IT@ Bank 2015: Wielka cyberimpotencja

Justyna Patynowska

– W Polsce musi się wydarzyć tragedia, żebyśmy zaczęli działać – uważa Tomasz Sordyl, wicedyrektor Departamentu Porządku i Bezpieczeństwa Wewnętrznego. Podczas wrześniowej konferencji poświęconej cyberbezpieczeństwu „Security Case Study 2015” przypomniał, że od opublikowania krytycznego raportu NIK ws. ochrony polskiej cyberprzestrzeni minęło kilka miesięcy, a zalecenia Izby wciąż są ignorowane.

Grzech główny rządu PO

Z opublikowanego przez Izbę na przełomie czerwca i lipca krytycznego raportu wynika, że bezpieczeństwo w cyberprzestrzeni nie jest w Polsce właściwie chronione. W naszym kraju na szczeblu centralnym nie podjęto żadnych spójnych i systemowych działań zmierzających do bieżącego monitorowania i przeciwdziałania zagrożeniom.

„Aktywność państwa paraliżował brak jednego ośrodka decyzyjnego, koordynującego działania innych instytucji publicznych oraz bierne oczekiwanie na rozwiązania, które w tym obszarze ma zaproponować Unia Europejska” – wskazał NIK. Izba uważa, że działania podmiotów państwowych związane z ochroną cyberprzestrzeni były prowadzone w sposób rozproszony i bez spójnej wizji systemowej, sprowadzając się do doraźnego reagowania na bieżące wydarzenia oraz biernego oczekiwania na regulacje unijne.

„Nie zidentyfikowano podstawowych zagrożeń dla krajowej infrastruktury teleinformatycznej oraz nie wypracowano narodowej strategii ochrony cyberprzestrzeni, stanowiącej podstawę dla działań podnoszących bezpieczeństwo teleinformatyczne. Nie określono też struktury i ram prawnych krajowego systemu ochrony cyberprzestrzeni, nie zdefiniowano obowiązków i uprawnień jego uczestników oraz nie przydzielono zasobów niezbędnych do skuteczzagronej realizacji zadań. A co najważniejsze nie przygotowano procedur reagowania w sytuacjach kryzysowych, związanych z cyberprzestrzenią” – czytamy w podsumowaniu stanowiska NIK.

Ważnym czynnikiem wpływającym negatywnie na realizację zadań w obszarze bezpieczeństwa w cyberprzestrzeni było niewystarczające zaangażowanie kierownictwa administracji rządowej, w tym premiera, w rozstrzyganie kwestii spornych między poszczególnymi urzędami oraz zapewnienia współdziałania organów i instytucji związanych z bezpieczeństwem teleinformatycznym państwa.

Niemoc ministra

Kontrola wykazała, że szef resortu administracji i cyfryzacji, któremu bezpośrednio powierzono obowiązki związane z ochroną polskiej cyberprzestrzeni, nie zrealizował należących do niego zadań w zakresie inicjowania i koordynowania działań innych podmiotów w dziedzinie bezpieczeństwa teleinformatycznego.

„Minister Administracji i Cyfryzacji nie dysponował zasobami pozwalającymi na realną realizację zadań dotyczących zarządzania krajowym system ochrony cyberprzestrzeni oraz nie miał uprawnień do oddziaływania na instytucje, które odmawiały współpracy lub nierzetelnie i nieterminowo wywiązywały się z przypisanych im obowiązków” – podała NIK.

Minister Spraw Wewnętrznych nie realizował żadnych zadań związanych z budową krajowego systemu ochrony cyberprzestrzeni. Działania ministra w obszarze bezpieczeństwa IT ograniczały się do własnych sieci oraz systemów resortowych – jednak nawet w tym zakresie były prowadzone w sposób nierzetelny.

„Obowiązujące obecnie przepisy Prawa telekomunikacyjnego są wadliwie sformułowane i nie mogą być w praktyce wykorzystywane do realizacji zadań związanych z bezpieczeństwem IT. Było to przyczyną zaniechania wykonywania obowiązków przez Prezesa Urzędu Komunikacji Elektronicznej, dotyczących w szczególności pozyskiwania informacji o incydentach występujących w cyberprzestrzeni oraz informowania obywateli o zagro-niem z internetu” – zauważyli Koordynowany przez Rządowe Centrum Bezpieczeństwa system zarządzania kryzysowego -ny z działaniami w zakresie bezpieczeństwa teleinformatycznego oraz w niewystarczającym stop-niu uwzględnia nowe zagrożenia -stwa, jakimi są ryzyka występują-ce w cyberprzestrzeni.Jednostki organizacyjne Policji po-zwalczaniem przestępczości kom–niczyły w kampaniach edukacyj-no-informacyjnych, dotyczących plbezpiecznego korzystania z internetu. Komendant Główny Policji nie podjął natomiast rzetelnych działań w celu wdrożenia w Policji realnego i kompleksowego systemu reagowania na zagrożenia i incydenty w cyberprzestrzeni.

Stracony czas

NIK przypomina, że prace nad narodową strategią ochrony cyberprzestrzeni prowadzone są od 2008 r. Kolejne wersje tego dokumentu nie były jednak zatwierdzane ze względu na ich nierzetelne przygotowanie i sprzeczne interesy różnych instytucji, zaangażowanych w przygotowywanie strategii.