyfrowych. – Nie da rady zwalczyć wszystkich zagrożeń, więc jedynym sposobem redukcji ryzyka jest zbudowanie takiego środowiska, w którym ten przykładowy pożar nie rozprzestrzeni się z piwnicy na strych – wskazuje Skomra. Chodzi o to, żeby pomimo niebezpiecznych zdarzeń, których nie sposób uniknąć, nie doszło do katastrofy. – To nowe podejście zapoczątkowali informatycy. Powiedzieli: nie będziemy walczyć ze wszystkimi hakerami, ale zbudujemy odporność systemu – stwierdza ekspert RCB. – Nie mamy wpływu na to, w co uderzy Putin, ale możemy stworzyć takie środowisko, w którym to uderzenie nie wywoła zamierzonych skutków – porównuje.
Zgodnie z definicją NATO odporność to „zdolność społeczeństwa do stawiania oporu oraz łatwego i szybkiego powrotu do funkcjonowania po poważnym wstrząsie, takim jak klęska żywiołowa lub atak zbrojny”. – Jest połączeniem gotowości cywilnej i wojskowych zdolności, za których budowę odpowiada każde państwo członkowskie – wyjaśnia Izabela Albrycht, przewodnicząca Komitetu Programowego Europejskiego Forum Cyberbezpieczeństwa – CYBERSEC.
Odporność obejmuje siedem bazowych wymogów: ciągłość działania administracji i kluczowych procesów państwa, zaopatrzenie w energię, zdolność do reagowania na masowe niekontrolowane migracje, zaopatrzenie w wodę i żywność, zdolność do reagowania na zdarzenia z dużą liczbą ofiar, zapewnienie cywilnej łączności oraz system transportu.
– Budowanie systemowej odporności, czy inaczej odporności państwa, wymaga zaangażowania całego społeczeństwa, administracji i gospodarki oraz stworzenia ram współpracy w wielu wymiarach: cywilnym, militarnym, krajowym, międzynarodowym, politycznym, organizacyjnym czy technologicznym – stwierdza Izabela Albrycht. Jest współautorką opublikowanego dziś raportu Instytutu Kościuszki „Systemowa odporność państwa w cyfrowej erze”, który analizuje zastosowanie technologii cyfrowych na rzecz wzmocnienia odporności w określonych przez NATO obszarach.
Autorzy raportu w każdym obszarze widzą miejsce dla chmury obliczeniowej, uczenia maszynowego czy sztucznej inteligencji. – Każda dziedzina życia opiera się dziś na technologii cyfrowej, więc także wzmacnianie odporności musi się odbywać w cyberprzestrzeni – podkreśla dr Krzysztof Malesa, dyrektor ds. strategii bezpieczeństwa w polskim oddziale Microsoftu (firma jest partnerem raportu).
W swojej analizie wykorzystania osiągnięć cyfryzacji wskazuje na przykład Ukrainy. Na tydzień przed rosyjską agresją – dostrzegając podatność serwerów w budynkach rządowych na kinetyczne i cybernetyczne działania wroga – ukraiński parlament zmienił prawo, pozwalając na migrację danych administracji państwowej do chmury. W ciągu 10 tygodni przeniesiono krytyczne dane oraz procesy ponad 20 ministerstw oraz 100 agencji i firm państwowych. Uchroniło je to przed zniszczeniem, gdyż jednym z wczesnych celów ataków rakietowych oraz cybernetycznych Rosjan okazały się właśnie rządowe centra danych Ukrainy.
Innym sposobem, w jaki najnowsze technologie mogą posłużyć do zapewnienia ciągłości działania administracji państwowej, są ambasady danych. Taką metodę zastosowała Estonia, tworząc w Luksemburgu specjalnie zabezpieczone centrum danych, zintegrowane z krajową chmurą rządową. Są w nim przechowywane zaszyfrowane kopie zapasowe danych cyfrowych państwa estońskiego na wypadek ataku – cyfrowego i fizycznego. Ta „ambasada” działa na podstawie umowy międzynarodowej i podlega estońskiej jurysdykcji. W ten sposób dane zlokalizowane poza potencjalnym teatrem działań wojennych są objęte tymi samymi gwarancjami prawnymi co w kraju.
Izabela Albrycht zastrzega jednak, że nowe technologie – choć pomagają osiągnąć odporność – stanowią zarazem źródło nowych zagrożeń.
– Technologie cyfrowe spowodowały, że powstał jeden wspólny „system systemów” – zgadza się Witold Skomra z RCB. Połączone siecią powiązań cyfrowych społeczeństwo zaczyna funkcjonować jako jeden organizm. – To wygodne. Ale z drugiej strony zwiększa też zagrożenie – stwierdza Skomra. Wskazuje na efekt domina lub kaskady: w takim systemie nawet niewielkie zakłócenia w jednej części mogą wywołać trudne lub niemożliwe do przewidzenia skutki w obszarach pozornie z nią niepowiązanych.
Inny ekspert RCB, Sławomir Łazarek, podkreśla, że wzmacnianie odporności wymaga udziału całego społeczeństwa. – Buduje ją każdy z nas, bez wsparcia społecznego to się nie uda – mówi Łazarek.
W społecznym wymiarze bezpieczeństwa kluczowe są dwa elementy: odporność obywateli na dezinformację oraz odpowiedzialne i świadome korzystanie z cyfrowych technologii (higiena cyfrowa). Oba wymagają rozwijania cyfrowych kompetencji społeczeństwa.
– Budowanie odporności jest długotrwałym procesem wymagającym dużych wysiłków i nakładów oraz strategicznego namysłu – podsumowuje Izabela Albrycht.
