• Infrastruktura cyfrowa stała się elementem krytycznym dla działania państwa - bez sieci transmisji danych, data center i systemów bezpieczeństwa IT problemy mogą szybko przenieść się na energetykę, transport, bankowość, ochronę zdrowia czy usługi publiczne.
• Państwo musi budować odporność, a nie tylko reagować na incydenty - kluczowe są redundancja, możliwość odtworzenia usług, kontrola nad najważniejszą infrastrukturą i kompetencje specjalistów, mówił Grzegorz Wawryniuk, dyrektor Biura Produktu i Marketingu firmy EXATEL podczas konferencji CYBERSEC EXPO&FORUM.
• Suwerenność cyfrowa nie oznacza budowania wszystkiego samodzielnie, ale kontrolę nad kluczową infrastrukturą, współpracę operatorów, administracji i zespołów reagowania oraz zdolność uniknięcia efektu domina po awarii lub cyberataku.

Jeszcze niedawno o infrastrukturze krytycznej mówiono przede wszystkim w kontekście energetyki, transportu, paliw, zaopatrzenia w wodę czy ochrony zdrowia. Dziś ta lista bez infrastruktury cyfrowej jest niepełna. Co więcej, cyfrowa warstwa państwa staje się elementem, który spina wszystkie pozostałe sektory.

Infrastruktura cyfrowa stała się infrastrukturą krytyczną, spoiwem dla innych sektorów gospodarki, takich jak transport, bankowość, energetyka - mówi Grzegorz Wawryniuk.

Jak podkreśla, nie chodzi wyłącznie o klasyczne systemy IT. Równie ważne są sieci transmisji danych, usługi data center, cyberbezpieczeństwo, chmura, systemy komunikacji i zależności, które powstały między nimi a podstawowymi usługami publicznymi.

- Jeśli przestaje działać sieć transmisji danych albo usługi data center, albo nie działają systemy bezpieczeństwa IT, automatycznie ma to przełożenie na infrastrukturę krytyczną. To cały ekosystem, który wspiera funkcjonowanie państwa - wskazuje przedstawiciel EXATEL.

To zmienia sposób myślenia o bezpieczeństwie. Cyberatak nie jest już sprawą wyłącznie działu IT, a awaria centrum danych - problemem jednego dostawcy.

W gospodarce, w której usługi publiczne, biznes i administracja działają na wspólnej cyfrowej warstwie, przerwanie transmisji danych albo niedostępność chmury może szybko przełożyć się na funkcjonowanie całych sektorów.

- Jeszcze jakiś czas temu awaria data center była elementem biznesowym głównie dostawcy takich usług. Dziś, przy migracji danych i usług do chmury, nie ma znaczenia, czy mówimy o chmurze prywatnej, czy publicznej. Ona i tak wymaga transmisji danych, samych danych i bezpieczeństwa IT - mówi Wawryniuk.

Jak podkreśla, wystarczy awaria jednego z tych elementów, by uruchomić efekt domina.

Przestają działać usługi dla społeczeństwa: ochrona zdrowia, usługi cyfrowe, komunikacja. Całe miasta mogą przestać działać przez awarię jednego z tych ekosystemów - dodaje.

Dlatego odporność państwa trzeba dziś rozumieć inaczej niż jeszcze kilka lat temu. Nie chodzi wyłącznie o to, by odeprzeć każdy atak. To nierealne. Kluczowe jest utrzymanie działania mimo incydentu, szybkie odtwarzanie usług i ograniczanie skutków zakłóceń.

- Przeszliśmy od postrzegania zarządzania incydentem bezpieczeństwa systemów IT do budowania odporności instytucji - mówi Grzegorz Wawryniuk. - Nie jesteśmy w stanie spowodować, aby incydentów nie było. Nie jesteśmy w stanie się przed tym w pełni obronić. Powinniśmy natomiast zbudować wszystkie niezbędne elementy, aby móc być odpornym na zagrożenia, zarówno fizyczne, jak i cyfrowe, i jak najszybciej przywrócić ciągłość działania - podkreśla nasz rozmówca.

W tym kontekście wraca pytanie o suwerenność cyfrową. To jedno z najczęściej używanych haseł w debacie o cyberbezpieczeństwie, ale też jedno z najłatwiej upraszczanych. Według Wawryniuka nie oznacza ono, że państwo musi samo produkować każdą technologię i mieć pełną kontrolę nad kodem źródłowym.

To nie znaczy, że państwo powinno budować wszystkie technologie i mieć nad nimi kontrolę, mieć kod do technologii i oprogramowania. Przede wszystkim państwo powinno mieć kontrolę nad infrastrukturą krytyczną, którą są sieci transmisji danych i data center - mówi.

W praktyce odporność cyfrowa oznacza zdolność do utrzymania kluczowych usług mimo awarii lub ataku. To kontrola nad najbardziej wrażliwymi elementami infrastruktury, możliwość szybkiego odtworzenia zasobów i kompetencje ludzi, którzy potrafią te rozwiązania projektować, utrzymywać i zabezpieczać.

- Najważniejsze elementy infrastruktury powinny mieć redundancję, aby zachować ciągłość działania. To jest odporność cyfrowa, którą jako państwo i społeczeństwo powinniśmy budować - podkreśla Wawryniuk.

W najbliższych latach gra będzie się toczyć nie tylko o technologię, ale o zdolność państwa do jej samodzielnego utrzymania. Niezależna infrastruktura komunikacyjna, kontrola nad kluczowymi zasobami i możliwość szybkiego odtworzenia usług po awarii to jedno. Drugim warunkiem są ludzie - specjaliści, którzy będą umieli tym systemem zarządzać w normalnych warunkach i w kryzysie.

Technologie są, ale potrzebne są kompetencje i specjaliści. Uważam, że nasze państwo ma zasoby do tego, aby te kompetencje budować - mówi przedstawiciel EXATEL.

Ostatnim elementem jest współpraca. Nie ta wpisana w strategie i prezentacje, ale codzienna, operacyjna: między telekomami, energetyką, dostawcami centrów danych, firmami technologicznymi, administracją i zespołami reagowania na incydenty. Bez tego odporność państwa pozostanie hasłem, a nie zdolnością działania w kryzysie.

- Taka ogólnopolska współpraca będzie powodowała, że państwo będzie bardziej odporne na zagrożenia - ocenia Wawryniuk.

Cyberbezpieczeństwo nie może zaczynać się w momencie ataku. Incydenty będą się zdarzać. Prawdziwy test polega na tym, czy państwo, miasta, operatorzy i firmy potrafią utrzymać usługi, odtworzyć systemy i wyciągnąć wnioski, zanim kolejny kryzys uderzy mocniej.

- Musimy budować odporność, a nie zarządzać pojedynczymi kryzysami. Incydenty będą się pojawiały, ale dzięki odporności będziemy potrafili na nie reagować, doskonalić się i eliminować tego typu zdarzenia w przyszłości - podsumowuje Grzegorz Wawryniuk.