Przeznaczenie 3 mld zł na cyberbezpieczeństwo zapowiedział w poniedziałek minister cyfryzacji. Problem w tym, że większość pieniędzy pochodzi z programów, które już działają. A nazwa jest plagiatem usługi od Orange

– Chcemy na cybertarczę, która będzie dbała o bezpieczeństwo Polek i Polaków, przeznaczyć 3 mld zł – ogłosił w poniedziałek, podczas konferencji prasowej wicepremier i minister cyfryzacji Krzysztof Gawkowski. Dokładniejszych planów programu nie ma (a przynajmniej nie są publicznie dostępne) – nie został on przyjęty przez rząd, nie ma po nim śladu w rozporządzeniach MC, jego opisu nie znajdziemy również w dzienniku urzędowym resortu. Jak nieoficjalnie słyszymy, pomysł został opracowany ad hoc, w kilka dni.

Z deklaracji Gawkowskiego wynika, że program miałby m.in. rozszerzać budowanie sektorowych zespołów reagowania na incydenty bezpieczeństwa komputerowego (na wzór CERT przy Komisji Nadzoru Finansowego) i wzmacniać odporność samorządów na ataki hakerskie. Zakładałby też dokonywanie przeglądów polityk cyberbezpieczeństwa i badanie odporności jednostek budżetowych przez zewnętrznych testerów.

Część pieniędzy ma pochodzić z Krajowego Programu Odbudowy. Reszta to prawdopodobnie programy, które już zostały uruchomione, m.in. „Cyberbezpieczny samorząd”. Program został ogłoszony w lipcu 2023 r. przez ministra cyfryzacji w rządzie Zjednoczonej Prawicy Janusza Cieszyńskiego. Działanie jest finansowanie z Funduszy Europejskich na Rozwój Cyfrowy (FERC), jego operatorem jest Centrum Projektów Polska Cyfrowa. Jego wartość to 1,5 mld zł. Do lutego 2024 r. wnioski o dofinansowanie złożyło w nim 90 proc. uprawnionych samorządów. 27 lutego br. podpisano pierwszą umowę – z gminą Izabelin – na realizację w jego ramach grantu na kwotę 850 tys. zł.

W dodatku wątpliwości może wzbudzać nazwa. Cybertarcza to nazwa usługi oferowanej przez firmę Orange. Zespół CERT w jej ramach blokuje oszukańcze domeny, których działanie mogłoby narazić klientów na atak cyberprzestępców, np. wyłudzających dane do logowania w banku. Jak wynika z opublikowanego w kwietniu raportu Orange, w 2023 r. zablokowano w ten sposób ponad 360 tys. fałszywych stron internetowych. To trzy razy więcej niż rok wcześniej. W linki prowadzące do nich kliknęło 5,5 mln internautów. „CyberTarcza brzmi dobrze i znajomo” – skomentował na X rzecznik prasowy Orange Wojciech Jabczyński.

Tymczasem zagrożenia związane z cyberprzestrzenią występują coraz częściej. Przyznaje to sam Gawkowski. – Od ponad miesiąca obserwujemy, że liczba cyberataków na Polskę znacznie wzrosła. Ataki są zorganizowane i pochodzą głównie z Federacji Rosyjskiej, która, jak widać, chce zdestabilizować sytuację w Europie – mówił w poniedziałek. W ubiegły piątek doszło do prawdopodobnie najpoważniejszej do tej pory operacji tego typu – włamania do systemu Polskiej Agencji Prasowej. W serwisie PAP dwa razy umieszczono depeszę pod tytułem: „Premier RP Donald Tusk: 1 lipca 2024 r. zacznie się w Polsce częściowa mobilizacja” (więcej o rosyjskich atakach w Polsce piszemy na A11). Agencja szybko przygotowała dementi i poinformowała, że depesza jest fałszywa i nie pochodzi od pracowników instytucji. Choć z informacji dostarczanych przez PAP korzysta większość redakcji w Polsce, depeszę nadało wyłącznie Polskie Radio. Jak słyszymy w MC, dziennikarze zachowali czujność także dlatego, że fałszywka była spreparowana w niewiarygodny sposób – język przypominał automatyczne tłumaczenie, a temat był tak kontrowersyjny, że trudno było uwierzyć, że premier nie ogłosił tego np. na konferencji, a jedynie przez depeszę PAP. Gdyby jednak wiadomość była lepiej przygotowana, mogłaby przynieść dużo poważniejsze konsekwencje.

Jak przekonuje Gawkowski, w PAP czasowo wyłączono jeden z systemów publikowania depesz, co do którego było podejrzenie, że został zainfekowany złośliwym oprogramowaniem. Eksperci NASK mieli też przejrzeć dane z wycieków opublikowanych w darknecie w poszukiwaniu danych wysoko postawionych pracowników agencji. Wicepremier przyznał, że znaleziono dwie osoby, których dane wyciekły.

Mimo wzrastającego zagrożenia premier nie zamierza jednak rekomendować, nawet na przedwyborczy tydzień, podwyższenia stopnia alarmowego w cyberprzestrzeni. – Wprowadzamy środki, które są potrzebne – przyznaje jedynie. O wprowadzenie stopnia CHARLIE-CRP apelował były minister Mariusz Błaszczak, były minister Obrony Narodowej w rządzie ZP. W praktyce oznacza on m.in., że w kluczowych instytucjach są prowadzone 24-godzinne dyżury ekspertów ds. cyberbezpieczeństwa. W okresie maj 2023 r. – luty 2024 r. w samym tylko Ministerstwie Cyfryzacji oznaczało to prawie 4 tys. nadgodzin pracowników. ©℗

Rząd raczej nie podniesie stopnia alarmowego w cyberprzestrzeni