Bartłomiej Pograniczny (rzecznik prasowy NIK)
Bartłomiej Pograniczny, zapraszam na podcast Pod Kontrolą. NIK zbadała cyberbezpieczeństwo wybranych usług kluczowych czyli to, czy podmioty które dostarczają nam np. energię czy wodę są zabezpieczone przed cyberatakami. Czyli czy dostęp do tych usług nie będzie przerwany. Czy jesteśmy odporni na ataki hakerskie? O to zapytam mojego gościa, koordynatora kontroli, którym jest pan Adam Milczarek z Zachodniopomorskiej Delegatury w Szczecinie. W tej kontroli zajęli się państwo tym, jak operatorzy kluczowych usług są przygotowani na cyberataki, ale ustalmy najpierw, które usługi uznajemy za kluczowe?
Adam Milczarek
W ramach naszej kontroli skoncentrowaliśmy się, jak sama nazwa wskazuje, na wybranych usługach kluczowych. Ustawa o krajowym, systemie cyberbezpieczeństwa sprzed nowelizacji, czyli ta, która była objęta naszą kontrolą, obejmowała 6 sektorów. My z tych sektorów wybraliśmy 3, czyli energię, transport, wodę, pitną i jej dystrybucję. Po nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa tych sektorów jest 19 - 10 kluczowych i 9 ważnych.
Bartłomiej Pograniczny
Czyli ta świadomość o tym, że cyberbezpieczeństwo jest istotne, rośnie?
Adam Milczarek
Rośnie ilość podmiotów, która jest zobowiązana do tego, żeby to cyberbezpieczeństwo zapewniać.
Bartłomiej Pograniczny
Jasne, a jak ci operatorzy zabezpieczają się przed zhakowaniem? Czy to są jakieś takie stałe, monitorujące systemy przez 24 godziny na dobę? Czy gdzieś zawsze musi siedzieć człowiek, który stwierdza: okej, to jest scenariusz nr 15 uruchamiane?
Adam Milczarek
Najlepiej by było, żeby te wszystkie rzeczy były ze sobą skorelowane, tak jak w normalnym życiu. Kiedy zabezpieczamy budynek, fizycznie mam ochroniarza, czy mamy monitoring to i tak zawsze musi ktoś siedzieć przy tym monitoringu, żeby zobaczyć, czy coś złego się dzieje. Tak samo jest programami, które operatorzy powinni posiadać. Najlepiej takie, które łączą ze sobą wiele źródeł i potrafią skorelować pewne informacje, one nazywają się SIEM. Krajowy system cyberbezpieczeństwa wymaga, żeby ten monitoring był 24 na 7 na 365 dni w roku. Tak jak pan zresztą powiedział, systemy są w stanie zablokować pewną część zdarzeń, pewną część takich najprostszych sytuacji, gdzieś tam wygasić i nie dopuścić tych eskalacji, ale to i tak koniec końców decyzję podejmuje człowiek. Tak, to się zdarzają takiej sytuacji, co się nazywa false positive, czyli system monitoruje, że coś się niepokojącego dzieje. Niemniej jednak człowiek potem patrzy, przygląda się temu i decyduje, że jednak jest to normalny, zwyczajny ruch w sieci, który jest uprawniony.
Bartłomiej Pograniczny
Czyli doszło po prostu do jakiegoś błędu w systemie?
Adam Milczarek
Tak, błędu czy np. jakiś ruch został nadmiarowo, bardziej rygorystycznie potraktowany gdzie nie należało go jakby blokować i wyłączać.
Bartłomiej Pograniczny
A o jakiejś skali ataków na tych właśnie operatorów usług kluczowych w ogóle mówimy?
Adam Milczarek
Nie mamy takich dokładnych danych dotyczących, którzy operatorzy, jak i ile incydentów mieli, bo są to dane publikowane zbiorczo. Z danych opublikowanych za zeszły rok wychodziło, że Polska jest jednym z najczęściej atakowanych krajów. W zeszłym roku obsłużono 273 000 incydentów, czyli to był wzrost rok do roku do 2024 o 144%. Przy czym trzeba zauważyć, że incydenty to już są takie zdarzenia, które zostały zakwalifikowane jako incydenty. Tych zgłoszeń jest o wiele więcej. Dopiero potem te zespoły CSIR, czyli reagowania na zdarzenia cyberbezpieczeństwa, decydują, czy dana sytuacja należy ją zakwalifikować jako incydent, czy jako po prostu normalne zdarzenie.
Bartłomiej Pograniczny
Ale jednym z krajów najbardziej atakowanych w Unii Europejskiej, czy jakieś innej skali?
Adam Milczarek
W skali świata. Jesteśmy w czołówkach rankingów, jeżeli chodzi o ataki. Wynika to też z naszego położenia, czyli bliskości granicy. Jesteśmy też poddawani tej wojnie hybrydowej przez Federację Rosyjską i inne państwa, więc tutaj my przodujemy w tych rankingach, takich trochę niechlubnych.
Bartłomiej Pograniczny
Ale czytając państwa kontrolę, że te ataki możemy powiedzieć, że są średnio co 2 minuty. Tak więc skala rzeczywiście jest duża, że w trakcie naszej rozmowy tych ataków już trochę będzie. A co potem się z tym dzieje? Bo mówimy o tych różnych systemach. Czasem automat wychwyci i zablokuje, czasem musi zdecydować człowiek. Ale jak to potem jest agregowane i jakie są wnioski z tego wyciągane?
Adam Milczarek
W momencie, w którym człowiek, system zdecyduje, że mamy do czynienia z atakiem, powinny zostać podjęty odpowiednie procedury i zależności się tego, jaki atak: np. jeżeli mamy ruch sieciowy przychodzący np. z krajów Bliskiego Wschodu, który jest nieoczekiwany i go nie chcemy to po prostu możemy go wyłączyć. Uniemożliwić. W momencie, w którym zablokujemy już tak powiedzmy, na początku to nie dochodzi do eskalacji. Nie dochodzi np. do wejścia do infrastruktury i możemy zminimalizować skutki tego ataku. W sytuacji, w której atak nastąpi np. ostatnie bardzo popularne ataki ransomware, czyli szyfrowania plików to tutaj już jest cała procedura, bo jest związana z odzyskiwaniem, czyszczeniem całego środowiska, ustawianiem całej infrastruktury na nowo czy instalowaniem systemów operacyjnych, czasami nawet wymianą dysków.
Bartłomiej Pograniczny
To się sprowadza do tego, że haker szyfruje dyski, a potem żąda jakieś opłaty za to, że uruchomi?
Adam Milczarek
Tak, jest nawet w internecie taka strona, która monitoruje, ile takich ataków ransomeware na żywo się dzieje i czy okupy są płacone. Tutaj taki przykład, nie kontrolowaliśmy jakby jednostek zdrowia publicznego, ale jako szczecinianina bardzo mnie dotknęła. Ten atak na jeden ze szczecińskich szpitali. Gdzie właśnie zaszyfrowanie tych dysków spowodowało, że wszyscy lekarze i cała obsługa musiała przejść na takie zarządzanie ręczne, manualne co opóźniło udzielanie świadczeń jak i opóźniło rejestrację.
Bartłomiej Pograniczny
A jakie jeszcze inne rodzaje ataków mamy?
Adam Milczarek
Może być atak DDoS, czyli takie zmasowane wysyłanie zapytań do sieci. Czyli po prostu jakby bardzo dużo osób w jednym czasie chciało się dostać na stronę internetową. Strony internetowe czy np. nasza infrastruktura jest zaprojektowana, że przewidujemy, że tego ruchu będzie w jakimś określonym, np. sto osób, a nagle tych ruchu jest na dziesięć czy sto tysięcy co powoduje wyłączenie serwerów bo one są przeciążone.
Bartłomiej Pograniczny
To są boty czy realni hakerzy?
Adam Milczarek
Takie ataki są przeprowadzane np. jeżeli chodzi o ten DDoS, np. przez sieć botnet i to jest sieć i to też jest jakby takie bardziej skomplikowane, takie daleko idące. Haker przyjmuje jakąś ilość komputerów i za pomocą nich dokonuje ataku. Czyli on sobie tworzy sieć komputerów, które przejął, które wykorzystuje. Nawet użytkownicy mogą nie wiedzieć, że on w tej infrastrukturze gdzieś tam u nich urzęduje a on za pomocą tych komputerów dokonuje tego ataku zmasowanego. Sztuczna inteligencja też tutaj rozwija pole i zwiększa tą ilość ataków, bo pozwala przeprowadzić je szybciej, jak i z mniejszą wiedzą i doświadczeniem.
Bartłomiej Pograniczny
Jakie mamy jeszcze rodzaje? Bo powiedzieliśmy o szyfrowaniu dysków, atakach DDoS, czyli tych właśnie, tak jak pan mówił zmasowanym wchodzeniu na dany serwer. Jakie są jeszcze rodzaje?
Adam Milczarek
No mamy phishing taki ostatnio bardzo popularny. Czyli wysyłanie wiadomości, w których się podszywamy. Bardzo często są wysyłane ostatnio, monity z CERT-u przychodzą. Właśnie podszywanie pod kurierów, pod np. firmy o przedłużenie domeny internetowej które dzisiaj do mnie trafiło. Przychodzi do nas mail, który wygląda łudząco podobnie do takiego jakiego powinniśmy oczekiwać. W którym jest link i my w ten link klikamy i np. przez to, że kliknęliśmy dochodzi do zawirusowania komputera i to też może być furtka do tego ataku ransomware. Mamy też malware, czyli wirusy, trojany takie klasyczne. Ściągnięcie jakiegoś pliku czy zainstalowanie oprogramowania, które wirusuje komputer i pojawia się na ten słynny blue screen i już nic nie możemy z komputerem zrobić.
Bartłomiej Pograniczny
Trochę pan już zaczął mówić o tych konsekwencjach, jakie będą dla mnie, dla użytkownika komputera, a jak to przełożymy na tych operatorów kluczowych i właśnie ludność danego miasta czy kraju? To o jakich zagrożeniach to w ogóle mówimy?
Adam Milczarek
W zakresie przedsiębiorstw produkujących, dostarczających wodę może dojść np. do manipulacji parametrami tej wody, czyli np. zwiększaniem ilości chloru w wodzie co może być niekorzystne dla człowieka. Część infrastruktury też jest zarządzana systemami IT czy IoT np. przepompownie wody. Aak na taką przepompownie może spowodować, że ta woda nie będzie dostarczana dalej. Nie dalej jak wczoraj gdzieś tam, w mediach się pojawiło, że w jednym z amerykańskich stanów właśnie 30 jakiś takich przedsiębiorstw zostało zaatakowanych właśnie m.in. przepompownię wody. Nie doszło akurat do przerwania tych dostaw, ale wymagało przejścia na zarządzanie ręczne i takie manualne, tak jak było kiedyś. Ataki na transport publiczny, w zeszłym roku na lotniskach europejskich. Dochodziło do ataków na systemy odpraw, co opóźniło i spowodowało odwołanie lotów. Tutaj w jednym z miast polskich, jak został przeprowadzony atak na Przedsiębiorstwo Komunikacji Miejskiej to zostały wykradzione dane użytkowników. I potem są przedmiotem handlu w darknecie. Są wykorzystywane np. do prób zaciągania kredytów. No takim skrajnym przypadkiem sektora służby zdrowia w Wielkiej Brytanii w wyniku cyberataku, no i opóźnienia w dostarczeniu pewnych niezbędnych badań doszło do śmierci człowieka. Bo nie byli w stanie mu udzielić tego świadczenia, bo nie mieli odpowiednich badań.
Bartłomiej Pograniczny
Czyli to jest bardzo poważna sprawa i na ile my jesteśmy przygotowani na szybką reakcję?
Adam Milczarek
To zależy od podmiotów. Jeżeli te podmioty realizują swoje zadania, identyfikują ataki, monitorują sieć to większość ataków są w stanie wychwycić, przewidzieć. Nawet jeżeliby doszło, to są w stanie zminimalizować ich skutki w sytuacji. W sytuacji w której my nie wiemy ataku i aktywnie działamy na rzecz naszej ochrony no to może się zdarzyć, że ten atak zostanie przeprowadzony i my się dowiemy dopiero post factum. Jeżeli, taki prosty przykład, tak samo jak przestępca rzadko kiedy atakuje w biały dzień i tak jak na jakiś tam szkoleniach czy wypowiedziach osób, które się zajmują już takimi atakami. Opowiadają, że najczęściej ataki zdarzają w piątek o 16, w weekend i w święta. Każdy już ma spokój i kiedy tam nikogo nie ma. Mieliśmy taką sytuację, że jednostka mówi no, ale my mamy systemy monitorujące. A my się pytamy: ale kto nimi zarządza popołudniami, wieczorami w dni wolne? No nikt. Ewentualnie dostaniemy jakiś monit. Ale oni dostaną już monit po fakcie. Po fakcie tego, że atak został skuteczny, bo ktoś z obsługi np. zauważy że komputery nie działają
Bartłomiej Pograniczny
Że zaczął się atak?
Adam Milczarek
Nie, oni nie mieli akurat wprowadzonego takiego systemu. U nich to wyglądało tak, że ten system oczywiście zbierał te wszystkie alerty, zbierał informację, ale oni by się dowiedzieli dopiero, jakby nie w poniedziałek przyszli do pracy, że zostały zaszyfrowane dyski.
Bartłomiej Pograniczny
Dla naszej rozmowy ważna jest ustawa o krajowym systemie cyberbezpieczeństwa. W tym miesiącu ustawa skończy 8 lat. Co przez ten czas się zmieniło, a co jest jeszcze do zrobienia.
Adam Milczarek
W tym roku weszła nowelizacja ustawy o kraju, systemie cyberbezpieczeństwa, która zmieniła trochę zakres obowiązków dla podmiotów, ale też znacząco rozszerzyła katalog i ilość tych podmiotów. Tak jak wskazywałem, z 6 sektorów teraz mamy 19. Dodatkowo dotychczas było 397 podmiotów które było operatorami usług kluczowych, obecnie jest około 38 000. To już nie są operatorzy kluczowych, ale podmioty ważne i kluczowe ale co do zasady obowiązki i zadania są zbliżone.
Bartłomiej Pograniczny
Jasne, a przejdźmy już tak bardziej szczegółowo do wyników państwa kontroli. Wskazali państwo, że wszyscy spośród 8 z kontrolowanych, tych wtedy jeszcze operatorów, pomimo uznania ich za operatorów w 2019 roku, to nie zapewnili oni odpowiedniego poziomu cyberbezpieczeństwa. Ignorowali krytyczne alerty generowane przez systemy a w skrajnych przypadkach w ogóle nie podejmowali realizacji obowiązku monitorowania. I czy wiemy, dlaczego? Czy tutaj brakowało procedur, świadomości? Była potrzebna nowelizacja ustawy? Co tam się wydarzyło?
Adam Milczarek
Nowelizowanie ustawy nie spowoduje tego, że podmioty będą realizować swoje obowiązki. Mieliśmy taki przypadek, że podmiot, który był od 2019 roku operatorem usługi kluczowej do czasu rozpoczęcia przez nas kontroli nie miał opracowanej dokumentacji obowiązkowej, która stanowi podstawę zarządzania tym cyberbezpieczeństwem. Tutaj można wskazać w sytuacji naszych podmiotów na wiele różnych przyczyn są przyczyny finansowe. Jest to deficyt odpowiednich kadr, jest to też taka kultura organizacji. To cyberbezpieczeństwo nadal nie jest stawiane. Jako jeden z ważnych elementów zarządzania organizacją, a czasami przykry obowiązek. Ustawa nałożyła na nas obowiązek. No to my go realizujemy, ale w takim stopniu, żeby no nikt do nas się tak naprawdę nie przyczepił.
Bartłomiej Pograniczny
No i chyba z tego też wynika to, że połowa skontrolowanych przez państwa operatorów nie przeprowadzała audytu bezpieczeństwa systemu informacyjnego. Ten audyt powinien być przeprowadzane raz na 2 lata, a tutaj przekroczenia wynosiły nawet 4 lata. Tutaj też tu się po prostu łączy z tym brakiem świadomości i odkładaniem cyberbezpieczeństwa do takich mniej istotnych tematów?
Adam Milczarek
Trochę tak. No ten audyt pełni taką funkcję zewnętrznego zapewnienia i weryfikacji tego w jaki sposób my jesteśmy przygotowani. Przychodzi zewnętrzny podmiot wykwalifikowany. Tam ustawa określa, jakim powinien mieć uprawnienia i on weryfikuje, czy my po pierwsze prawidłowo stworzyliśmy dokumentację, która pozwala nam zarządzać tym cyberbezpieczeństwem, a z drugiej strony toczymy prawidłowo, realizujemy te procedury i pokazuje ewentualne braki lub miejsca do doskonalenia. W sytuacji, w której my takich audytów nie przeprowadzamy albo przeprowadzamy je z opóźnieniem, to nie mamy takiej systematycznej ewaluacji, przez co też nie wiemy, gdzie mamy braki, na co należałoby położyć największy nacisk.
Bartłomiej Pograniczny
A jaka jest tutaj rola ministerstw, bo zaczął pan mówić o tym, że ci operatorzy zostali uznani za tych operatorów kluczowych. Czyli to nie jest tak, że automatycznie jakiś podmiot zajmuje się dostarczaniem wody i jest na pewno podmiotem kluczowym?
Adam Milczarek
Kiedyś wymagało to wydania decyzji administracyjnej na taki podmiot, że jest operatorem usług kluczowych i wskazania tam, które systemy są dla tej usługi kluczowej, ważnej, od których ta usługa zależy. Więc tutaj też rolą ministerstw było to, żeby identyfikowało te podmioty, Przeprowadzało te postępowania, a następnie wydawało tę decyzję. Od tego momentu liczyły się też terminy na to, żeby dany podmiot spełnił obowiązki, które są w tej ustawie przewidziane. Obecnie z uwagi na to, że doszło do nowelizację, zwiększyła się ta ilość podmiotów, dochodzi też do samo rejestracji. Podmioty same muszą określić, czy są tym podmiotem na podstawie tych wytycznych zamieszczonych w załączniku do ustawy.
Bartłomiej Pograniczny
Ale tu ktoś potem sprawdza, czy na pewno?
Adam Milczarek
Będzie weryfikacja, też będzie przymusowe wpisywanie.
Bartłomiej Pograniczny
Właśnie chodzi mi o to, że operatorzy mogą stwierdzić okej spełniamy warunki, to się samo zarejestrujemy, ale część stwierdzi nie spełniam warunków, a jednak spełniam albo wolę nie spełniać.
Adam Milczarek
To będzie weryfikowane. Miejmy nadzieję, będzie weryfikowane przez ministerstwo, bo na razie to jest dopiero w trakcie.
Bartłomiej Pograniczny
Jasne. To ponieważ zmieniały się te układy, więc najpierw przez do 23 lipca 2025 roku w sektorze energii takim ministerstwem nadzorującym CB Bezpieczeństwo było Ministerstwo Klimatu i Środowiska, a potem od 24 lipca 2025 roku minister energii, a z kolei kwestia zaopatrzenia w wodę pitną i dystrybucja, to minister infrastruktury. Jak te ministerstwa spełniały swoje obowiązki nadzorcze.
Adam Milczarek
W kontrolowanym okresie, ministerstwa nie w pełnym zakresie realizowały swoje obowiązki w zakresie nadzoru nad operatorami. Pomimo tego, że otrzymywali oni raporty z audytów przeprowadzanych przez podmioty zewnętrzne, które wskazywały na niedociągnięcia w zakresie zapewnienia tego cyberbezpieczeństwa i realizacji ustawowych obowiązków to nie wszczynali oni w każdym przypadku postępowań administracyjnych celem nałożenia kary. Które to postępowanie tak naprawdę mają na celu zdyscyplinowanie tych podmiotów do tego, żeby realizowały nałożone na nie obowiązki. W przypadkach też przeprowadzenia audytu, wspomniał pan o tych przekroczeniach i również te przekroczenia są obarczone tym, że powinna być nałożona kara. Ministerstwa też nie wszczynały tych postępowań w celu nałożenia kary za przekroczenie. Tutaj szacunkowa wartość jakby zbadanych przez nas przypadków pokazywała, że te kary mogłyby wynosić nawet 3,7 mln zł.
Bartłomiej Pograniczny
No to mówimy o poważnej kwocie. W przypadku tych podmiotów nieświadomych czy mających zbyt małe kadry. Mamy pewne argumenty, to się powinno zmieniać, ale jakie są argumenty po stronie tych ministerstw? Że nie robiły takich postępowań, nie wszczynały? No i pozwoliły na to, że nie zostały ściągnięte aż tak wysokie kary?
Adam Milczarek
Tutaj w szczególności były wskazywane problemy z zasobami kadrowymi.
Bartłomiej Pograniczny (rzecznik prasowy NIK)
Czyli tak samo trochę jak przy tamtych podmiotach? Myślałem, że to jest jakaś różnica.
Adam Milczarek
Ogólnie na świecie się wskazuje, że brakuje nam paru milionów specjalistów w zakresie cyberbezpieczeństwa. Tutaj nawet ministerstwo cyfryzacji podjęła jakieś kroki już na poziomie szkół średnich próbuje kształcić kadry, bo tych kadr jest naprawdę niewiele Bo to też nie jest tak, że każdy informatyk jest w stanie zajmować się cyberbezpieczeństwem. Właściwie to powinien być, i tak też ustawodawca przewidział jakaś wyodrębniona grupa osób, która się tym zajmuje i która zapewnia to cyberbezpieczeństwo w podmiotach.
Bartłomiej Pograniczny
Czyli jest dużo do zrobienia. Jednym z takich elementów, który padł już w innym odcinku podcastu pod kontrolą, które dotyczył cyberbezpieczeństwa dzieci, bezpieczeństwa dzieci w internecie. To hasło to Strategia cyberbezpieczeństwa RP. Co to za dokument? Jak on się przekłada właśnie na te działania państwa? Czy może sytuację już samego obywatela?
Adam Milczarek
Strategia cyberbezpieczeństwo na jako dokument strategiczny? No jest takim tworzone na dużym stopniu ogólności. Ono ogólnie zakłada cele i kierunki, w jakim chcemy zmierzać w zakresie tego cyberbezpieczeństwa jako państwo, jako instytucje, też w zakresie obywateli. Tutaj w trakcie naszych kontroli no doszło do uchwalenia nowej strategii. No z ponad rocznym opóźnieniem. My głównie badaliśmy strategię wcześniejszą 2019-24. No i tutaj mieliśmy sytuację, że ta strategia nie była nowelizowana. Ona, jak została uchwalona w 2019 roku, tak obowiązywała przez cały ten pięcioletni okres, co też przeczyło trochę temu, co ustawodawca wymagał od Ministerstwa Cyfryzacji jako podmiotu zarządzającego tą strategią, bo on wymagał dokonywania okresowych przeglądów. No tutaj mieliśmy po drodze pandemii, mieliśmy atak Rosji na Ukrainę, więc zmieniła się trochę sytuacja geopolityczna, zmieniły się trochę warunki i to też powinno jakby mieć odzwierciedlenie w tej strategii i w jej założeniach.
Bartłomiej Pograniczny
Mówi panu Ministerstwie Cyfryzacji minister miał też za zadanie wdrożyć dyrektywę NIS2. To jest taki kolejny dokument po już obowiązującej dyrektywie NIS1. Jak te dokumenty wpływają właśnie na sytuację cyberbezpieczeństwa?
Adam Milczarek
Tak jak pan wspomniał, Ministerstwo Cyfryzacji miało za zadanie przygotować implementację dyrektywy NIS2, która za wstępowała dyrektywę NIS1. Ta pierwsza dyrektywa obowiązywała od 2016 roku. No jej celem było określenie ram i sposobu w jaki zapewnić cyberbezpieczeństwo. Jakby w całej Unii. Dyrektywa NIS2 miała na celu pójście krok dalej, bo stwierdzono, że pewne działania, implementacje w różnych krajach przebiegały niejednorodnie i w związku z tym wystąpiły pewne różnice w zabezpieczeniu poszczególnych sektorów, różnych państwach. Żeby tu ujednolicić w 2022 roku została uchwalona dyrektywa NIS2. Na Państwo polskie został nałożony obowiązek wdrożenia tej dyrektywy do 17 października 2024 roku. No tutaj doszło do takiego sporego przedłużenia. No bo ta ustawa ostatecznie weszła na początku tego roku. No i w związku z tym tak też stwierdziliśmy, że w ramach naszej kontroli, że to opóźnienie mogło wpływać na to zapewnienie cyberbezpieczeństwa w całej Unii. No bo Polska jako kraj, który wdrożył, to później nie była na tym samym poziomie, nie miała tak samych regulacji, co inne państwo europejskie.
Bartłomiej Pograniczny
Operatorzy, których państwo zbadali, nie tworzyli albo nie utrzymywali aktualnej dokumentacji niezbędnej do zapewnienia cyberbezpieczeństwa. Ta dokumentacja albo nie spełniała określonych norm, a nawet jeśli były to dokumenty zgodne z normami, to określone w niej procedury nie były prawidłowo realizowane. W związku z tym w zasadzie ta skuteczność zabezpieczeń była znikoma. Co tu się wydarzyło?
Adam Milczarek
Zabrakło takiego podejścia, że ta dokumentacja, którą stworzyli, powinna stanowić podstawę i instrukcję tego, jak zapewnić to cyberbezpieczeństwo w organizacji. To nie jest tylko taka dokumentacja która powinna zostać stworzona i włożona na półkę. No, ale ona powinna razem z tą instytucją żyć i odpowiadać też, na jakie zmiany się w niej pojawiają. Często właśnie też jest tak, że dokumentacja jest stworzona, bo jest wymóg stworzenia dokumentacji, tworzy się w sposób idealny. Żeby w razie sprawdzenia było, że mamy wszystko zrobione a praktyka jest inna. Nie wszystkie rozwiązania się przyjęły. No i tu mieliśmy sytuację np. właśnie wspomniana obsługa incydentów. Czyli rozliczania tego, kto powinien co zrobić, bo to też tak rozpisuje w szczegółach, kto jest za co odpowiedzialny, bo też wymagana ta rozliczalność, jeżeli coś nie zostało zrealizowane, to kto ewentualnie za to odpowiadał. Ale mieliśmy też takie bardzo prozaiczne nieprawidłowości, np. związane z przetrzymywaniem materiałów łatwopalnych serwerowni. No, serwerownia ogólnie jest miejscem do ciepłym, no i w przypadku zaprószenia ognia, no to takie materiały łatwopalne powodowałyby, że ten ogień by się szybciej rozprzestrzenił.
Bartłomiej Pograniczny
Czyli niektóre rzeczy bardzo prosto dałoby się wyeliminować?
Adam Milczarek
Mieliśmy sytuacje, w których operatorzy posiadali oprogramowanie, które nie było wspierane od 2015 roku, 2020 roku. I to na tym oprogramowaniu funkcjonowało usługa kluczowa. Posiadali też oprogramowania, które wiedzieliśmy, że są nieaktualne i które posiadają bardzo wysokie oceny w zakresie podatności. Czyli są takie oceny, które wskazują, że już jest opracowany sposób ataku, np. umożliwia zdalne wykonanie kodu, czyli bez udziału osoby trzeciej haker może działając w infrastrukturze, wykonać dany kod.
Bartłomiej Pograniczny
Bo zna jakieś luki w tym systemie?
Adam Milczarek
Zna luki. Te luki są publikowane jakby publicznie, bo też dla podmiotów czy dla nas jest ważne, żebyśmy wiedzieli, gdzie ta luka jest. Zazwyczaj za tą luką od razu idzie aktualizacja. No ale kiedy nie aktualizujemy systematycznie oprogramowania to może zdarzyć się sytuacja, w której posiadamy luki pozwalające właśnie na to zdalne wykonanie kodu i następnie ten atak hakerski.
Bartłomiej Pograniczny
Mam nadzieję, że te zmiany w prawie, o których pan mówił, przyniosły już pewną realną poprawę bezpieczeństwa. No bo trochę w obliczu państwa kontroli zasadne wydaje się pytanie, czy my jesteśmy gotowi na te cyberataki? Czy ci dawni operatorzy, dzisiaj nazywani inaczej, są zabezpieczeni przed hakerami?
Adam Milczarek
Trudno jest powiedzieć o takim stuprocentowym zabezpieczeniu. To nigdy w cyberbezpieczeństwie nie występuje. Mówi się o możliwie najwyższym poziomie cyberbezpieczeństwa, czyli robimy wszystko, co możliwe, żeby zabezpieczyć te rzeczy, które są dla nas ważne. Dla każdej instytucji to może być różny poziom, bo też różnym poziomem danych usług, one operują. No te podmioty, które zbadaliśmy, stwierdziliśmy, że one nie zrealizowały tych wszystkich obowiązków i też nie osiągnęły tego możliwie najwyższego w swoim przypadku poziomu cyberbezpieczeństwa. Tak jak wskazywałem, znane podatności, luki w oprogramowaniu czy takie nawet proste błędy w postaci zwiększonego dostępu do infrastruktury czy np. do serwerowni, braku zabezpieczenia. No mogą skutkować tym, że te podmioty w przypadku, gdyby ktoś chciał przeprowadzić na nieskuteczne atak, mogło być bardziej podatne, niż to mogło wyglądać gdyby spełnili wszystkie swoje obowiązki.
Bartłomiej Pograniczny
To powiedzmy o tym, co konkretnie trzeba zrobić. Każda kontrola kończy się wnioskami rekomendacjami, skierowali je państwo m. in. do ministerstwa.
Adam Milczarek
Tak do ministerstwa skierowaliśmy wnioski pokontrolne do tych 2 ministerstw, które pan wskazał, czy Ministerstwa Energii, Ministerstwa Infrastruktury, skierowaliśmy wnioski jako do organu Właściwy do spraw cyberbezpieczeństwa, żeby zapewniły nadzór nad tymi podmiotami i przeprowadzanie właśnie kontroli, nakładanie kar pieniężnych w stosunku do i podmiotów, które już w stosunku do których mają już informacje, jakie nieprawidłowości u nich występują. O to, żeby niezwłocznie podjęli postępowania administracyjne celem nałożenia kar pieniężnych, tak, tutaj trzeba podkreślić, że te kary pieniężne to nie jest tylko kara. Te pieniądze pozyskiwane z tych kar zasilają Fundusz Cyberbezpieczeństwa. No, który też ma powodować podniesienie poziomu cyberbezpieczeństwa.
Bartłomiej Pograniczny
Skierowali też państwo swoje rekomendacje do tych operatorów.
Bartłomiej Pograniczny
Do operatorów usług kluczowych wystąpiliśmy o dostosowanie do wymagań określonych w ustawie o KSC funkcjonujących u nich systemów zarządzenia bezpieczeństwa i informacji w tych procesach, które dotyczą usługi kluczowej, jak również o zapewnienie tej kompletnej dokumentacji, która będzie spełniała te wymogi co do norm i co do ustawy.
Bartłomiej Pograniczny
Jak ministerstwa i ci operatorzy odnoszą się do państwa wniosków.
Bartłomiej Pograniczny (rzecznik prasowy NIK)
W informacjach, które zostały nam przesłane w wyniku skierowania do nich wystąpień pokontrolnych.
Poinformowano nas, że przystępują szczególnie ministerstwa, że przystępują do realizacji naszych wniosków, czyli będą wszczynać postępowania. W niektórych przypadkach wszczęli już, jak również zwiększą ten aktywny nadzór. No to w związku z tym, że też nasze wystąpienia i kontrola zbiegła się z tą nowelizacją. Tutaj też to powoduje pewne wydłużenie tego procesu. No bo nie wszystkie rzeczy. Teraz nie wszystkie wnioski mogą zostać zrealizowana od razu. Operatorzy usług kluczowych w większości przypadków są w realizacji. To też nie jest proces prosty. Wiemy od niektórych instytucji. Zleciły już takie poważne, bardzo szerokie audyty mające na celu zweryfikowanie jakby całej instytucji pod kątem cyberbezpieczeństwa. No i posiłkując się naszymi wynikami, będą przemodelowywać ten swój sposób zapewniania go.
Bartłomiej Pograniczny
Czyli jest szansa na realną zmianę, ale oczywiście będziemy monitorować realizację tych wniosków. Bardzo panu dziękuję. Pan Adam Milczarek, koordynator kontroli z zachodniopomorskiej delegatury NIK w Szczecinie. To był podkast pod kontrolą. Bartłomiej Pograniczny. Bardzo dziękuję. I do zobaczenia.