Streżyńska: Rządowa aplikacja ostrzeże Polaków przed atakami

Monika Krześniak-Sajewicz, Bartosz Bednarz, Interia: Kilka dni temu Ministerstwo Cyfryzacji poinformowało, że założono już ponad 1 milion profili zaufanych. Szybki wzrost jest możliwy między innymi dzięki temu, że można to zrobić przez internetowe konta bankowe. Na razie oprócz banków pozwala na to pocztowe Envelo, ale czy wkrótce taką możliwość zaoferują też inne firmy np. telekomy czy ubezpieczyciele?

Anna Streżyńska, minister cyfryzacji: - My jesteśmy otwarci na wszystkich. Mogę zdradzić, że przygotowują się firmy energetyczne. Chcą się zintegrować z profilem zaufanym, tak by ich klienci mogli podpisywać przy jego użyciu zmiany taryf czy regulaminów. Dla nich to jest konkretny biznes i wielka oszczędność wynikająca choćby z ograniczenia obrotu papierowego. A klient firm energetycznych jest dobrze sprawdzany. Przy podpisywaniu umów na dostawę energii elektrycznej musi się stawić z dowodem osobistym, uprawnieniem do lokalu, podaje szczegółowe dane. To są bazy danych o dużej wiarygodności. Z jedną z firm już rozmawiamy, a inne się przyglądają. Takie przygotowania trwają kilka miesięcy.

Dużym zainteresowaniem cieszyła się możliwość sprawdzenia punktów karnych na obywatel.gov.pl. Jakie będą kolejne użyteczne usługi? Kiedy pojawi się opcja rejestracji nowo narodzonego dziecka?

- Skąd wiecie? Tak, to prawda. Policzyłam niedawno, że narodziny dziecka wiążą się z koniecznością wykonania 19 czynności. Począwszy od rejestracji po zgłoszenie do przychodni. Część z nich to usługi administracyjne i chcielibyśmy, żeby można było je jak najszybciej załatwić zdalnie, tak by rodzice mogli zając się dzieckiem, a nie wystawaniem w urzędach. Ale pewnie to państwa zaskoczy - tym razem zaczynamy od usługi analogowej. Startujemy z pilotażem w Ełku, gdzie we współpracy z prezydentem miasta zostali powołani pełnomocnicy, którzy w imieniu rodzących pań mogą je odciążyć od formalności. Matka dziecka, wychodząc ze szpitala, ma w ręku akt urodzenia i wszystkie inne potrzebne dokumenty. Zobaczymy jak to zadziała. Zaczęliśmy w ubiegłym tygodniu i już możemy powiedzieć, że jest zainteresowanie tą usługą. A przy okazji sondujemy czy sprawdziłby się np. infomat ustawiony w szpitalu, który pozwalałby przy użyciu profilu zaufanego na wykonanie czynności administracyjnych związanych z narodzinami dziecka. Świeżo upieczeni rodzice mogliby to zrobić razem. Stojąc przy takim automacie mieliby ostatnią szansą na ustalenie imienia dziecka i ewentualne spory o to. Ale przede wszystkim chcemy sprawdzić jakie jest nastawienie rodziców do takich usług. Może się przecież okazać, że cenią sobie takie rytuały jak wizyta w urzędzie stanu cywilnego. Niektórzy mogą nie mieć zaufania do usług cyfrowych, choć program 500 plus i ponad 600 tys. wniosków złożonych elektronicznie pokazuje otwartość na takie rozwiązania. W przyszłości rejestracja mogłaby być obudowana innymi usługami, takimi jak np. zapisy do przychodni czy żłobka...

To jest realny pomysł, możliwy do szybkiego wprowadzenia?

- Owszem. Szpital ma dane dziecka, więc ze zgłoszeniem do przychodni nie powinno być problemu. Oczywiście, wymagałoby to współpracy różnych systemów informatycznych, bo przecież każdy ze szpitali pracuje na swoim, ale dałoby to zbiorczą informację dotyczącą np. przyrostu naturalnego, zapotrzebowania na żłobki i przedszkola w danej lokalizacji, a więc cenną wiedzę dla władz lokalnych. Cyfryzacja może bardzo pomóc w takich kwestiach. No i rodzicom daje naturalnie oszczędność czasu i wygodę.

Co z powszechnych usług poza rejestracją dziecka pojawi się na obywatel.gov.pl?

- Katalog cyfrowych usług, jakie oferuje obywatelom administracja powinien się wydłużyć do końca tego roku o 32 pozycje. Zakładam, że najbardziej popularne będę te związane z oddaniem na jesieni Centralnej Ewidencji Pojazdów, czyli części systemu CEPIK2. Dzięki temu on-line będzie możliwe zgłoszenie zbycia pojazdu, sprawdzenie danych auta, złożenie wniosku o wydanie prawa jazdy. Pojawi się też poprawiona i przyjaźniejsza dla użytkowników wersja bardzo użytecznej rzeczy - tzw. wniosku ogólnego. Przyzwyczailiśmy się, że do każdej sprawy urzędowej są osobne formularze on-line. A to jest uniwersalny i powszechnie wykorzystywany wniosek. Pismo ogólne można złożyć elektronicznie z użyciem profilu zaufanego w dowolnej sprawie i administracja ma obowiązek je przyjąć i rozpatrzyć. Jeśli nie mogę znaleźć odpowiedniego formularza, albo nie ma takiej dostępnej usługi, to wówczas składam pismo ogólne. W nowej, dużo bardziej przyjaznej formie, pismo ogólne pojawi się pod koniec roku.

Kilka dni temu Ministerstwo Cyfryzacji udostępniło nowy portal widok.gov.pl pokazujący popularność rządowych witryn. Na pierwszym miejscu jest CEIDG, a zaraz za nim obywatel.gov.pl i bardzo blisko biznes.gov.pl. Czy planowana jest ich integracja tych najważniejszych platform?

- Owszem. Widok.gov.pl to trzecie takie narzędzie na świecie. Daje nam wgląd w rzeczywiste potrzeby obywateli, którzy korzystają z e-administracji. To bardzo pomocne przy planowaniu kolejnych usług cyfrowych. A co do CEIDG oraz biznes.gov.pl, uzgodniliśmy z premierem Morawieckim, że po wakacjach przejdą do Ministerstwa Cyfryzacji. Zarówno jeśli chodzi o obsługę informatyczną jak i rozwój obu tych serwisów. Zmierzamy do integracji tych platform na jednym portalu gov.pl, który docelowo stanie się dla obywateli jedną bramą do administracji. Ktoś, kto będzie chciał skorzystać z elektronicznych usług, jakie oferuje administracja nie będzie już musiał ich szukać i zastanawiać się co, gdzie można znaleźć. Wszystko będzie w jednym miejscu. Właśnie pod domeną GOV.PL. Podobnie jak to ma miejsce np. w Wielkiej Brytanii.

Czy to oznacza jakieś duże zmiany na CEIDG w najbliższym czasie?

- CEIDG może nie jest zbyt nowoczesny, ale za to jest bezawaryjny, a dużo się na nim dzieje. Indywidualni przedsiębiorcy korzystają z niego intensywnie. Choćby dlatego, że nieustannie wprowadzają jakieś zmiany do ewidencji. W samych przepisach nie będzie zmian. Musimy się za to mocniej skupić na integracji biznes.gov.pl i obywatel.gov.pl, bo tu mamy konkretne daty. Chcielibyśmy, by na koniec 2018 roku portal GOV.PL funkcjonował już w całości i żeby i dla obywatela, i dla przedsiębiorcy wszystko było już zorganizowane w jednolity sposób i w jednym miejscu. Tym bardziej, że osoby fizyczne, które prowadzą działalność gospodarczą często występują przecież w obu rolach. Będzie dużo pracy.

W których obszarach administracji brak cyfrowych usług jest najbardziej odczuwalny, oczywiście oprócz służby zdrowia?

- W podatkach i ubezpieczeniach. Ale to nie jest obszar podlegający ministrowi cyfryzacji. Dotkliwy jest brak integracji ZUS i NFZ. Ochrona zdrowia to osobny temat, ale tu jesteśmy jedynie organem nadzorującym. Współpracujemy z ministrem zdrowia w przygotowaniu strategii e-zdrowia. Wcześniej mieliśmy nadzorować projekt P-1 i e-krew czyli system obrotu krwią i produktami krwiopochodnymi. Oba zostały nam przekazane pod nadzór. Ale nie da się ukryć, są takie luki jak elektroniczna dokumentacja medyczna. Pomysł jej stworzenia jest od lat, ale nic w tym obszarze nie drgnęło. Pojawiają się nawet różne pomysły z różnych instytucji, ale przecież gdyby wszystkie zostały uruchomione, ludzie oszaleją. Kompletnie już nie będą wiedzieć, gdzie mają szukać jakich danych. Trzeba też pamiętać, że część infrastruktury jest w rękach NFZ i niezależnie od tego, jaki będzie ostateczny los funduszu, są tam aplikacje do wyliczania kosztów usług czy procedur medycznych. W ostatnich latach również w regionach zostały wyprodukowane różne systemy. Problem w tym, że nie komunikują się ze sobą i nie działają z użyciem profilu zaufanego. Wyzwaniem też jest, że część systemów ochrony zdrowia zostało zrealizowanych w taki sposób, że prawa autorskie do kodu i jego opisu nie zostały przeniesione na zamawiającego. Najwyższa pora, żeby z tym zacząć robić porządek i przy okazji zintegrować z nadzorem finansowym oraz ZUS. Ale to zadanie na najbliższe dwa lata. Będzie to robić Centrum Systemów Informacyjnych Ochrony Zdrowia, które podlega Ministerstwu Zdrowia. Mam nadzieję, że wreszcie pozwoli to na stopniowe ujednolicenie całego systemu.

W jakiej perspektywie czasu uruchomienie e-karty zdrowia jest możliwe?

- Sam projekt karty ubezpieczenia zdrowotnego pojawił się w projekcie pl.ID, ale to Ministerstwo Zdrowia jest za niego odpowiedzialne. Powinien ruszyć w 2019 roku. Funkcje karty mają być sukcesywnie rozbudowywane. Najważniejsze są te dotyczące ubezpieczenia zdrowotnego, bo pozwalają na uszczelnienie systemu i eliminacje fraudów. Planujemy, że te funkcjonalności będą zintegrowane z dowodem osobistym, gdy ten dostanie warstwę elektroniczną.

Przechodząc do cyberbezpieczeństwa. Czy ostatnie ataki ransomware, które przetoczyły się przez cały świat, uwidoczniły jakieś dziury w systemie, wskazały na problemy z przepływem informacji między poszczególnymi instytucjami publicznymi? Sygnały o zagrożeniu docierały tylko z sektora prywatnego.

- Administracja z naturalnych przyczyn nie wyrywa się z pośpiesznymi informacjami. Można łatwo i zupełnie niepotrzebnie wprowadzić panikę. W przypadku WannaCry w Polsce nie wydarzyło nic, co uzasadniałoby podjęcie szerokiej akcji informacyjnej. Monitorowaliśmy sytuację. Incydent nas praktycznie ominął. W przypadku ataku Petya było trochę gorzej. To również nie był atak skierowany bezpośrednio w Polskę - celem była Ukraina. Ale jeśli firmy miały powiązania z tamtejszymi przedsiębiorstwami, robak się faktycznie rozpowszechniał. Nie było to masowe, ale kilkanaście firm zostało dotkniętych. Trudno jednak mówić o masowym zagrożeniu. Żaden z tych incydentów nie dotknął natomiast krytycznej infrastruktury państwa.

Nie dotknął, bo nie było szkód mimo ataku, czy w ogóle nie doszło do próby forsowania zabezpieczeń?

- Nie było prób ingerencji w krajowe systemy. Intencje atakujących były zupełnie inne. Wirus rozpowszechniał się takimi drogami, przez które nie przedostałby się do naszych systemów finansowych ani infrastruktury krytycznej. Nie może to jednak nas usypiać, bo ataki są coraz częstsze. Różnego rodzaju incydentów z zakresu cyberbezpieczeństwa jest nawet kilka tysięcy tygodniowo. Mają bardzo różną wagę: część to wirusy, fałszywe alarmy, oszustwa w sieci. Część rzeczywiście ma potencjał stworzenia zagrożenia dla sieci lub urządzeń. Mamy 50 milionów urządzeń końcowych w Polsce. Każde z nich, jeśli nie jest odpowiednio zabezpieczone, może zostać przechwycone i stać się potencjalnym źródłem zagrożenia. Dlatego podstawowa cyber-higiena powinna dotyczyć każdego obywatela. Po stronie rządu ważne są natomiast procedury czyli sposób, w jaki państwo reaguje jeśli zachodzi taka konieczność. Jeśli przychodzą sygnały z poszczególnych CERT-ów, to w razie potrzeby wszyscy stają na baczność. Obserwują, co się dzieje i w razie potrzeby reagują. Przy czym proszę pamiętać, że ABW ma swój CERT, MON swój, a MC - swój. Tak samo prywatne firmy - mają CERT-y sektorowe. Wszystkie ze sobą współpracują. Ważne jest nie tylko stwierdzenie czy poszczególne incydenty mają charakter rozprzestrzeniający się i stanowią zagrożenie, ale również szybkie informowanie odpowiednich służb o rodzaju zdarzenia. Jeżeli jest to atak, który narasta, ABW musi o nim jak najszybciej wiedzieć, bo chroni infrastrukturę organizacyjną państwa, czyli jego organy. Ministerstwo Cyfryzacji musi być poinformowane o zagrożeniu, bo koncertujemy się głównie na biznesie i obywatelu. Tak samo MON, gdyż ma swoje systemy krytyczne. Często tak jest, że incydenty mają na celu przejęcie bazy danych albo uzyskanie dostępu do pieniędzy i skierowane są przeciw zwykłym ludziom. Ilość miejsc, gdzie informacja musi się natychmiast pojawić jest naprawdę duża. Wymiana danych, ocena tego, co się dzieje w danym momencie, decyzyjność, dalsze kroki - to wszystko wymaga współpracy na wielu poziomach.

Współpraca teraz układa się dobrze?

- Zawsze była dobra. Problemem była raczej koordynacja. U nas w CERT Polska, który działa w strukturach Naukowej i Akademickiej Sieci Komputerowej (NASK) mamy zlokalizowane Narodowe Centrum Cyberbezpieczeństwa (NCCyber). Jeżeli dzieje się coś niepokojącego wszyscy, zarówno administracja publiczna jak i biznes, od razu są informowani o potencjalnym zagrożeniu. Natychmiast budowane są zabezpieczenia. Do wypracowania są natomiast ścieżki informowania o zdarzeniu np. pani premier, by i ona natychmiast wiedziała, że coś się dzieje i w razie potrzeby mogła podjąć decyzje. Brakowało też szybkiego sposobu dotarcia do ludności. W ostatnich dniach porozumieliśmy się jednak z MSWiA, by wykorzystać w tym celu Regionalny System Ostrzegania. To aplikacja, która działa na smartfonach. Na razie jest słabo wykorzystywana. Można się z niej dowiedzieć o nadchodzącej burzy lub innych zagrożeniach. Chcemy rozwijać ten system i rozszerzać jego funkcjonalność o publikowanie również informacji o zagrożeniach w sieci.

Każdy będzie mieć dostęp do informacji?

- O to właśnie chodzi. Pod warunkiem, że zainstaluje aplikację. Załóżmy, że w Internecie pojawi się zagrożenie - użytkownicy systemu dostaną na telefony tzw. powiadomienie push. Będziemy to rozwiązanie promować, by coraz więcej ludzi z niego korzystało. Mówimy o dobrym i szerokim sposobie dotarcia do ludzi. Można ostrzegać przed wieloma zagrożeniami i prócz informacji o katastrofach przekazywać też wiadomości o zagrożeniach w sieci. Sam system do tej pory był trochę niedopieszczony i zaniedbany więc zamierzamy się nad nim pochylić, rozwinąć i nakłonić ludzi do korzystania z niego.

W przypadku ataków zwierzchnictwo nad sytuacją kryzysową przejmie premier?

- Premier Szydło podjęła decyzję, że w przypadku zagrożenia w cyberprzestrzeni, Rządowe Centrum Bezpieczeństwa weźmie na siebie zarządzanie kryzysem. Tym samym zdefiniowano sposób przekazywania informacji o zagrożeniu: wszystkie ministerstwa i odpowiednie służby będą informowane przez RCB. Nawet jeśli informacja pochodzi z Ministerstwa Cyfryzacji, najpierw trafia do RCB, a stamtąd jest następnie rozsyłana dalej, także do najwyższych władz państwa. Ważne, by tego rodzaju informacje były sprawnie dostarczane.

Kompetencje cyberbezpieczeństwa są dobrze rozlokowane?

- Tak, nawet bardzo dobrze. Podzieliliśmy obowiązki tak, by pokryć całe spektrum wzajemnych interesów i wyzwań. Wyrazem tego podziału jest dokument "Krajowe Ramy Polityki Cyberbezpieczeństwa", czyli popularna strategia cyberbezpieczeństwa. Teraz jest przekuwana w ustawę, która najpóźniej w maju 2018 r. powinna zostać przyjęta. Spora część jest już napisana.

Czy wiadomo już ile pieniędzy z budżetu państwa na rozwój systemu cyberbezpieczeństwa w 2018 r. będzie mieć Ministerstwo Cyfryzacji?

- Jeszcze nie. Stworzyliśmy dużą rezerwę celową, blisko 100 mln zł. Niestety w 2017 r. nie mieliśmy takich środków. Ale też potrzeby są duże. Niektóre zadania mogą poczekać, ale część musi być zrealizowana w trybie pilnym. W budżecie zawsze jest mało pieniędzy, więc najważniejsze zadania z obszaru cyberbezpieczenstwa realizujemy np. przy pomocy grantów z Narodowego Centrum Badań i Rozwoju. W 2018 r. niektóre programy też wykonamy z pomocą tych grantów. Mają taki charakter, że dobrze się wpisują w wiele projektów.

- Wolałabym jednak, żeby nie przerodziło się to w stałą regułę. Dlatego złożyliśmy wniosek o ustanowienie rezerwy celowej. Jesteśmy jeszcze przed rozmowami na ten temat i nie omówiliśmy tych kwestii z Ministerstwem Finansów. Nasze potrzeby spotykają się jednak z dużym zrozumieniem ze strony ministra finansów Mateusza Morawieckiego.

- Sądzę zresztą, że zapracowaliśmy na swój wiarygodny wizerunek. W pierwszym roku funkcjonowania, działania ministerstwa nie wzbudzały zaufania. Wszyscy mieli w pamięci, że we wcześniejszych latach był to najgorszy resort, który zawiódł wiele oczekiwań. Pojawiały się opinie: po co znów utworzono to ministerstwo, znów nic im się nie uda, ciągle tylko coś sprzątają, a kiedy efekty? Od tamtej pory dużo się wydarzyło. Dziś mamy już zupełnie inny odbiór. Nie tylko w społeczeństwie, ale także wśród posłów i ministrów. Także tych odpowiedzialnych za zarządzanie finansami państwa. I wszyscy wiedzą, że nie wyciągamy ręki po pieniądze bez potrzeby. Ograniczamy wydatki, nie polemizujemy z ministrem finansów.

To musicie być ulubionym resortem ministra finansów...

- Jeśli minister finansów daje nam kwotę "X", a potrzebujemy więcej, to wydajemy "X" i szukamy brakujących pieniędzy w innych miejscach. Sięgamy np. po granty bądź pieniądze z Programu Operacyjnego Polska Cyfrowa. Dajemy sobie radę. Jeśli pieniądze z grantów albo fundusze unijne są do wykorzystania, warto po nie sięgnąć. Próbujemy korzystać z wszelkich dostępnych możliwości, by nie obciążać dodatkowo budżetu państwa. A równocześnie przeprowadzamy realną cyfrową rewolucję. Za kilka lat Polska pod względem cyfryzacyjnym będzie zupełnie innym krajem, niż jeszcze kilka lat temu. I myślę, że ludzie też się przekonają, że cyfryzacja to naprawdę jest frajda. Nie tylko dlatego, że oszczędza czas i daje wygodę. Ona po prostu ułatwia nam życie.

Rozmawiali:Monika Krześniak-Sajewicz i Bartosz Bednarz