Letnia Szkoła Cyberbezpieczeństwa to doskonała platforma wymiany wiedzy i doświadczeń ekspertów z zakresu cyberbezpieczeństwa, zwalczania cyberprzestępczości oraz cyberobrony. Ma także na celu edukowanie pracowników administracji publicznej, przedsiębiorców, przedstawicieli służb oraz sił zbrojnych – mówi Tomasz Zdzikot, sekretarz stanu w Ministerstwie Obrony Narodowej.

Zbliża się czwarta edycja Letniej Szkoły Cyberbezpieczeństwa. Jaka jest idea tego przedsięwzięcia?

Tomasz Zdzikot: Letnia Szkoła Cyberbezpieczeństwa ma dwa główne cele. To z jednej strony miejsce debaty pomiędzy ekspertami zajmującymi się różnymi aspektami cyberbezpieczeństwa, a osobami, które na co dzień pracują w instytucjach odpowiedzialnych za szeroko rozumianą infrastrukturę krytyczną. Z drugiej strony to przedsięwzięcie o charakterze warsztatowym i szkoleniowym, pomagające podnieść poziom zrozumienia dla nowych typów zagrożeń i zbudować właściwe mechanizmy współpracy opierające się o wspólne rozumienie zjawisk, procedur, czy występującej w tej sferze terminologii. Chciałbym, aby wypracowywane tam wnioski pozwoliły nam na uniknięcie jak największej liczby zagrożeń. Żebyśmy nie popełniali błędów w obszarze cyber, a także umieli nie tylko odeprzeć atak czy zniwelować jego skutki, ale co chyba ważniejsze, zapobiec temu zagrożeniu.

Letnia Szkoła Cyberbezpieczeństwa to zatem doskonała platforma wymiany wiedzy i doświadczeń ekspertów z zakresu cyberbezpieczeństwa, zwalczania cyberprzestępczości oraz cyberobrony i przedsięwzięcie, które ma także na celu edukowanie pracowników administracji publicznej, przedsiębiorców, przedstawicieli służb oraz sił zbrojnych. Chcemy zwrócić uwagę na działania profilaktyczne. Chcemy wykształcić odpowiednie umiejętności tak, aby maksymalnie uodparniać systemy i szybko reagować na incydenty komputerowe.

Jak Pan ocenia dotychczasowe edycje? Czy spełniły pokładane w nich oczekiwania?

O to musi Pan zapytać uczestników, ale duże zainteresowanie czwartą już edycją udowadnia, że taka inicjatywa jest potrzebna i wartościowa. Jako organizatorzy wierzymy, że kolejna edycja, tak jak i trzy poprzednie, dostarczy wszystkim uczestnikom nowej wiedzy i da odpowiednio silny impuls do działania. Niezwykle wartościowym elementem tego projektu jest wymiana doświadczeń. Dziś w środowisku cyber nie można działać samemu. Zainteresowanie taką formą szkolenia, jaką jest Letnia Szkoła Cyberbezpieczeństwa, wyrażają przedstawiciele wielu sektorów. W szkoleniach brali udział przedstawiciele ministerstw oraz takich instytucji jak: NASK, Biuro Bezpieczeństwa Narodowego, Prokuratura Krajowa, Komenda Głowna Policji, Grupa Lotos S.A., Energa S.A., Polskie Sieci Elektroenergetyczne, System Gazociągów Tranzytowych „EUROPOL GAZ” SA., PERN S.A., Polkomtel, VT Cyber, VS Data, Exatel, Microsoft, Vector Synergy, Prebites, ISSA Polska, Matic, Służba Kontrwywiadu Wojskowego, Regionalne Centrum Informatyki w Gdyni czy Wojskowa Akademia Techniczna.

Hasłem Letniej Szkoły Cyberbezpieczeństwa jest „Cyber Odyseja – wyzwania XXI wieku”, gdyż długa, obfitująca w przeróżne przygody wędrówka Odyseusza wydaje się być dobrą ilustracją tego, co dzieje się w obszarze cyber. Zapewnienie cyberbezpieczeństwa to proces uwarunkowany choćby tym, iż subiektywnie czujemy się bezpieczni, dopóki ktoś nie znajdzie nowej podatności, na którą jesteśmy wrażliwi. Zwykle nikt nie „chwali się” swoimi wpadkami, jednak w gronie osób, które doświadczają zagrożeń, łatwiej jest na szczerą wypowiedź z nadzieją uzyskania rzetelnej pomocy. Tak jest w trakcie dyskusji i warsztatów prowadzonych podczas Letniej Szkoły Cyberbezpieczeństwa.

Tematem przewodnim dotychczasowych edycji była ochrona infrastruktury krytycznej państwa. Czy na zbliżających się warsztatach będzie podobnie, czy zamierzają się Państwo skoncentrować na jakimś szczególnym aspekcie tego problemu?

Tematem przewodnim w dalszym ciągu będzie ochrona infrastruktury krytycznej państwa. Tym niemniej, o ile w poprzednich edycjach nacisk położony był na stronę techniczną, o tyle w tej edycji dominujące będzie spojrzenie prawne i organizacyjne. Zbilżające się warsztaty będą ukierunkowane na aspekt prawny prowadzenia działań w cyberprzestrzeni, w tym zarówno w zakresie działań aktywnych, jak i pasywnych. Głównym celem tegorocznej edycji będzie usystematyzowanie i ugruntowanie wiedzy w zakresie obsługi prawnej incydentów i przestępstw komputerowych na potrzeby sił zbrojnych i operatorów infrastruktury krytycznej.

Jak ta tematyka wpisuje się w zadania Wojska Polskiego?

Podczas szczytu NATO w Warszawie uznano sferę cyber za domenę działań militarnych. Tworzenie wojsk obrony cyberprzestrzeni i komponentu cyber w Wojskach Obrony Terytorialnej to tylko niektóre działania realizowane już w ramach opracowanego i wdrażanego przez MON programu „CYBER.MIL.PL”. Zwiększamy ofertę edukacyjną, rozwijamy współpracę z naszymi sojusznikami, zwiększamy kompetencje, wzmacniamy swoje zdolności. Zainicjowana niedawno pierwsza faza konsolidacji jednostek podległych MON odpowiedzialnych za cyberbezpieczeństwo, to także nasza odpowiedź na to, co dziś dzieje się w obszarze cyber. Tworzenie potencjału militarnego i wykorzystanie synergii z istniejącego otoczenia cywilnego jest jedyną drogą na poprawę cyberbezpieczeństwa Rzeczypospolitej Polskiej w obu, militarnym i pozamilitarnym wymiarach.

Koncentracja zdolności do działania w cyberprzestrzeni rozsianych po wielu resortach i instytucjach jest potrzebą chwili. Jak ocenia Pan zaawansowanie tego procesu?

Ważnym krokiem w tym kierunku było uchwalenie ustawy o krajowym systemie cyberbezpieczeństwa, która określa i porządkuje sfery odpowiedzialności wskazując, iż polskie cyberbezpieczeństwo spoczywa co do zasady na trzech filarach, którymi są działające na poziomie krajowym Zespoły Reagowania na Incydenty Bezpieczeństwa Komputerowego prowadzone przez MON, ABW i NASK.

Niewątpliwie istotnym krokiem w tym obszarze było także powołanie przez premiera Mateusza Morawieckiego, Pełnomocnika Rządu do spraw Cyberbezpieczeństwa. To ważne, że została wskazana osoba odpowiedzialna za koordynację działań i realizowanie polityki rządu w zakresie zapewnienia cyberbezpieczeństwa.

Podczas ubiegłorocznej edycji LSC podkreślał Pan, jak ważne jest dokończenie prac nad ustawą o krajowym systemie cyberbezpieczeństwa. W sierpniu 2018 roku weszła ona w życie. Jak ocenia Pan ten dokument i jego znaczenie dla budowy efektywnego systemu cyberobrony naszego kraju?

Budowanie skutecznych mechanizmów cyberbezpieczeństwa wymaga odpowiednich regulacji prawnych. Jak już wspomniałem ustawa o krajowym systemie cyberbezpieczeństwa jest ważnym krokiem ku budowaniu spójnego ekosystemu cyberbezpieczeństwa, porządkuje kwestie terminologiczne, wyznacza ramy odpowiedzialności i zakreśla mechanizmy współpracy międzysektorowej i międzyinstytucjonalnej. Należy pamiętać, że system tworzą nie tylko instytucje administracji rządowej i samorządowej, ale także przedsiębiorcy z kluczowych sektorów gospodarki. W ustawie wskazano operatorów usług kluczowych i zaliczono do nich największe banki, firmy z sektora energetycznego, przewoźników lotniczych i kolejowych, armatorów oraz szpitale.

Czy od momentu wejścia w życie tego dokumentu widać już obszary, które wymagają doprecyzowania na poziomie ustawy bądź rozporządzeń?

Ustawa o krajowym systemie cyberbezpieczeństwa wymaga rzetelnej oceny, a na taką jest jeszcze chyba za wcześnie. Wydaje się, że jedną z form oceny funkcjonowania ustawy powinny być ćwiczenia, gry decyzyjne i symulacje. Takie ćwiczenia są planowane także w czasie tej edycji Letniej Szkoły Cyberbezpieczeństwa i z pewnością pozwolą nam wypracować kolejne wnioski w tym obszarze.