W zakresie cyberbezpieczeństwa różnic między sektorem publicznym i komercyjnym jest kilka. Eksperci zgodnie podkreślają, że można zaobserwować różnego typu ataki skierowane wyraźnie przeciwko instytucjom publicznym, a specjalizuje się w tym dość szerokie grono cyberprzestępców. Do mediów wyciekają też sygnały o atakach na zlecenie rządów obcych państw. Jednak z reguły łupem padają nie pieniądze, lecz informacje. Zagrożone są naturalnie dane osobowe i wszelkie informacje służące cyfrowej identyfikacji, m.in. dane z biometrycznych dowodów tożsamości. Aby zapewnić ich skuteczną ochronę, w placówkach publicznych przede wszystkim trzeba określić priorytety i bazujące na nich procedury składające się na politykę bezpieczeństwa.

Niestety, to pracownicy najczęściej są „wykonawcami” woli cyberprzestępców. Klikają w linki prowadzące do złośliwego kodu, otwierają dołączone do e-maili pliki, odwiedzają podejrzane strony internetowe lub (często w dobrej wierze) dzielą się informacjami, które powinni zachować wyłącznie dla siebie. Co prawda w urzędach publicznych nie jest stosowany model BYOD, ale próby korzystania z prywatnego sprzętu i podłączania go do sieci z pewnością mają miejsce – mówi Maciej Kotowicz, Channel Account Executive Poland w Sophosie.

Dużym problemem – i to w skali globalnej – jest brak międzynarodowej współpracy producentów, której celem byłaby związana z bezpieczeństwem standaryzacja sposobu komunikacji organizacji publicznych w różnych krajach. Do skutecznego przeciwdziałania atakom jest wręcz niezbędna. Cyberprzestępcy rzadko działają z terytorium kraju, którego infrastrukturę zaatakowali, więc szybka wymiana informacji dotyczących charakterystyki ich operacji jest konieczna. Tymczasem obecnie sprowadza się do wyrazów niezadowolenia wypowiadanych z dużym opóźnieniem głównie w ramach kontaktów dyplomatycznych. Nad utworzeniem ram dyskusji i wymiany informacji dotyczących cyfrowych zagrożeń pracują międzynarodowe organizacje, ale z pewnością zajmie to jeszcze kilka lat.

Rządowa strategia cyberbezpieczeństwa

W 2017 r. polski rząd przyjął uchwałę „Krajowe Ramy Polityki Cyberbezpieczeństwa Rzeczypospolitej Polskiej na lata 2017–2022” (KRPC). Ministerstwo Cyfryzacji zaś opracowało plan wprowadzania tej polityki w życie. Zawiera on wytyczne dla dziesięciu ministrów oraz dyrektora Rządowego Centrum Bezpieczeństwa w zakresie opracowania oraz wdrożenia standardów i dobrych praktyk bezpieczeństwa sieci jak też systemów IT w obszarach, za które odpowiadają określone jednostki administracji rządowej. Autorzy dokumentu podkreślają, że realizacja planu działań będzie finansowana zarówno z budżetu państwa, jak i ze środków pomocowych Unii Europejskiej.

Ważnym dla integratorów zapisem dokumentu KRPC jest deklaracja rządu, że będzie budował system partnerstwa publiczno-prywatnego (we współpracy ze światem nauki oraz z przedsiębiorstwami komercyjnymi), opartego na zaufaniu i wspólnej odpowiedzialności za bezpieczeństwo w cyberprzestrzeni. Jednocześnie administracja publiczna ma doskonalić swój potencjał w zakresie doradzania sektorom rynkowym w dziedzinie bezpieczeństwa teleinformatycznego. Finalnie obiecano stworzenie wytycznych, na które integratorzy będą mogli się powoływać podczas negocjacji z klientami. Rząd obiecuje również zaangażowanie się w istniejące i powstające formy europejskiej współpracy publiczno-prywatnej i tym samym promowanie polskiego biznesu na arenie międzynarodowej.

W KRPC wymieniono zagadnienia znajdujące się w obszarze zainteresowań rządu, m.in.: Internet rzeczy, inteligentne miasta, Przemysł 4.0, trwająca już od kilkunastu lat zamiana protokołu IPv4 na IPv6, a także szeroko pojęta chmura obliczeniowa oraz przetwarzanie zgodnie z koncepcją Big Data (nazwane w dokumencie „megadane”).

 

Co nam zagraża?

Instytucje publiczne muszą być przygotowane do stawienia czoła stale nowym zagrożeniom: botnetom, atakom DDoS, złośliwemu oprogramowaniu, aplikacjom szyfrującym (ransomware), phishingowi, programom szpiegującym, przechwytywaniu sesji i zaawansowanym atakom ukierunkowanym (APT) prowadzonym z wykorzystaniem technik manipulacyjnych. Integralną częścią polityki bezpieczeństwa w tych placówkach powinny być nie tylko wirtualne kwestie związane z IT, ale też fizyczne. W obiektach, w których obowiązują restrykcyjne procedury, powinny być kontrolowane wnoszone i wynoszone laptopy, dyski, smartfony lub tablety, a niemal wszędzie należałoby stosować szyfrowanie oraz uniemożliwiać korzystanie z pendrive’ów. Jednocześnie wszelkie dane powinny być archiwizowane, aby nie zostały utracone w wyniku kradzieży lub zniszczenia sprzętu.

Statystycznie największym zagrożeniem jest ransomware. Atak WannaCry w 2017 r. był możliwy dzięki istniejącej od 15 lat luce w systemie operacyjnym Windows XP. Mimo że poprawki zabezpieczeń tego systemu nie były publikowane od 2014 r., dwa lata temu wciąż cieszył się dużą popularnością (a w wielu placówkach nadal jest używany). Microsoft zresztą podjął wówczas wyjątkową decyzję i opublikował stosowną poprawkę dla Windows XP, ale niewielu użytkowników ją zainstalowało (o czym w dalszej części artykułu).

Wymiana systemów operacyjnych na szeroką skalę z reguły wiąże się z koniecznością wymiany sprzętu. Ze względu na szczupłe budżety placówek publicznych zakup komputerów często jest odwlekany. Resellerzy i integratorzy muszą więc operować odpowiednimi argumentami, które przekonają zarząd placówki, że nie podejmując stosownych działań, wystawia swoją reputację na duże ryzyko.

Czasami jednak istnieją obiektywne argumenty. Powołują się na nie placówki medyczne, podając przykłady specjalistycznego sprzętu diagnostycznego, którego oprogramowanie nie wymaga aktualizacji ani rozbudowy (a działa tylko ze starszymi wersjami systemów operacyjnych). W takich sytuacjach warto namówić klienta na szczegółowy audyt bezpieczeństwa i zablokować dostęp tego typu systemów do internetu (natomiast dostęp do lokalnej sieci prawdopodobnie trzeba będzie zachować ze względu na konieczność archiwizacji badań).

Zabezpieczenie placówek edukacyjnych jest oczywiście łatwiejsze, chociaż i w nich konieczne jest podjęcie specjalnych działań. Przede wszystkim na komputerach, z których korzystają uczniowie (albo na sieciowych urządzeniach dostępowych do internetu), powinna być zainstalowana ochrona rodzicielska. Warto zablokować dostęp do popularnych serwisów społecznościowych, takich jak Facebook i YouTube. Ponieważ czasami po działaniach uczniów na lekcjach informatyki system operacyjny nadaje się tylko do przeinstalowania, niektórzy nauczyciele korzystają także z oprogramowania do szybkiego przywracania obrazu dysku z kopii backupowej, aby komputer był sprawny na kolejną lekcję. Natomiast demonstrację niebezpiecznych działań na komputerze (kasowania plików systemowych, klikania w podejrzane linki itp.) warto prowadzić na wirtualnych maszynach, uruchomionych np. na serwerze NAS.

 

Miliony i premier na celowniku

Najbardziej spektakularny wyciek danych z placówki sektora publicznego miał miejsce w 2018 r. w Singapurze. Z największego zakładu opieki zdrowotnej hakerzy wykradli dokumentację 1,5 mln pacjentów, w tym premiera kraju. Dochodzenie przeprowadzone przez agencję bezpieczeństwa cybernetycznego Singapuru (CSA) i zintegrowany system informacji zdrowotnej (IHiS) potwierdziło, że atak był celowy, ukierunkowany i bardzo dobrze zaplanowany.
Skradzione dane zawierały nazwę, numer identyfikacyjny NRIC (National Registration Identity Card), adres, płeć, rasę i datę urodzenia. Na szczęście diagnozy, wyniki badań, notatki lekarzy i inne zapisy nie zostały przechwycone. Natomiast śledczy odkryli, że sprawcy precyzyjnie i wielokrotnie namierzali premiera Lee Hsien Loonga. Atak został wykryty w lipcu, kiedy administratorzy IT zauważyli nietypową aktywność w jednej z baz danych IT firmy SingHealth. Atakujący podobno mieli dostęp do bazy dzięki złamaniu zabezpieczeń jednej front-endowej stacji roboczej. Następnie skorzystali z uzyskanych danych logowania do jednego z kont uprzywilejowanych.

 

Jak się zabezpieczyć?

W placówkach publicznych infrastruktura IT jest podobna do istniejącej w przedsiębiorstwach komercyjnych. Dobór narzędzi ochronnych zależy od skali działalności, wiedzy pracowników i doświadczenia administratorów. W jednostkach publicznych bardzo zróżnicowany jest poziom korzystania z usług w chmurze publicznej. Większość administratorów jest wstrzemięźliwa, chociaż ten sposób przetwarzania i przechowywania danych jest dopuszczony przez prawo (można korzystać z usług podmiotów znajdujących się w Europejskim Obszarze Gospodarczym, ale zalecane jest podpisywanie umów z polskimi usługodawcami).

Jednym z największych wyzwań jest aktualizowanie oprogramowania. Niestety, wciąż brakuje ogólnopolskich wytycznych w tym zakresie, więc poszczególne instytucje działają po swojemu. Muszą korzystać z opracowanych centralnie narzędzi tylko w przypadku ujednoliconych w skali kraju procedur, np. wydawania dowodów osobistych, meldowania obywateli, rejestracji działalności gospodarczej, obsługi podatkowej w urzędach skarbowych itp. Poza tym ogólnie wiadomo, że kupione przez instytucje publiczne licencje wykorzystywane są czasem przez kilkanaście lat, że stosuje się wiele aplikacji stworzonych z potrzeby chwili przez lokalnych programistów. Część programów wymaga konkretnej wersji systemu operacyjnego (np. wspomnianego Windows XP), nie współpracuje z nowymi wersjami Javy. Tymczasem korzystanie z nieaktualizowanych aplikacji powoduje, że cyberprzestępcy mają nie tyle ułatwione zadanie, co po prostu otwarte na oścież drzwi.

Nie ułatwia sytuacji także fakt, że na stanowiskach informatyków w placówkach publicznych, szczególnie tych „w terenie”, często zatrudnione są osoby, których wiedza o bezpieczeństwie nie należy do szerokich – twierdzi Bogdan Lontkowski, dyrektor regionalny Ivanti na Polskę, Czechy, Słowację i kraje bałtyckie. – W przeciwnym przypadku łatwo znaleźliby pracę w sektorze prywatnym, za znacznie większe pieniądze. Chociaż trzeba przyznać, że sytuacja się poprawia. Ponieważ zespoły IT są często zbyt małe, a informatycy przepracowani, warto proponować klientom z sektora publicznego narzędzia, które automatyzują proces aktualizacji aplikacji, by wyeliminować jedno z największych zagrożeń atakami.

Naturalnie w każdej placówce, której sieć podłączona jest do internetu, należy stosować narzędzia do ochrony brzegowej (UTM-y, firewalle nowej generacji) oraz antywirusy. Ale nie obejdzie się bez zdobywania profesjonalnej i aktualizowanej wraz z pojawianiem się nowych zagrożeń wiedzy. Dlatego integratorzy powinni naciskać, aby podpisywane z nimi umowy w zakresie utrzymania systemów dotyczyły także współpracy w opracowywaniu polityki bezpieczeństwa, której nieodłącznym elementem jest ocena ryzyka i zdefiniowane sposoby przeciwdziałania atakom. Dzięki temu łatwiej też podejmować decyzje dotyczące tego, czy aplikacje i przetwarzane przez nie informacje mogą być przeniesione do chmury publicznej, czy powinny zostać w serwerowni danej placówki.

 

Zdaniem specjalisty

Maciej Kotowicz, Channel Account Executive Poland, Sophos

Zgodnie z obliczeniami Światowego Forum Ekonomicznego szkody w wyniku działań cyberprzestępców drastycznie rosną. W 2020 r. ataki na infrastrukturę IT będą kosztowały światową gospodarkę nawet 3 bln dol. Dlatego konieczne jest stosowanie nowych technik ochrony środowisk teleinformatycznych, dzięki którym urządzenia i oprogramowanie zainstalowane w przedsiębiorstwie czy w urzędzie mogą „rozmawiać” ze sobą, wymieniając się nawet z pozoru błahymi informacjami związanymi z podejrzeniem ataku. W ten sposób zwiększa się prawdopodobieństwo zatrzymania zakrojonych na szeroką skalę ataków, które pozostały niezauważone przez punktowe systemy zabezpieczające.

Grzegorz Bielawski, Country Manager, QNAP

Dzięki wielofunkcyjności serwery NAS świetnie nadają się do szkół, przychodni lekarskich i mniejszych urzędów. Bardzo przydatne są funkcje ochronne tych urządzeń. Dane można zabezpieczać przed utratą metodą backupu, ale też korzystać z wbudowanej ochrony antywirusowej i mechanizmu kopii migawkowych, który ułatwia przywrócenie danych po ataku ransomware. Jest to też najtańsza metoda na realizowaną w profesjonalny sposób replikację zgromadzonych informacji na drugi serwer NAS, który może znajdować się także poza siedzibą firmy, albo do chmury.

Magdalena O’Dwyer, Product Manager, Synology

Urządzenie NAS można przekształcić w serwer Active Directory i zapewnić placówce ekonomiczne rozwiązanie do zarządzania tożsamością użytkowników. Dzięki temu instytucja będzie chroniona przed wyciekiem danych, łatwiejsze też będzie sprawdzanie, czy naruszenie bezpieczeństwa nie nastąpiło w wyniku działania pracownika. Użytkownicy serwerów NAS mają też swobodę decyzji jeśli chodzi o akceptowane ryzyko naruszenia bezpieczeństwa gromadzonych danych. Mogą korzystać z usług chmurowych, zapewniających aplikacje typu SaaS, ale wiele z nich dostępnych jest też bezpośrednio z serwera, dzięki czemu informacje nigdy nie opuszczają siedziby firmy.

Krzysztof Rachwalski, Country Manager, Citrix Systems

W Polsce wciąż mamy do czynienia z ograniczonym zainteresowaniem placówek sektora publicznego rozbudowanymi systemami do zarządzania sprzętem mobilnym oraz zgromadzonymi w nim aplikacjami i informacjami. Na zmianę sytuacji nie wpłynęło nawet pojawienie się RODO. Na Zachodzie widać jednak wzrost popularności rozwiązań, które zapewniają większą funkcjonalność niż klasyczne systemy MDM, np. w zakresie dostarczania aplikacji mobilnych i zarządzania nimi. Zakładamy więc, że wkrótce i u nas zaczną być częściej stosowane.

 

RODO obowiązuje wszędzie

Rozporządzenie o ochronie danych osobowych, które w ubiegłym roku spędzało sen z oczu wielu administratorom IT, obowiązuje także w placówkach sektora publicznego. Wiele z nich dysponuje danymi szczególnie wrażliwymi, których ujawnienie może mieć przykre dla obywateli skutki, np. groźby szantażu czy kradzież tożsamości. Z drugiej strony instytucja, z której wyciekły dane, może nie tylko być pozwana do sądu, ale jej zarządcy mogą także ucierpieć „politycznie”.

Placówki publiczne, tak jak przedsiębiorstwa, zobowiązane są przez RODO do stworzenia polityki bezpieczeństwa i oceny ryzyka wycieku informacji oraz przeciwdziałania mu. Powinny więc zdefiniować procedury postępowania oraz wdrożyć je za pomocą odpowiednich narzędzi IT. Oczywiście, w obu przypadkach ułatwią im to integratorzy. Szczególną uwagę należy zwrócić na kwestie utylizacji sprzętu. Wielokrotnie ujawniano przypadki, gdy wycofany z użytku sprzęt trafiał na śmietnik, zabierali go do domu pracownicy lub pojawiał się… na portalach aukcyjnych (najsłynniejszy przykład to 12 dysków z poufnymi danymi z Ministerstwa Spraw Zagranicznych, które w 2004 r. trafiły do redakcji tygodnika „Nie”).

Podczas tworzenia procedur zarządzania danymi w instytucjach publicznych należy jednak pamiętać o kilku wyjątkach. Przede wszystkim nie obowiązuje ich prawo do bycia zapomnianym. Wszyscy obywatele mają natomiast prawo wglądu w przetwarzane przez placówkę dane i korekty, jeżeli zauważą błędy. Instytucje publiczne, podobnie jak podmioty komercyjne, są zobowiązane także do minimalizowania ilości posiadanych danych. Mogą przetwarzać tylko te, które są niezbędne do prowadzenia ustawowej działalności.
Z RODO związana jest również kwestia backupu gromadzonych przez instytucję publiczną informacji. W sytuacji, gdy dane są poprawiane w bazie produkcyjnej lub usuwane z niej, pozostają niezmienione w wykonanej wcześniej kopii. W przypadku wystąpienia problemu z bazą i konieczności jej odtworzenia z kopii backupowej usunięte lub zmodyfikowane dane wrócą i znów będą przetwarzane – wbrew prawu i woli właściciela. Twórcy rozporządzenia o ochronie danych osobowych uznali, że problem rozwiążą procedury organizacyjne, zgodnie z którymi w momencie wykonania backupu  rozpoczyna się proces tworzenia listy wprowadzanych zmian. Gdy wystąpi konieczność odtworzenia danych z kopii, należy zgodnie ze wspomnianymi procedurami nanieść zanotowane zmiany. Dopiero po tej operacji można dopuścić bazę z danymi osobowymi do ponownego użytku produkcyjnego.