Cyberbezpieczeństwo łatwo przedstawić jako wyścig technologiczny. Po jednej stronie są atakujący, po drugiej coraz nowsze systemy ochrony, filtry, zapory, skanery i zespoły reagowania. Taki obraz jest częściowo prawdziwy, ale niepełny. W wielu realnych incydentach decyduje nie najbardziej zaawansowany sprzęt, lecz najsłabsza procedura: nieaktualne konto, brak wieloskładnikowego logowania, odkładana aktualizacja, niejasna odpowiedzialność albo panika po pierwszym sygnale problemu.
Raporty CERT Polska pokazują, że cyberzagrożenia są już codziennym zjawiskiem, a nie wyjątkową sytuacją dla dużych firm technologicznych. Oszustwa, podszywanie się pod instytucje, fałszywe inwestycje, złośliwe linki, wyłudzanie danych i ataki na organizacje publiczne tworzą środowisko stałego ryzyka. To znaczy, że państwo nie może traktować cyberbezpieczeństwa jako projektu od święta.
Najważniejsza zmiana polega na przejściu od pytania „czy zostaniemy zaatakowani?” do pytania „jak szybko wrócimy do działania?”. Ataku nie da się wykluczyć. Można natomiast ograniczyć jego skutki: mieć kopie zapasowe, przetestowane procedury, listę osób decyzyjnych, kanały komunikacji poza zaatakowaną pocztą i jasny plan informowania obywateli.
Atak techniczny szybko staje się kryzysem zaufania
To szczególnie ważne w instytucjach publicznych, bo cyberatak nie jest tam wyłącznie problemem informatyków. Jeśli nie działa system urzędu, mieszkaniec nie załatwi sprawy. Jeśli padnie szpitalna infrastruktura, problem dotyczy pacjentów. Jeśli ktoś podszywa się pod instytucję, skutkiem może być utrata pieniędzy przez obywateli. Techniczny incydent bardzo szybko staje się społecznym kryzysem zaufania.
Dlatego odporność cyfrowa wymaga ćwiczeń, a nie tylko dokumentów. Procedura, której nikt nie sprawdził, jest obietnicą, nie zabezpieczeniem. Urząd powinien wiedzieć, co zrobi, gdy poczta przestanie działać, gdy zaszyfrowane zostaną pliki, gdy fałszywy profil zacznie wysyłać komunikaty do mieszkańców albo gdy atak nastąpi w piątek po południu. Najgorszy moment na ustalanie odpowiedzialności to środek kryzysu.
Ważna jest też komunikacja. Instytucje często boją się mówić o incydentach, bo obawiają się reputacyjnej szkody. Milczenie może jednak zwiększyć straty. Jeśli obywatele nie wiedzą, że trwa kampania podszywania się pod urząd albo bank, łatwiej klikną w fałszywy link. Szybkie ostrzeżenie nie jest przyznaniem się do porażki. Jest częścią ochrony.
Procedury trzeba ćwiczyć, nie tylko opisywać
W tym sensie cyberbezpieczeństwo staje się podobne do ochrony przeciwpożarowej. Nie wystarczy kupić sprzęt. Trzeba znać wyjścia ewakuacyjne, ćwiczyć reakcję, sprawdzać gaśnice, wyznaczyć odpowiedzialnych i nie blokować drzwi. W świecie cyfrowym odpowiednikiem są kopie, aktualizacje, uprawnienia, logi, procedury zgłoszeń i regularne szkolenia ludzi, którzy na co dzień nie zajmują się technologią.
Największym wyzwaniem pozostają mniejsze jednostki: szkoły, małe urzędy, lokalne instytucje kultury, przychodnie, spółki komunalne i organizacje społeczne. Często obsługują dane wrażliwe, ale nie mają dużych zespołów IT. Tam cyberbezpieczeństwo musi być proste, powtarzalne i wspierane centralnie. Inaczej papierowe obowiązki będą rosły szybciej niż realna odporność.
Dla obywatela temat również nie kończy się na haśle. Coraz więcej usług publicznych, bankowych i zdrowotnych przechodzi przez telefon, mail i aplikacje. Jeśli użytkownik nie umie rozpoznać fałszywego linku, presji czasu, nietypowego adresu albo prośby o kod, nawet najlepsze centralne systemy będą miały słaby punkt na końcu łańcucha.
Własne analizy mediów powinny więc pokazywać cyberbezpieczeństwo mniej sensacyjnie, a bardziej praktycznie. Nie każdy tekst musi zaczynać się od groźnego ataku. Czasem ważniejsze jest pytanie, czy lokalny urząd ma procedurę zgłaszania incydentów, czy szkoła szkoli pracowników, czy mieszkańcy wiedzą, gdzie sprawdzać ostrzeżenia i czy instytucje publiczne potrafią mówić prostym językiem o cyfrowym ryzyku.