Państwo chce publicznie wskazywać firmy zaniedbujące cyberbezpieczeństwo. Jak ma działać nowa zasada?

Wicepremier i minister cyfryzacji Krzysztof Gawkowski zapowiedział zmianę podejścia państwa do firm, które nie chronią odpowiednio danych i systemów. Administracja ma publicznie informować, które przedsiębiorstwa dopuściły do poważnych zaniedbań. To krok w stronę większej odpowiedzialności reputacyjnej po serii dużych incydentów cybernetycznych.

Dotychczas komunikacja państwa po incydentach koncentrowała się przede wszystkim na ostrzeżeniach, zaleceniach i technicznych informacjach o zagrożeniu. Gawkowski zapowiedział bardziej ofensywne podejście: państwo ma nie tylko pomagać w reagowaniu, ale również wskazywać firmy, które nie zadbały o bezpieczeństwo swoich klientów. Taka polityka może zwiększyć presję na zarządy, ponieważ skutkiem zaniedbań będzie nie tylko koszt techniczny i prawny, lecz także bezpośrednia utrata reputacji.

Kontekstem są m.in. głośne wycieki danych i ataki ransomware. W sierpniu administracja informowała o incydencie w firmie MyDr, który mógł dotyczyć danych nawet 18,8 mln osób i tysięcy placówek medycznych. Równolegle obowiązuje znowelizowany krajowy system cyberbezpieczeństwa, wdrażający szerszy katalog podmiotów kluczowych i ważnych. Firmy z wielu sektorów muszą rejestrować się w odpowiednim wykazie, a ich obowiązki dotyczą zarządzania ryzykiem, raportowania incydentów i współpracy z zespołami CSIRT.

Samo „naming and shaming” nie rozwiązuje problemu cyberbezpieczeństwa. Najważniejsze pozostają procedury aktualizacji systemów, segmentacja sieci, kopie zapasowe, kontrola dostępu, monitoring oraz ćwiczenia reagowania na incydenty. Publiczne wskazanie firmy może jednak działać jako dodatkowy bodziec ekonomiczny: klienci, kontrahenci i inwestorzy szybciej zobaczą, że słabe zabezpieczenia mają realne konsekwencje. Dla zarządów bezpieczeństwo IT staje się więc elementem odpowiedzialności biznesowej, a nie wyłącznie technicznym zadaniem działu informatycznego.

Kluczowe będzie to, według jakich kryteriów państwo będzie oceniać zaniedbania. Publiczna informacja powinna opierać się na zweryfikowanych ustaleniach, aby nie karać reputacyjnie firmy, która padła ofiarą zaawansowanego ataku mimo prawidłowych zabezpieczeń. Jeżeli mechanizm ma być wiarygodny, musi odróżniać sam fakt incydentu od rażących braków w ochronie. Dopiero wtedy może poprawić standardy bez zamiany cyberbezpieczeństwa w konkurs medialnych oskarżeń.

Publiczne wskazywanie zaniedbań ma jednak sens tylko wtedy, gdy kryteria są czytelne. Sam fakt cyberataku nie dowodzi winy firmy — nawet dobrze zabezpieczone organizacje mogą zostać skutecznie zaatakowane. Inaczej wygląda sytuacja, gdy incydent ujawnia brak podstawowych procedur, wieloletnie ignorowanie znanych podatności albo niewykonanie obowiązków wynikających z przepisów. Dlatego dla wiarygodności państwa ważne będzie rozróżnienie ofiary ataku od podmiotu, który rażąco zlekceważył bezpieczeństwo. Nowe obowiązki KSC zwiększają znaczenie dokumentowania zarządzania ryzykiem, audytów, planów ciągłości działania i reakcji na incydenty. Dla klientów oznacza to potencjalnie więcej informacji o tym, co rzeczywiście zawiodło, ale nie powinno prowadzić do publikowania danych, które ułatwiałyby kolejne ataki.