Bezcenna higiena w sieci

Odpowiedzialność za nasze bezpieczeństwo w sieci powinno brać na siebie państwo, a edukacja z zasad higieny w użytkowaniu internetu musi obejmować już najmłodszych - oceniają eksperci.

W lipcu zeszłego roku Parlament Europejski uchwalił dyrektywę NIS, dotyczącą bezpieczeństwa Internetu oraz informacji w sieci. Weszła ona w życie w sierpniu, podobnie jak wprowadzającą ją polska ustawa tworząca Krajowy System Cyberbezpieczeństwa. Dyrektywa nakłada na objęte nią instytucje nowe obowiązki związane z zapewnieniem bezpieczeństwa w świecie cyfrowym.

Kto i komu ma je zapewniać? Według NIS odpowiedzialni za nie są "operatorzy usług kluczowych" - banki, sektor energetyczny, transport, ochrona zdrowia, dostawcy usług cyfrowych itp. Państwa Unii zostały zobowiązane do przyjęcia krajowych strategii cyberbezpieczeństwa. Mają powstać sieci krajowych CSIRT współpracujących ze sobą i wspomaganych przez Europejską Agencję Bezpieczeństwa Sieci i Informacji. Dyrektywa NIS nie mówi natomiast wprost o bezpieczeństwie obywateli, nie podlegają jej też portale społecznościowe. A z nich właśnie korzystają najmłodsi.

Wiadomo przecież, że cyberprzestępcy coraz rzadziej atakują same banki, najczęściej natomiast ich klientów. Teoretycznie banki mogłyby powiedzieć - chronimy siebie, a klienci muszą sami o siebie dbać. Cyberbezpieczeństwo jest tymczasem niepodzielne - jeden zarażony klient może oznaczać wielkie straty i dla banku i dla setek innych ludzi. Bo cyberprzestrzeń to także przestrzeń publiczna.

- Nie dyskutujemy o tym, czy potrzebujemy policjantów, znaków czy przepisów ruchu drogowego. Dlatego państwo jest tu konieczne, gdyż o cyberprzestrzeni musimy mówić jak o przestrzeni publicznej - mówił podczas Forum Ekonomicznego w Krynicy Marcin Malicki, wiceprezes Exatela, firmy dostarczającej łączy internetowych dla biznesu, samorządów i administracji publicznej, zarządzającej siecią światłowodową i testującej łączność 5G.

Chodzi więc o to, żeby zasady cyberbezpieczeństwa potraktować jeszcze szerzej niż wskazuje to dyrektywa NIS. Ale skoro parasol nie może być rozpięty tylko nad kilkoma kluczowymi sektorami, lecz praktycznie nad całym społeczeństwem, pociąga to za sobą wielkie koszty. Tym bardziej, że cyberprzestępczość jest intratnym biznesem, znakomicie organizującym i wykorzystującym swoje zasoby.

- Na cyberbezpieczeństwo muszą być uruchomione duże wydatki publiczne. To choćby koszty odpowiednich ludzi, którzy muszą się w tym poruszać. (...) Powinniśmy tworzyć nowe kadry, finansować ze środków publicznych programy studiów podyplomowych - podkreślał Felix Barrio, dyrektor ds. cyberbezpieczeństwa, prac badawczo-rozwojowych i zarządzania talentami w Hiszpańskim Narodowym Instytucie ds. Bezpieczeństwa Cybernetycznego.

Jak ważne jest cyberbezpieczeństwo dla sektora prywatnego? Tegoroczne badania firmy doradczej PwC nie pozostawiają złudzeń. Wynika z nich, że aż 44 proc. firm poniosło straty finansowe na skutek cyberataków. 21 proc. padło ofiarą szyfrowania dysków w komputerach lub na serwerach dla okupu, a więc ataków ransomware. 20 proc. średnich i dużych firm nie ma nawet jednego pracownika, który za cyberbezpieczeństwo by odpowiadał, czy nawet cokolwiek się na tym znał. To jak gra z przestępcami w rosyjską ruletkę.

- Sektor prywatny jest w Europie dość rozdrobniony, brak jest w nim skali, infrastruktury i tu też pojawia się postulat uruchomienia środków publicznych - powieedział Felix Barrio.

- Jeśli zostawimy to tylko rynkowi komercyjnemu, mogą oni pójść na skróty, mogą to robić niedokładnie - dodał Marcin Malicki.

Zadania państwa powinny wiązać się z szerzeniem kultury cyberbezpieczeństwa i edukacji w tym zakresie. Ale tu na przeszkodzie stoi wielki problem - skoro w sieci udostępniane są atrakcyjne treści za darmo, pokusa by po nie sięgać jest bardzo duża.

- Wiele osób wie, że 70 proc. wszystkich filmów czy muzyki w portalach P2P zawiera jakieś wirusy, ale korzystamy z tego, bo to jest darmowe - mówił Felix Barrio.

Mimo to kształtowanie kultury i higieny cyberbezpieczeństwa jest tym ważniejsze, że z nieodpłatnych treści, a także z portali społecznościowych korzystają już najmłodsi. Jak zachowują się w sieci? Tak naprawdę, tego jeszcze nie wiemy. To wymaga badań.

- Nasz wiedza o zachowaniach dzieci w cyberprzestrzeni jest niedokładna i niedoskonała - powiedział Marcin Malicki.

- Najważniejsze jest, żeby zająć się wcześniejszą edukacją młodzieży. Na poziomie uniwersyteckim jest już za późno, powinniśmy przesunąć tę edukację na wcześniejszy etap - dodała Biljana Cerin. członkini zarządu oddziału (ISC)2 w Chorwacji, amerykańskiej firmy zajmującej się walką z cyberprzestępczościa.

- Powinniśmy nastawić się już na dzieci jeśli chodzi o podstawową edukację - wtórował im Andreas Haggman, ekspert ds. Cyberbezpieczeństwa w Royal Holloway University of London.

Zdaniem Predraga Tasevskyego, współzałożyciela macedońskiej firmy IGF, nad tworzeniem kultury i higieny cyberbezpieczeństwa powinien współpracować sektor publiczny wspólnie z prywatnym, gdyż firmy komercyjne wypracowały już bardzo wiele zaleceń, czy też dobrych praktyk i mają doświadczenia w kształceniu ludzi w tym zakresie, choćby pracowników rozmaitych korporacji. W jego ocenie prawdopodobnie do kształcenia najmłodszych najlepiej nadawałyby się gry edukacyjne.

Informatyk i poseł z woj. podkarpackiego Maciej Masłowski zwrócił uwagę, że edukacja ze strony ekspertów od technologii jest niewystarczająca, Sposobami znalezienia metod edukacji w zakresie kultury cyberbezpieczeństwa powinni zająć się także socjologowie i psychologowie.

- Z cyberbezpieczeństwem jest jak z prezerwatywami - póki ludzie nie zaczęli ich powszechnie używać, wirus HIV rozprzestrzeniał się w zastraszającym tempie - powiedział Maciej Masłowski.

Dobra wiadomością jest to, że Parlament Europejski pracuje nad reformami prawa, które mają zapewnić, iż nowe usługi i technologie mają mieć pewien poziom cyberbezpieczeństwa wbudowany domyślnie (security by design). Dostawcy oprogramowania będą także musieli stosować się do zasady "domyślnej" ochrony użytkownika.

Jacek Ramotowski