Rzecznik pyta w sprawie bezpieczeństwa krytycznej infrastruktury

Otóż i Rzecznik Praw Obywatelskich wystąpił do Szefa Agencji Bezpieczeństwa Wewnętrznego w sprawie zagrożenia bezpieczeństwa sieci teleinformatycznych urzędów państwowych w Polsce. A wszystko w związku z doniesieniami mediów i medialnymi komentarzami na temat braku dostatecznych zabezpieczeń przed atakami na infrastrukturę teleinformatyczną państwa. Ja sam zaproszony wczoraj do programu "To był dzień na świecie", który emitowany jest na antenie Polsat News, odpowiedziałem dziennikarzowi, który stwierdził, że władze nie chcą odpowiadać na pytania o stan naszego cyberbezpieczeństwa, że nie należy się poddawać i pytać dalej. Chodzi o publicznie dostępne raporty dotyczące naszej infrastruktury (por. Bezpieczeństwo systemów FBI, czy w Polsce są takie raporty?). Okazało się, że dziennikarzy wyprzedził Rzecznik Praw Obywatelskich. I dobrze.

Jak wiadomo sprawa związana jest z cyberatakiem na infrastrukturę teleinformatyczną Gruzji i uprzejmym gestem Kancelarii Prezydenta RP, która udostępniła Gruzji polską stronę do publikacji depesz (oraz pewnie jeszcze inne zasoby, o czym niewiele wiemy, podobnie jak nie wiem nadal na jakiej formalnej zasadzie administracja publiczna jednego państwa, Głowa tego państwa, może udzielić wsparcia tego typu) - o tym wszystkim było w tekście Gruzja: Wojna elektroniczna - potwierdzono atak na infrastrukturę teleinformatyczną i w kolejnych komentarzach pod nim.

Tymczasem Rzecznik Praw Obywatelskich zaniepokoił się doniesieniami Dziennika i postanowił zareagować. W Sieci dostępne jest Wystąpienie RPO do Szefa ABW w sprawie zagrożenia bezpieczeństwa sieci teleinformatycznych urzędów państwowych w Polsce z 20 sierpnia (PDF). Rzecznik Napisał w tym wystąpieniu co następuje:

Doniesienia mediów wskazują na poważne zagrożenia bezpieczeństwa sieci teleinformatycznych urzędów państwowych w Polsce, między innymi, poprzez możliwość zakłócania i blokowania ich serwerów internetowych.

Należy zauważyć, iż tego rodzaju zagrożenia miały miejsce w Estonii, a także w ostatnich dniach w Gruzji podczas konfliktu zbrojnego, gdzie doszło do zakłócania stron internetowych organów państwowych przy pomocy serwerów znajdujących się na terytoriach innych państw.

Niewątpliwie tego rodzaju działania uniemożliwiają prawidłowe funkcjonowanie organów państwa, a także przekazywanie komunikatów władz za pomocą serwerów rządowych.

Niepokój budzą informacje zamieszczone w „Dzienniku" z dnia 19 sierpnia br., w tym także cytowana wypowiedź p. Piotra Niemczyka, byłego wiceszefa polskiego wywiadu, wskazujące na brak dostatecznych zabezpieczeń przed tego rodzaju zagrożeniami, a także, iż Polska nie zgłosiła udziału w powołanym przez NATO w kwietniu 2008 r. Centrum Doskonalenia Cyberobronności.

W związku z powyższym, uprzejmie proszę o poinformowanie mnie, czy badane są źródła informacji pojawiających się na forach internetowych, które w okresie napięć politycznych, zwłaszcza podczas ostatniej wizyty Prezydenta Rzeczypospolitej Polskiej i innych przedstawicieli władz Państwa w Gruzji, noszą cechy informatycznej propagandy.

Jednocześnie, mając na względzie moje konstytucyjne powinności w zakresie szeroko rozumianych praw i wolności obywateli w tym gwarancji zapewnienia im bezpieczeństwa, zważywszy na możliwość naruszenia nie tylko prawidłowego funkcjonowania sieci teleinformatycznych urzędów państwowych, ale także systemów komunikacji, bankowego i innych, zarządzanych za pomocą sieci komputerowych, zwracam się z uprzejmą prośbą o poinformowanie mnie, czy systemy elektroniczne w Polsce posiadają stosowne zabezpieczenia przed tego rodzaju zagrożeniami mającymi istotny wpływ na stan bezpieczeństwa Państwa.

Będę także zobowiązany za przedstawienie mi stanowiska Agencji Bezpieczeństwa Wewnętrznego odnośnie obecnego stanu bezpieczeństwa Państwa w zakresie ochrony przed bezprawnymi działaniami w cyberprzestrzeni, a także, czy odnotowano tego rodzaju przypadki i jaka jest skala zagrożeń w tej materii.

Warto też odesłać do artykułu Dziennika, tj. do tekstu Polski internet zagrożony, który stał się powodem pytania Rzecznika Praw Obywatelskich. Przeczytać tam można m.in.:

Eksperyment DZIENNIKA był prosty. Wykorzystaliśmy ogólnodostępne narzędzie do testowania podatności serwisów na atak hakerski udostępnione przez Internet Assigned Numbers Authority (IANA) - amerykańską instytucję zarządzającą domenami. Strony BBN, MON, MSZ i kilku innych instytucji odpowiedzialnych za bezpieczeństwo otrzymały czerwone światło, czyli najwyższy stopień zagrożenia, i są wysoce narażone są na tzw. cache poisoning inaczej nazywany zatruwaniem DNS. "Uogólniając: polega to na takim wykorzystaniu serwerów i zapamiętywanych przez nie informacji, by można było podmienić stronę na fałszywą wprowadzoną przez hakera" - mówi DZIENNIKOWI ekspert NASK Zbigniew Jasiński.

A wspomniany w pytaniu RPO Piotr Niemczyk miał Dziennikowi powiedzieć, że "w Agencji Bezpieczeństwa Wewnętrznego pracuje ledwie kilka osób zajmujących się bezpieczeństwem w sieci".