Jakie zagrożenia dla energetyki płyną z cyberprzestrzeni? Jak z nimi walczyć? Opowiada Joanna Świątkowska z Instytutu Kościuszki, specjalistka do spraw cyberprzestrzeni.
– Najbardziej newralgicznym elementem z punktu widzenia cyberbezpieczeństwa przedsiębiorstw energetycznych są systemy sterowania przemysłowego, które odpowiadają za funkcjonowanie fizycznych elementów (np. pomp). Zakłócenie ich działania może być spowodowane przez ataki dokonywane z sieci i może mieć tragiczne skutki: zniszczenia fizyczne zagrażające nawet życiu ludzkiemu, środowisku naturalnemu, nie wspominając o zakłóceniach w dostarczaniu usług np. w dostaw prądu – wylicza. – Oczywiście cyberataki na przedsiębiorstwa z sektora energetycznego mogą mieć też mniej dramatyczne konsekwencje: takie jak utrata ważnych informacji biznesowych, technologicznych przekładające się na straty finansowe czy pogorszenie konkurencyjności danego przedsiębiorstwa. Współcześnie większość ataków jest dokonywanych przede wszystkim w celach szpiegowskich przy czym należy pamiętać o jednym elemencie – ocenia Światkowska. Według niej, pomimo że w większości działania te są realizowane z pobudek finansowych, dają możliwość uzyskiwania wiedzy i dostępu do systemu, który w przyszłości może być celem ataku. Są także inne metody „przygotowujące grunt” pod potencjalne ataki mające poważniejsze konsekwencje.
Przedstawicielka Instytutu Kościuszki wyróżnia także cztery grupy potencjalnych agresorów: pierwsza to podmioty państwowe lub wspierane przez państwa – mające największe możliwości i potencjał działania, działające dla osiągnięcia celów politycznych. Druga to organizacje przestępcze – wykradające informacje i działające głównie dla zysków finansowych. Trzecia, czyli terroryści – mogliby dokonać zniszczeń dla osiągnięcia celu politycznego. – Przy czym do tej pory nie mieliśmy jeszcze przykładu udanego aktu cyberterroryzmu – podkreśla specjalistka. Czwartą grupą są sfrustrowani pracownicy.
Jak Polska reaguje na zagrożenia dla energetyki w sieci? Według Joanny Świątkowskiej z punktu widzenia państwa najważniejsze są te obiekty, urządzenia, instalacje usługi związane z energetyką, które zaliczane są do infrastruktury krytycznej, czyli mającej kluczowe znaczenie dla bezpieczeństwa państwa i obywateli. – Proces reagowania na incydenty w tym obszarze powinien być wspierany przez działania CERT.GOV.PL – ocenia Świątkowska. – Należy jednak pamiętać, że poza reagowaniem na zagrożenia kluczowe jest zapewnianie bezpieczeństwa i minimalizowanie możliwości zaistnienia incydentu. To na właścicielach i operatorach poszczególnych infrastruktur ciąży obowiązek wdrażania właściwych środków bezpieczeństwa. Państwo wspiera te wysiłki jednak w sposób „miękki”. Na przykład w 2013 roku Rządowe Centrum Bezpieczeństwa przygotowało Narodowy Program Ochrony Infrastruktury Krytycznej – załącznik drugi do tego dokumentu zawiera wiele cennych rozwiązań wzmacniających cyberbezpieczeństwo. Ma on jednak charakter wyłącznie rekomendacyjny.
– Instytut Kościuszki wraz z partnerami przygotowuje właśnie raport poświęcony cyberbezpieczeństwu infrastruktury krytycznej, w której rekomendujemy dodatkowe rozwiązania i kierunki, które powinny zostać wdrożone zarówno na poziomie państwa jak i poszczególnych przedsiębiorstw – informuje rozmówczyni BiznesAlert.pl. – W końcu, należy pamiętać o tych przedsiębiorstwach energetycznych, które nie znalazły się w wykazie infrastruktury krytycznej, a które także powinny dbać o bezpieczeństwo. Tutaj kluczowe znaczenie ma świadomość właścicieli dotycząca tego jakie konsekwencje (także biznesowe) może nieść za sobą niewłaściwe zabezpieczanie i reagowanie na incydenty w sieci.
Światkowska mówi także o trendach światowych. Jej zdaniem coraz więcej państw i organizacji zwraca uwagę na bezpieczeństwo teleinformatyczne głównie infrastruktur krytycznych (w tym sektora energetycznego). – Dla przykładu można wskazać niedawno ogłoszony przez Prezydenta Baracka Obamę Executive Order proponujący wiele działań związanych ze zwiększaniem cyberbezpieczeństwa, czy projekt Dyrektywy Parlamentu Europejskiego i Rady w sprawie środków mających na celu zapewnienie wspólnego wysokiego poziomu bezpieczeństwa sieci i informacji w obrębie UE regulujący także pewne działania związane z cyberbezpieczenstwem. NIe sposób krótko wskazać ich najważniejszych elementów, jednak inicjatywy te pokazują ogólny trend wzmacniania działań związanych z cyberbezpieczeństwem – ocenia w rozmowie z naszym portalem.
– Instytut Kościuszki od kilku lat realizuje projekt Cel: Cyberbezpieczeństwo w ramach którego kompleksowo podejmujemy problemy związane z szeroko rozumianym cyberbezpieczeństwem. Realizujemy projekty zarówno krajowe jak i międzynarodowe – podkreśla specjalistka. – Aktualnie kończymy prace nad raportem pt. Bezpieczeństwo infrastruktury krytycznej – wymiar teleinformatyczny. Partnerem Głównym Raportu i współautorem jest firma EY. Partnerami są także firma MATIC, Kancelaria Prawnicza – Wierciński Kwieciński Baehr. Ponadto poszczególne rozdziały Raportu przygotowane zostały przez ekspertów z Politechniki Krakowskiej, Wojskowej Akademii Technicznej, Fundacji Bezpieczna Cyberprzestrzeń. Zaproszenie Instytutu Kościuszki do wzięcia udziału w pracach nad przygotowaniem Raportu przyjęło Rządowe Centrum Bezpieczeństwa oraz Biuro Bezpieczeństwa Narodowego.