„Dobrzy eksperci i ich wiedza kosztują” – konferencja FKP w Kijowie o cyberbezpieczeństwie

„Dobrzy eksperci i ich wiedza kosztują” – konferencja FKP w Kijowie o cyberbezpieczeństwie

27 września 2016 r. w Hotelu Radisson Blue w Kijowie odbyła się międzynarodowa konferencja pod hasłem „Cybersecuring Ukrainian Energy Infrastructure” zorganizowana przez Fundację Pułaskiego i Fundację Centrum Badań Polska-Ukraina. Konferencja była zwieńczeniem projektu badawczego Fundacji Pułaskiego w ramach grantu Funduszu Wyszegradzkiego, który miał na celu prześledzenie najistotniejszych technologicznych i prawnych problemów cyberbezpieczeństwa Ukrainy. Projekt zmierzał również do opracowania wskazówek dotyczących dobrych praktyk oraz wzmocnienia współpracy międzynarodowej w tym obszarze.

Konferencja zgromadziła wielu wybitnych ekspertów w sferze bezpieczeństwa energetycznego i zabezpieczenia informacji z Polski, Ukrainy, Czech i Węgier. Dyskusje skupiały się wokół zagrożeń bezpieczeństwa w sferze informacji i infrastruktury energetycznej na jakie była narażona Ukraina w ciągu ostatnich kilku lat. Specjaliści z ISACA Ukraine, ISSP Group, Kijowskiego Politechnicznego Instytutu, Służby Bezpieczeństwa Ukrainy, Instytutu Problemów Energetycznych Narodowej Akademii Nauk, Dixi Group i Cyber Lab razem z zagranicznymi ekspertami wymieniali swoje doświadczenia w tej sferze. Zsolt Illesi Dyrektor Działu IT Security Centralnego Banku Irlandii podkreślił znaczenie takich czynników jak niedoinwestowanie gałęzi odpowiedzialnych za cyberbezpieczeństwo w instytucjach publicznych. „Dobrzy eksperci i ich wiedza kosztują i dlatego sektor publiczny rzadko kiedy może sobie pozwolić na naprawdę niezawodne zabezpieczenia” – zauważył ekspert. „Do tego dochodzą problemy takie jak brak jednoznacznych legislacyjnych wymogów posiadania specjalistów w tej sferze oraz brak jednolitych procedur i standardów dotyczących reagowania na zdarzenia” – dodał.

Oleksii Yankovsky z USACA Ukraine zwrócił uwagę na fakt, że istnieją standardy gotowe do zastosowania oraz, że jest to problem nie tylko Ukrainy, ale i innych państw polega na nadmiernej polityzacji wielu sfer, a przez to wymyślaniu na siłę własnych rozwiązań zamiast kopiowania już istniejących. Jako przykład podał w tym kontekście NERC – North-American Electric Reliability Corporation. Jest to międzynarodowa organizacja pozarządowa, która od lat wypracowuje modele rozwiązań możliwych do zastosowania przy tworzeniu systemów analizy ryzyka i reagowania na zdarzenia bezpieczeństwa w zakresie zarówno energetycznej jak i infrastruktury informatycznej.

Ponieważ infrastruktura krytyczna posiada skomputeryzowane centrum sterowania, jest szczególnie zagrożona na ataki i dlatego branża cyberbezpieczeństwa poświęca dużą uwagę rozwiązaniom w tym zakresie, poza bezpieczeństwem danych zarówno rządowych, jak i banków i sektora finansowego.

Wrażliwość na ataki powoduje, że sfera IT jest coraz częściej sferą wojny hybrydowej. Dużo miejsca poświęcił tym zagadnieniom profesor Oleksii Baranovskiy z Kijowskiego Politechnicznego Instytutu.

Pod koniec grudnia 2015 r. na Ukrainie odnotowano nagłe zaciemnienie i wyłączenie energii elektrycznej w wielu regionach, co miało wpływ na codzienne życie mieszkańców i ich bezpieczeństwo. Za blackout odpowiedzialny był wirus BlackEnergy, który został wykryty w systemach operacyjnych przedsiębiorstw z branży sektora energetycznego. W zażegnaniu incydentu ad hoc pomogły siły i środki ze Stanów Zjednoczonych. Brakuje jednak wsparcia rodzimego w tym sektorze. O potrzebie większej i zinstytucjonalizowanej współpracy w sektorze cyberbezpieczeństwa wspomnieli też przedstawiciele SBU, podkreślając, że jest to z poziomu instytucji rządowej trudne, ale konieczne.

Jako nowa sfera starć pomiędzy państwami cyberprzestrzeń stanowi też wyzwanie dla prawa międzynarodowego. Cyberwojna w świetle prawa międzynarodowego tworzy nowe trudności w interpretacji działań i przepisów. Jak podkreśliła dr Patrycja Grzebyk z Uniwersytetu Warszawskiego, wojna w cyberprzestrzenii jest traktowana jako kolejne pole działań zbrojnych, do którego należy stosować obowiązujące przepisy międzynarodowego prawa konfliktów zbrojnych czy prawa o użyciu siły. Umyślne działania państwa skierowane przeciwko infrastrukturze lub obywatelom innego państwa w cyberprzestrzeni można określić jako naruszenia prawa międzynarodowego (w zależności od okoliczności jako naruszenie suwerenności, czy wręcz agresję). Kwestie te zostały poruszone przez specjalnie powołany przez NATO Międzynarodowy Komitet Ekspertów, który opracował tzw. podręcznik talliński. Dr Patrycja Grzebyk podkreśliła, że choć zgodnie z przepisami przyjętymi przez Komisję Prawa Międzynarodowego w 2001 roku, każde działanie niezgodne z prawem wiąże się z odpowiedzialnością, to jednak w przypadku cyberdziałań pojawia się problem braku wystarczających dowodów na bezpośredni sprawczy udział władz państwowych i dlatego też wspomniana odpowiedzialność nie może być wyegzekwowana ze względu na brak możliwości przypisania cyberdziałań państwu.

Podczas dyskusji sporo miejsca poświęcono reformie sektora energetycznego Ukrainy i wyzwaniom związanym z ustabilizowaniem dostaw oraz zabezpieczeniem infrastruktury. Roman Nitsovych z Dixi Group oraz Volodymyr Mokhor i profesor Oleksii Korneiko z Instytutu Problemów Energetycznych, a także Paweł Gołębiewski z Fundacji im. Kazimierza Pułaskiego zgodzili się, że korupcja oraz brak przejrzystej wizji reformy sektora energetycznego to do tej pory nierozwiązana kwestia. Brak jest do tej pory powszechnego pomysłu na skuteczną i uczciwą reformę sektora gazu i rynku energii elektrycznej. Profesor Korneiko poinformował przy okazji, że strategia w tej kwestii jest na ukończeniu i będzie niedługo zaprezentowana publicznie, ale to nie oznacza końca prac nad jej udoskonalaniem.

Konferencja pokazała też, że istotna jest rola wolontariuszy na polu cyberbezpieczeństwa. Michał Grzybowski z Fundacji Bezpieczna Cyberprzestrzeń przedstawił szereg przedsięwzięć, w które zaangażowane są osoby pracujące w sektorze prywatnym, a które w formie partnerstwa publiczno-prywatnego mogą być wykorzystane jako produkt możliwy do zaadoptowania przez instytucje państwowe. Eugene Dokukin, wolontariusz informatyk przedstawił osiągnięcia w zablokowaniu działalności witryn należących do DNR i LNR oraz w zakłóceniu funkcjonowania prowadzonych przez nie interesów. Obecny na konferencji profesor Sergii Loboyko z Centrum Innowacji Akademii Mohylańskiej podkreślił wysoki poziom niedostatku kompetencji i finansowania oraz jak bardzo ważne jest aby wykorzystywać siły i możliwości tworzone przez wolontariuszy.

Cały projekt podsumowany zostanie w raporcie, który ukaże się już wkrótce.

Oprac. Agnieszka Piasecka

Partnerzy:

vf_logo_color_72