By\u0142am na Security Case Study, jako wolontariuszka. Wr\u00f3ci\u0142am z 2 u\u017c\u0105dleniami przez jedn\u0105, wystraszon\u0105 bardziej ni\u017c ja, ju\u017c „\u015bwi\u0119tej pami\u0119ci” os\u0119. Zyska\u0142am kilka kontakt\u00f3w, odnowi\u0142am kilka starych, s\u0142owem – op\u0142aca\u0142o si\u0119 jecha\u0107.<\/p>\n
Je\u015bli chodzi o same wydarzenie- sk\u0142ada\u0142o si\u0119 z 1 dnia warsztat\u00f3w (kt\u00f3rych nie widzia\u0142am na oczy – przygotowywali\u015bmy sal\u0119) oraz dw\u00f3ch dni wyk\u0142ad\u00f3w (kt\u00f3rych ju\u017c – nierzadko k\u0105tem ucha ale jednak, wys\u0142ucha\u0142am). Wyk\u0142ady by\u0142y prowadzone w formule case study (kt\u00f3rej osobi\u015bcie nie preferuj\u0119 – wol\u0119 gdy opisy sytuacji s\u0105 obrazkiem dla przedstawianej wiedzy, a nie na odwr\u00f3t)- ale znalaz\u0142o si\u0119 r\u00f3wnie\u017c kilka bardzo techicznych prezentacji, nieco si\u0119 z tej konwencji wy\u0142amuj\u0105cych. A\u017c szkoda, \u017ce nie b\u0119dzie streamingu, cho\u0107 pewnie z wielu talk\u00f3w pojawi\u0105 si\u0119 slajdy i whitepapery (jak ju\u017c si\u0119 pojawi\u0105, podlinkuj\u0119).<\/p>\n
<\/p>\n
W wielu miejscach wracano do przedstawionego raportu NIK, kt\u00f3ry wywo\u0142a\u0142 chyba najwi\u0119cej dyskusji. Okaza\u0142o si\u0119, \u017ce jeste\u015bmy totalnie bezradni je\u017celi chodzi o cyberbezpiecze\u0144stwo (dobrze, \u017ce mamy par\u0119 zdecentralizowanych cert\u00f3w i mas\u0119 partyzantki). Ale to nie jest najgorsze. Jak s\u0142ucha\u0142am pomys\u0142\u00f3w na rozwi\u0105zanie owych problem\u00f3w, to normalnie w\u0142os mi si\u0119 je\u017cy\u0142 na g\u0142owie i wsz\u0119dzie indziej.<\/p>\n
Jednym z mro\u017c\u0105cych krew w \u017cy\u0142ach pomys\u0142\u00f3w by\u0142o stworzenie jednego – pa\u0144stwowego centrum reaguj\u0105cego na incydenty (w kontek\u015bcie certa wszystkich cert\u00f3w – podejrzewam). Je\u017celi ca\u0142o\u015b\u0107 b\u0119dzie polega\u0142a na koordynacji ka\u017cdej z ekip – (jaki\u015b bank spraw do kt\u00f3rych certy mog\u0142yby wrzuca\u0107 przypadki do analizy i reakcji – oraz mog\u0142yby informowa\u0107 o tym – jakimi sprawami si\u0119 zajmuj\u0105 w danym czasie) to spoko. B\u0119dzie lepsze zarz\u0105dzanie zasobami specjalist\u00f3w – nie b\u0119d\u0105 w jednym czasie siedzie\u0107 nad tym samym problemem i dublowa\u0107 swoich wysi\u0142k\u00f3w – co dodatkowo skr\u00f3ci czas reakcji na incydenty i poprawi bezpiecze\u0144stwo. Ale je\u017celi ca\u0142o\u015b\u0107 mia\u0142aby si\u0119 opiera\u0107 na kontrolach, przymusach, „centralnym sterowaniu”, jeszcze przez rz\u0105dy – to mo\u017ce to nie wypali\u0107. Troch\u0119 nie to \u015brodowisko. Poza tym takie centralne sterowanie mog\u0142oby doprowadzi\u0107 do sytuacji, \u017ce botnety czy malware stworzony przez rz\u0105d i jego sojusznik\u00f3w trafi do kolejki gdzie\u015b bardzo daleko i nie b\u0119dzie przed nim obrony. Zupe\u0142nie te\u017c nie wiadomo co by by\u0142o z podmiotami, kt\u00f3re s\u0105 w ramach struktur pa\u0144stwowych, a zaj\u0119\u0142yby si\u0119 jakim\u015b problemem poza kolejno\u015bci\u0105 – czy za takie niepos\u0142usze\u0144stwo spotka\u0142aby ich jaka\u015b kara? Pisa\u0142am o przy\u015bpieszeniu – ale je\u017celi ca\u0142o\u015b\u0107 by\u0142aby centralnie sterowana, mog\u0142oby doj\u015b\u0107 do sytuacji blokowania dzia\u0142ania w oczekiwaniu na rozkazy z g\u00f3ry, zamiast zaj\u0119cia si\u0119 problemem od razu po tym, jak zostanie on zaobserwowany.Tak\u017ce musia\u0142aby by\u0107 tu jaka\u015b hybrydyzacja je\u015bli ju\u017c, tzn \u017ce niech sobie b\u0119dzie taki UBERcert, ale niech on nie b\u0119dzie nadrz\u0119dny wzgl\u0119dem wszystkich cert\u00f3w (tzn niech one wszystkie zachowaj\u0105 autonomi\u0119 dzia\u0142ania) – samo podda\u0144stwo mog\u0142oby by\u0107 wymagane tylko przy wi\u0119kszych alarmach. Co\u015b jak mamy w stra\u017cy po\u017carnej – tam gdzie si\u0119 da, dzia\u0142aj\u0105 lokalne jednostki (czyli ci, kt\u00f3rzy jako pierwsi wzi\u0119li problem – a nawet jako kolejni, je\u015bli ich on ciekawi chocia\u017cby), ale przy grubszej sprawie bierze si\u0119 coraz kolejne jednostki anga\u017cuj\u0105c w miar\u0119 mo\u017cliwo\u015bci jak najwi\u0119ksz\u0105 ilo\u015b\u0107 si\u0142. I tu mogliby zg\u0142asza\u0107 zapotrzebowanie do takiego UBERcertu a ten by pu\u015bci\u0142 request do wszystkich i kto\u015b by m\u00f3g\u0142 do\u0142\u0105czy\u0107. Ok, i ten plan ma jeszcze luki – trzeba by by\u0142o to jako\u015b na prawd\u0119 m\u0105drze zrobi\u0107, \u017ceby u\u0142atwi\u0107 a nie utrudni\u0107 tym ludziom prac\u0119. Przy braku struktur odg\u00f3rnych bowiem wytworzy\u0142 si\u0119 niez\u0142y, zdecentralizowany system pomniejszych \u015bwietnie dzia\u0142aj\u0105cych kom\u00f3rek, a ludzie w nich pracuj\u0105cy si\u0119 znaj\u0105 zwykle. Tak\u017ce to dzia\u0142a.<\/p>\n
Nie mniej (jak nie bardziej) mro\u017c\u0105cym krew w \u017cy\u0142ach pomys\u0142em jest do\u0142\u0105czenie ochrony cyberbezpiecze\u0144stwa RP ministerstwu administracji i cyfryzacji. Najdziwniejsze, \u017ce wi\u0119kszo\u015b\u0107 os\u00f3b na SCS by\u0142a tego zdania (a przynajmniej g\u0142osuj\u0105cy). Moim zdaniem to powinno le\u017ce\u0107 w kompetencjach MONu. Dlaczego nie MAiC? Chocia\u017cby dlatego, \u017ce oni maj\u0105 ju\u017c mas\u0119 kompetencji. Odpowiadaj\u0105 za cyberbezpiecze\u0144stwo w kontek\u015bcie administracji publicznej (wybory, „\u017ar\u00f3d\u0142o”, peselki), ale r\u00f3wnie\u017c za sprawy \u0142\u0105czno\u015bci (chocia\u017cby dost\u0119pno\u015b\u0107 sieci, uke, poczty, telefony, e-urz\u0119dy, wej\u015bcia do lekarza na pesel i takie tam), lub \u017ceby by\u0142o ciekawiej, za sprawy obyczajowe (jak stowarzyszenia i zwi\u0105zki wyznaniowe). Niez\u0142a mieszanka wybuchowa, co? Tylko \u017ce je\u015bli m\u00f3wimy o bezpiecze\u0144stwie- nie wa\u017cne czy jest tam cyber czy nie, powinien tu mie\u0107 wi\u0119cej do gadania MON. Panowie z wojska i okolic si\u0119 po prostu nie pierdziel\u0105. Dzia\u0142ania s\u0105 szybkie i skoordynowane. Ludzie w tej ga\u0142\u0119zi s\u0105 bardziej przygotowani do obs\u0142ugi sytuacji kryzysowych ni\u017c panie z urz\u0119d\u00f3w i maj\u0105 w tym do\u015bwiadczenie. A ludzie MON mieli z \u0142\u0105czno\u015bci\u0105 do czynienia znacznie d\u0142u\u017cej i maj\u0105 wi\u0119ksz\u0105 histori\u0119 z tym zwi\u0105zan\u0105 (od zawsze wykorzystywali j\u0105 w warunkach bojowych – w tym do ataku i obrony)- wi\u0119c mo\u017cna si\u0119 spodziewa\u0107 – \u017ce spo\u015br\u00f3d struktur rz\u0105dowych tam najszybciej znale\u017a\u0107 gotowe rozwi\u0105zania i ju\u017c przeszkolonych fachowc\u00f3w. Szybciej te\u017c o skuteczne reakcje na sytuacje niecierpi\u0105ce zw\u0142oki. Z tego powodu uwa\u017cam naciski na pani\u0105 z MAiCu za bezzasadne i kierowane do niew\u0142a\u015bciwej osoby. Acz ze wzgl\u0119du na zakres dzia\u0142a\u0144 z pewno\u015bci\u0105 oba ministerstwa powinny ze sob\u0105 wsp\u00f3\u0142pracowa\u0107. A pa\u0144stwo z MAiC maj\u0105 w tym du\u017co do\u015bwiadczenia, co wida\u0107 chocia\u017cby po projekcie zintegrowanego systemu opieki zdrowotnej (komp u ka\u017cdego lekarza – zdalne recepty i L4, przy wizycie wystarczy pesel)- gdzie z pewno\u015bci\u0105 musieli wsp\u00f3\u0142pracowa\u0107 z Ministerstwem Zdrowia, NFZ i ZUSem.<\/p>\n
Je\u015bli chodzi o centralizacj\u0119 czegokolwiek w pa\u0144stwie – nigdy nam to dobrze nie wysz\u0142o. Takie struktury wymagaj\u0105 masy korespondencji i procedur a wi\u0119c i pieni\u0119dzy na nowe budynki, stanowiska, panie przy biurku przerzucaj\u0105ce papiery czy maile, kogo\u015b tworz\u0105cego bazy… Nale\u017cy si\u0119 zastanowi\u0107, czy nasz kraj ma takie pieni\u0105\u017cki. Chocia\u017c, je\u017celi by ukr\u00f3ci\u0107 biurokracj\u0119 i przenie\u015b\u0107 panie z jednego sto\u0142ka na inny, czemu nie:)<\/p>\n
Dobra, mo\u017ce napisz\u0119 w przysz\u0142o\u015bci ci\u0105g dalszy – obecnie wpis robi si\u0119 ju\u017c zbyt d\u0142ugi.<\/p>\n","protected":false},"excerpt":{"rendered":"
By\u0142am na Security Case Study, jako wolontariuszka. Wr\u00f3ci\u0142am z 2 u\u017c\u0105dleniami przez jedn\u0105, wystraszon\u0105 bardziej ni\u017c ja, ju\u017c „\u015bwi\u0119tej pami\u0119ci” os\u0119. Zyska\u0142am kilka kontakt\u00f3w, odnowi\u0142am<\/p>\n