Polska wśród państw najczęściej atakowanych w sieci. Potrzebna zmiana podejścia do budowania cyberbezpieczeństwa

Wdrożenie regulacji europejskich NIS2 i usprawnienie procesu legislacyjnego, obowiązkowe szkolenia dla pracowników administracji i firm, zabezpieczenie systemów w obszarach takich jak obronność, bezpieczeństwo publiczne czy transport – to tylko niektóre z rekomendacji zawartych w „Mapie drogowej dla wzmocnienia polskiej cyberodporności” przygotowanej przez Związek Cyfrowa Polska. Jego przedstawiciele biją na alarm – należy podjąć natychmiastowe działania, ponieważ Polska należy do najczęściej atakowanych krajów w Europie przez rosyjskie kampanie dezinformacyjne i cyberataki.

– Od kilku lat niezmiennie rośnie liczba incydentów cyberbezpieczeństwa, zarówno w skali Polski, Europy, jak i całego świata. Sytuacja globalna, w tym wojna w Ukrainie, jeszcze bardziej napędza tę polityczną stronę zagrożeń cyberbezpieczeństwa, oprócz ekonomicznych zamachów na nasze dane – mówi agencji Newseria Michał Kanownik prezes zarządu Związku Cyfrowa Polska. – W skali świata to są straty sięgające 10 bln dol. rocznie, wynikających właśnie z ataków, zagrożeń cyberbezpieczeństwa.

Z „Barometru Cyberbezpieczeństwa” KPMG wynika, że w ubiegłym roku 83 proc. firm w Polsce odnotowało co najmniej cyberincydent. To o 16 pkt proc. więcej niż w 2023 roku. W tym 4 proc. firm odnotowało ponad 30 ataków w ciągu roku. Jedynie 17 proc. polskich przedsiębiorców nie doświadczyło w swojej aktywności incydentu cyberbezpieczeństwa.

– Niepokojące jest to, że skala rosnących incydentów jest absolutnie zatrważająca, ponieważ w skali roku w Polsce mamy zgłoszonych średnio 300 incydentów dziennie. Mówimy wyłącznie o tych zgłoszonych, a co dopiero, jeśli weźmiemy pod uwagę te, których firmy nie zgłaszają, gdyż nie są świadome, że one miały miejsce, albo wstydzą się przyznać, że komuś udało się zhakować ich system – zaznacza prezes Związku Cyfrowa Polska.

Według danych CERT Polska przytaczanych w „Mapie drogowej dla wzmocnienia polskiej cyberodporności” liczba zgłoszonych do tej organizacji incydentów w Polsce przekroczyła 600 tys., rosnąc o 62 proc. rok do roku. Odzwierciedla to zarówno wzrost aktywności przestępców, jak i skuteczniejszą detekcję oraz reakcję służb. Potwierdzonych incydentów było o 29 proc. więcej niż rok wcześniej – łącznie 103 449. Najdynamiczniejszy wzrost odnotowano w obszarze phishingu, który w 2024 roku stanowił 95 proc. wszystkich incydentów, przy niemal czterokrotnym wzroście liczby zgłoszeń względem 2023 roku. Szczególnie niepokojąca, zdaniem autorów, jest sytuacja w administracji publicznej, gdzie w 2024 roku zgłoszono ponad 1,9 tys. incydentów, co stanowi wzrost o 58 proc. r/r.

– Dzisiaj oprócz ataków, które wszyscy znamy choćby z naszych komórek, czyli ataków phishingowych, ransomware czy DDOs, których doświadczyliśmy choćby przy transmisji meczu polskiej reprezentacji, kiedy padła transmisja w internecie, coraz większe znaczenie zyskują ataki dezinformacyjne, fake newsy, deepfaki. To są ataki, które mają na celu podburzenie zaufania do naszego państwa. Wzbudzenie braku zaufania, niepokoju w nas wszystkich, że coś może nam się stać. To działa korzystnie dla sił, które nas atakują. Ten element z całą pewnością będzie górował w najbliższych latach i musimy się uzbroić szczególnie w kompetencje, w świadomość w tym zakresie, żebyśmy wiedzieli wszyscy jako społeczeństwo, jak reagować – podkreśla Michał Kanownik.

Związek Cyfrowa Polska, reprezentując największe firmy technologiczne w Polsce, w przedstawionej na Forum Ekonomicznym w Karpaczu „Mapie drogowej …” zawarł zestaw zaleceń i propozycji, które mają na celu zwiększenie polskiego bezpieczeństwa cyfrowego. W dokumencie podkreślono, że obecny system reagowania jest powolny i chaotyczny, stąd pozostajemy krajem podatnym na ataki cyberprzestępców i wrogich państw. Poziom gotowości do przeciwdziałania jest niewystarczający zarówno w sektorze publicznym, jak i prywatnym. Ważne jest więc szybkie podjęcie działań. Jak podkreślają eksperci związku, ochrona zasobów cyfrowych nie może być postrzegana wyłącznie jako koszt czy kwestia techniczna. To jeden z filarów funkcjonowania nowoczesnego państwa, stabilności gospodarki oraz zaufania społecznego.

– Po pierwsze, potrzebujemy w Polsce jasnych ram regulacyjnych, szybkiego wdrożenia regulacji europejskich NIS2, czyli nowelizacji Krajowego Systemu Cyberbezpieczeństwa. Po drugie, jasnych, klarownych reguł dla biznesu i dla administracji. Potrzebujemy zwiększenia środków finansowych na inwestycje w cyberbezpieczeństwo, szczególnie w sektorach bardzo wrażliwych na ataki, które do tej pory są niedoinwestowane: szpitale, szczególnie małe samorządy gmin wiejskich czy miejsko-wiejskich, gdzie brakuje pieniędzy i kompetencji. Musimy się uzbroić w większą liczbę specjalistów od cyberbezpieczeństwa i musimy zrozumieć, że informatyk to nie jest specjalista cyberbezpieczeństwa – wymienia prezes Związku Cyfrowa Polska.

W Polsce, zdaniem autorów rekomendacji, konieczne jest przyjęcie strategii minimalizacji ryzyka – budowania wielowarstwowej ochrony, opracowania planów awaryjnych oraz wdrażania skutecznych procedur reagowania na incydenty.

Wśród rekomendacji branżowych zawartych w „Mapie drogowej…” są także jak najszybsze ujednolicenie przepisów cyberbezpieczeństwa zarówno na gruncie krajowym, jak i unijnym. Konieczna jest radykalna zmiana podejścia do legislacji w Polsce, gdyż obecny system tworzenia prawa nie współgra w kwestii tempa ze stale rosnącą liczbą zagrożeń. Niezbędne jest szybkie podjęcie działań w kierunku powszechnego wdrożenia architektury Zero Trust, która ma być oparta na zasadzie, że żadna jednostka ani urządzenie nie jest z założenia zaufane, nawet wewnątrz danej organizacji. Przed ewentualnymi cyberatakami mają uchronić więc takie działania jak monitorowanie aktywności, weryfikacja tożsamości czy też segmentacja dostępu. Eksperci przypominają, że najsłabszym ogniwem w łańcuchu pozostaje człowiek, użytkownik czy pracownik, dlatego zwracają uwagę na konieczność edukacji, ale też wzmocnienia ochrony urządzeń końcowych: smartfonów, laptopów, tabletów, komputerów stacjonarnych, drukarek i urządzeń wielofunkcyjnych,

– Mamy filary cyberbezpieczeństwa, które rząd z biznesem wspólnie tworzy. Takie jak partnerstwo PWCyber, czyli Partnerstwo w Cyberbezpieczeństwie, wymiana informacji między biznesem a administracją. Mamy przyjętą ustawę o certyfikacji cyberbezpieczeństwa. Mamy fundusz cyberbezpieczeństwa w Polsce, oczywiście zawsze może być większy, ale mamy zalążek. Mamy więc podstawy do tego, żeby mówić o pewnej mapie, o strategii długofalowej – mówi Michał Kanownik. – Natomiast oczywiście jeszcze paru elementów brakuje i liczę na to, że nasz raport, dyskusja, którą prowadzimy m.in. w Karpaczu, przyczyni się do szerokiego społecznego konsensusu wyjęcia cyberbezpieczeństwa poza ramy bieżącego sporu politycznego i zbudowania szerokiej koalicji wszystkich partnerów, którym na sercu leży bezpieczeństwo narodowe. Nie mówimy o bezpieczeństwie danego ministerstwa, urzędu czy wielkiej firmy, mówimy o bezpieczeństwie każdego z nas. 

W sierpniu wicepremierzy Krzysztof Gawkowski i Władysław Kosiniak-Kamysz zapowiedzieli, że na budowanie cyberodporności w sferze cywilnej w tym roku zaplanowano rekordowe wydatki przekraczające 3,1 mld zł. Trafią one m.in. na wsparcie administracji publicznej, samorządów i kluczowych sektorów gospodarki. Zapowiedzieli także, że rząd wkrótce zaprezentuje nową Strategię Cyberbezpieczeństwa RP, określającą strategiczne cele oraz kluczowe działania, które mają zapewnić wysoki poziom bezpieczeństwa kraju w cyberprzestrzeni. Jak podkreślili, skuteczność działań, które są podejmowane przez Polskę, aby wzmocnić ochronę przed zagrożeniami, potwierdzają międzynarodowe rankingi – m.in. szóste miejsce na świecie w „MIT Technology Review” Cyber Defense Index 2022/23 oraz czwarte miejsce w National Cyber Security Index.