Dziesięć milionów euro unijnych środków na centra cyberbezpieczeństwa i polskie prace nad CSIRT Energia to dwa różne elementy tego samego wyzwania. Nowe pieniądze oraz struktury mogą pomóc, lecz same nie dowodzą, że państwo szybciej wykryje atak i utrzyma działanie usług w czasie kryzysu.
Centrum Projektów Polska Cyfrowa ogłosiło 30 października informacje o dwóch naborach programu Cyfrowa Europa. Ich łączna pula na krajowe i transgraniczne centra cyberbezpieczeństwa wynosi 10 mln euro. Wnioski można składać do 16 marca 2027 roku. Nie oznacza to jeszcze, że określona część środków została przyznana Polsce.
Wcześniej, 15 października, Europejskie Centrum Kompetencji w dziedzinie Cyberbezpieczeństwa uruchomiło konkursy. Według CPPC w programie znajdują się zarówno granty na rozwój centrów, jak i oddzielne środki na wspólne zamówienia infrastruktury, narzędzi i usług.
W samej Polsce 30 października ogłoszono również porozumienie o tworzeniu CSIRT Energia. Polskie Sieci Elektroenergetyczne mają prowadzić sektorowy zespół reagowania, łączący wiedzę techniczną z potrzebami operatorów energii, gazu, paliw, ciepła i innych części infrastruktury.
Oba projekty odpowiadają na odmienny fragment zagrożeń. Centra krajowe i transgraniczne mają pomagać w analizowaniu sygnałów na szerszą skalę, natomiast zespół sektorowy musi rozumieć specyficzne urządzenia, procedury i zależności technologiczne. Żaden nie zastępuje administratorów w poszczególnych przedsiębiorstwach.
Pierwszą pułapką polityki publicznej jest mierzenie postępu kwotą ogłoszonego finansowania. Pula 10 mln euro nie oznacza przyznania jej Polsce ani konkretnej instytucji. Grant trzeba dopiero uzyskać, rozliczyć i połączyć z krajowymi zadaniami oraz kosztami utrzymania infrastruktury po zakończeniu dofinansowania.
Drugą pułapką jest przekonanie, że platforma wymiany danych automatycznie skraca czas reakcji. Informacja o cyberataku bywa użyteczna dopiero wtedy, gdy jej odbiorca potrafi ocenić zagrożenie, wskazać zagrożone zasoby, podjąć działanie i potwierdzić jego skuteczność.
System energetyczny pokazuje tę złożoność szczególnie wyraźnie. Niektóre sieci informatyczne można czasowo odłączyć, ale urządzenia sterujące produkcją lub przesyłem energii muszą działać w rygorze bezpieczeństwa procesowego. Spontaniczne wyłączenie komponentu może stwarzać własne ryzyka.
Dlatego zespoły reagowania powinny łączyć specjalistów od informatyki, systemów przemysłowych, ochrony fizycznej, prawa i komunikacji kryzysowej. Wiele poważnych incydentów wymaga koordynacji zewnętrznych dostawców i administracji, a nie tylko lokalnego zespołu komputerowego.
Komunikat resortu energii wskazuje, że nadzoruje on w tej dziedzinie około 1200 podmiotów. Nie wszystkie mają takie same możliwości finansowe i organizacyjne. Dla mniejszego operatora sam dostęp do sprawdzonego ostrzeżenia i procedury kontaktu może być równie ważny jak zaawansowana technologia dużej spółki.
CPPC zwraca uwagę na współpracę krajowych i transgranicznych centrów, a także na istniejącą w Polsce infrastrukturę CSIRT NASK, CSIRT GOV, CSIRT MON oraz platformę S46 Cyber Hub. To punkt wyjścia do integracji, nie dowód, że wszystkie dane są już wymieniane bez opóźnień i luk.
Doświadczenie ataków na elementy europejskiej infrastruktury uczy ostrożności wobec prostych rankingów. Nawet organizacja z dużym budżetem może ulec błędowi proceduralnemu, niewykrytej podatności albo problemowi w łańcuchu dostaw. Liczy się przygotowanie do uszkodzenia i powrotu do działania.
Właściwy test odporności powinien obejmować ćwiczenia z symulowanym atakiem, czas wykrycia, skuteczność poinformowania zagrożonych instytucji, dostępność kopii danych i możliwość prowadzenia podstawowych usług w trybie awaryjnym. Wymaga to także oceny po realnym incydencie.
Odrębną sprawą jest przejrzystość finansowania. Część informacji o technicznych zabezpieczeniach musi pozostać chroniona, jednak społeczeństwo powinno znać cele programów, kryteria przyznawania dotacji oraz publicznie dostępne miary postępu. Inaczej trudno oddzielić praktyczną poprawę bezpieczeństwa od promocji nowej instytucji.
Wspólne unijne zamówienia mogą ograniczać koszty jednostkowe sprzętu i usług, lecz niosą też pytania o zależność od dostawców, interoperacyjność oraz zakres kontroli nad wrażliwymi danymi. Korzyści trzeba zestawiać z ryzykiem koncentracji jednego rozwiązania technologicznego.
W nadchodzących miesiącach ważne będzie, kto z Polski wystąpi o środki w unijnych naborach, jak zostanie zaprojektowana współpraca z CSIRT Energia i czy operatorzy infrastruktury otrzymają konkretne procedury współdziałania. Sam termin konkursu nie jest terminem gotowości systemu do działania.
Ostateczny wniosek jest warunkowy: nowe pieniądze i sektorowy zespół mogą poprawić ochronę infrastruktury krytycznej, ale tylko przy połączeniu ich z personelem, współpracą i regularnymi próbami odporności. Cyberbezpieczeństwa nie da się zagwarantować jedną ustawą ani nową centralą alarmową.
Kolejnym problemem jest jakość danych przesyłanych między instytucjami. Zbyt wiele niepotwierdzonych ostrzeżeń może zmęczyć odbiorców i odciągać uwagę od incydentów naprawdę groźnych. Dlatego potrzebne są wspólne definicje zagrożeń, priorytety alarmów oraz sposób odwoływania komunikatów po ich weryfikacji. Bez tego nawet rozbudowana sieć wymiany informacji może działać nieefektywnie.
Państwowa polityka cyberbezpieczeństwa musi także obejmować dostawców usług i podwykonawców. Niektóre organizacje zlecają utrzymanie systemów firmom zewnętrznym; w razie incydentu informacja musi szybko dotrzeć do każdego podmiotu, który faktycznie obsługuje zagrożone środowisko. Kontrakty powinny więc wyjaśniać obowiązki i czas reakcji, a nie ograniczać się do ogólnej deklaracji bezpieczeństwa.
W tym sensie ważniejsza od samej liczby nowych zespołów może okazać się zdolność do współdziałania podczas jednej wspólnej sytuacji kryzysowej. Dopiero przeprowadzone ćwiczenie, udokumentowany czas reakcji i wnioski wdrożone po incydencie pokazują, czy powołanie nowej instytucji podniosło rzeczywistą odporność.
Dla mieszkańców spór o podział kompetencji stanie się ważny dopiero w razie awarii. Wtedy potrzebne są zrozumiałe komunikaty, wskazana instytucja odpowiedzialna za pomoc i możliwość załatwienia podstawowych spraw mimo przerw w działaniu systemów. To najprostszy test rzeczywistej odporności.
Źródła
CPPC, dwa nabory na centra cyberbezpieczeństwa: https://www.gov.pl/web/cppc/kolejne-10-mln-euro-na-rozwoj-krajowych-centrow-cyberbezpieczenstwa-dwa-nowe-nabory-w-programie-cyfrowa-europa
Ministerstwo Energii, CSIRT Energia: https://redakcja.www.gov.pl/web/energia/polska-energetyka-wzmacnia-ochrone-przed-cyberzagrozeniami-powstaje-pierwszy-w-historii-csirt-energia
Formaty reklamowe wewnątrz artykułu
Reklamy wplecione między akapity najlepiej działają w układzie poziomym lub prostokątnym.
