101326032v2

Spis treści

Wykaz skrótów 9 Wprowadzenie 13 1. Cyberprzestrzeń i pojęcia pochodne 1.1. Cyberprzestrzeń 1.1.1. Definicje cyberprzestrzeni 1.1.2. Definicja autorska 1.2. Elementy składowe pojęć złożonych: zagrożenie, podatność, incydent 1.2.1. Zagrożenie 1.2.2. Klasyfikacja zagrożeń 1.2.3. Sposoby realizacji zagrożeń 1.2.4. Podatność 1.2.5. Incydent 1.3. Bezpieczeństwo i cyberbezpieczeństwo – analiza pojęć

21 22 23 27

2. O pomiarach (nie tylko) ryzyka

51

3. (Cyber)ryzyko 3.1. Pojęcie ryzyka w słownikach i potocznym rozumieniu 3.2. Pojęcie ryzyka w ujęciu formalnym 3.3. Ryzyko w podejmowaniu decyzji dla potrzeb bezpieczeństwa 3.4. Ryzyko a analiza skutków biznesowych 3.5. Zarządzanie ryzykiem związanym z przetwarzaniem informacji

59 61 63 66 69 74

32 33 36 39 41 43 46

6

Spis treści

3.5.1. Przegląd zapisów dotyczących cyberbezpieczeństwa i zarządzania ryzykiem w dokumentach unijnych i polskich 3.5.2. Przygotowanie organizacji do zarządzania ryzykiem 3.5.3. Analiza ryzyka 3.5.4. Wskazówki do przeprowadzania sesji „burzy mózgów” 3.5.5. Minimalizacja wartości ryzyka i akceptacja ryzyka szczątkowego 3.5.6. Praca operacyjna − administrowanie ryzykiem 3.6. Cyberryzyko z perspektywy bezpieczeństwa państwa 3.6.1. Zarys problemu i propozycja jego rozwiązania 3.6.2. Koncepcja realizacji zadania zarządzania ryzykiem przez jednostki samorządu terytorialnego 4. Szacowanie ryzyka w zapewnianiu cyberbezpieczeństwa systemów informacyjnych 4.1. Propozycja metodyki analizy i postępowania z ryzykiem na potrzeby cyberbezpieczeństwa systemów informacyjnych 4.2. Algorytm metodyki APR 4.3. Problemy z szacowaniem ryzyka 4.3.1. Czarne Łabędzie 4.3.2. Wyrażanie niepewności 4.3.3. Mapy ryzyka 4.4. Analiza ryzyka i postępowanie z ryzykiem – przykłady 4.4.1. PRZYKŁAD 1 (działanie „siły wyższej”, utrata dostępności) 4.4.2. PRZYKŁAD 2 (działania błędne, utrata możliwości świadczenia usług) 4.4.3. PRZYKŁAD 3 (działania celowe, wyciek informacji) 4.4.4. Szacowanie ryzyka według organizacji Microsoft® 5. Cyberbezpieczeństwo sieci i systemów przemysłowych 5.1. Normy, standardy i zbiory „dobrych praktyk” dotyczące bezpieczeństwa sieci przemysłowych 5.1.1. Seria norm IEC 62443 5.1.2. Zalecenia organizacyjne SANS 5.1.3. Kompendium niemieckiego urzędu ds. bezpieczeństwa informacyjnego

76 83 87 95 98 100 106 108 115 125 126 132 136 137 139 144 147 149 158 162 167 171 179 181 185 188

Spis treści

7

5.2. Szacowanie ryzyka w zapewnianiu cyberbezpieczeństwa systemów przemysłowych 196 5.2.1. LOPA – analiza warstw zabezpieczeń 205 5.2.2. Analiza hazardu i gotowości systemu według metody HAZOP 217 5.2.3. Analiza drzewa błędów FTA 221 5.3. Diagnostyka techniczna w zapewnianiu cyberbezpieczeństwa systemów przemysłowych 227 5.3.1. Testowanie jako element diagnostyki technicznej 229 6. Metodyki ochrony zasobów informacyjnych przed cyberatakami 237 6.1. Model diamentu i metodyka firmy IBM 238 6.2. O zabójczych łańcuchach – Kill chain i Intrusion kill chain 244 6.3. MITRE ATT&CK 249 7. Cyberbezpieczeństwo łańcuchów dostaw 253 7.1. Dostawa, logistyka, łańcuch dostaw − rys historyczny 256 7.2. Łańcuch dostaw i cyfrowy łańcuch dostaw − definicje 258 7.3. Klasyfikacja łańcuchów dostaw 262 7.4. Bezpieczeństwo dostaw w zapisach wybranych standardów i norm 268 Zakończenie 279 Źródła literaturowe i internetowe 285 Spis rysunków 291 Spis tabel 293 Indeks 295

Wprowadzenie

Inspirację do napisania tej książki stanowiły obserwacje przekazów medialnych, publikacji (mniej i bardziej naukowych) oraz dyskusji na forach takich jak LinkedIn dotyczących zagadnień „cyberbezpieczeństwa”. Z obserwacji tych wynika istotny wniosek –używane tam pojęcia, jak np. cyberprzestrzeń czy cyberbezpieczeństwo, generujące kolejne terminy takie jak „ataki cybernetyczne” czy „cyberhigiena” są różnie rozumiane i interpretowane w zależności od tego, jakie grupy lub poszczególne osoby tych pojęć używają, a tzw. „legalne” wykładnie tych pojęć tylko zaciemniają sprawę. Drugi powód to wzmożony przez różne regulacje prawne (NIS2, KRI, RODO, DORA itp.) nacisk na „ogląd” rzeczywistości przez pryzmat wyników szacowania ryzyka. Paradygmat postrzegania działalności biznesowej poprzez ryzyko związane z tą działalnością nie jest nowy – obowiązuje co najmniej od początku tego stulecia. Ostatnio jednak pojęcie ryzyka zostało przypisane do zdolności świadczenia usług przez organizacje nie tylko wchodzące w skład infrastruktury krytycznej, ale także przez podmioty publiczne, co jest dość istotną zmianą w stosunku do wcześniejszego postrzegania ryzyka i działalności biznesowej w skali państwa. W efekcie słowo ryzyko obok cyberbezpieczeństwa stało się słowem chyba najczęściej używanym w dyskusjach polityczno-militarno-gospodarczych i podstawą wielu przedsięwzięć na szczeblu poszczególnych organizacji biznesowych oraz organizacji takiej jak państwo. Dlatego zasadniczą część tej książki stanowią odniesienia do ryzyka jako podstawy podejmowania decyzji oraz sposobów jego szacowania.

Książkę Cyberprzestrzeń, cyberbezpieczeństwo, cyberryzyko można zaliczyć do grupy podręczników wspomagających kształcenie specjalistów

14

Wprowadzenie

w dziedzinie cyberbezpieczeństwa. Może ona być przydatna także dla studentów, a także kadry zarządzającej podmiotami publicznymi oraz zakładami przemysłowymi, która musi się mierzyć z problemami cyberbezpieczeństwa zarówno z powodów praktycznych, jak i wprowadzonych uregulowań prawnych. Podstawową trudnością przy pisaniu tej książki był wynikający z ww. przyjętych założeń dobór tematów oraz sposób ich opisu. Mam nadzieję, że udało mi się to zrobić dobrze, chociaż zawsze istnieje obawa, że wybór i opis był nietrafiony – nie-technicy uznają go za zbyt techniczny, a technicy za zbyt powierzchowny. Uważam jednak, że książka ta może być przydatna dla specjalistów zajmujących się, z racji wykonywanej profesji, bezpieczeństwem informacyjnym oraz studentów szkół wyższych na specjalnościach mających w nazwach takie określenia, jak „cyberbezpieczeństwo”, „cyberobrona”, „bezpieczeństwo sieci i systemów”, „inżynieria bezpieczeństwa” itp., które to można znaleźć na kierunkach studiów nie tylko informatycznych, ale również na kierunkach takich jak „Bezpieczeństwo Narodowe” czy „Bezpieczeństwo Wewnętrzne”1.

Na książkę składa się siedem głównych rozdziałów. Rozdział pierwszy nosi tytuł „Cyberprzestrzeń i pojęcia pochodne”. Pojęcie cyberprzestrzeni, szeroko używane w przekazach medialnych i ogólnie w dyskursie publicznym, traktowane jest – co wskazano już we wstępie – jako coś zrozumialego samo przez się. Niestety prawda jest inna – wystarczy zapytać rozmówcę szermującego w dyskusji pojęciami cyberprzestrzeni czy cyberbezpieczeństwa, co te słowa znaczą i co opisują, a okaże się, że jest z tym kłopot. A przecież cyberprzestrzeń stanowi podstawę innych pojęć, mających przyrostki „cyber”. Proponowany, wraz z uzasadnieniem, sposób interpretacji tych pojęć to podstawowa treść rozdziału pierwszego. Wymienione w tytule rozdziału „pojęcia pochodne” to zagrożenie, podatność i incydent jako elementy składowe złożonych pojęć takich jak bezpieczeństwo i cyberbezpieczeństwo.

1

Uzupełnieniem treści zawartych w tej książce może być zawartość książki: Liderman K., Bezpieczeństwo informacyjne. Nowe wyzwania [28], w której można znaleźć m.in. informacje na temat formalnych modeli bezpieczeństwa, dokumentowania systemu (cyber)bezpieczeństwa oraz oceny stanu ochrony zasobów informacyjnych i systemów teleinformatycznych, na które zabrakło już miejsca w niniejszej książce.

Wprowadzenie

15

Sposób ich rozumienia i praktyczne konsekwencje związane z takim, a nie innym rozumieniem (przykładem może być tutaj rygorystyczne rozróżnianie zagrożenia od sposobu jego realizacji) stanowi treść drugiej części rozdziału pierwszego. Zestawienie pojęć stanowiących, w opinii piszącego te słowa, zrozumiały i spójny zbiór definicji z zakresu „cyber” jest zamieszczone w ramce na końcu rozdziału pierwszego. Kryterium przydatności i trafności tych definicji i ich interpretacji powinno być to, czy mogą być podstawą merytorycznego, rzeczowego, precyzyjnego i niesprzecznego dyskursu o współczesnej rzeczywistości nasyconej techniką i technologią informatyczną. Mam nadzieję, że Czytelnicy uznają, że wprowadzony zestaw definicji, choć nie zawsze zgodny z powszechnie używanymi, spełnia to kryterium.

W rozdziale drugim są przedstawione różne poglądy na to, co oznacza słowo „pomiar”. Podstawą wszelkiej dzialalności technicznej powinna być znajomość mierzalnych i weryfikowalnych faktów dotyczących zarówno prowadzonych działań, jak i środowiska tej działalności. Jak głosi cytat zamieszczony na początku rozdziału drugiego: Jeśli potrafisz zmierzyć to, o czym mówisz, i wyrazić za pomocą liczb, to znaczy, że wiesz coś o tym. Ale jeśli nie potrafisz tego zmierzyć, jeśli nie potrafisz wyrazić tego za pomocą liczb, twoja wiedza jest niewystarczająca. Kłopot polega na tym, że słowa „pomiar” używa się zarówno w odniesieniu do czynności technicznej mierzenia wielkości fizycznych, jak i do bliżej niesprecyzowanych działań mających na celu „mierzenie” wytworów pojęciowych takich jak „bezpieczeństwo” czy „miłość”.

A „pomiar ryzyka” czy „pomiar bezpieczeństwa” to frazy, które coraz częściej spotyka się w treści różnych formalnych uregulowań z zakresu cyberbezpieczeństwa oraz w dyskusjach specjalistów. Zatem na pewno warto im się bliżej przyjrzeć i przyjąć do dalszych rozważań ich jednoznaczną interpretację.

Rozdział trzeci jest skoncentrowany na pojęciu ryzyka i jego węższym wariancie – cyberryzyku. Przedstawiono w nim obszerną dyskusję pojęcia „ryzyko” zarówno w ujęciu potocznym, jak i formalnym. Opisano także szczegółowo proces zarządzania przez organizację ryzykiem związanym z przetwarzaniem informacji. Ryzyka związanego z przetwarzaniem informacji w systemach informacyjnych nie da się całkowicie wyeliminować. Dlatego kwestią kluczową dla zarządzania ryzykiem jest utrzymanie równowagi między łatwością użytkowania systemu informacyjnego

16

Wprowadzenie

a zabezpieczeniami implementowanymi w ramach funduszy przeznaczonych na „bezpieczeństwo”. Celem zarządzania ryzykiem jest zatem wdrażanie zabezpieczeń „tyle, ile potrzeba”. Rozdział kończy autorska koncepcja realizacji zadania zarządzania ryzykiem przez jednostki samorządu terytorialnego, który to problem z perspektywy bezpieczeństwa państwa (przynajmniej jeszcze na początku roku 2026) jest niezmiernie istotny i czeka na sensowne rozwiązanie.

W rozdziale czwartym opisano sposoby szacowania ryzyka przy zapewnianiu cyberbezpieczeństwa systemów informacyjnych. Implementacja niepotrzebnych zabezpieczeń oznacza marnowanie zasobów (w tym funduszy) oraz sprawia, że użytkowanie i utrzymywanie systemu staje się trudniejsze.

Trzeba jednak zwrócić uwagę, że zapewnianie bezpieczeństwa przemysłowego (patrz rozdział piąty) wymaga zwykle redundancji zabezpieczeń, co na pierwszy rzut oka można uznać za niepotrzebne. Z kolei niezaimplementowanie wymaganych zabezpieczeń oznacza narażenie zasobów informacyjnych na utratę tajności, integralności lub dostępności, co może negatywnie wpłynąć (i zwykle wpływa) na działalność biznesową organizacji. W przypadku systemów przemysłowych brak odpowiednich zabezpieczeń zwykle oznacza katastrofę z niejednokrotnie bardzo dotkliwymi skutkami dla ludzi i środowiska pracy takich systemów. W części pierwszej rozdziału czwartego podano algorytm szacowania ryzyka według metodyki APR. W części drugiej omawiane są problemy występujące przy jakościowym szacowaniu ryzyka, takie jak „Czarne łabędzie” i niedoskonałości map ryzyka. Trzecia część rozdziału to trzy obszerne przykłady pokazujące zastosowanie metodyki APR. Rozdział piąty nosi tytuł „Cyberbezpieczeństwo sieci i systemów przemysłowych”. Szeroko rozumianym bezpieczeństwem wspomnianych w tytule systemów zajmowali się i nadal się zajmują automatycy i elektronicy. Od czasu podłączenia tego typu systemów do sieci rozległych takich jak Internet specjaliści ci muszą uczyć się współdziałania z informatykami, co w praktyce oznacza także uzgodnienie i przyjęcie jednakowo interpretowanej i zrozumiałej dla obu grup specjalistów terminologii. Te dwa światy – bezpieczeństwa przemysłowego i bezpieczeństwa informacyjnego – już dawno zostały sprzężone, ale często nadal postrzega się je jako światy odmienne, rządzące się różnymi regułami, standardami i uregulowaniami prawnymi. Przykładem mogą być chociażby publikacje z zakresu cyberbezpieczeństwa – bardzo

Wprowadzenie

17

rzadko znajdują się w nich techniczne analizy zagadnień bezpieczeństwa sieci przemysłowych2. Rodzi to trudności w określaniu np. zakresu cyberbezpieczeństwa w obszarze sieci i systemów przemysłowych, co przekłada się m.in. na pytanie, kto (tj. specjaliści z jakich i jak zorganizowanych komórek organizacyjnych zakładów przemysłowych) powinni się zajmować pacyfikacją jakich incydentów. A jest to zagadnienie istotne, o czym świadczą chociażby doświadczenia z wojny na Ukrainie. Zdaniem piszącego te słowa, już czas, aby na zagadnienia cyberbezpieczeństwa spojrzeć nie oddzielnie, przez pryzmat świata informacyjnego i świata przemysłowego, lecz łącznie, bo powiązania między nimi stają się coraz silniejsze i coraz bardziej skomplikowane, wprowadzając istotny element synergii w dziedzinie podatności na realizacje różnych zagrożeń. Pierwsza część rozdziału piątego to wprowadzenie do zagadnienia cyberbezpieczństwa sieci i systemów przemysłowych, uzupełnione o krótko zaprezentowane istotne normy i standardy z tego obszaru. Są to: seria norm IEC 62443, zalecenia organizacyjne SANS oraz Kompendium niemieckiego urzędu ds. bezpieczeństwa informacyjnego.

Druga część druga rozdziału piątego dotyczy szacowanie ryzyka w zapewnianiu cyberbezpieczeństwa systemów przemysłowych. W tej części są przedstawione trzy metody (wybór autorski) analiz zagrożeń i szacowania ryzyka stosowane do systemów IACS (Industrial Automation and Control Systems). Są to metody LOPA, HAZOP i FTA, z których dwie ostatnie można, praktycznie bez istotnych zmian, zastosować także do systemów informacyjnych.

Trzecia część tego rozdziału dotyczy diagnostyki technicznej w zapewnianiu cyberbezpieczeństwa systemów przemysłowych. Ta część jest swoistym uzupełnieniem treści rozdziału drugiego o pomiarach.

Rozdział szósty to „Metodyki ochrony zasobów informacyjnych przed cyberatakami”. Zostały w nim opisane modele Diamentu i Kill Chain oraz framework MITRE ATT&CK. Te elementy składają się w sumie na organizacyjną

2

Analizy bezpieczeństwa działania sieci i systemów przemysłowych można jednak znaleźć w publikacjach z zakresu automatyki i elektroniki lub instytucji kontroli i nadzoru, takich jak Urząd Dozoru Technicznego, który prowadzi także działalność edukacyjną poprzez organizowanie konferencji tematycznych, wydawanie biuletynu branżowego i bardzo dobrze opracowanych publikacji, w tym z zakresu bezpieczeństwa IACS.

18

Wprowadzenie

i techniczną podstawę najnowszych trendów zapewniania cyberbezpieczeństwa, a ich znajomość przez specjalistów od tego przedsięwzięcia jest sine qua non.

Ostatni, siódmy rozdział książki, nosi tytuł „Cyberbezpieczeństwo łańcuchów dostaw”. Ostatnie lata to czas wojny, pandemii, przyspieszającej globalizacji i nasilającej się rywalizacji głównych mocarstw o zasoby i rynki.

Elementem szczególnie wrażliwym na działania związane z ww. czynnikami są łańcuchy dostaw (ang. supply chain), od których zależy zarówno płynność działania gospodarki państwa powiązanych takimi łańcuchami, jak i sukcesy na polu walki. Łańcuchy dostaw są wrażliwe także na działania z wykorzystaniem cyberprzestrzeni, szczególnie w przypadku cyfrowych łańcuchów dostaw (ang. digital supply chain). Dostrzeżenie tego faktu zaowocowało szeregiem nowych regulacji prawnych, zapisanych w takich dokumentach jak NIS2 czy CER w obszarze europejskim, a także zmianami w istniejących normach i standardach technicznych, i wydaniem nowych standardów ukierunkowanych bezpośrednio na łańcuchy dostaw (jak np. ISO 28001 i NIST SP 800-161). W wydanej przez ENISA prognozie3, na pierwszym miejscu na liście „Top Ten Cybersecurity Threats” znajduje się Supply Chain Compromise of Software Dependencies. Wydaje się, że są to wystarczające powody, aby temu zagadnieniu poświęcić nieco więcej uwagi.

W zakończeniu wskazano i krótko opisano te zagadnienia, których Czytelnik mógł się spodziewać w tej książce, a które zostały pominięte. Główne z nich to sztuczna inteligencja (AI) oraz cyberprzestępczość.

W książce jest używane ogólne określenie wrogi podmiot. Może nim być podmiot indywidualny (jakaś osoba) lub grupowy (grupa przestępcza, służby obcego państwa itp.), który celowo wykonuje działania przynoszące szkody podmiotowi, przeciwko któremu są one skierowane. To określenie porządkuje dyskurs, ponieważ znaczeniowo obejmuje wszystkie popularne określenia, takie jak adwersarz, intruz, haker, atakujący, cyberprzestępca itp., eliminując rozmaitość nazw i jednocześnie nie blokując, w razie potrzeby, przypisania określonej roli wrogiemu podmiotowi.

3

ENISA, Foresight Cybersecurity Threats for 2030 – UPDATE. Executive Summary.

March 2024.

Wprowadzenie

19

W książce zamieszczono wiele przykładów i definicji. Koniec każdego przykładu jest oznaczony znakami * * * *, a każdej definicji – znakami • • • •.

Przyjęto zasadę, że definicje, tabele, przykłady i rysunki są numerowane za pomocą dwóch cyfr rozdzielonych kropką. Pierwsza cyfra jest numerem rozdziału głównego, w którym jest zamieszczona definicja, przykład lub rysunek, druga zaś jest cyfrą oznaczającą kolejność definicji, tabeli, przykładu lub rysunku w ramach rozdziału.