Cyfrowy front konfliktów – czym jest cyberwojna i dlaczego dotyczy wszystkich
Od sabotażu kabli do ataków na sieci energetyczne
Konflikty zbrojne od dawna obejmowały sferę techniczną – przecinanie kabli telegraficznych, niszczenie stacji radiowych czy sabotaż linii kolejowych. Cyberwojna jest rozwinięciem tej logiki w świecie cyfrowym: zamiast wysadzać most, można sparaliżować system sterujący ruchem. Zamiast niszczyć elektrownię bombą, można wprowadzić zmiany w sterownikach tak, aby uszkodziła się sama.
Cyberwojna to zorganizowane, długotrwałe działania w cyberprzestrzeni prowadzone lub wspierane przez państwa, których celem jest osiągnięcie celów politycznych, militarnych lub gospodarczych. Od cyberprzestępczości odróżnia ją zwykle motywacja strategiczna, długofalowe planowanie oraz większe zasoby techniczne i wywiadowcze.
Tradycyjny sabotaż wymagał ryzyka fizycznego: wysłania ludzi, przemytu materiałów wybuchowych, logistyki. Cyberoperacje pozwalają na oddziaływanie na infrastrukturę krytyczną z drugiego końca świata, przy znacznie mniejszym ryzyku wykrycia sprawców. To właśnie ta asymetria – małe ryzyko, duży potencjalny efekt – sprawia, że cyberwojna stała się istotnym narzędziem państw.
Cyberwojna a „zwykła” cyberprzestępczość – kluczowe różnice
Na poziomie technicznym cyberwojna i cyberprzestępczość często wykorzystują podobne narzędzia: phishing, złośliwe oprogramowanie, podatności w systemach. Różnice ujawniają się przede wszystkim w:
celach – cyberprzestępca chce zysku finansowego, grupa powiązana z państwem dąży do wpływu politycznego, paraliżu usług lub pozyskania informacji strategicznych;
horyzoncie czasowym – operacje wojskowe w cyberprzestrzeni mogą być przygotowywane latami, poprzez ciche osadzanie się w systemach (tzw. pre-positioning), podczas gdy cyberprzestępca dąży do stosunkowo szybkiego zysku;
skali i koordynacji – cyberoperacje państw są często elementem szerszych kampanii militarnych lub politycznych, skoordynowanych z działaniami dyplomatycznymi, informacyjnymi i ekonomicznymi;
dostępie do zasobów – państwa dysponują wywiadem, możliwością pozyskiwania informacji z wielu kanałów, w tym z podsłuchów fizycznych, agentury i współpracy międzynarodowej.
W praktyce granica zaciera się coraz częściej: z jednej strony państwa mogą wykorzystywać grupy przestępcze jako „prywatnych wykonawców”, z drugiej – gangi ransomware potrafią uderzyć w szpitale czy elektrownie w czasie napięć międzynarodowych, wzmacniając presję na państwo ofiary.
Cyberoperacje jako element wojny hybrydowej
Wojna hybrydowa łączy klasyczne działania militarne z presją ekonomiczną, dezinformacją, sabotażem i cyberatakami. Cyberwojna w takim ujęciu nie jest samodzielnym konfliktem, ale jednym z narzędzi nacisku. Można:
zdezorganizować komunikację w administracji publicznej;
sparaliżować systemy płatnicze lub bankowość elektroniczną;
zakłócić dostawy energii, wody czy paliw;
rozsiewać dezinformację w mediach społecznościowych, aby podważać zaufanie do instytucji.
Tego typu działania często realizowane są poniżej progu otwartej wojny – tak, aby nie wywołać jednoznacznej reakcji militarnej. Z tego powodu mówi się o „szarej strefie” między pokojem a konfliktem zbrojnym, w której państwa prowadzą intensywne operacje cyfrowe, formalnie pozostając w stanie pokoju.
Głośne incydenty, które zmieniły myślenie o cyberobronie
Kilkanaście wydarzeń w ostatnich dwóch dekadach pokazało, że cyberatak może mieć skutki porównywalne z klasycznym sabotażem. Do najczęściej przytaczanych należą:
Stuxnet – wyspecjalizowane złośliwe oprogramowanie ukierunkowane na irańskie instalacje nuklearne, które uszkodziło wirówki w zakładach w Natanz;
atak na Estonię (2007) – DDoS na banki, administrację, media, który zablokował usługi cyfrowe w jednym z najbardziej zinformatyzowanych państw Europy;
ataki na sieć energetyczną Ukrainy (2015–2016) – zdalne wyłączenie zasilania dla setek tysięcy odbiorców;
NotPetya (2017) – fala złośliwego kodu, która zaczęła się od Ukrainy, ale rozlała na świat, uderzając w firmy logistyczne, przemysłowe i farmaceutyczne.
Po tych incydentach wiele państw utworzyło wyspecjalizowane jednostki cyberobrony, podniosło rangę CERT/CSIRT narodowych i rozpoczęło programy ochrony infrastruktury krytycznej. Cyberwojna przestała być abstrakcją dla ekspertów, stała się realnym tematem strategicznym na poziomie rządów.
Skutki uboczne: jak cyberwojna dotyka zwykłych użytkowników
Cyberwojna kojarzy się z tajnymi służbami i wojskowymi. W praktyce jej skutki odczuwają zwykli obywatele: brak możliwości zapłaty kartą, przerwy w dostawie prądu, problemy z dostępem do opieki medycznej czy zakłócenia w komunikacji publicznej. Nawet jeśli atak był wymierzony w państwo lub operatora infrastruktury, efektem ubocznym jest zakłócenie codziennego życia.
Wiele narzędzi używanych w cyberwojnie „wymyka się” spod kontroli. Przykładem był NotPetya, który zamiast pozostać lokalnym narzędziem sabotażu, rozprzestrzenił się globalnie, wywołując straty w firmach, które nie były celem politycznym. Zwykłe przedsiębiorstwa, niezaangażowane w żaden konflikt, stały się „ofiarami kolateralnymi” działań w cyberprzestrzeni.
Dodatkowo rośnie znaczenie operacji informacyjnych. Fala dezinformacji może kształtować nastroje społeczne, wzmacniać polaryzację, podważać zaufanie do instytucji i nauki. To także element cyberwojny – uderza nie w serwery, ale w opinię publiczną, co ma długofalowe skutki polityczne i społeczne.
Infrastruktura krytyczna – co jest celem i dlaczego jest tak wrażliwa
Definicje, sektory i rola regulacji państwowych
Infrastruktura krytyczna to, w dużym uproszczeniu, zbiór systemów i obiektów, których zniszczenie lub poważne zakłócenie powoduje poważne skutki dla bezpieczeństwa państwa, gospodarki, zdrowia ludzi czy porządku publicznego. Typowe regulacje krajowe wymieniają następujące sektory:
energia – elektrownie, sieci przesyłowe i dystrybucyjne, operatorzy gazu i ropy;
zdrowie – szpitale, systemy ratownictwa medycznego, laboratoria strategiczne;
finanse – banki, systemy rozliczeniowe, giełdy;
transport – kolej, lotniska, porty morskie, kontrola ruchu drogowego i lotniczego;
telekomunikacja i Internet – operatorzy sieci, kluczowe węzły, centra danych;
woda i gospodarka ściekowa – ujęcia wody, stacje uzdatniania, sieci kanalizacyjne, oczyszczalnie;
administracja publiczna – rejestry państwowe, systemy podatkowe, e-usługi, systemy identyfikacji.
W wielu państwach istnieją listy operatorów usług kluczowych lub infrastruktury krytycznej, które podlegają szczególnym wymogom bezpieczeństwa. Ramy takie jak NIS2 w UE rozszerzają katalog podmiotów zobowiązanych do wdrożenia zaawansowanych środków cyberbezpieczeństwa i raportowania incydentów.
Łańcuchy zależności i efekt domina
Infrastruktura krytyczna jest silnie współzależna. Awaria jednego sektora bardzo szybko przekłada się na kolejne. Przykładowo:
brak zasilania elektrycznego zatrzymuje systemy informatyczne banków, co ogranicza możliwość płatności;
zakłócenie systemów telekomunikacyjnych utrudnia koordynację służb ratunkowych i obsługę transportu;
awaria logistyki paliw wpływa na dystrybucję żywności i funkcjonowanie szpitali.
Dla atakującego cybernetycznie rzadko chodzi wyłącznie o pojedynczą instalację. Celem jest wywołanie efektu domina, w którym:
uderzenie w jeden sektor (np. logistykę paliw) generuje chaos w innych (transport, rolnictwo, dostawy);
zaufanie do władz i instytucji spada, rośnie podatność na dezinformację i presję polityczną.
Modelując ryzyka cyberwojny, trzeba więc analizować nie tylko pojedynczy system, ale cały łańcuch zależności: dostawcy energii, telekomunikacja, logistyka, usługi chmurowe, kanały płatności. Im bardziej zintegrowane są systemy, tym większe konsekwencje awarii jednego ogniwa.
Konwergencja IT/OT – gdy biuro łączy się z halą produkcyjną
Infrastruktura krytyczna opiera się na dwóch, kiedyś odrębnych, światach:
IT (Information Technology) – systemy biurowe, serwery, poczta, aplikacje biznesowe, systemy ERP, CRM, portale;
OT (Operational Technology) – systemy sterowania przemysłowego (ICS), SCADA, sterowniki PLC, czujniki, systemy bezpieczeństwa procesowego.
Przez lata zakładano, że systemy OT są odseparowane od sieci publicznych (tzw. air-gap). W praktyce, wraz z digitalizacją i dążeniem do zdalnego monitoringu oraz optymalizacji kosztów, granica między IT a OT zaczęła się zacierać. Dane z produkcji są analizowane w chmurze, systemy utrzymania ruchu korzystają z VPN, dostawcy serwisowi łączą się zdalnie do sterowników.
To połączenie otworzyło zupełnie nowy wektor ataku. Cyberprzestępca lub grupa APT może dostać się do sieci biurowej, a następnie – poprzez źle skonfigurowane zapory lub poświadczenia administratorów – przeniknąć do sieci sterowania. Tak było m.in. w przypadku kilku ataków na zakłady wodociągowe i energetyczne, gdzie punkt wejścia znajdował się w „zwykłym” systemie IT, a nie bezpośrednio w sterownikach.
Dostawcy, podwykonawcy i inne słabe ogniwa
Operatorzy infrastruktury krytycznej coraz częściej polegają na rozbudowanym ekosystemie dostawców: firmach serwisowych, integratorach systemów, operatorach chmury, dostawcach łączności, firmach ochroniarskich, a także mniejszych podwykonawcach. Każdy z tych podmiotów może stać się wektorem ataku, jeśli ma:
dostęp zdalny do systemów ICS/SCADA;
możliwość wgrywania aktualizacji oprogramowania;
fizyczny dostęp do serwerowni lub szaf sterowniczych;
zaufanie systemów (np. certyfikaty, konta serwisowe).
W wielu incydentach, także tych związanych z cyberwojną, atakujący wykorzystali właśnie podwykonawców. Przykładowo, kompromitacja dostawcy oprogramowania zarządzającego infrastrukturą może otworzyć drzwi do setek organizacji jednocześnie. Z perspektywy cyberobrony oznacza to konieczność oceny ryzyka nie tylko „u siebie”, ale także w całym łańcuchu dostaw.
Praktycznym problemem bywa także presja biznesowa: krótkie terminy, ograniczone budżety, brak świadomości w mniejszych firmach serwisowych. Operator infrastruktury może posiadać zaawansowane systemy bezpieczeństwa, ale jeśli podwykonawca korzysta z jednego hasła do wszystkich klientów i nie ma MFA, staje się idealnym celem dla grup prowadzących cyberoperacje.
Jak wyglądają ataki na infrastrukturę krytyczną – typowe scenariusze i techniki
Fazy ataku – od rekonesansu po sabotaż fizyczny
Skuteczny atak na infrastrukturę krytyczną rzadko jest jednorazowym „strzałem”. Zwykle ma strukturę wieloetapową:
Rekonesans – zbieranie informacji o organizacji, jej systemach IT i OT, dostawcach, kluczowych pracownikach, typie używanych sterowników, strukturze sieci. Wykorzystuje się tu zarówno otwarte źródła (OSINT), jak i skanowanie sieci, analizę metadanych, podsłuch ruchu.
Penetracja – zdobycie pierwszego punktu wejścia. Może to być zainfekowany załącznik, podatność w aplikacji webowej, skradzione poświadczenia VPN, źle zabezpieczony serwer zdalnego pulpitu.
Utrzymanie dostępu – instalacja mechanizmów zapewniających stałą obecność (backdoory, konta techniczne, modyfikacje konfiguracji), aby atakujący mógł wrócić nawet po częściowym wykryciu incydentu.
Eskalacja i ruch boczny – przechodzenie z systemów biurowych w kierunku segmentów OT, przejmowanie kont uprzywilejowanych, eksploracja środowiska ICS/SCADA, poznawanie procesów technologicznych.
Sabotaż lub wpływ na proces – modyfikacja parametrów pracy urządzeń, manipulacja odczytami czujników, wyłączanie zabezpieczeń lub wywoływanie niekontrolowanych stanów awaryjnych. Celem może być zarówno fizyczne uszkodzenie instalacji, jak i subtelne pogorszenie jakości usług, które trudno jednoznacznie powiązać z atakiem.
Praktyka pokazuje, że faza sabotażu nie zawsze wygląda spektakularnie. Zdarza się, że atakujący jedynie sporadycznie zakłóca proces – np. uruchamia fałszywe alarmy, powoduje krótkie przerwy w dostawie, minimalnie zmienia parametry. Taki „szum” technologiczny generuje koszty, dezorganizuje pracę i testuje procedury reagowania, a jednocześnie nie przekracza progu, który automatycznie uruchomi reakcję polityczną czy militarną.
Z perspektywy obrony kluczowe jest „rozciągnięcie” uwagi z klasycznych etapów ataku IT na specyfikę środowisk OT. Samo wykrycie phishingu lub malware’u w sieci biurowej bywa tylko początkiem. Trzeba umieć przełożyć to zdarzenie na pytanie: czy i jak daleko atakujący mógł posunąć się w stronę systemów sterowania, jakie ma możliwości ingerencji w proces i jakie scenariusze sabotażu są realne w danym zakładzie.
Techniki specyficzne dla środowisk ICS/SCADA
Systemy sterowania przemysłowego wyglądają inaczej niż klasyczne serwery czy laptopy. Sterowniki PLC mają ograniczone zasoby, działają latami bez restartu, a aktualizacje oprogramowania bywają wdrażane rzadko, bo każde zatrzymanie linii produkcyjnej oznacza straty. To tworzy specyficzny ekosystem, w którym atakujący wykorzystują inne narzędzia niż w typowym ransomware na firmową sieć.
Jednym z częstszych rozwiązań jest manipulacja logiką sterowników. Zamiast niszczyć sprzęt od razu, wprowadza się zmiany w programie sterującym, które objawią się dopiero przy określonych warunkach – np. przy określonym obciążeniu, temperaturze czy czasie pracy. Dzięki temu incydent może wyglądać jak „zwykła” awaria techniczna, a nie efekt wrogiej operacji.
Inny sposób to atak na warstwę wizualizacji i nadzoru. Operator widzi na ekranie parametry, które w rzeczywistości różnią się od stanu faktycznego – poziom cieczy w zbiorniku, ciśnienie w rurociągu, status zaworów. Jeżeli system HMI/SCADA jest pod pełną kontrolą atakującego, może on zarówno kreować wrażenie normalnej pracy, jak i wywoływać fałszywe alarmy, zmuszając personel do błędnych decyzji.
W cyberwojnie szczególnie groźne są ataki na systemy zabezpieczeń (ang. Safety Instrumented Systems). To one mają zapobiegać katastrofom – zatrzymać proces, gdy parametry przekroczą dopuszczalne granice. Przejęcie lub wyłączenie takich systemów otwiera drogę do scenariuszy, które jeszcze niedawno kojarzyły się wyłącznie z fizycznym sabotażem. Nawet jeżeli do faktycznej katastrofy nie dochodzi, sama informacja o próbie ingerencji w warstwę bezpieczeństwa ma poważne skutki polityczne i regulacyjne.
„Ciche” operacje a głośne ransomware
Ataki na infrastrukturę krytyczną można umownie podzielić na dwa typy: „ciche” operacje rozpoznawczo-sabotażowe i głośne kampanie wymuszeń. W praktyce granica ta bywa płynna, ale sposób ich prowadzenia i cele różnią się istotnie.
Operacje „ciche” nastawione są na długotrwałą obecność. Grupa APT miesiącami utrzymuje dostęp do sieci operatora, systematycznie poznaje procesy, testuje możliwości ingerencji, czasem przeprowadza ograniczone zakłócenia. Takie działania zwykle trudniej przypisać konkretnemu podmiotowi i rzadko trafiają na pierwsze strony gazet. Są jednak kluczowe z punktu widzenia cyberwojny – pozwalają budować „zdolności ofensywne na zapas”, które można wykorzystać jako środek nacisku.
Dla kontrastu kampanie ransomware są głośne z założenia: komunikaty o zaszyfrowaniu systemów, żądania okupu, zegar odliczający czas do publikacji wykradzionych danych. W infrastrukturze krytycznej coraz częściej chodzi jednak nie tylko o pieniądze. Zatrzymanie rafinerii, sieci rurociągów czy operatora transportu publicznego wywołuje natychmiastowy efekt polityczny – presję społeczną, spory kompetencyjne między instytucjami, dyskusję o odpowiedzialności państwa. Taki chaos informacyjny bywa dla agresora równie cenny jak sam okup.
W części kampanii następuje celowe mieszanie obu podejść. Atak formalnie wygląda jak typowe ransomware, ale sposób wyboru celu, narzędzia i długotrwała obecność w sieci wskazują na przygotowanie przez zespół o profilu wywiadowczym. Zdarza się również, że „szum” w postaci głośnego zaszyfrowania systemów IT ma przykryć bardziej subtelną operację w segmencie OT, gdzie dochodzi do cichego wgrania backdoorów do sterowników lub systemów zabezpieczeń.
Dla obrońców oznacza to konieczność innego podejścia do reagowania na incydenty. Nawet jeżeli na pierwszy rzut oka mamy do czynienia z klasycznym atakiem finansowym, trzeba zadać kilka dodatkowych pytań: czy ktoś interesował się segmentem OT, czy doszło do nietypowej aktywności na kontach serwisowych, czy obserwowano próby manipulacji konfiguracją urządzeń. W praktyce zespół reagowania często musi prowadzić dwie równoległe ścieżki: przywracanie ciągłości działania IT i analizę, czy zdarzenie nie było tylko „parawanem” dla operacji o charakterze strategicznym.
Dobrze przygotowani operatorzy infrastruktury wprowadzają zatem odrębne scenariusze reagowania na incydenty w środowisku OT, w tym ścieżki eskalacji do organów państwowych. Chodzi nie tylko o techniczną analizę malware’u, lecz także o ocenę, czy zdarzenie może mieć kontekst międzynarodowy, a więc wymaga włączenia służb wywiadowczych, regulatorów czy partnerów zagranicznych. Taka koordynacja bywa trudna, ale bez niej łatwo przeoczyć moment, w którym klasyczny incydent bezpieczeństwa przeradza się w element szerszej gry geopolitycznej.
Cyberkonflikty nie zastąpiły tradycyjnych działań zbrojnych, lecz stały się trwałym uzupełnieniem narzędzi państw i organizacji. Infrastruktura krytyczna znalazła się w samym centrum tego zjawiska, dlatego dyskusja o jej ochronie dotyczy już nie tylko specjalistów od sieci czy automatyków, ale także prawników, decydentów i użytkowników końcowych, którzy od stabilności tych systemów zależą każdego dnia.
Źródło: Pexels | Autor: Tima Miroshnichenko
Głośne cyberataki na infrastrukturę krytyczną – studia przypadków
Stuxnet – pierwszy „cyberpocisk” przeciw instalacjom przemysłowym
Stuxnet, odkryty w 2010 r., często określany jest jako pierwszy publicznie znany przykład zaawansowanego cyberataku o skutkach fizycznych. Celem były instalacje związane z programem nuklearnym Iranu, w szczególności wirówki w zakładzie w Natanz.
Kluczowa była tu kombinacja kilku elementów. Po pierwsze, wykorzystanie wielu podatności typu zero-day w systemach Windows, co umożliwiło infekcję również w sieciach odseparowanych fizycznie (np. przez zainfekowane nośniki USB). Po drugie, precyzyjne ukierunkowanie na sterowniki PLC konkretnego producenta i konfiguracje spotykane w instalacjach nuklearnych. Po trzecie, manipulacja logiką i danymi procesowymi: malware zmieniał prędkość obrotową wirówek w sposób szkodliwy, a jednocześnie prezentował operatorom „uspokojone” odczyty, sugerujące normalną pracę systemu.
Stuxnet pokazał, że cyberatak może być zaprojektowany jak broń precyzyjna: działać tylko w ściśle określonym środowisku, wywoływać szkody fizyczne i pozostawać trudny do jednoznacznego przypisania. Od strony prawnej pojawiło się pytanie, czy tego rodzaju działanie należy traktować jak „atak zbrojny” w rozumieniu prawa międzynarodowego, czy raczej jako rozbudowaną operację szpiegowsko-sabotażową o ograniczonym zasięgu.
Ukraina – od wyłączeń energii do szerokiej kampanii hybrydowej
Ataki na ukraiński sektor energetyczny w latach 2015–2016 stały się symbolicznym przykładem cyberoperacji wymierzonych w infrastrukturę krytyczną w trakcie konfliktu politycznego. W grudniu 2015 r. część mieszkańców zachodniej Ukrainy doświadczyła kilkugodzinnych przerw w dostawie energii elektrycznej, których przyczyną był skoordynowany atak na systemy sterowania operatorów sieci dystrybucyjnych.
Scenariusz obejmował kilka poziomów:
infekcję sieci IT za pomocą złośliwego oprogramowania (m.in. BlackEnergy),
przejęcie kont operatorów i zdalne wyłączanie wyłączników w rozdzielniach,
utrudnianie odzyskania kontroli poprzez ataki DDoS na centra obsługi klienta i sabotaż oprogramowania w stacjach roboczych.
Rok później zaobserwowano kolejną falę ataków, wiązaną z malwarem Industroyer/CrashOverride, który był zaprojektowany do komunikacji z przemysłowymi protokołami energetycznymi. To przesunęło dyskusję z poziomu „incydentu bezpieczeństwa IT” na poziom systematycznego budowania zdolności do zakłócania usług publicznych w ramach długotrwałego konfliktu.
Doświadczenie Ukrainy pokazuje, że po jednorazowym, głośnym ataku zwykle następuje okres mniej widocznych operacji – skanowania, doskonalenia narzędzi i testowania obrony. Dla państw graniczących z obszarami napięć geopolitycznych jest to praktyczna lekcja, że ochrona infrastruktury krytycznej wymaga ciągłego dopasowywania strategii, a nie jednorazowego projektu „podniesienia poziomu bezpieczeństwa”.
Colonial Pipeline – gdy ransomware zatrzymuje logistykę paliwową
Incydent z 2021 r. dotyczący Colonial Pipeline w USA pokazał, jak atak o pozornie „czysto finansowym” charakterze może wymusić decyzje o wstrzymaniu działalności kluczowej infrastruktury. Z perspektywy technicznej celem była głównie część IT, a nie bezpośrednio systemy OT odpowiedzialne za tłoczenie paliwa. Mimo to operator zdecydował się tymczasowo wstrzymać transport, aby ograniczyć skalę potencjalnych skutków.
Skutki były natychmiast widoczne dla obywateli: lokalne niedobory paliwa, kolejki na stacjach, napięcie polityczne. Dyskusja publiczna szybko wyszła poza obszar technologii i dotyczyła m.in. obowiązków raportowania incydentów, współpracy między sektorem prywatnym a służbami federalnymi oraz zasad wypłacania okupu.
To zdarzenie uświadomiło wielu operatorom, że nawet jeśli docelowo uda się ochronić sieć OT, to skuteczny atak na systemy wsparcia – księgowość, planowanie logistyki, systemy zamówień – może skłonić zarząd do wstrzymania działalności z ostrożności. Z punktu widzenia agresora staje się to atrakcyjnym narzędziem wywierania presji, a z punktu widzenia regulacji – argumentem za rozszerzeniem definicji infrastruktury krytycznej także na wybrane procesy „okołotechniczne”.
Próby ingerencji w systemy wodociągowe
W ostatnich latach ujawniono kilka incydentów dotyczących systemów uzdatniania wody i sieci wodociągowych, zarówno w Ameryce Północnej, jak i w Europie. W wielu z nich nie doszło do realnego skażenia, jednak sama możliwość zdalnego podniesienia stężenia chemikaliów w wodzie pokazała, jak wrażliwy jest ten sektor.
Charakterystyczne cechy takich ataków to:
wykorzystanie słabo zabezpieczonych zdalnych dostępów (np. stare oprogramowanie zdalnego pulpitu, wspólne hasła serwisowe),
bezpośrednia manipulacja parametrami w HMI – bez potrzeby stosowania zaawansowanego malware’u,
zależność od reakcji człowieka – czujność operatora, który dostrzeże nienaturalne wartości lub nietypowe logowania.
Te przypadki są dobrą ilustracją, że nie każdy atak na infrastrukturę krytyczną wymaga zaawansowanej wiedzy kryptograficznej czy wyrafinowanego kodu. Często wystarczy połączenie podstawowych błędów konfiguracyjnych z brakiem świadomości, że nawet mała oczyszczalnia ścieków jest elementem większego łańcucha bezpieczeństwa państwa.
Cyberwojna, szpiegostwo, przestępczość – kto atakuje i z jakimi motywami
Państwa i ich „ramiona w cyberprzestrzeni”
W cyberkonfliktach państwa działają zwykle nie bezpośrednio, lecz poprzez wyspecjalizowane jednostki wojskowe, służby wywiadowcze lub struktury formalnie od nich odseparowane. Taki model daje elastyczność: pozwala prowadzić działania poniżej progu otwartego konfliktu i utrudnia przypisanie odpowiedzialności.
Motywacja państw obejmuje kilka głównych obszarów:
rozpoznanie – długotrwałe monitorowanie systemów przeciwnika, budowanie mapy zależności i punktów krytycznych,
przygotowanie zdolności odstraszania – utrzymywanie backdoorów w kluczowych systemach jako „opcji” użycia w razie eskalacji,
wsparcie działań militarnych – zakłócanie łączności, logistyki, energii w czasie lub tuż przed działaniami kinetycznymi,
sygnały polityczne – demonstracyjne ataki o ograniczonym zasięgu, które mają pokazać zdolności techniczne bez wywołania pełnego konfliktu.
W praktyce granica między operacjami ofensywnymi a wywiadowczymi często się zaciera. Ten sam dostęp do sieci operatora gazowego może służyć wyłącznie do zbierania informacji lub zostać w dowolnym momencie użyty do sabotażu. Z punktu widzenia obrony oznacza to, że nawet „bierna” obecność w systemie powinna być traktowana jak potencjalna broń.
Grupy APT i „outsourcing” agresji
Termin APT (Advanced Persistent Threat) opisuje raczej styl działania niż konkretny podmiot. Zwykle chodzi o dobrze finansowane grupy, które potrafią miesiącami prowadzić operacje w sieci ofiary, nie zdradzając swojej obecności. Część z nich jest powiązana z państwami – formalnie lub nieformalnie – i wykonuje zadania zgodne z interesem danego rządu.
Typowy model obejmuje:
specjalizację według sektorów – osobne zespoły zajmujące się np. energetyką, telekomunikacją, sektorem finansowym,
dzielenie się infrastrukturą – korzystanie z tych samych serwerów C2, zestawów narzędzi czy technik ukrywania śladów przez różne grupy,
warstwowanie odpowiedzialności – zatrudnianie podwykonawców, współpraca z lokalnymi cyberprzestępcami, tworzenie „fałszywych flag” w kodzie i infrastrukturze.
Dla analityków prowadzących atrybucję taki ekosystem stanowi duże wyzwanie. Kod może być celowo konstruowany tak, aby przypominał techniki znane z innego regionu świata, a infrastruktura – prowadzona z państw trzecich, które nie są bezpośrednio zaangażowane w konflikt. To utrudnia nie tylko reakcję polityczną, ale także budowę międzynarodowego konsensusu co do tego, kto faktycznie stoi za danym atakiem.
Cyberprzestępczość zorganizowana i model „ransomware-as-a-service”
Obok aktorów państwowych rośnie znaczenie zorganizowanych grup przestępczych, które koncentrują się na zyskach finansowych. W infrastrukturze krytycznej dotyczy to przede wszystkim ataków ransomware i wymuszeń połączonych z kradzieżą danych (tzw. double extortion).
W ostatnich latach upowszechnił się model ransomware-as-a-service (RaaS). Twórcy złośliwego oprogramowania udostępniają je „afiliantom”, którzy zajmują się włamaniem do sieci i wyborem ofiary. Zysk z okupu jest dzielony między strony. W tym modelu:
część grup specjalizuje się w dostępie początkowym (Initial Access Brokers), sprzedając wejścia do sieci szpitali, operatorów logistycznych czy przedsiębiorstw energetycznych,
inni skupiają się na negocjacji i praniu środków, obsługując płatności w kryptowalutach i ukrywając ich pochodzenie,
operatorzy RaaS dostarczają „panel zarządzania atakiem”, instrukcje, a niekiedy także wsparcie techniczne.
Dla ofiar oznacza to, że za jednym incydentem może stać łańcuch podmiotów z różnych jurysdykcji, z odmiennymi motywacjami i poziomem profesjonalizacji. Utrudnia to zarówno ściganie sprawców, jak i ocenę, czy niektóre elementy ataku nie zostały wykorzystane lub „podjęte” przez aktorów państwowych.
Aktywiści, „haktywiści” i działania quasi-polityczne
W okresach napięć międzynarodowych pojawiają się również grupy określające się jako „haktywiści”, które deklarują motywacje ideowe: obronę praw człowieka, walkę z cenzurą, sprzeciw wobec konkretnych decyzji politycznych. Ich arsenał techniczny bywa zróżnicowany – od prostych ataków DDoS i defacementów stron internetowych po próby ingerencji w systemy operacyjne.
W kontekście infrastruktury krytycznej ich działalność rzadziej prowadzi do trwałych zniszczeń. Częściej chodzi o symboliczne zakłócenia, ujawnianie wykradzionych danych czy publikowanie screenów z paneli sterowania. Dla operatorów jest to jednak dodatkowy czynnik ryzyka: nawet jeżeli technicznie szkody są ograniczone, nagłośnienie incydentu może wywołać presję opinii publicznej, wymuszać audyty i przyspieszać zmiany regulacyjne.
Trudność polega na tym, że za niektórymi „haktywistycznymi” szyldami mogą kryć się struktury powiązane z państwami. Wówczas przekaz medialny pozostaje ideowy, natomiast wybór celów i sposób prowadzenia działań odpowiada długoterminowym interesom geopolitycznym konkretnego kraju.
Mieszanie motywów i rola „szarej strefy”
Coraz częściej obserwuje się sytuacje, w których granica między cyberwojną, szpiegostwem a przestępczością jest celowo zaciemniana. Przykładowo:
atak z pozoru czysto finansowy (ransomware na sieć IT) kryje w tle operację rozpoznawczą w segmencie OT,
grupa przestępcza korzysta z narzędzi kiedyś przypisywanych służbom państwowym, które „wyciekły” lub zostały skradzione,
państwo przymyka oko na działalność lokalnych cyberprzestępców, o ile ich działania są zbieżne z jego interesami strategicznymi.
W takim środowisku atrybucja – czyli wskazanie sprawcy – staje się nie tylko wyzwaniem technicznym, ale także politycznym. Wiele państw świadomie pozostaje w „szarej strefie”, kalkulując, że brak jednoznacznych dowodów utrudni zastosowanie sankcji czy kontrdziałań. To z kolei wpływa na sposób projektowania regulacji i mechanizmów współpracy międzynarodowej.
Cyberwojna a prawo międzynarodowe i granice „legalnych” działań w sieci
Czy cyberatak może być „zbrojnym atakiem”?
Podstawowym punktem odniesienia jest Karta Narodów Zjednoczonych, która dopuszcza użycie siły w samoobronie w przypadku „zbrojnego ataku”. Spór dotyczy tego, czy i kiedy cyberoperacja spełnia ten próg. W uproszczeniu rozważa się kilka kryteriów:
skala i skutki – czy atak powoduje śmierć, poważne obrażenia, znaczną destrukcję infrastruktury porównywalną z konwencjonalnym atakiem fizycznym,
bezpośredniość związku między działaniem w sieci a szkodą fizyczną,
intencję i kontekst – czy działanie ma charakter wojskowy, jest częścią szerszej kampanii zbrojnej, czy raczej pojedynczym incydentem o charakterze kryminalnym,
atrybucję – na ile wiarygodnie można przypisać atak konkretnemu państwu, a nie jedynie „grupie z terytorium danego kraju”.
Eksperckie opracowania, takie jak kolejne wersje tzw. Tallinn Manual, sugerują, że cyberatak może osiągnąć próg „zbrojnego ataku”, jeżeli powoduje skutki porównywalne z użyciem siły kinetycznej – np. masowe ofiary śmiertelne w wyniku manipulacji systemami szpitalnymi czy rozległe zniszczenia infrastruktury energetycznej zimą. Państwa są jednak ostrożne w jednoznacznym deklarowaniu, co konkretnie uznałyby za taką sytuację, pozostawiając sobie margines swobody reakcji.
Dla operatorów infrastruktury krytycznej oznacza to dość niekomfortową rzeczywistość: skutki ich kompromitacji mogą w skrajnym scenariuszu stać się jednym z kluczowych czynników politycznej decyzji o zastosowaniu środków obronnych, także militarnych. Jednocześnie niewiele jest publicznie dostępnych, wiążących deklaracji poszczególnych państw, które precyzyjnie opisywałyby progi reakcji na konkretne zdarzenia w cyberprzestrzeni.
Zasady prowadzenia działań zbrojnych a cyberoperacje
Jeżeli cyberoperacja zostanie uznana za element konfliktu zbrojnego, wchodzą w grę zasady międzynarodowego prawa humanitarnego – w szczególności rozróżniania (distinction), proporcjonalności i środków ostrożności. W teorii wymagałoby to kierowania ataków wyłącznie przeciwko celom wojskowym oraz unikania nadmiernych szkód ubocznych wśród ludności cywilnej i infrastruktury niezbędnej do jej przetrwania.
Problem w tym, że infrastruktura krytyczna jest z natury „podwójnego zastosowania”. Ta sama sieć energetyczna zasila jednostki wojskowe i szpitale, a ten sam operator telekomunikacyjny obsługuje administrację publiczną i systemy dowodzenia. W praktyce ocena, czy cyberatak na dany system jest „proporcjonalny” i czy nie prowadzi do zabronionych skutków ubocznych, bywa więc znacznie trudniejsza niż w przypadku klasycznych środków walki.
Dodatkową komplikacją są skutki pośrednie. Przerwa w dostawie energii do stacji uzdatniania wody może nie powodować ofiar natychmiast, ale po kilku dniach realnie zagrażać zdrowiu całej społeczności. Ujęcie takich efektów w ocenie zgodności z prawem humanitarnym wymaga specjalistycznej wiedzy technicznej i dobrego rozumienia zależności między systemami, co nie zawsze jest dostępne planistom operacji.
Odpowiedzialność państwa i atrybucja
Kluczowym elementem oceny legalności cyberoperacji jest przypisanie jej działającemu państwu. Zasady odpowiedzialności państw w prawie międzynarodowym – rozwijane jeszcze przed erą cyfrową – zakładają m.in., że państwo odpowiada za działania swoich organów, jak również za podmioty, które działają na jego instrukcje lub pod jego skuteczną kontrolą.
W cyberprzestrzeni problem polega na tym, że łańcuchy wykonawcze są złożone, a rola państwa bywa pośrednia. Grupy APT mogą być formalnie niezależnymi „organizacjami społecznymi”, cyberprzestępcy działają z terytorium danego kraju bez bezpośredniego zlecenia władz, a infrastruktura techniczna ataku jest rozproszona po całym świecie. Państwa posługują się tu różnymi poziomami „pewności atrybucji” (highly likely, almost certain), ale te kategorie mają raczej charakter polityczny niż ściśle prawny.
To rodzi napięcie między potrzebą reakcji na poważne incydenty a ryzykiem pochopnego przypisania odpowiedzialności i eskalacji konfliktu. Część państw przyjmuje strategię „aurei niejednoznaczności”: sygnalizuje, że zastrzega sobie prawo do odpowiedzi – również środkami pozacyfrowymi – przy jednoczesnym unikaniu sztywnych deklaracji, kiedy i na jakich dowodach taka odpowiedź zostanie oparta. Z punktu widzenia stabilności międzynarodowej zwiększa to rolę mechanizmów dyplomatycznych i kanałów poufnej wymiany informacji wywiadowczych.
W tle pojawia się też kwestia przejrzystości wobec własnych obywateli i operatorów infrastruktury. Gdy rząd publicznie przypisuje komuś atak na sieć energetyczną, a jednocześnie nie ujawnia większej części podstaw dowodowych, powstaje napięcie między bezpieczeństwem operacyjnym a społecznym zaufaniem. Operatorzy, którzy nierzadko sami dostarczają logi, próbki złośliwego oprogramowania i dane śledcze, oczekują przynajmniej ogólnych informacji zwrotnych co do charakteru sprawcy i możliwych scenariuszy dalszych działań.
Środki odwetowe i „odpowiedź poniżej progu wojny”
Nie każde wrogie działanie w sieci osiąga próg „zbrojnego ataku”. Zdecydowana większość incydentów – także tych wymierzonych w infrastrukturę krytyczną – mieści się w obszarze środków przymusu poniżej progu użycia siły. W tym spektrum mieszczą się m.in. sankcje gospodarcze, wydalenia dyplomatów, zarządzanie atrybucją publiczną (naming and shaming), a czasem także odwetowe cyberoperacje o ograniczonej skali.
Przy takich działaniach punktem odniesienia są zasady ogólnego prawa międzynarodowego dotyczące tzw. środków odwetowych (countermeasures) i retorsji. Co do zasady odwet powinien być proporcjonalny, wymierzony w państwo odpowiedzialne za naruszenie i służyć przywróceniu zgodności z prawem, a nie „ukarania” sprawcy. W praktyce jednak cienka jest granica między działaniem o charakterze prawnym a polityczną demonstracją siły, zwłaszcza gdy szczegóły operacji pozostają niejawne.
Państwa próbują równolegle budować wspólne standardy zachowania w cyberprzestrzeni. W ramach ONZ i innych forów wypracowano katalog tzw. norm odpowiedzialnego zachowania, np. zakazu atakowania systemów reagowania kryzysowego czy szpitali w czasie pokoju. Normy te nie mają jeszcze mocy traktatowej, ale coraz częściej są przywoływane w reakcji na głośne incydenty. Dla operatorów infrastruktury krytycznej oznacza to, że pewne obszary – jak opieka zdrowotna czy bezpieczeństwo jądrowe – mogą być w przyszłości traktowane jako szczególnie chronione, także w wymiarze prawnym.
Obowiązki państw wobec własnej infrastruktury i terytorium
Perspektywa obrony przed obcymi atakami to tylko jedna strona medalu. Drugą są obowiązki „dobrej administracji terytorium”, czyli wymóg, aby państwo nie dopuszczało, by jego infrastruktura i terytorium służyły do wyrządzania szkód innym. Coraz częściej podnosi się argument, że tolerowanie zorganizowanych grup cyberprzestępczych, które z danego kraju atakują cudzą infrastrukturę krytyczną, może zostać potraktowane jako naruszenie tych obowiązków, nawet jeżeli brak jest dowodów na bezpośrednie sterowanie przez władze.
W praktyce przekłada się to na rosnące oczekiwania względem krajowych służb i regulatorów: wzmacnianie ram prawnych do walki z cyberprzestępczością, skuteczną współpracę międzynarodową organów ścigania, a także podnoszenie standardów bezpieczeństwa u operatorów usług kluczowych. Jeżeli państwo domaga się od innych respektowania standardów w cyberprzestrzeni, musi wykazać, że samo aktywnie ogranicza ryzyka wychodzące z jego jurysdykcji – inaczej jego argumentacja traci wiarygodność zarówno politycznie, jak i prawnie.
Coraz częściej dyskutuje się również o odpowiedzialności za elementarny poziom cyberhigieny w podmiotach publicznych i spółkach skarbu państwa. Jeżeli szpital, elektrownia czy operator sieci wodociągowej funkcjonuje w oparciu o przestarzałe systemy, bez segmentacji sieci i bez podstawowych procedur reagowania na incydenty, trudno przekonująco argumentować na forum międzynarodowym, że każdy udany atak jest wyłącznie wynikiem agresji z zewnątrz. Z prawnego punktu widzenia zaniedbania po stronie państwa i operatorów nie zwalniają oczywiście sprawcy z odpowiedzialności, ale mogą wpływać na ocenę skali szkody, możliwych roszczeń odszkodowawczych i wiarygodności politycznych żądań.
Obowiązki państwa wobec własnej infrastruktury mają więc wymiar zarówno zewnętrzny, jak i wewnętrzny. Na zewnątrz chodzi o to, aby nie stać się „bezpieczną przystanią” dla podmiotów szkodzących innym państwom. Do wewnątrz kierowane są natomiast oczekiwania obywateli i biznesu: zapewnienia stabilności usług kluczowych, przejrzystego systemu raportowania incydentów, wsparcia merytorycznego dla słabszych podmiotów oraz jasnych zasad podziału odpowiedzialności między administrację a sektor prywatny. Bez takiej wewnętrznej spójności deklaracje o obronie przed cyberwojną pozostają w dużej mierze hasłami.
W praktyce państwa, które chcą realnie ograniczać ryzyka związane z cyberatakami na infrastrukturę krytyczną, inwestują równolegle w kilka obszarów: organy ścigania i wymiar sprawiedliwości (aby móc skutecznie ścigać sprawców), służby wywiadowcze i wojskowe (aby rozumieć szerszy kontekst strategiczny i zagrożenia hybrydowe) oraz regulatorów sektorowych i centra reagowania na incydenty (aby podnosić minimalny poziom ochrony u operatorów). Tam, gdzie te filary są ze sobą skoordynowane, reakcja na incydent bywa szybsza, a spory co do odpowiedzialności – mniejsze.
Cyfrowy wymiar współczesnych konfliktów nie znosi klasycznych kategorii prawa międzynarodowego, ale je napina i testuje w nowych konfiguracjach. Dla operatorów infrastruktury krytycznej, regulatorów i decydentów oznacza to konieczność myślenia o cyberbezpieczeństwie nie tylko jako o problemie technicznym, lecz także jako o obszarze, w którym krzyżują się interesy wojskowe, gospodarcze i społeczne. Im wcześniej te zależności zostaną zrozumiane i przełożone na praktyczne procedury, tym mniejsze będzie ryzyko, że kolejny kryzys w sieci przerodzi się w kryzys polityczny lub bezpieczeństwa o znacznie szerszej skali.
Źródło: Pexels | Autor: Ntate Mohlala Sir
Między bezpieczeństwem a wolnością – dylematy państw w cyberprzestrzeni
Rozwój zdolności do obrony i odwetu w sieci prowadzi do napięcia między bezpieczeństwem a ochroną praw i wolności. Infrastruktura krytyczna jest często własnością prywatną lub funkcjonuje w modelu mieszanym, a działania obronne państwa – monitorowanie ruchu, wymogi raportowania incydentów, przejmowanie kontroli nad systemami – ingerują w autonomię operatorów i prywatność użytkowników.
W wielu krajach debata koncentruje się wokół pytania, jak daleko mogą sięgać uprawnienia służb i regulatorów wobec podmiotów kluczowych z punktu widzenia bezpieczeństwa państwa. Systemy wczesnego ostrzegania i centralne platformy wymiany informacji o zagrożeniach (threat intelligence) opierają się na szerokim dostępie do danych, logów, konfiguracji sieci. Dla operatorów oznacza to konieczność pogodzenia wymogów bezpieczeństwa z tajemnicą przedsiębiorstwa, regulacjami ochrony danych osobowych oraz oczekiwaniami klientów co do poufności usług.
W praktyce wykształcają się różne modele prawne i organizacyjne. Część państw stawia na silną centralizację – z szerokimi kompetencjami krajowego centrum reagowania na incydenty (CERT/CSIRT) oraz obowiązkiem zgłaszania praktycznie każdego poważniejszego incydentu. Inne preferują model bardziej partnerski, z naciskiem na dobrowolną współpracę, zachęty ekonomiczne i mechanizmy branżowego samoregulowania. W obu przypadkach kluczowe jest zaufanie: jeżeli operatorzy obawiają się, że każde zgłoszenie skończy się sankcją lub publicznym napiętnowaniem, będą minimalizować raportowanie, a tym samym osłabiać zdolność państwa do oceny rzeczywistego poziomu zagrożeń.
Uprawnienia służb a biznes i użytkownicy
W obszarze cyberobrony infrastruktury krytycznej zacierają się tradycyjne granice między działalnością wywiadowczą, policją a regulacją sektorową. Te same dane techniczne – logi połączeń, metadane, informacje o konfiguracji – mogą służyć zarówno do wykrywania ataków, jak i do nadzoru nad użytkownikami. Dlatego każdemu rozszerzeniu uprawnień nadzorczych zwykle towarzyszy dyskusja o proporcjonalności i mechanizmach kontroli.
Z technicznego punktu widzenia monitoring bezpieczeństwa (security monitoring) wymaga głębokiego wglądu w ruch sieciowy, zwłaszcza w sieciach OT. Z perspektywy prawnej pojawia się pytanie, czy i w jakim zakresie można analizować także treść komunikacji, a nie jedynie dane o jej przepływach. Odpowiedzi różnią się w zależności od systemu prawnego, ale powszechnym elementem jest wymóg wyraźnego rozróżniania między działaniami prewencyjnymi a czynnościami operacyjnymi ukierunkowanymi na konkretnych użytkowników lub pracowników.
Operatorzy infrastruktury stają się de facto „przedłużeniem” państwowego systemu bezpieczeństwa. Oczekuje się od nich nie tylko technicznej ochrony własnych systemów, lecz także współpracy z właściwymi służbami – od szybkiego udostępniania informacji po wdrażanie zaleceń czy wręcz poleceń dotyczących konfiguracji kluczowych systemów. Dobrze zaprojektowane przepisy w tym obszarze precyzują, kiedy udostępnienie danych jest obowiązkowe, jakie są gwarancje ochrony tajemnicy przedsiębiorstwa, w jakim trybie można kwestionować żądania organów i jak długo dane mogą być przechowywane.
Przejrzystość, odpowiedzialność i komunikacja kryzysowa
Cyberataki na infrastrukturę krytyczną często wywołują nie tylko skutki techniczne, lecz także kryzys zaufania społecznego. Brak prądu, problem z bankowością elektroniczną czy zakłócenia w dostępie do wody szybko stają się tematem medialnym, a oczekiwania opinii publicznej wobec władz i operatorów rosną. To, w jaki sposób komunikowany jest incydent – ile informacji zostanie ujawnione, kiedy i w jakiej formie – bywa równie istotne jak sama reakcja techniczna.
Praktyka pokazuje, że operatorzy nierzadko wahają się między chęcią ograniczenia paniki a obawą przed zarzutami ukrywania informacji. W tle pojawiają się rozmaite interesy: obawa o kurs akcji, relacje z partnerami biznesowymi, możliwość dochodzenia roszczeń od ubezpieczycieli lub dostawców. Z kolei administracja państwowa musi pogodzić wymóg ochrony informacji niejawnych i danych operacyjnych z obowiązkiem informowania społeczeństwa o zagrożeniach dla zdrowia, życia czy majątku.
W wielu sektorach rozwija się więc praktyka predefiniowanych scenariuszy komunikacyjnych. Zakładają one, że przy określonych kategoriach incydentu – np. podejrzeniu manipulacji parametrami w oczyszczalni ścieków lub częściowym paraliżu systemu rezerwacji lotniczych – istnieje gotowy zestaw komunikatów, procedur informowania regulatora, służb, a także mieszkańców lub klientów. Im lepiej te scenariusze są przećwiczone z wyprzedzeniem (np. podczas ćwiczeń typu table-top), tym mniejsze ryzyko chaotycznych i sprzecznych przekazów w chwili realnego zagrożenia.
Rola sektora prywatnego i łańcuchów dostaw
Infrastruktura krytyczna rzadko jest monolitem kontrolowanym w całości przez państwo. System energetyczny, wodociągowy, transportowy czy finansowy opiera się na gęstej sieci podwykonawców, dostawców technologii, integratorów, firm serwisowych. Atakując jedno ogniwo – często pozornie mało istotne – agresor może uzyskać dostęp do całego ekosystemu. Ten efekt „domino” jest szczególnie niebezpieczny w cyberprzestrzeni, gdzie granice organizacyjne nie pokrywają się z granicami technicznymi sieci.
W praktyce oznacza to konieczność przesunięcia punktu ciężkości z ochrony pojedynczej organizacji na zarządzanie ryzykiem w łańcuchu dostaw ICT i OT. Kontrakty z dostawcami oprogramowania, sprzętu, usług chmurowych czy serwisu powinny uwzględniać nie tylko SLA dotyczące dostępności, ale także wymagania w zakresie bezpieczeństwa: sposób zarządzania aktualizacjami, testy penetracyjne, obsługę incydentów, obowiązki informacyjne. Dla wielu podmiotów to istotna zmiana sposobu myślenia – z klasycznego zakupu produktu lub usługi na długotrwałe partnerstwo obarczone wspólną odpowiedzialnością za ryzyko.
Oprogramowanie i usługi jako „bramy” do infrastruktury
Ataki na dostawców rozwiązań powszechnie używanych w wielu organizacjach (np. systemy zarządzania siecią, oprogramowanie przemysłowe, zewnętrzne narzędzia do zdalnej administracji) stają się jednym z głównych wektorów zagrożeń. Zaatakowanie jednego producenta lub integratora pozwala potencjalnie dotrzeć do dziesiątek czy setek operatorów infrastruktury krytycznej, często z uprawnieniami administracyjnymi i głębokim dostępem do sieci OT.
Z punktu widzenia prawa i regulacji rodzi to pytanie, jak dalece można i trzeba przenosić wymagania bezpieczeństwa na dostawców. Model, w którym operator odpowiada w pełni za wszystko, co się dzieje w jego sieci, traci realność, jeśli kluczowe komponenty są projektowane, aktualizowane i administrowane przez podmioty zewnętrzne, często spoza jurysdykcji państwa, w którym działa infrastruktura. Odpowiedzią są m.in. certyfikacje bezpieczeństwa produktów i usług ICT, wymogi dotyczące przejrzystości łańcucha dostaw oraz klauzule kontraktowe zobowiązujące dostawców do raportowania incydentów i współpracy przy reagowaniu.
W praktyce to wciąż obszar w fazie kształtowania. Część dostawców gotowych jest przyjąć daleko idące zobowiązania i inwestować w podnoszenie standardów bezpieczeństwa, traktując to jako przewagę konkurencyjną. Inni starają się zminimalizować swoją odpowiedzialność, odwołując się do ogólnych zastrzeżeń w licencjach i przerzucając ciężar ryzyka na operatorów. Dla regulatorów wyzwaniem jest znalezienie równowagi między stymulowaniem innowacji a utrzymaniem minimalnego, akceptowalnego poziomu bezpieczeństwa w krytycznych segmentach rynku.
Małe podmioty, duże ryzyka
Czułym punktem łańcuchów dostaw są podmioty średnie i małe – lokalne firmy serwisujące urządzenia, instalujące systemy sterowania, świadczące usługi zdalnego monitoringu. Z perspektywy agresora często są one łatwiejszym celem niż duzi operatorzy objęci ścisłymi regulacjami. Jednocześnie mają realny wpływ na konfigurację i bieżące funkcjonowanie infrastruktury. W wielu przypadkach dysponują kontami uprzywilejowanymi, dostępem VPN i fizycznym dostępem do obiektów.
Rozsądne ramy regulacyjne uwzględniają ten problem, wprowadzając np. wymogi bezpieczeństwa także dla kluczowych podwykonawców, programy wsparcia i szkoleń, a czasem minimalne standardy branżowe opracowywane wspólnie z organizacjami zawodowymi. Z ekonomicznego punktu widzenia oznacza to jednak wzrost kosztów – zarówno po stronie operatorów, którzy muszą weryfikować swoich dostawców, jak i po stronie samych dostawców, którzy są zmuszeni inwestować w kompetencje i procesy bezpieczeństwa. Bez tego jednak trudno mówić o realnej odporności całego systemu, a nie tylko jego najbardziej widocznych elementów.
Budowanie odporności: od reakcji po proaktywne zarządzanie ryzykiem
Cyberwojna i ataki na infrastrukturę krytyczną rzadko przypominają jednokrotne uderzenie, po którym sytuacja wraca do stanu sprzed incydentu. Coraz częściej mamy do czynienia z długotrwałymi kampaniami, w których testowane są zabezpieczenia, sondowane reakcje, budowane są pozycje w sieciach przeciwnika. W takim środowisku sama zdolność do reagowania „po fakcie” przestaje wystarczać. Potrzebne jest podejście zakładające, że prędzej czy później dojdzie do naruszenia, a celem jest ograniczenie skutków i szybkie odtworzenie kluczowych funkcji.
W języku polityk publicznych mówi się o odporności (resilience) – zdolności systemu do kontynuowania działania mimo zakłóceń i szybkiego powrotu do stanu akceptowalnego z punktu widzenia użytkowników. W kontekście infrastruktury krytycznej oznacza to zestaw równoległych działań: od projektowania architektury w sposób utrudniający rozprzestrzenianie się skutków ataku, przez procedury awaryjne i manualne obejścia, po mechanizmy finansowe i organizacyjne pozwalające przetrwać kryzys.
Segmentacja, redundancja i „plan B” dla systemów OT
Z technicznego punktu widzenia fundamentem odporności w infrastrukturze krytycznej jest odpowiednia architektura sieci i systemów. Segmentacja – zarówno logiczna, jak i fizyczna – ogranicza możliwość przeskakiwania atakującego między strefami bezpieczeństwa. Redundancja kluczowych elementów (linie zasilania, kanały komunikacji, serwery) pozwala utrzymać minimalne funkcje nawet przy częściowym paraliżu. Coraz większe znaczenie mają też procedury pracy w trybie awaryjnym, w tym fallback do sterowania manualnego, o ile jest to jeszcze technicznie możliwe.
Przykładowo, elektrociepłownia może zakładać, że w razie utraty systemu SCADA będzie w stanie przez określony czas pracować w trybie ręcznym, opierając się na lokalnych pomiarach i procedurach. Wymaga to jednak utrzymywania personelu z odpowiednimi kompetencjami, okresowych ćwiczeń i dokumentacji, która nie zakłada wyłącznie pracy w środowisku cyfrowym. Tam, gdzie digitalizacja poszła bardzo daleko, przywrócenie sterowania manualnego bywa trudne, a czasem niemożliwe – co zwiększa uzależnienie od ciągłej dostępności systemów informatycznych.
Regulatorzy coraz częściej wprost oczekują od operatorów dokumentacji scenariuszy działania w warunkach ograniczonej dostępności systemów IT i OT: jak długo można utrzymać kluczowe funkcje, które procesy muszą być przywrócone jako pierwsze, jak wygląda priorytetyzacja usług z punktu widzenia bezpieczeństwa obywateli. Te „plany B” nie są już postrzegane jako opcjonalny załącznik, lecz jako integralny element zarządzania ryzykiem.
Szkolenia, ćwiczenia i „pamięć organizacyjna”
Wiele spektakularnych incydentów pokazuje, że nawet dobrze zaprojektowane procedury zawodzą, jeśli ludzie nie wiedzą, jak z nich korzystać lub gdy w kluczowych momentach decyzje są odkładane. Stąd rosnące znaczenie regularnych ćwiczeń – zarówno technicznych, jak i organizacyjnych – które symulują ataki na infrastrukturę krytyczną. Obejmują one zwykle nie tylko zespoły IT/OT, ale także kierownictwo, służby prasowe, przedstawicieli regulatora i lokalnej administracji.
Ćwiczenia typu red team / blue team, testy odporności (np. w sektorze finansowym) czy scenariusze „cyber-blackout” pozwalają zidentyfikować słabe punkty w łańcuchu decyzyjnym: brak jasności co do tego, kto ma prawo podjąć decyzję o odłączeniu systemu, niejednoznaczne kryteria eskalacji, rozbieżne wytyczne między regulatorami sektorowymi a krajowym centrum reagowania. Równie istotna jest pamięć organizacyjna – dokumentowanie wniosków, aktualizacja procedur i utrzymywanie ich w praktycznym obiegu mimo rotacji kadry.
W organizacjach dojrzałych pod względem cyberbezpieczeństwa po każdym poważniejszym incydencie czy ćwiczeniu przeprowadza się formalny post-incident review lub lessons learned. Analizowane są nie tylko aspekty techniczne, lecz także komunikacja, współpraca z partnerami i służbami, aspekt prawny (np. terminy powiadomień, obowiązki wobec klientów i organów). Taka systematyka zmniejsza ryzyko, że te same błędy będą się powtarzać przy kolejnych zdarzeniach, co jest szczególnie istotne w sektorach o dużej rotacji pracowników lub wielu podwykonawcach.
Coraz częściej do takich przeglądów włącza się także partnerów zewnętrznych – operatorów innych segmentów infrastruktury, dostawców technologii, a nawet przedstawicieli administracji. Pozwala to spojrzeć na incydent z kilku perspektyw jednocześnie i uniknąć sytuacji, w której jedna organizacja uszczelnia swoje procedury, a luka systemowa pozostaje na styku kompetencji różnych podmiotów. Dobrym efektem ubocznym bywa budowanie zaufania roboczego, które w czasie realnego kryzysu skraca drogę od wykrycia problemu do uruchomienia współpracy międzysektorowej.
Istotnym elementem odporności jest także sposób, w jaki organizacja przekazuje wiedzę nowym pracownikom i podwykonawcom. Formalne polityki bezpieczeństwa i prezentacje wstępne to za mało, jeśli nie towarzyszą im praktyczne scenariusze i dostęp do historycznych materiałów z incydentów. W wielu firmach sprawdzają się krótkie, cykliczne sesje „case review”, podczas których omawia się jedno konkretne zdarzenie – co się faktycznie stało, jakie decyzje podjęto, co dziś zrobiono by inaczej. Takie spotkania, prowadzone w atmosferze „bez polowania na winnych”, pomagają utrwalić standardy działania lepiej niż najbardziej rozbudowane regulaminy.
W sektorach regulowanych kluczowe znaczenie mają również ćwiczenia międzyinstytucjonalne organizowane przez państwowe centra reagowania, organy nadzorcze lub organizacje branżowe. Ćwiczenia te, angażujące równolegle wiele podmiotów, pozwalają przetestować obieg informacji, mechanizmy wzajemnego wsparcia oraz punkty kontaktowe „na poziomie operacyjnym”, a nie wyłącznie formalnym. Często ujawniają przy tym prozaiczne problemy: brak aktualnych danych kontaktowych, niejasność co do godziny granicznej zgłoszenia incydentu, rozbieżne oczekiwania co do zakresu raportowanych informacji technicznych.
Elementem domykającym cykl jest faktyczne wdrożenie wniosków z ćwiczeń i incydentów. Obejmuje to modyfikacje procedur, aktualizację umów z dostawcami, zmiany w architekturze systemów, a niekiedy także korekty w strukturze organizacyjnej (np. doprecyzowanie roli oficera bezpieczeństwa lub utworzenie dedykowanego zespołu ds. OT). Bez takiego „przekłucia” wniosków na konkretne decyzje biznesowe i techniczne nawet najlepiej zaprojektowane ćwiczenia pozostają jedynie formalnym obowiązkiem, który nie przekłada się na realną zdolność do działania w warunkach kryzysu.
Konflikty przeniesione do sieci pokazały, że infrastruktura krytyczna stała się jednym z głównych pól gry strategicznej – zarówno w relacjach między państwami, jak i w działaniach wyspecjalizowanych grup przestępczych. Odpowiedzią nie jest próba całkowitego wyeliminowania ryzyka, lecz jego świadome zarządzanie: od polityk międzynarodowych, przez regulacje sektorowe i wymagania wobec łańcuchów dostaw, po codzienne decyzje operatorów i ich partnerów. Tam, gdzie te warstwy się zazębiają, cyberwojna nie musi prowadzić do paraliżu podstawowych usług, a społeczeństwo zyskuje realną szansę na funkcjonowanie nawet w warunkach narastającej presji w cyberprzestrzeni.
