Instytucje rządowe na celowniku hakerów. Brakuje odpowiednich zabezpieczeń i scenariuszy na wypadek awarii

W tym tygodniu całkowicie przestały działać główne państwowe systemy informatyczne. Niedostępne były m.in. ePUAP, CEPiK i obywatel.gov.pl. Przyczyny nie są znane, ale wiceprezes Atende Jacek Szczepański ocenia, że mógł nią być błąd kluczowego elementu infrastruktury albo zmasowany atak DDoS. Liczba takich cyberataków na instytucje rządowe, infrastrukturę krytyczną i portale użyteczności publicznej zwiększa się z roku na rok. Zarówno dla firm, jak i instytucji państwowych warunkiem koniecznym, by się na to przygotować, jest przeprowadzanie stress testów i posiadanie scenariuszy postępowania na wypadek takiego ataku.

– Zagrożenia dla e-państwa, czyli instytucji publicznych, są w zasadzie tożsame z tymi, z którymi boryka się świat komercyjny. Mamy do czynienia głównie z atakami na infrastrukturę bądź z próbami wykradzenia danych. Inne są natomiast motywacje atakujących – do chęci zysku, zdobycia sławy i sprawdzenia się dochodzą jeszcze pobudki polityczne – mówi agencji informacyjnej Newseria Biznes Jacek Szczepański, wiceprezes ds. operacyjnych, Atende SA.

Ubiegły rok był rekordowy pod względem aktywności hakerów i liczby cyberataków na całym świecie. Jak wynika z ostatniego raportu F-Secure, liczba ataków ransomware wzrosła w zeszłym roku aż o 400 proc. Cyberataki są już zjawiskiem powszechnym – 82 proc. działających w Polsce firm odnotowało przynajmniej jeden cyberincydent, a 37 proc. stwierdziło znaczny wzrost liczby cyberataków na przestrzeni ostatniego roku – to z kolei dane z ostatniego „Barometru bezpieczeństwa” firmy doradczej KPMG. Najgroźniejsze cyberzagrożenia z punktu widzenia przedsiębiorstw to malware (APT, wycieki danych, ransomware), kradzieże danych i phishing oraz ataki na aplikacje. Według prognoz Bitdefendera – w tym roku szkody powodowane przez cyberprzestępczość sięgną 180 mld dol., a w 2019 przekroczą już nawet 2 bln dol.

Z drugiej strony hakerzy za cel obierają sobie już nie tylko firmy i korporacje, kierując się chęcią zysku, lecz także infrastrukturę krytyczną i serwisy rządowe. W ubiegłym roku celem zmasowanych ataków wirusem ransomware, znanym jako Petya, stały się firmy i instytucje publiczne m.in. w Wielkiej Brytanii, Rosji, USA i na Ukrainie, gdzie ucierpiały rządowe sieci, system bankowy, najważniejsze lotniska w kraju, ciepłownie i elektrownie oraz metro w Kijowie.

W tym tygodniu, we wtorek rano, całkowicie przestały działać główne państwowe systemy informatyczne. Niedostępne były ePUAP, CEPiK i obywatel.gov.pl. W Centralnym Ośrodku Informatyki został powołany sztab kryzysowy, który pracował nad usunięciem awarii.

– Ostatnia awaria unieruchomiła wiele usług dla obywateli. Trudno zgadywać, co było jej powodem. Na dzisiaj nie są znane oficjalne przyczyny wystąpienia tej awarii. Zwykle powodem jest błąd w projektowaniu systemów informatycznych, brak redundancji. W związku z tym mógł, kolokwialnie mówiąc, paść jakiś krytyczny element infrastruktury. Bądź też mieliśmy do czynienia ze zmasowanym atakiem DDoS – ocenia Jacek Szczepański.

Dla państwa konsekwencją takich incydentów jest nie tylko niedostępność infrastruktury, i w związku z tym niedostępność usług, lecz także straty wizerunkowe i ryzyko wycieku wrażliwych danych.

– Istotną konsekwencją takich awarii może być także wyciek danych. Tutaj problem jest jeszcze większy niż w przypadku firm komercyjnych z uwagi na to, że instytucje publiczne gromadzą i przetwarzają dane bardzo wrażliwe. Zdecydowanie bardziej wrażliwe niż te, które przetwarzają firmy komercyjne – mówi Jacek Szczepański.

Wiceprezes Atende podkreśla, że systemy administracji publicznej, podobnie jak wszelkie inne systemy informatyczne, powinny być projektowane w sposób zapewniający ciągłość działania. Dzisiaj zdecydowanie nie wystarcza już ochrona tzw. brzegu sieci, czyli firewalle czy ochrona stacji roboczych.

– Systemy administracji publicznej powinny być projektowane w modelu wysokiej dostępności, gdzie mamy do czynienia z klastrami, z zapasowymi centrami danych. Z drugiej strony powinny być projektowane tak, aby systemy bezpieczeństwa działały na wielu warstwach. Chronione muszą być również warstwy wewnętrzne systemu informatycznego. Wchodzimy więc na pole systemów bardziej zaawansowanych, badających, analizujących zachowanie sieci, szukających pewnych wzorców zachowań, które odbiegają od normy – mówi Jacek Szczepański.

Eksperci są zgodni co do tego, że liczba cyberzagrożeń będzie rosnąć. Zarówno dla firm, jak i instytucji państwowych warunkiem koniecznym jest posiadanie scenariuszy postępowania na wypadek takiego ataku cybernetycznego.

– Dziś pytanie nie brzmi już, czy ten atak bądź awaria wystąpi, ale kiedy wystąpi? W związku z tym musimy być do tego przygotowani. Musimy mieć sprawdzone procedury na taką okoliczność, poddawane stress testom, testom penetracyjnym. To jest chyba jedyne remedium na dziś. Zakładając, że mamy właściwie zaprojektowany system informatyczny i bezpieczeństwa, zdecydowanie musimy się oprzeć na procedurach stworzonych na okoliczność wystąpienia takich awarii – podkreśla Jacek Szczepański.