Od czasu wybuchu wojny na Ukrainie sektor publiczny w Polsce zmaga się z lawinowo rosnącą liczbą cyberataków. Wszyscy zdążyli się już pogodzić z tym, że nie jest to chwilowe zjawisko, lecz trwały efekt będący pokłosiem napięć geopolitycznych, powszechnej cyfryzacji oraz wzmożonej aktywności zaawansowanych grup cyberprzestępczych. Rośnie nie tylko liczba incydentów, ale też ich złożoność i ukierunkowanie, co z kolei zwiększa ryzyko realnych zakłóceń zarówno w prowadzeniu biznesu, jak i funkcjonowaniu państwa.

Z majowego raportu Check Point Research wynika, że polskie instytucje publiczne odpierają tygodniowo średnio 2916 ataków, więcej niż wynosi średnia światowa (2795). Nasz kraj należy pod tym względem do najbardziej zagrożonych w całej Europie. Więcej ataków na instytucje publiczne odnotowano jedynie we Włoszech (5475) oraz w Hiszpanii (3260). Liczba cyberataków wymierzonych w polską administrację rządową przewyższa o 80 proc. wynik drugiego najbardziej zagrożonego sektora finansów (1795) oraz sektora energetycznego i użyteczności publicznej (1662). Grzegorz Szałański, Team Leader w Departamencie Bezpieczeństwa Sieciowego Exclusive Networks, zwraca uwagę, że złożoność problemów zgłaszanych z Polski, szczególnie z sektora publicznego, jest wyższa niż w pozostałych częściach kontynentu.

Jak z tymi wyzwaniami radzą sobie rodzime instytucje publiczne? Na to pytanie starali się niedawno odpowiedzieć uczestnicy debaty zorganizowanej przez CRN Polska pod hasłem: Sektor publiczny pod presją cyberzagrożeń: diagnoza i kierunki zmian. Ich oceny okazały się mocno rozbieżne. Najbardziej surową recenzję wystawiła Małgorzata Michniewicz, członek zarządu Stowarzyszenia ISACA, która w skali od 2 do 6 przyznała ocenę 2,5. Jej zdaniem największym mankamentem jest przepaść między technologiami, którymi dysponują instytucje, a realną skutecznością zarządzania nimi.

W sektorze publicznym realizowane są programy inwestycyjne – „Cyberbezpieczny Samorząd” „Cyberbezpieczny Rząd” czy „Cyberbezpieczne Wodociągi”. Działania te bez wątpienia wzmacniają instytucje, jednak w długofalowej perspektywie muszą iść w parze ze wzrostem kompetencji kadry specjalistycznej.

– Infrastruktura bez aktualnego oprogramowania i poprawnej konfiguracji może działać wprost przeciwko swoim użytkownikom. Wielokrotnie spotykamy się z sytuacją, w której organizacja dysponuje nowoczesnym środowiskiem IT, lecz jest ono źle skonfigurowane, bez właściwej segmentacji sieci i z nieodpowiednio przydzielonymi uprawnieniami administratorów. W rezultacie nawet zaawansowana infrastruktura staje się łatwym celem ataku – zauważa Maciej Siciarek, dyrektor dywizji CSIRT w NASK.

Zdecydowanie wyżej poziom bezpieczeństwa w rodzimych instytucjach publicznych ocenili Joanna Wziątek-Ładosz, Senior Security Manager w Tenable, oraz Grzegorz Szałański. Oboje wystawili polskiemu sektorowi publicznemu najwyższą w debacie notę: 4,5.

To oczywiście pewnego rodzaju ćwiczenie myślowe, bowiem wystawienie cenzurki całemu sektorowi publicznemu to zadanie karkołomne – w końcu gotowość na cyberzagrożenia różni się diametralnie w zależności od jednostki. Ministerstwo, jako instytucja centralna, musi chronić dane milionów obywateli i systemy pokroju KSeF, podczas gdy mała gmina operuje jedynie wycinkiem tych zasobów.

– Pomiędzy poszczególnymi obszarami sektora publicznego występują duże różnice. Administracja rządowa koncentruje się na dostępności usług i wizerunku państwa, podczas gdy samorządy często borykają się z ograniczonym finansowaniem i brakami kompetencyjnymi. Ochrona zdrowia priorytetowo traktuje ciągłość działania i ochronę danych, a sektor edukacji, szczególnie uczelnie, jest celem zaawansowanych ataków APT nastawionych na kradzież informacji – tłumaczy Paweł Pudo, audytor systemów zarządzania w Dagma Bezpieczeństwo IT.

KSC po nowelizacji

Nowelizacja Krajowego Systemu Cyberbezpieczeństwa, która weszła w życie w tym roku, nakłada na wybrane podmioty szereg konkretnych obowiązków: wdrożenie systemu zarządzania bezpieczeństwem informacji, zapewnienie bezpieczeństwa łańcucha dostaw ICT oraz regularną ocenę ryzyka wystąpienia określonych incydentów. Ministerstwo Cyfryzacji szacuje, że nowe przepisy mogą objąć nawet 38 tys. podmiotów, z czego około 27 tys. to podmioty publiczne: urzędy, szpitale, uczelnie i samorządy. Regulacje ominą jedynie najmniejsze gminy, zatrudniające poniżej 50 urzędników.

Eksperci są zgodni: nowe przepisy to krok w stronę systemowego zarządzania bezpieczeństwem, a nie kolejny pretekst do zakupu sprzętu. Kluczowe stają się tzw. „elementarz”, czyli zestaw podstawowych zasad konfiguracji, a także analiza ryzyka, inwentaryzacja zasobów i dbałość o bezpieczeństwo całego łańcucha dostaw.

– Nowelizacja przesunie zakupy z modelu „kupujemy technologię” w stronę „budujemy zgodność, odporność i mierzalne procesy”. Większe znaczenie będą miały rozwiązania wspierające zarządzanie ryzykiem, raportowanie incydentów, kontrolę dostępu, inwentaryzację zasobów, ciągłość działania i audyty – ocenia Piotr Fabiański, prezes zarządu Infonet Projekt.

Choć środowisko cyberbezpieczeństwa przyjmuje nowelizację z wyraźną aprobatą, nie brakuje też głosów sceptycznych. Istnieje ryzyko, że mniej dojrzałe podmioty sprowadzą unijne dyrektywy wyłącznie do tworzenia biurokratycznych procedur, zamiast realnie podnosić poziom bezpieczeństwa. Nie jest tajemnicą, że w niejednym urzędzie liczy się przede wszystkim dokumentacja, bo tego wymaga ustawa lub program, podczas gdy realne bezpieczeństwo zajmuje dalekie miejsce na liście priorytetów.

– Wiele zależy od tego, co organizacje zrobią z regulacją: czy potraktują ją jako okazję do realnego podniesienia poziomu bezpieczeństwa, czy sprowadzą wszystko do odhaczenia listy określonych punktów. W podejściu stosowanym przez amerykańską agencję CISA ogromny nacisk kładzie się na monitorowanie powierzchni ataku i szybkie usuwanie krytycznych podatności – mówi Joanna Wziątek-Ładosz.

Pojawiają się też obawy, że mniejsze instytucje mogą zgubić się w gąszczu skomplikowanych przepisów i nie zrozumieć sensu stawianych im wymagań. Nowe regulacje oznaczają więcej obowiązków, a co za tym idzie dodatkowe koszty i obciążenie kadrowe. To również poważne wyzwanie na starcie: wiele urzędów musi po raz pierwszy przeprowadzić rzetelną inwentaryzację swoich zasobów i zidentyfikować procesy krytyczne.

Zdaniem specjalisty

Paweł Pudo, audytor systemów zarządzania, Dagma Bezpieczeństwo IT Paweł Pudo, audytor systemów zarządzania, Dagma Bezpieczeństwo IT  

Sektor publiczny w Polsce jest najczęściej atakowany przez grupy APT, głównie powiązane z Rosją, które koncentrują się na infrastrukturze państwowej i działaniach o charakterze strategicznym. Oprócz nich występują także globalne grupy cyberprzestępcze, w tym pochodzące z Azji, działające w sposób bardziej rozproszony i nastawiony na wykorzystanie nadarzających się okazji. Dominujące rodzaje ataków to kampanie phishingowe umożliwiające dostęp do systemów oraz dalsze działania, takie jak sabotaż, szpiegostwo czy ransomware. Z perspektywy sektora publicznego kluczowe znaczenie mają ciągłość działania usług, bezpieczeństwo infrastruktury oraz wizerunek państwa.