Gdy zabraknie pieniędzy na bezpieczeństwo, ograniczymy obsługę incydentów

Jak Polska ma bronić się przed atakami komputerowymi? Z ustawy wynika, że w miarę możliwości jak najtaniej. A jeśli zabraknie środków, to metodą ograniczenia wydatków ma być… ograniczenie obsług incydentów.

5 lipca Sejm RP uchwalił ustawę o Krajowym Systemie Cyberbezpieczeństwa (KSC). Ma ona wdrażać unijną dyrektywę NIS (Network and Information Systems Directive) znaną w Polsce częściej pod nazwą dyrektywy w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii. Ustawa o KSC została przygotowana przez Ministerstwo Cyfryzacji. Teraz czeka ją jeszcze głosowanie w Senacie RP.

Jak ma działać Krajowy System Cyberbezpieczeństwa?

W założeniu nowej ustawy Krajowy System Cyberbezpieczeństwa ma przyczynić się do lepszego radzenia sobie z atakami cybernetycznymi oraz ma zminimalizować straty wynikające z ataków, które będą naruszały cyberbezpieczeństwo kraju. Adresatami ustawy o KSC są tzw. operatorzy usług kluczowych oraz dostawcy usług cyfrowych.

Do pierwszej grupy należy zaliczyć przede wszystkim przedsiębiorstwa z sektora bankowości, infrastruktury cyfrowej, ochrony zdrowia i sektora energetycznego. Unia Europejska pozostawiła furtkę dla krajów członkowskich, która umożliwia samodzielne tworzenie listy takich operatorów kluczowych.

W myśl ustawy operatorem usługi kluczowej jest podmiot “wobec którego organ właściwy do spraw cyberbezpieczeństwa wydał decyzję o uznaniu za operatora usługi kluczowej”. W tym przypadku państwo bierze pod uwagę m.in. czy dane przedsiębiorstwo jest zależne od systemów informatycznych, jaki jest jego udział w rynku lub jakie jest znaczenie przedsiębiorstwa dla działalności danego sektora. Obecnie Ministerstwo Cyfryzacji szacuje, że zostanie wyznaczonych ok. 335 operatorów usług kluczowych.

Operator usługi kluczowej będzie miał obowiązek niezwłocznie zgłosić poważny incydent do właściwego Zespołów Reagowania na Incydenty Bezpieczeństwa Komputerowego (CSIRT – Computer Security Incident Response Teams),  jednak nie później niż w ciągu 24 godzin od momentu jego wykrycia.

Na poziomie krajowym powołano trzy takie zespoły, do których należą:

1. CSIRT MON – prowadzony przez Ministra Obrony Narodowej,
2. CSIRT NASK – prowadzony przez Naukową i Akademicką Sieć Komputerową – Państwowy Instytut Badawczy,
3. CSIRT GOV – prowadzony przez Szefa Agencji Bezpieczeństwa Wewnętrznego.

Druga grupa to dostawcy usług cyfrowych, na których spoczywać będzie obowiązek podejmowania środków zapobiegających i minimalizujących wpływ incydentów na usługę cyfrową w celu zapewnienia ciągłości świadczenia usługi. Dostawcy usług cyfrowych będą musieli także zgłaszać istotne incydenty z zakresu cyberbezpieczeństwa, nie później niż w ciągu 24 godzin do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV.

Pełnomocnik ds. Cyberbezpieczeństwa – w mundurze czy nie?

Ustawa wymienia również Pełnomocnika Rządu do spraw Cyberbezpieczeństwa, który już w marcu br. został powołany przez Prezesa Rady Ministrów Mateusza Morawieckiego na mocy rozporządzenia w sprawie ustanowienia Pełnomocnika Rządu do spraw Cyberbezpieczeństwa. Do jego zadań należeć będzie m.in. realizowanie polityki rządu, aby zapewnić bezpieczeństwo kraju. Otwarte pozostaje pytanie, czy Pełnomocnik będzie faktycznie łącznikiem pomiędzy resortami, czy też jego powiązanie z konkretnym ministerstwem spowoduje, że cyberbezpieczeństwo na stałe założy mundur.

Polska wreszcie ma strategię cyberbezpieczeństwa. Czy czujemy się bezpieczniej?

W dyrektywnie NIS przewidziano także przyjęcie na poziomie krajowym Strategii Cyberbezpieczeństwa. Ma ona w swoim założeniu doprowadzić do osiągnięcia i utrzymania wysokiego poziomu cyberbezpieczeństwa. Do tej pory nasz kraj nie mógł się pochwalić własną strategią cyberbezpieczeństwa. Chociaż podejść do tego tematu było już bardzo wiele, to nie udało się jak do tej pory stworzyć spójnej koncepcji, która zarówno opinii publicznej, jak i innym krajom komunikowałaby jasno, że sfera cyberbezpieczeństwa jest przez Polskę traktowana serio. Polska została zmuszona do tego dopiero przez wdrażanie unijnej dyrektywy. Jak będzie wyglądała strategia? Zobaczymy. Jedno jest pewne – z punktu widzenia zwykłego użytkownika powstanie strategii absolutnie niczego nie zmieni. Strategia Cyberbezpieczeństwa w myśl ustawy ustalana jest na okres pięcioletni; zostanie przyjęta do dnia 31 października 2019 r.

Wady ustawy o KSC

Pewnym mankamentem ustawy o KSC jest wymiar nakładanych kar przez organy nadzorujące. W art. 73 określono maksymalny wymiar kary pieniężnej na 1 mln złotych i to tylko w przypadku, jeśli właściwy organ stwierdzi, że operator usługi kluczowej lub dostawca usługi cyfrowej uporczywie będzie naruszać przepisy powodując zagrożenie dla  bezpieczeństwo państwa lub życia i zdrowia ludzi. Wymiar kary wydaje się jednak mały, biorąc pod uwagę skalę zagrożenia i skutki, jakie może wywołać niewłaściwe działanie operatora lub dostawcy.

Należy się zastanowić, dlaczego posłowie z Komisji nie chcieli skorzystać z rozwiązań znanych już w polskim prawie, chociażby w ustawie o ochronie konkurencji i konsumentów z 2007 r.  Zgodnie z nią prezes UOKIK w drodze decyzji może nałożyć na przedsiębiorcę karę pieniężną w wysokości do 10% obrotu osiągniętego w roku obrotowym poprzedzającym rok nałożenia kary. Byłaby to zdecydowanie dotkliwsza kara niż zaproponowany przez ustawę maksymalny milion złotych, który dla wielu podmiotów będzie odczuwalny tak mocno, jak ukąszenie komara.

Podczas prac komisji pojawiły się zarzuty ze strony pewnego członka Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii (CNT), że ustawa o KCS będzie nieskuteczna przez wprowadzone niedawno przepisy GDPR (RODO) nakładające m.in. obowiązek informacyjny na administratora danych osobowych. Postulowano przyjęcie poprawki, która będzie wyłączała (na kształt wyłączenia blokowego) taki obowiązek informowania w przypadku osób popełniających przestępstwa na szkodę operatorów usług kluczowych.

Pokazuje to jednak dobitnie, że dalej jest duże niezrozumienie społeczne (i to na poziomie poselskim – sic!), czym jest i jak działa ogólne rozporządzenie o ochronie danych osobowych. Należy podkreślić, że wobec osób, co do których prowadzi się czynności operacyjne, nie ma czegoś takiego jak obowiązek informacyjny.

Co z polskim budżetem na cyberbezpieczeństwo?

Na całym świecie wydatki na cyberbezpieczeństwo są coraz większe. Do stopniowego powiększania budżetów wzywają organizacje przedsiębiorców, media, rozumieją to również same rządy – martwi więc, że w polskiej ustawie o Krajowym Systemie Cyberbezpieczeństwa budżetowanie jest zorganizowane „na sztywno”. Co więcej, stały poziom finansowania zapisano… do roku 2027. Poniżej przykład dla jednego z organów, Komisji Nadzoru Finansowego.

Jeżeli zatem między rokiem 2018 a rokiem 2027 potrzeby w zakresie finansowania cyberbezpieczeństwa wzrosną, to trzeba będzie… je ograniczyć. Ustawa przewiduje takie rozwiązania jak np.:

• rezygnacja z organizowania bądź uczestnictwa w ćwiczeniach w zakresie cyberbezpieczeństwa organizowanych w Rzeczypospolitej Polskiej lub w Unii Europejskiej,
• ograniczenie finansowania działalności sektorowego zespołu cyberbezpieczeństwa powołanego przez dany organ właściwy,
• ograniczenie wydatków związanych z realizacją zadań ustawowych dotyczących obsługi incydentów,
• ograniczenie wydatków związanych z zapewnieniem wyposażenia niezbędnego do obsługi Zespołu do spraw Incydentów Krytycznych.

Oznacza to, że w praktyce najprawdopodobniej, jeśli w budżecie w danym roku zabraknie środków, to cyberbezpieczeństwo będzie można „wyłączyć” i przestać reagować na incydenty, jak i brać udział w międzynarodowych ćwiczeniach z zakresu cyberobronności. 

Budżetowanie „na sztywno” polskiego cyberbezpieczeństwa każe jednak myśleć, że uchwalenie ustawy niewiele zmieni w temacie tego, czy cyberobronę traktujemy poważnie, czy nie. Pokazuje natomiast dobitnie, że w razie zagrożenia potencjalnie narażone podmioty będą musiały radzić sobie same – na wypadek, gdyby w państwowej kasie zabrakło cyberpieniędzy.