Cyberobrona wschodniej flanki. Dlaczego same umowy nie wystarczą?

Polska i Łotwa podpisują nową umowę o cyberbezpieczeństwie, a UE zacieśnia operacyjną współpracę z Ukrainą. Oba wydarzenia z października pokazują, że ochrona systemów teleinformatycznych staje się częścią obrony państwa. Największe wyzwanie nie polega jednak na liczbie porozumień, lecz na tym, co rzeczywiście wydarzy się w pierwszych minutach ataku.

Cyberbezpieczeństwo bywa przedstawiane jako odrębna specjalizacja informatyczna. W rzeczywistości awaria sieci może oddziaływać na transport, banki, łączność alarmową i koordynację działań służb. Stąd rosnące zainteresowanie współpracą między instytucjami wojskowymi, cywilnymi i przedsiębiorstwami. Państwa wschodniej flanki mają dodatkowy powód do działania: znaczna część infrastruktury działa w środowisku permanentnej presji politycznej i militarnej. Każda luka techniczna może zostać wykorzystana do dezinformacji, zakłócenia pracy albo demonstracji siły. Co istotne, sprawcą nie musi być jeden wyspecjalizowany podmiot: wrogie grupy mogą korzystać z cudzych narzędzi, infrastruktury pośredniczącej lub przejętych kont.

Ogłoszone 13 października rozszerzenie polsko-łotewskiego porozumienia nadaje współpracy konkretne ramy. Resort obrony mówi o wymianie informacji i koordynacji działań w obliczu zagrożeń hybrydowych. To istotne, ponieważ wykrycie incydentu u sąsiada może dać innemu państwu kilka godzin przewagi. Jeśli podobny schemat ataku pojawi się w dwóch krajach, wspólne rozpoznanie skraca drogę od podejrzenia do ostrzeżenia. Sam dokument nie wskazuje jednak publicznie wszystkich procedur technicznych, a skuteczność należy oceniać na podstawie ćwiczeń i reakcji na rzeczywiste zdarzenia.

W regionie Morza Bałtyckiego zagrożenia nie zatrzymują się na liniach granicznych. Łańcuchy dostaw energii, dane przepływające przez centra obliczeniowe, sieci telekomunikacyjne i logistyka wojskowa działają transgranicznie. Odpowiedź jednego operatora może zależeć od szybkiej decyzji partnera w innym państwie. Dlatego współpraca ministerstw powinna prowadzić do wymiany informacji między zespołami technicznymi, sprawdzonych kanałów alarmowania i procedur przywracania usług. Bez tego polityczna deklaracja pozostanie ważnym, lecz niewystarczającym sygnałem. Nie każdą awarię trzeba przypisywać wrogowi, ale każdą poważną anomalię trzeba umieć sprawdzić.

Doświadczenie Ukrainy pokazuje Europie, jak szybko ewoluują cyberzagrożenia. Piąty dialog cybernetyczny Unii i Ukrainy pokazał, jak szeroki staje się katalog wspólnych zadań. Rozmowy dotyczyły między innymi NIS2, cyberodporności produktów, bezpieczeństwa 5G, ścigania przestępców i zarządzania kryzysowego. Szczególnie ważne jest porozumienie administracyjne dotyczące współdziałania CERT-EU i ukraińskich służb. Ma pomóc w zapobieganiu incydentom, ich wykrywaniu i ograniczaniu skutków. Ukraina zdobyła praktyczne doświadczenie podczas wojny, ale doświadczenie nie zastępuje interoperacyjności: dwa zespoły mogą posiadać świetnych ekspertów, a mimo to utracić czas przez niezgodne systemy zgłoszeń albo niejasny podział odpowiedzialności.

Współpraca z Ukrainą daje państwom unijnym szansę testowania metod obrony na podstawie realnych wzorców ataków. Nie oznacza to jednak, że każdy model stosowany w warunkach wojny nadaje się bez zmian do krajów czasu pokoju. Inne są podstawy prawne monitorowania sieci, zakres ujawniania informacji i odpowiedzialność prywatnych operatorów. Najtrudniejsza jest właśnie integracja obu światów: szybkiej reakcji koniecznej w kryzysie oraz kontroli prawnej chroniącej obywateli przed nadmierną ingerencją. Umiejętność pogodzenia tych wymogów będzie jednym z testów unijnej polityki cyfrowej w kolejnych latach.

Miarą dojrzałości cyberobrony nie jest obietnica, że żaden atak nie przejdzie przez zabezpieczenia. Takiego poziomu bezpieczeństwa nie zagwarantuje nawet najlepiej finansowana instytucja. Liczy się wykrycie naruszenia, ograniczenie jego zasięgu, oddzielenie zainfekowanych systemów i możliwość wznowienia działania usług. Szczególnie istotne są kopie zapasowe odseparowane od sieci produkcyjnej, ćwiczenia z udziałem kierownictwa oraz zapasowe kanały komunikacji. Operatorzy infrastruktury krytycznej muszą też wiedzieć, kiedy zgłosić zagrożenie służbom państwowym, a kiedy uruchomić procedury dla klientów. Zwłoka w przekazywaniu informacji może kosztować więcej niż sama awaria.

Państwo, które regularnie ćwiczy scenariusze awarii, zyskuje przewagę nad takim, które reaguje dopiero po pierwszej katastrofie. Warto więc mierzyć czas od wykrycia do decyzji, od decyzji do izolowania incydentu i od izolowania do przywrócenia podstawowych funkcji. Tych wskaźników nie zastąpi liczba podpisanych dokumentów ani konferencji prasowych. Współpraca Polski, Łotwy i Ukrainy będzie miała znaczenie wtedy, gdy zwykły operator otrzyma ostrzeżenie na czas, a mieszkańcy nie odczują przerwy w działaniu istotnych usług przez wiele godzin.

Polska znajduje się między dwoma potrzebami: ochroną własnych systemów i wsparciem sąsiadów, których infrastruktura jest regularnie testowana przez konflikt. To zwiększa wagę krajowych zespołów reagowania, wojskowej łączności i współpracy z firmami technologicznymi. Publicznie ogłoszone porozumienia pokazują kierunek, ale nie dają jeszcze odpowiedzi, czy wymiana danych działa wystarczająco szybko i obejmuje właściwe podmioty. Nie należy też mieszać cyberataków z każdym alertem związanym z rosyjskimi uderzeniami lotniczymi. Łączy je kwestia odporności państwa, lecz wymagają innych procedur i narzędzi.

Najrozsądniejsza ocena nie brzmi więc ani „Europa jest już bezpieczna”, ani „wszystkie systemy są bezbronne”. Powstaje sieć współpracy o coraz większym potencjale, a jej słabe punkty ujawnią dopiero testy i doświadczenia. Dla podatnika najważniejsze pytanie dotyczy tego, czy pieniądze przeznaczone na cyberobronę kupują realny czas reakcji i możliwość odtworzenia usług. Bez takich rezultatów nawet najlepsza strategia pozostanie dokumentem. Z nimi współpraca międzynarodowa stanie się praktycznym elementem bezpieczeństwa codziennego, a nie tylko odpowiedzią na wiadomości o kolejnych atakach. Państwo powinno również zbierać informacje o fałszywych alarmach, by reagować proporcjonalnie i nie przeciążać ludzi częstymi, nieprecyzyjnymi ostrzeżeniami. Wiedza o rzeczywistych zagrożeniach nie może ginąć w nadmiarze komunikatów.