• Wojna w Ukrainie, aktywność grup APT czy coraz większa skala ataków ransomware sprawiają, że europejski biznes - w tym polskie firmy - znalazł się w centrum globalnej gry o cyberbezpieczeństwo.
• W rozmowie z naszym serwisem Hans de Vries, dyrektor ds. cyberbezpieczeństwa i operacji w ENISA wyjaśnia, które sektory są dziś najbardziej narażone, jak unijna Dyrektywa NIS2 realnie wpływa na sektor MŚP oraz dlaczego „bezpieczeństwo tylko na papierze” przestało mieć jakikolwiek sens.
• O cyberbezpieczeństwie, jako niezbędnym elemencie budowy pozycji Polski, troski o gospodarkę państwa i sektorowym podejściu do cyfrowych wymogów rozmawialiśmy w ramach konferencji CYBERSEC EXPO & FORUM, organizowanej po raz pierwszy przez Grupę PTWP w dniach 15-16 czerwca br.

Nikola Bochyńska, WNP: Jakie są obecnie najpoważniejsze cyberzagrożenia dla europejskich firm, zwłaszcza w Europie Środkowo‑Wschodniej z pana perspektywy pracy w ENISA?

- Unia Europejska jest konsekwentnie atakowana od początku rosyjskiej inwazji na Ukrainę przez różne - choć częściowo tożsame pod kątem działań - grupy cyberprzestępcze. Te grupy wykorzystują narzędzia oraz techniki, które już wcześniej stosowały i które dobrze opanowały.

Jednocześnie grupy te potrafią stosować nowe modele ataków, wykorzystywać podatności, a także współpracować z podmiotami o podobnym profilu przy projektowaniu nowych kampanii. Tak szeroki wachlarz dostępnych im możliwości sprawia, że ataki stają się coraz bardziej złożone, a bezpieczeństwo i odporność cyfrowej infrastruktury UE są coraz poważniej zagrożone. 80 proc. cyberincydentów jest motywowanych ideologicznie, 13 proc. finansowo, natomiast pozostałe 7 proc. to cyberszpiegostwo.

Ataki DDoS (atak typu rozproszona odmowa usługi - przyp. red.) są dominującą kategorią incydentów, odpowiadając za 77 proc. zgłoszonych przypadków, choć ich wpływ jest zwykle ograniczony. Mogą jednak celować w strony internetowe w całej UE, powodując zakłócenia dostępności usług. DDoS-y tworzą "szum".

Ataków typu ransomware jest mniej, ale pozostają jednymi z najbardziej dotkliwych zagrożeń w UE, prowadząc do naruszeń poufności oraz uniemożliwiając dostęp do zasobów organizacji.

Grupy powiązane z państwami systematycznie nasilają swoją działalność wymierzoną w organizacje unijne, prowadząc w interesie państw także działania cyberszpiegowskie wobec administracji publicznej. Natomiast odbiorcy w UE, w tym obywatele, mierzyli się z działaniami w obszarze FIMI (foreign information manipulation and interference - obca ingerencja i manipulacja informacjami - przyp. red.). 

Hans de Vries, Chief Cybersecurity and Operations Officer w ENISA (pierwszy z prawej) w czasie konferencji ESET World w Berlinie. Fot. Nikola Bochyńska / PTWP AI zmienia tradycyjne paradygmaty bezpieczeństwa

Jakie w tym kontekście znaczenie ma rozwój sztucznej inteligencji?

- Sztuczna inteligencja odgrywa rosnącą rolę w przeprowadzaniu cyberataków, bo jest wykorzystywana jako narzędzie do zwiększania zdolności w prowadzeniu złośliwej działalności; staje się też nowym punktem ekspozycji do ataków.

Wraz z najnowszymi osiągnięciami w obszarze możliwości modeli AI (frontier AI, najbardziej zaawansowane, wielozadaniowe), bezpieczeństwo publiczne staje się realnym wyzwaniem. Modele te podważają tradycyjne paradygmaty bezpieczeństwa. Dlaczego? Ponieważ dysponują szczególną zdolnością do wykrywania podatności typu zero‑day. Z jednej strony jest to zjawisko pozytywne, lecz z drugiej oznacza, że umożliwiają one znajdowanie nowych sposobów wykorzystania luk w systemach IT znacznie szybciej. To stanowi istotny powód do niepokoju.

To wyzwanie silnie związane z upływem czasu, dlatego kluczowe znaczenie ma wdrażanie najlepszych praktyk w zakresie cyberbezpieczeństwa, aby zapewnić, że modele te nie będą nadużywane ani manipulowane.

Mamy to na uwadze, dlatego ENISA obecnie prowadzi konsultacje z władzami krajowymi, Komisją Europejską, a także organizacjami tworzącymi i wykorzystującymi te modele. Chcemy lepiej zrozumieć obecne i przyszłe wyzwania. W związku z nową falą potężnych modeli frontier AI, które wchodzą na rynek jako ENISA aktywnie włączamy się w dyskusje dotyczące dostępu do tych technologii oraz związanych z nimi potencjalnych ryzyk.

Równolegle opracowujemy rekomendacje, które mają wyznaczyć jasny kierunek działań dla organizacji w obszarach koordynacji na poziomie europejskim oraz egzekwowania przepisów na poziomie krajowym. 

Te polskie sektory są pod ostrzałem cyberprzestępców

Na ile polskie firmy są przygotowane - w porównaniu z innymi rynkami UE - pod kątem cyberodporności i realnego reagowania na wspomniane zagrożenia i incydenty?

- Raport "ENISA Threat Landscape" (raport ENISA dotyczący krajobrazu zagrożeń - przyp. red.) przedstawia kluczowe trendy, analizę sektorów oraz różne typy zidentyfikowanych zagrożeń i podatności. Największa liczba zarejestrowanych incydentów dotknęła sektor administracji publicznej we Francji (27 proc.), Włoszech (26,3 proc.) i Niemczech (16,2 proc.), a następnie w Hiszpanii (15,3 proc.) i właśnie w Polsce (15,1 proc.).

Co interesujące, sektor produkcyjny - w szczególności podmioty związane z obronnością oraz branżą motoryzacyjną - był szczególnie często celem wielu działań cyberprzestępczych. Ataki w tym obszarze były najczęstsze w Niemczech i Polsce. Z kolei działania związane z haktywizmem w UE były w większości wymierzone w organizacje we Francji, we Włoszech, w Polsce, w Niemczech i na Litwie. Szczególnie często atakowany przez haktywistów był sektor transportu w Polsce, Niemczech i we Włoszech, przewaga ataków dotyczyła podmiotów z sektora transportu lotniczego i kolejowego.

W całej UE, jeśli spojrzymy na pewne zależności pod kątem "doboru celów ataków", to są to wspólne, sektorowe priorytety, ale i cyberprzestępcy biorą pod uwagę specyficzne dla poszczególnych krajów niuanse. Jednak administracja publiczna, finanse, transport oraz infrastruktura cyfrowa pozostają głównymi celami we wszystkich państwach członkowskich UE. Atakowanie sektorów produkcyjnego i energetycznego jest szczególnie widoczne w Polsce, Czechach i Rumunii – trzech krajach intensywnie zaangażowanych we wsparcie łańcuchów dostaw dla Ukrainy. Dodatkowo, polski sektor energetyczny wydaje się, że cieszy się szczególnym zainteresowaniem określonych grup haktywistycznych, które pokazały nie tylko zamiary, ale i zdolności do atakowania systemów OT. 

Regulacje, których biznes nie może pominąć

Porozmawiajmy trochę o regulacjach, ENISA odgrywa kluczową rolę w kształtowaniu polityki cyberbezpieczeństwa w UE. Na które nadchodzące zmiany legislacyjne lub inicjatywy biznes w Polsce powinien zwrócić szczególną uwagę?

- Obecnie liderzy biznesu we wszystkich państwach członkowskich UE powinni upewnić się, że ich działania są zgodne z takimi regulacjami jak: NIS2 (w Polsce chodzi przede wszystkim o nowelizację ustawy o krajowym systemie cyberbezpieczeństwa - przyp. red.), Akt w sprawie cyberodporności (Cyber Resilience Act) wraz z nadchodzącą pojedynczą platformą sprawozdawczą (Single Reporting Platform), która ma zostać udostępniona we wrześniu tego roku oraz - związanymi z nią - obowiązkami prawnymi. Powinni także zwracać uwagę na przepisy DORA oraz Aktu o sztucznej inteligencji (AI Act). W tym kontekście zdecydowanie powinni też śledzić najnowsze doniesienia o rozwoju modeli frontier AI (czyli modele sztucznej inteligencji z tzw. czołówki pod kątem rozwoju) oraz rekomendacje krajowych organów ds. cyberbezpieczeństwa i ENISA.

Celem regulacji w obszarze cyberbezpieczeństwa jest wsparcie liderów biznesu, by mogli poprawić poziom cyberbezpieczeństwa oraz przygotować się, by radzić sobie z ryzykiem i cyberincydentami. 

W takim razie jak ocenia Pan obecny wpływ dyrektywy NIS2 na sektor MŚP, który może nie dysponować zaawansowanymi zdolnościami w obszarze cyberbezpieczeństwa?

- Dyrektywa NIS2 jest częścią szerszych działań Unii Europejskiej na rzecz dalszego wzmocnienia poziomu cyberbezpieczeństwa w UE. Jej celem jest wzmocnienie krajowych zdolności w zakresie cyberbezpieczeństwa, poprawa współpracy w UE oraz wzmocnienie nadzoru nad sektorami krytycznymi. To moim zdaniem ważne narzędzie polityczne służące budowaniu odporności w krytycznych sektorach UE.

Jednym z głównych priorytetów ENISA jest pomaganie państwom członkowskim we wdrażaniu wskazanych polityk cyberbezpieczeństwa oraz promowanie spójności pomiędzy organami i regulatorami państw członkowskich. Jednocześnie chodzi o ujednolicanie różnych ram prawnych i różnych sektorów. ENISA nadal rekomenduje większą harmonizację i upraszczanie procesów we wdrażaniu NIS2 (w państwach członkowskich - przyp. red.).

Bariery, z którymi mierzą się organizacje, różnią się w zależności od ich wielkości, przy czym MŚP i duże firmy mają inne wyzwania operacyjne oraz pod kątem zasobów (czasowych czy ludzkich). Duże przedsiębiorstwa są bardziej ograniczone pod kątem realiów operacyjnych i stopnia skomplikowania regulacji, natomiast MŚP wskazują na ograniczenia budżetowe i niedobory wykwalifikowanej kadry. To pokazuje inne potrzeby pod kątem ich wsparcia: w przypadku większych podmiotów - uproszczenie podejścia i ścieżki od przestarzałych technologii, do tych nowoczesnych. Jeśli chodzi o MŚP - potrzebują wytycznych, przystępnych cenowo narzędzi oraz rozwoju kompetencji.

MŚP nadal mierzą się z wyzwaniami w budowaniu i utrzymywaniu cyberzdolności. Ograniczone budżety utrudniają im zdobycie doświadczonych specjalistów na rynku i ich utrzymanie poprzez benefity, ciągłe szkolenia i rozwój ich kariery. MŚP rzadziej niż duże organizacje dysponują też personelem lub formalnymi procesami, które skupiają się na zarządzaniu cyberryzykiem.

W rzeczywistości, spośród 1080 organizacji publicznych i prywatnych, które objęliśmy badaniem w ramach prac nad raportem "ENISA NIS Investments", 94 proc. MŚP zgłaszało trudności z pozyskiwaniem, a 90 proc. z utrzymaniem personelu ds. cyberbezpieczeństwa (w porównaniu do 83 proc. i 80 proc. wśród dużych przedsiębiorstw - przyp. red.). Badania pokazują, że luki kompetencyjne w obszarze cyberbezpieczeństwa, z jakimi zmagają się MŚP, są postrzegane jako czynniki podważające ich zdolność do realizacji celów. Jeśli weźmiemy pod uwagę te ograniczenia, to sprawia, że ich zespoły bezpieczników są proporcjonalnie mniej liczne, nawet jeśli budżety stanowią sporą część wydatków na IT.

Niemniej jednak, NIS2 w znacznym stopniu przyczyniła się do poprawy cyberbezpieczeństwa w całej Europie. Choć zgodność regulacyjna jest głównym czynnikiem, który napędza inwestycje w cyberbezpieczeństwo, to korzyści moim zdaniem wykraczają poza samą regulację. To lepsze zarządzanie ryzykiem, szybsze wykrywanie incydentów oraz zwiększone zdolności reagowania i przywrócenia systemów do działania, co znacznie podnosi poziom ogólnych standardów bezpieczeństwa.

Problem braku talentów?

Jakie Pana zdaniem są największe wyzwania operacyjne, przed którymi stają organizacje, kiedy próbują przełożyć unijne ramy cyberbezpieczeństwa na praktykę?

- Badanie "ENISA NIS Investments" pokazuje nam kluczowe wnioski pod kątem roli Agencji, jaką jest wspieranie państw członkowskich UE w budowaniu cyberodporności w sektorach krytycznych. Wyniki pomagają nam lepiej zrozumieć wyzwania, lepiej ukierunkować nasze wsparcie oraz kształtować rekomendacje na przyszłość.

Wyniki te pokazują, że nastąpiło przesunięcie inwestycji z wydatków na specjalistów w stronę technologii, co sprawia, że pogłębia się problem niedoborów talentów. Dodatkowo konieczność zgodności z regulacjami i NIS2 to główne czynniki, które motywują do działania, przy czym implementacja stanowi już wyzwanie. Wdrażanie NIS2 jest powszechnie postrzegane jako trudne. Organizacje wskazują na takie obszary jak: łatanie podatności (50 proc.), ciągłość działania (49 proc.) oraz zarządzanie ryzykiem w łańcuchu dostaw (37 proc.) jako główne obszary, gdzie napotykają na trudności.

Mimo wysiłków regulacyjnych, wyzwaniem jest też łatanie podatności i audyty bezpieczeństwa. Prawie 1 na 3 organizacje w różnych sektorach nie przeprowadziły oceny cyberbezpieczeństwa w ciągu ostatnich 12 miesięcy, a 28 proc. potrzebuje więcej niż trzech miesięcy na załatanie krytycznych podatności.

Cyberodporność w praktyce. Po pierwsze: wzmocnienie obrony

Jeśli weźmiemy pod uwagę nadchodzące wyzwania, co w praktyce będzie oznaczała "cyberodporność" dla europejskich organizacji, poza działaniem zgodnie z regulacjami?

- Cyberodporność jest nierozerwalnie związana ze współpracą i koordynacją, szczególnie we współczesnym, wzajemnie połączonym cyfrowym świecie. Infrastruktura cyfrowa współdziała między państwami członkowskimi, a łańcuchy dostaw obejmują wiele firm i branż.

Po pierwsze, cyberodporność obejmuje wszystkie działania proaktywne, których celem jest wzmocnienie obrony, w tym podejście "security by design" (projektowanie produktów/ usług zorientowane na bezpieczeństwo - przyp. red.) i "security by default" (ochrona danych, brana pod uwagę już w fazie projektowania - przyp. red.) w naszych produktach, systemach i usługach. Obejmuje również ideę utrzymanie ciągłości działania i zdolności do przetrwania w niekorzystnych sytuacjach (np. cyberataku - przyp. red.).

Koordynacja i współpraca są niezbędne, a zatem cyberodporność to współodpowiedzialność przemysłu, sił obronnych w cyberprzestrzeni oraz decydentów. Budowanie odporności wobec przyszłych wyzwań jest procesem ciągłym, obejmującym wysiłki na rzecz utrzymania, doskonalenia i dostosowywania się do stale zmieniającego się krajobrazu polityk, zagrożeń i rozwijających się technologii.