Cyberbezpieczeństwo jako realny i globalny problem
Na początku lipca polski system prawny wzbogacony został o Ustawę o krajowym systemie cyberbezpieczeństwa. Najważniejszy do tej pory akt prawny dotyczący bezpieczeństwa naszego kraju w cyberprzestrzeni to pokłosie unijnej dyrektywy NIS z 2016 roku, która nakłada na państwa członkowskie obowiązek, między innymi, wprowadzenia tego typu przepisów, aby tym samym zmniejszyć podatność poszczególnych krajów na zagrożenia płynące z cyberprzestrzeni.
Uchwalenie tego prawa przeszło w mediach praktycznie bez echa, pomimo tego, że cyberprzestrzeń już od 2016 roku oficjalnie uznawana jest także przez NATO za pełnoprawny, obok lądu, wody i powietrza, teatr działań, tak defensywnych, jak i ofensywnych. Sam sojusz zresztą od lat naciska na wzmacnianie krajowych systemów cyberbezpieczeństwa państw członkowskich i aktywnie wspiera inicjatywy z tym związane. Najwyższy czas uznać więc cyberprzestrzeń za źródło realnych zagrożeń dla bezpieczeństwa państwa, cyberataki za codzienność, a przede wszystkim odczarować przedrostek cyber, jako coś pochodzące nie z tego świata lub odległej przyszłości. Bo przyszłość dzieje się teraz.
Internet jest obecnie tak powszechny, że wypełnia niemal każdy element naszego życia.
W sferze publicznej do niedawna jeszcze funkcjonował zwrot wykluczeni cyfrowo, który miał definiować ludzi nie radzących sobie z nowymi technologiami, komputeryzacją i szeroko pojętą siecią. Ostatnie lata pokazują jednak, że odsetek osób, które można by zdefiniować tym pojęciem zmniejszył się do tego stopnia, że zaryzykować można by stwierdzenie, że na „placu boju” wykluczonych, pozostali już jedynie ci wykluczeni naturalnie (stosując terminologię zaczerpniętą z ekonomii i badań nad bezrobociem). W moich oczach pojęcie cyfrowo wykluczonych przeszło swoistą metamorfozę i nie oznacza już osób, którzy w żaden sposób nie korzystają z nowoczesnych technologii, a tych, którzy nie do końca wiedzą w jaki sposób korzystać z nich bezpiecznie. Wśród panującej opinii cyberataki są marginalnym zjawiskiem, dotyczącym jakichś odległych ośrodków lub pojedynczych jednostek. A jeśli już kogokolwiek dotkną, to są to złośliwe programy typu wirus, które w najgorszym razie spowodują konieczność sformatowania dysku twardego komputera. Kradzieże z internetowych kont, portfeli kryptowalutowych, phishing, spoofing? Kto atakowałby zwykłego, nie mającego niczego do ukrycia Kowalskiego? Zagrożenia dla stabilności państwa płynące z sieci? Takie rzeczy tylko w filmach. To niestety standardowe pojmowanie cyberbezpieczeństwa osób na co dzień nie związanych z branżą bezpieczeństwa lub IT. Rzeczywistość wygląda jednak zgoła inaczej.
Według raportu firmy F-Secure na przestrzeni ostatniego roku doszło do aż 6 milionów prób ataków w polskiej cyberprzestrzeni. To znaczy wzrost w porównaniu z rokiem poprzednim, a głównymi źródłami ataków były tereny Rosji, USA i Francji – choć w cyberprzestrzeni bardzo trudno o jednoznaczną atrybucję winy do sprawcy. Wśród tak ogromnej liczby ataków nie sposób wykluczyć te skierowane bezpośrednio w aparat państwowy lub jego infrastrukturę krytyczną – dość powszechna jest chociażby wiedza o dużym ataku na polski sektor bankowy z początku 2017 roku, który wykorzystywał nonszalancję projektantów strony internetowej Komisji Nadzoru Finansowego, a którego autorem najprawdopodobniej byli członkowie grupy typu Advance Persistent Threats, związani z reżimem północnokoreańskim. Innym dość jaskrawym przykładem jest atak typu ransomware nazwany NotPetya, którego celem, według opinii ekspertów Centrum Współpracy i Doskonalenia w zakresie Cyberobrony NATO, była dalsza destabilizacja sytuacji na Ukrainie, a nie, jak ma to miejsce w innych tego typu przypadkach, chęć zysku. Bezpośrednio na rząd Rosji jako autora ataku wskazali zresztą w lutym 2018 roku przedstawiciele Białego Domu – po tym jak zrobili to także Duńczycy i przedstawiciele Wielkiej Brytanii.
Do roku 2007 NATO, o którym w marcu 1999 roku Zbigniew Brzeziński powiedział, że jest ośrodkiem władzy globalnej – politycznej, wojskowej, finansowej, ekonomicznej i technologicznej, choć rozpoznawało od dawna wrogą działalność aktorów państwowych w cyberprzestrzeni, nie miało wypracowanych, nawet ramowych, planów w przypadku wystąpienia zmasowanego cyberataku na jedno z państw sojuszniczych. Dyskusję na ten temat zainicjowała Estonia, która srogo doświadczona została w cyberprzestrzeni przez Rosję. Estończycy porównali wtedy skierowany w ich kraj atak w cyberprzestrzeni do konwencjonalnego ataku na infrastrukturę krytyczną, a jako członek sojuszu, zwołali nawet posiedzenie ministrów państw NATO. Atak nazwany pierwszą w historii cyberwojną pozostał jednak bez odpowiedzi ze strony sojuszników z uwagi na kilka czynników. Jednym z nich był dotychczasowy brak precedensu w podobnej sprawie i zupełne nieprzygotowanie do tego typu wyzwania. Wojna jest aktem przemocy mającym na celu zmuszenie przeciwnika do spełnienia naszej woli, pisał w XIX wieku Carl von Clausewitz. Dwieście lat później wojna przyjęła jednak oblicze o którym pruski teoretyk wojny nie mógł nawet w swoich czasach śnić.
Czy cyberatak może więc spowodować uruchomienie artykułu 5 Traktatu NATO? Przykład Estonii pokazał, że cyberprzestrzeń może być polem agresji jednego państwa wobec drugiego. Cyfrowe bombardowanie tego małego, nadbałtyckiego kraju było zaczynem do powstania Centrum Współpracy i Doskonalenia w zakresie Cyberobrony (za siedzibę którego wybrano tak doświadczony Tallin). Konieczność ochrony cyberprzestrzeni państw sprzymierzonych dostrzeżona została już na szczycie NATO w Walii w 2014 roku, a co najważniejsze, oficjalnie zapowiedziano także, że potencjalny, kolejny tego typu atak w jakikolwiek z 29 (obecnie) państw może być powodem do uruchomienia artykułu 5 traktatu waszyngtońskiego, czyli jednego z filarów istnienia Organizacji Traktatu Północnoatlantyckiego. Kolejny ważny element budowy wspólnej i bezpiecznej cyberprzestrzeni dołożony został na kolejnym szczycie w Warszawie w 2016 roku. To wtedy członkowie sojuszu powtórzyli deklarację z Newport dotyczącą ceberobrony, jako integralnej części kolektywnej obrony państw członkowskich. Za najważniejsze osiągnięcie warszawskiego szczytu wskazuje się jednak uznanie cyberprzestrzeni za kolejny obszar prowadzenia działań zbrojnych, tak samo istotny jak ląd, woda, przestrzeń powietrzna i kosmos. Tegoroczny szczyt NATO przyhamował już nieco ten temat nie dając jednoznacznych odpowiedzi jaki atak w cyberprzestrzeni może być zakwalifikowany jako ten inicjujący artykuł 5, a jaki pozostanie bez odpowiedzi. Na tę chwilę wiemy jedynie, że każdy kolejny tego typu incydent będzie analizowany oddzielnie, a ewentualna decyzja podejmowana na bieżąco.
O krok dalej wydaje się iść administracja prezydenta Donalda Trumpa, która w opublikowanej w lutym 2018 roku nowej Doktrynie Nuklearnej przewiduje nawet użycie broni jądrowej w odpowiedzi na cyberatak, który spowoduje – a obecnie jest to już jak najbardziej możliwe – zniszczenie infrastruktury kraju oraz cywilne ofiary w Stanach Zjednoczonych lub którymkolwiek z państw sprzymierzonych. To ogromna zmiana w porównaniu z Doktryną ogłoszoną przez poprzedniego prezydenta, Baracka Obamę oraz odwrócenie rozpoczętego przez niego trendu stopniowej redukcji arsenałów jądrowych poniżej poziomu 1550 głowic, zgodnie z podpisanym przez niego porozumieniem o redukcji amerykańskiej i rosyjskiej strategicznej broni jądrowej New START.
Wspomniana we wstępie polska Ustawa o krajowym systemie cyberbezpieczeństwa, podobnie jak Krajowa Strategia Cyberbezpieczeństwa, to jak na razie jedynie zapisy. Ważne, żeby w krok za nimi szła także jak najszybsza realizacja wskazanych tam rozwiązań. Cyberprzestrzeń bowiem nie poddaje się żadnym międzynarodowym regulacjom czy sankcjom, a działania ofensywne nie są obarczone na tę chwilę żadnymi regulacjami. Najważniejsze działania jednak, choć brzmieć może to nad wyraz banalnie, to powszechna edukacja i upowszechnianie świadomości dotyczącej cyberbezpieczeństwa – zarówno tego indywidualnego, jak i tego które bezpośrednio wpływać może na fundament bezpieczeństwa narodowego.
Link: mil.link/pl/cyberbezpieczenstwo-jako-realny-i-globalny-problem
Krótki link: mil.link/i/cyberreal
