Cybersec: Wojskowi muszą współpracować z cywilami

Mimo sporego optymizmu i dobrych zmian w ostatnim czasie w zakresie cyberobronności w Polsce, sektor cyberbezpieczeństwa wojskowego zmaga się z dużymi problemami wynikającymi z natury ochrony i dostępu do wojskowych danych

Rozwiązania dostarczane dla wojska bywają nieaktualne, a natowski program wymiany wiedzy o cyberzagrożeniach, NATO Industry Cyber Partnership, nie działa – tak przynajmniej można wywnioskować z wypowiedzi panelistów konferencji „Przyszłość sektora obrony” podczas konferencji Cybersec. Obserwacje nie dotyczą tylko Polski, lecz co do zasady sektorów obronności wszędzie na świecie.

Sektor wojskowy i rządowy nie jest w stanie opracować własnych rozwiązań związanych z cyberbezpieczeństwem, dlatego musi polegać na współpracy z sektorem prywatnym. Jest jednak kilka problemów, które w kontekście obronności wojskowej wszędzie, nie tylko w Polsce, są problematyczne. Największym problemem z perspektywy wojskowej jest sztywne trzymanie się podpisanych kontraktów oraz długi czas dostarczania zamówionych rozwiązań.

Rządy są przyzwyczajone do kupowania gotowych rozwiązań. Tymczasem scenariusz na początku procesu - gdzie jesteśmy, czego potrzebujemy – bywa bardzo różny od odpowiedzi na te same pytania na końcu procesu – mówi Brooke Griffith, wiceprezes Raytheon Intelligence, Information and Services, firmy specjalizującej się w wywiadzie elektronicznym, monitoringu i rekonesansie w cyberprzestrzeni.

Umowy ramowe o współpracy sprawdzają się z mojego doświadczenia znacznie lepiej, niż złożone umowy na wykonanie określonej usługi za określone pieniądze, czyli sztywne kontrakty. Świat po dwóch latach jest zupełnie inny, niż ten z momentu startu – dodaje.

Potwierdza to przedstawiciel Polskiej Grupy Zbrojeniowej (PGZ)

Sztywne wyceny i sztywne kontrakty są zmorą i bardzo popieram tę uwagę – mówi Patryk Romanowski, Kierownik IT w Polskiej Grupie Zbrojeniowej. Przeciętnie dostarczenie zamówionego rozwiązania IT trwa około dwóch lat. Szczególnie dla wojskowych jest to stanowczo zbyt długi okres.

O szybsze realizowanie zleceń apeluje też doradca NATO. Dodaje, że żywotność rozwiązań w cyberbezpieczeństwie jest wyjątkowo krótka.

Proces realizacji trwa za długo. Kiedy kupujemy myśliwce proces realizacji zamówienia może trwać nawet 20 lat. W przypadku rozwiązań z zakresu cyberbezpieczeństwa trwa od kilku miesięcy do kilku lat i raczej jest to w tę drugą stronę – proces idzie w lata. Ten czas dostarczania powinien skrócić się do kilku miesięcy, a maksymalnie do roku. Mówię o czasie od złożenia zamówienia do gotowości na polu bitwy – mówi komandor Wiesław Goździewicz a Joint Force Training Centre, doradca NATO i ekspert Instytutu Kościuszki.

Czołg po kilku latach ma tę samą siłę rażenia. W cyberbezpieczeństwie bez aktualizacji, nawet przez trzy miesiące, jesteśmy daleko w tyle, w porównaniu z sektorem komercyjnym. Zdecydowanie w przypadku współpracy z wojskiem potrzeba stosowania metodologii Agile – reagowania na żywo na zmieniające się potrzeby i zagrożenia jeszcze w trakcie prac nad produktem – dodaje.

Jak zauważają paneliści, w normalnej wojnie odróżnienie kto atakuje kogo jest banalne. W przypadku cyberwojny jest to z kolei bardzo trudne. Uczestnicy dyskusji podkreślali też, że w przypadku wspólnej kontroli i wspólnego zwalczania cyberzagrożeń wojna toczy się o dane, co sprawia dodatkową trudność, która w wojskowości szczególnie jest, obecnie, nie do pokonania.

Wspólna ochrona danych wymagałaby udostępnienia tajnych danych jednego państwa drugiemu krajowi, co w wojskowości jest raczej niemożliwe. Stąd też określają inicjatywę NATO wymiany wiedzy - NATO Industry Cyber Partnership, jako „dopiero raczkującą”. Nie udało się dotychczas zrobić z niej zawansowanej wymiany i ochrony wspólnych danych.

Ta inicjatywa ma już trzy lata. Postrzegamy ją jako ważną, ale trudno adaptowalną. Skupiała się na ważnym aspekcie czyli wykrywaniu zagrożeń w różnych sektorach i zdolności NATO do otrzymywania informacji o nowych zagrożeniach jak najszybciej – mówi przedstawiciel Polskiej Grupy Zbrojeniowej.

Obawy przed wymianą wrażliwych danych są jednym z największych hamulców pełnej współpracy państw NATO w zakresie cyberbezpieczeństwa. Są też istotnym czynnikiem spowalniającym rozwój cyberbezpieczeństwa na poziomie krajowym. Jeśli to ma się zmienić, należy położyć większy nacisk na szyfrowanie danych kwestie metadanych.

Myślę, że najważniejszym wyzwaniem nadchodzących lat będzie zaufanie stron. Sektor państwowy nie ma wszystkich potrzebnych środków i musi polegać na importowanych rozwiązaniach. Wzajemne zaufanie nie polega na zaufaniu emocjonalnym drugiej stronie (co też jest ważne), ale na zaufaniu do narzędzi, żeby nie było z nimi niespodzianek. To największe wyzwanie, bo nie ma dzisiaj jakiegoś oczywistego rozwiązania tego problemu – ocenia dyrektor IT w PGZ.

Przedstawiciel NATO uważa, że zmiany następują powoli, ale postępują. Podkreśla, że należy dostrzec istotną zmianę w mentalności wojskowych specjalistów.

To się zmienia – mówi komandor Wiesław Goździewicz

Z perspektywy NATO, nie wypowiadam się w tym temacie w imieniu NATO , tylko w imieniu mojego 8 letniego doświadczenia, problem współdzielenia informacji zawsze był rozpatrywany na zasadzie „need to know basis”[podawania powodu chęci pozyskania informacji lub danych – red.].

Jeśli nie potrzebowałeś informacji do rozwiązania określonego problemu, nie dostawałeś ich. Ale teraz zmienia się to na podejście „responsibility to share” [odpowiedzialność współdzielenia – red.] - za ochronę pozyskanych danych odpowiada pozyskujący dane. To ważna zmiana w dzieleniu się informacjami cyber-intelligence [wywiadowczymi - red.].

W Polsce, inaczej niż na Zachodzie, firmy IT lub OT [Operational Technology – systemy zarządzania infrastrukturą fizyczną – red.] dostarczające rozwiązań dla wojska często są kontrolowane przez rząd lub wojsko, więc z definicji są bardziej zaufanymi dostawcami. A to bardzo dobry czas dla zaufanych firm.

Paneliści podkreślają, że teraz pieniądze płyną szerokim strumieniem z Ministerstwa Obrony na cyberbezpieczeństwo, a kiedyś tak nie było. Powodem wielkich pieniędzy płynących na ten cel, poza wzrostem liczby cyberataków, są kolosalne zaniedbania w tym zakresie w ciągu ostatniej dekady i w tym wszyscy są zgodni. Natomiast przedstawiciele polskich firm i instytucji nie są za umiędzynaradawianiem danych i rozwiązań, nawet NATO. Są też za zlecaniem projektowania rozwiązań firmom kontrolowanym przez rząd lub wojsko.

To ogromna zmiana. I nie tylko tu – podkreśla dr inż. Andrzej Bartosiewicz z firmy Thales. - Np. we Francji Thales również dzieli się wiedzą z zaufanymi partnerami, ale w przypadku cyberwojny chodzi o suwerenność poszczególnych państw i ich tajne dane, dlatego te systemy nie mogą być międzynarodowe. Muszą być może nie własnością rządu, ale kontrolowane przez rząd – dodaje Bartosiewicz.

Zupełnie inne podejście i ocenę zależności firm od wojska reprezentuje szef amerykańskiej firmy zajmującej się cyber-zabezpieczeniami.

Nie zgadzam się z kolegami – mówi Brooke Griffith – wiceprezes Raytheon Intelligence, Information and Services. - Ten rynek jest napędzany technologią, a ta idzie za pieniędzmi. Pieniędzy rządowych nie ma tyle, co cywilnych. Może z wyjątkiem rynku OT. Ale w IT kierujemy się rynkiem cywilnym. Mogą być odrobinę inne, ale wojsko ma te same rozwiązania, co obecne na rynku komercyjnym, a często ma je nawet z opóźnieniem. Technologie bierze się z rynku komercyjnego, dlatego wojsko nie powinno zamykać się na firmy cywilne - dodaje.

W rundzie finalnych rekomendacji dla sektora publicznego sugeruje się bardziej elastyczne procedury dla zakupów nowych technologii i współpracy z dostawcami oraz bardziej elastyczne procesy – optymalizację i aktualizację do stanu obecnego, faktycznego, lepsze współdzielenie informacji z dostawcami i dbałość o zaufanie.

Rekomendacjami dla dostawców z kolei są skrócenie czasu realizowania zamówień, a nawet działanie szybsze nawet na niedokończonych rozwiązaniach. Ta ostatnia rekomendacja wydaje się jednak zbyt ryzykowna.