Rozdział 10. Szczególne działania na rzecz zapewnienia cyberbezpieczeństwa

Wprowadzenie do polskiego porządku prawnego polecenia zabezpieczającego jest konieczne dla zapewnienia bezpieczeństwa narodowego, ponieważ cyberataki są coraz częstsze i coraz bardziej niebezpieczne. Należy podkreślić, że są one dokonywane zarówno przez zwykłych przestępców jak i sprawców powiązanych z określonymi państwami, którzy dysponują znaczną wiedzą i zasobami. Państwo musi mieć odpowiednie prawne środki reakcji na incydenty krytyczne, aby bronić swojego społeczeństwa i gospodarki przed skutkami tych incydentów.

Polecenie zabezpieczające będzie skutecznym środkiem przeciwdziałania incydentom krytycznym. Będzie miało charakter proporcjonalny do cyberzagrożenia. Wpłynie ono wyłącznie w niezbędnym zakresie na swobodę działalności gospodarczej, aby uchronić kluczowe podmioty przed skutkami incydentu krytycznego, który jak wspomniano wyżej, w bardzo poważny sposób zagraża obywatelom, gospodarce, czy szerzej bezpieczeństwu narodowemu. Katalog zachowań możliwych do nałożenia w drodze polecenia zabezpieczając go zostanie ustawowo ograniczony. Ponadto minister będzie zobligowany wybrać zachowanie adekwatne do cyberzagrożenia, jakie stwarza incydent krytyczny. Przeciwdziała to arbitralności władzy publicznej.

Polecenie zabezpieczające nie cenzuruje ani nie wyłącza internetu w Polsce. Umożliwia natomiast zablokowanie konkretnego ruchu sieciowego, który został zidentyfikowany przez zespoły CSIRT jako przyczyna incydentu krytycznego. Chodzi o przeciwdziałanie atakom typu DDoS.

Adresatem polecenia zabezpieczającego mogą być podmioty kluczowe i podmioty ważne określone rodzajowo oraz podmioty finansowe.

W ramach polecenia zabezpieczającego mogą być nakazane podmiotom kluczowym i podmiotom ważnym następujące działania:

• 1)
  nakaz przeprowadzenia szacowania ryzyka związanego ze stosowaniem określonego produktu ICT, usługi ICT lub procesu ICT i wprowadzenie środków ochrony proporcjonalnych do zidentyfikowanych ryzyk;
• 2)
  nakaz przeglądu planów ciągłości działania, planów awaryjnych i planów odtworzenia działalności pod kątem ryzyka wystąpienia incydentu krytycznego związanego z daną podatnością;
• 3)
  nakaz zastosowania określonej poprawki bezpieczeństwa w produkcie ICT lub usłudze ICT posiadającym daną podatność;
• 4)
  nakaz szczególnej konfiguracji produktu ICT lub usługi ICT, zabezpieczającej przed wykorzystaniem określonej podatności;
• 5)
  nakaz wzmożonego monitorowania zachowania systemu informacyjnego;
• 6)
  zakaz korzystania z określonego produktu ICT lub usługi ICT, które posiada podatność, która przyczyniła się do zaistnienia incydentu krytycznego;
• 7)
  nakaz wprowadzenia ograniczenia ruchu sieciowego przychodzącego do infrastruktury podmiotu kluczowego lub podmiotu ważnego, który skutkując zakłóceniem usług świadczonych przez ten podmiot został sklasyfikowany przez CSIRT MON, CSIRT NASK lub CSIRT GOV jako przyczyna trwającego incydentu krytycznego;
• 8)
  nakaz wstrzymania dystrybucji lub zakaz instalacji określonej wersji oprogramowania;
• 9)
  nakaz zabezpieczenia określonych informacji, w tym dzienników systemowych;
• 10)
  nakaz wytworzenia obrazów stanu określonych urządzeń zainfekowanych złośliwym oprogramowaniem

Ocena bezpieczeństwa polega na przeprowadzeniu testów bezpieczeństwa systemu informacyjnego wykorzystywanego przez podmiot krajowego systemu cyberbezpieczeństwa w celu identyfikacji podatności tego systemu. Wyboru rodzaju testów bezpieczeństwa dokonuje się adekwatnie do systemu informacyjnego i świadczonej usługi z uwzględnieniem specyfiki sektora lub podsektora.

Ocenę bezpieczeństwa może przeprowadzić CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowy. Ocena odbywa się za zgodą podmiotu krajowego systemu cyberbezpieczeństwa wyrażoną w formie pisemnej lub formie elektronicznej pod rygorem nieważności albo na zlecenie organu właściwego do spraw cyberbezpieczeństwa. Zlecenie może dotyczyć tylko podmiotów kluczowych.

Celem oceny bezpieczeństwa jest pomoc w identyfikacji podatności. Ma ona charakter prewencyjny. Jednakże prowadzenie tej oceny nie może zaszkodzić systemowi informacyjnemu, a szerzej podmiotowi, który korzysta z tego systemu i świadczy usługi dla swoich klientów. Dlatego wprowadza się zasadę, zgodnie z którą czynności przeprowadzane w ramach oceny bezpieczeństwa powinny w jak najmniejszym stopniu zakłócać funkcjonowanie tego systemu lub ograniczać jego dostępność. Tym bardziej nie jest dopuszczalne, aby działania te doprowadziły do nieodwracalnego zniszczenia danych w systemie poddanym ocenie. Przepis ten ma stanowić ogólną zasadę dla osób przeprowadzających ocenę bezpieczeństwa i stanowi gwarancję dla podmiotu krajowego systemu cyberbezpieczeństwa, wobec którego prowadzona jest ocena bezpieczeństwa. Dodatkowo wprowadzono katalog sytuacji w których ocena bezpieczeństwa nie może być przeprowadzona, a rozpoczętą przerywa się. Są to sytuacje, gdy:

• 1)
  podmiot krajowego systemu cyberbezpieczeństwa nie posiada kopii bezpieczeństwa badanego systemu;
• 2)
  istnieje zagrożenie nieodwracalnego zniszczenia danych przetwarzanych w systemie;
• 3)
  czas potrzebny na przywrócenie systemu z kopii bezpieczeństwa może w istotny sposób zakłócić pracę systemu lub ograniczyć jego dostępność;
• 4)
  czynności podejmowane podczas oceny bezpieczeństwa mogą doprowadzić do uszkodzenia produktów ICT wchodzących w skład tego systemu oraz innych systemów informacyjnych podmiotu kluczowego;
• 5)
  istnieje zagrożenie ograniczenia dostępności usług świadczonych przez podmiot krajowego systemu cyberbezpieczeństwa.

Ponadto informacje uzyskane w wyniku oceny stanowią tajemnicę prawnie chronioną. Zespół CSIRT nie będzie mógł wykorzystać ich do realizacji innych zadań ustawowych. Informacje te będą podlegały niezwłocznemu, komisyjnemu i protokolarnemu zniszczeniu. Zniszczeniu nie podlegają informacje o czynnościach przeprowadzanych w ramach oceny bezpieczeństwa oraz o wykrytych podatnościach systemu informacyjnego.

Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa wydaje dwa rodzaje rekomendacji:

• 1.
  Rekomendacje dotyczące stosowania produktów ICT lub usług ICT, w szczególności w zakresie wpływu na bezpieczeństwo publiczne lub istotny interes bezpieczeństwa państwa.

Rekomendacje te wydaje się po uzyskaniu opinii Kolegium do Spraw Cyberbezpieczeństwa lub z urzędu po uzyskaniu przez Pełnomocnika informacji o cyberzagrożeniu, która uprawdopodobni możliwość wystąpienia incydentu krytycznego.

Lista dotychczas wydanych rekomendacji jest dostępna pod adresem: https://dane.gov.pl/pl/dataset/20102/resource/897674,wykaz-rekomendacji-penomocnika-rzadu-do-spraw-cyberbezpieczenstwa/table?page=1&per_page=20&q=&sort=

• 2.
  Nowe przepisy umożliwią wydawanie przez Pełnomocnika rekomendacji określających środki techniczne i organizacyjne stosowane w celu zwiększenia bezpieczeństwa systemów informacyjnych podmiotów krajowego systemu cyberbezpieczeństwa.

Ten dokument będzie publikowany na stronie podmiotowej Pełnomocnika w BIP. W takiej formie będą mogły być wydawane Narodowe Standardy Cyberbezpieczeństwa, a także inne zbiory dobrych praktyk. Podkreślić należy, że rekomendacje będą formalnie niewiążące. Decyzja o uwzględnieniu tych środków będzie należała wyłącznie do podmiotów krajowego systemu cyberbezpieczeństwa. Dzięki rekomendacjom uzyskają one fachową wiedzę, dzięki czemu będą mogły wprowadzić adekwatne do oszacowanego ryzyka zabezpieczenia.

Nie. Samo wejście w życie przepisów nie oznacza, że muszą one zostać wykorzystane.

Procedura uznania dostawcy za dostawcę wysokiego ryzyka, która została zawarta w ustawie o KSC, daje możliwość eliminacji niebezpiecznego sprzętu lub usług z kluczowych dla funkcjonowania państwa systemów informacyjnych. Ponadto, nawet w przypadku zastosowania tej procedury, decyzja nie będzie dotyczyła całego asortymentu danego podmiotu, a jedynie typów sprzętu lub oprogramowania wskazanych w samej decyzji.