Bezpieczeństwo teleinformatyczne Państwa

Prescriptum

Ostatnio byłem na kolejnej konferencji o CYBERSECURITY, na której grono ważnych, piastujących kluczowe stanowiska związane z działaniami na rzecz zapewnienia bezpieczeństwa teleinformatycznego Panstwa, deklarowali prowadzenie przygotowań, koordynację działań, wzmacnianie linii obrony i odpowiednio większą gotowość. Niestety w miarę słuchania coraz bardziej widziałem związek tych deklaracji z projektem budowy muru na granicy USA z Meksykiem. Aż nagle skojarzyłem sobie tę sytuację z Linią Maginota - pełną gotowości linię obrony Francji, nie do przejścia dla nieprzyjaciela - Niemcy w 1940 roku obeszli ją przez Ardeny. Niestety musimy być przygotowani na nowe, odmienne formy ataków teleinformatycznych. I tylko sama teleinformatyka, odpowiednio od nowa zastosowana, będzie w stanie (jestem o tym przekonany) się obronić. Dlatego warto szczególnie uważnie przeczytać konkluzję tego artykułu. (napisane w marcu 2017 roku - WBI) 

O bezpieczeństwie teleinformatycznym wiemy coraz więcej, ale też stale powinniśmy weryfikować nasze rozumienie i postrzeganie problemów, jakie są z tym związane. Dopiero wspólne wielokrotne przeanalizowanie wszystkich możliwych zagrożeń oraz sposobów ich wykrywania i zapobiegania pozwoli nam być dobrze przygotowanym do coraz poważniejszych wyzwań wynikających ze zwiększającej się liczby i skali ataków.

Odpowiedzialni za bezpieczne funkcjonowanie systemu teleinformatycznego

Aż trudno uwierzyć, ile osób/instytucji powinno się czuć (są!) odpowiedzialnymi za bezpieczeństwo systemów teleinformatycznych:

• Wykonawca i dostawca systemu teleinformatycznego oraz powiązanego z nim sprzętu i oprogramowania,
• Wdrażający i zarządzający eksploatacją systemu, a w tym bezpośredni operator systemu,
• Operator usług przetwarzania w chmurze, goszczenia witryny systemu oraz serwerów poczty elektronicznej,
• Pracownicy – korzystający z funkcji systemu, • Użytkownicy zewnętrzni – korzystający bezpośrednio z funkcji systemu,
• Centrum Bezpieczeństwa Teleinformatycznego mającego w gestii ochronę tego systemu,
• Właściciel i Zarząd/Kierownictwo firmy/instytucji eksploatującej oraz zarządzającej systemem,
• Narodowe Centrum Bezpieczeństwa Teleinformatycznego (NCCyber)
• Centra Bezpieczeństwa Służb Specjalnych (ABW, AW, … )
• Siły Zbrojne – Wojska Teleinformatyczne
• Politycy

Oczywiście każda z tych osób/instytucji ma odpowiedzialność adekwatną do swoich umiejętności oraz możliwości działania, a także relacji do danej firmy czy instytucji. Odpowiedzialność jest też zależna od rodzaju zagrożenia teleinformatycznego. Ale też problemem staje się koordynacja działań pomiędzy tymi osobami/instytucjami oraz określenie hierarchii dowodzenia w sytuacji zagrożenia danego poziomu.

Odpowiedzialność polityków za bezpieczeństwo teleinformatyczne

Co prawda polityków umieściliśmy na końcu listu, ale to ich odpowiedzialność za bezpieczeństwo teleinformatyczne Państwa jest ogromna. I nie sprowadza się ona tylko do zapewnienia warunków działania odpowiednich służb i centrów. Politycy muszą na bieżąco rozumieć i analizować sytuację w przypadku zagrożeń teleinformatycznych i podejmować na podstawie uprzednio przyjętej doktryny decyzje co do rodzaju obrony i reakcji na dane zagrożenia. Wzorując się na doktrynach z wojskowości oraz policji powinno się politycznie przeanalizować warunki zastosowania doktryny:

obronno-pasywnej – polegającej na rozpoczynaniu obrony po rozpoznaniu ataku teleinformatycznego i ograniczaniu swoich działań tylko do przeciwdziałaniu atakom,

obronno-aktywnej – polegającej na stałym obserwowaniu funkcjonowaniu sieci i systemów teleinformatycznych programami śledząco-szpiegującymi w celu wykrycia źródeł możliwych ataków, aby obrona była natychmiastowa i efektywniejsza.

obronno-zaczepnej – działającej jak obronno-aktywna, ale z funkcjami bezpośrednio penetrującymi możliwe źródła ataków w celu wykrycia przygotowań do takich działań.

obronno-odwetowej – obronna uzupełniona atakiem teleinformatycznym na zidentyfikowane źródła ataku w celu ich zniszczenia dla przeciwdziałania możliwości kolejnych ataków.

ataku zapobiegawczego – czyli inwigilacja potencjalnych źródeł ataku, po czym z następuje atak z naszej strony likwidujący zagrożenie.

ataku teleinformatycznego – czyli skorzystania z siły bojowej naszych Wojsk Teleinformatycznych.

Zdajemy sobie sprawę z dyskusyjności tych propozycji – ale w obecnym świecie walki teleinformatycznej każda forma obrony – nawet przez atak musi być przeanalizowana w gronie specjalistów, po czym powinna być podjęta decyzja polityczna wyboru najlepszej i skutecznej doktryny, będącej podstawą Strategii Bezpieczeństwa Teleinformatycznego.

Wspomaganie obywateli i urzędników w zachowaniu bezpieczeństwa teleinformatycznego

Obywatele oraz przedsiębiorcy małych i średnich firm, a także urzędnicy , użytkując swoje urządzenia cyfrowe (komputery, tablety, smartfony), również w celu skorzystania z e-usług administracji, z reguły nie mają wystarczającej aktualnej wiedzy i umiejętności obrony przez atakami teleinformatycznymi. Co więcej - w ponad 80% (źr. Intel) mają poważne obawy przez narażeniem się na te zagrożenia – boją się ich skutków.

Co prawda zaatakowanie pojedynczego, czy nawet grupy takich urządzeń, nie spowoduje większych szkód, ale może też poprzez nich nastąpić atak na system teleinformatyczny. Tym samym Państwo powinno wspomagać obywateli w zabezpieczaniu się oraz obronie przed atakami teleinformatycznymi.

W tym celu koniecznym jest powołanie Centrum Bezpieczeństwa Wspomagania Bezpieczeństwa Teleinformatycznego, które to będzie edukować i informować zwykłych użytkowników systemów o aktualnych zagrożeniach oraz sposobach ich unikania, dystrybuować programy zabezpieczające oraz pomagać w odzyskaniu danych i usunięciu skutków ataków.

Przedostatnia linia obrony

Większość ataków teleinformatycznych pochodzi spoza granic kraju, a nawet UE. Dodatkowo też możliwe jest propagowanie ataków skierowanych początkowo na systemy w krajach sąsiednich. W szczególnych przypadkach zaatakowane kraje mogą wyłączyć swoje sieci teleinformatyczne odcinając nas od internetu.

W USA, mającym poprzez podstawowe serwery DNS kontrolę nad adresowaniem w internecie, istnieje procedura prawna umożliwiająca nakazanie operatorom na żądanie służb państwowych wyłączenie podstawowych serwerów sieci internetowej. Działania te mogą mieć po pewnym czasie wpływ na funkcjonowanie sieci internetowej w Polsce.

Stąd też postulowanym (rozsądnym) rozwiązaniem jest przygotowanie sieci internetowej w Polsce do autonomicznego działania po wystąpieniu jednego z powyżej opisanych przypadków. Pozwoli to na przeczekanie „niejasnej i niestabilnej” sytuacji. Taka logiczna autonomia powinna być również zastosowana w odniesieniu do sieci internetowej na terenie UE. W normalnych warunkach taka sieć funkcjonuje w dotychczasowej skali globalnej. Należy przypuszczać, że taką logiczną autonomię sieci ma Rosja, Chiny, Indie oraz Izrael.

KONKLUZJA:

Wszystkie założone w Strategii CyberBezpieczeństwa, przygotowywanej przez Ministerstwo Cyfryzacji, zadania są przygotowane do wdrożenia dla uzyskania minimalnego bezpieczeństwa teleinformatycznego Państwa. Pozwoli to jedynie na szybsze wykrywanie i identyfikowanie ataków, łatwiejsze ich zwalczanie oraz odtwarzanie poprawności działania zaatakowanego systemów. Nie oznacza to jednak, że taka strategia zapewnia uzyskanie pełnego bezpieczeństwa teleinformatycznego. Brakuje bowiem w strategii planu działań naprawczych i korygujących dotychczasowe zabezpieczanie sieci i systemów teleinformatycznych. Strategia obrony zasobów teleinformatycznych Państwa oraz jego gospodarki powinna obejmować procedury, środki prawne a także konieczne zmiany o charakterze technicznym. W szczególności musi być ukierunkowana na projektowanie i wdrażanie do eksploatacji nowych, wewnętrznie uodpornionych na ataki, systemów oraz sieci teleinformatycznych. ;

(fragment opracowania „Odpowiedzialność za bezpieczeństwo teleinformatyczne Państwa”, przygotowanego na XXII Forum Teleinformatyki - 27 września 2016 roku.  WBI)