Nie było żadnej korelacji wyprzedzającej incydenty krytyczne w placówkach oświatowych. Dopiero po atakach, kiedy emocje w społeczeństwie zaczęły wrzeć, do akcji wkroczyły rosyjskie boty – mówi w rozmowie z Zero.pl wicepremier i minister cyfryzacji Krzysztof Gawkowski. Pytamy m.in. o poprawę cyberbezpieczeństwa, kontrowersyjną nominację i wyciek z MyDr.
Kasjan Owsianko, dziennikarz Zero.pl: „Nie wierzę w wojnę”. Tak pan powiedział przed chwilą w swoim wystąpieniu na Europejskim Forum Nowych Idei. Dosyć odważne słowa jak na wicepremiera polskiego rządu.
Krzysztof Gawkowski, wicepremier, minister cyfryzacji: Nie wierzę w wojnę konwencjonalną. To znaczy – nie czuję, że mamy dzisiaj bezpośrednie zagrożenie, że przyjedzie do nas czołg albo przyleci samolot.
Jestem jednak głęboko przekonany, że jesteśmy w stanie pełnoskalowej, cyfrowej wojny z Rosją. Do tego akty sabotażu. Podpalenia, próby zamachów.
Liczba cyberataków na infrastrukturę krytyczną zwiększyła się rok do roku o 144 proc. To już trwa i będzie się tylko napędzało, bo Rosja przeznacza na ten cel gigantyczne, specjalne środki z budżetu GRU. Możemy czuć coraz większe zagrożenie.
Z premierem Donaldem Tuskiem macie dostęp do tych samych informacji, a z ust szefa rządu padają zupełnie inne słowa. Chociażby te z rozmowy z „Financial Times”, że ewentualny atak ze strony Rosji to kwestia „raczej miesięcy niż lat”.
W wojnie hybrydowej to zagrożenie rzeczywiście rośnie. Ja powiedziałem precyzyjnie: nie wierzę w to, że tu z dnia na dzień przyjadą czołgi. Nie zmienia to faktu, że musimy się intensywnie zbroić, bo nie wiem, czy takiej wojny konwencjonalnej nie będzie za dwa, trzy lata.
Może w takim razie przydałaby się zapowiadana latami Agencja Cyberbezpieczeństwa? Jej utworzenie było jednym z pana głównych postulatów.
Ona de facto się tworzy. Zostało zbudowane Połączone Centrum Operacyjne Cyberbezpieczeństwa, które jest precyzyjnie zakotwiczone w nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). To jest miejsce, które łączy dzisiaj w jednym punkcie wszystkie polskie służby. W tym formacie pełnomocnik rządu ds. cyberbezpieczeństwa ma do bezpośredniej dyspozycji Agencję Bezpieczeństwa Wewnętrznego, Agencję Wywiadu, Centralne Biuro Zwalczania Cyberprzestępczości, Wojska Obrony Cyberprzestrzeni oraz państwowe instytuty takie jak NASK.
To jest centrum, z poziomu którego dzisiaj naprawdę można sprawnie koordynować obronę przed cyberatakami, ale też wydawać natychmiastowe rekomendacje chociażby dla podmiotów prywatnych, co mają robić.
Czyli odrębnej agencji nie było, nie ma i nie będzie?
Nie będzie. Kiedy przyszedłem do rządu, zobaczyłem z bliska, jak ta koordynacja w praktyce powinna wyglądać. Dzisiaj uważam, że pole i mechanizmy, które zbudowaliśmy w Połączonym Centrum Operacyjnym Cyberbezpieczeństwa, które wzmocniliśmy, są w zupełności wystarczające.
Może gdyby powstało ono wcześniej, państwo zapobiegłoby wyciekowi z MyDr. Dlaczego się nie udało?
Bo zawiodły prywatne firmy.
Prywatne firmy?
Dokładnie tak. Przedsiębiorstwa muszą brać pełną odpowiedzialność za bezpieczeństwo. Jeżeli nie będą tego robić, będą surowo karane.
Do tej pory państwo grzecznie prosiło firmy o poprawę. Wskazywało, gdzie mają podatności na ataki i wysyłało rekomendacje. A one się nie zabezpieczały i nie inwestowały. Budżety bezpieczeństwa cyfrowego w firmach prywatnych były spychane na szary koniec. Ja zmienię w Polsce całą doktrynę dotyczącą tego, jak to do tej pory wyglądało.
Dzisiaj będziemy te firmy, które nie stosują się do wytycznych i mają kiepskie wyniki audytów, publicznie ujawniali. Będziemy też głośno mówić o firmach, które nie chcą współpracować ze służbami państwa i ukrywają incydenty. Będziemy pokazywali: nie dbasz o swojego klienta, nie dbasz o reputację własnej marki, to wiedz, że państwo wskaże cię palcem.
Konkretne wskazywanie palcem firm to dość ryzykowny pomysł. Wszystko już macie w ministerstwie przemyślane?
Zostało to szczegółowo przemyślane na poziomie nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). Zwiększamy bezpośrednie oddziaływanie państwa na podmioty gospodarcze w ramach KSC z dotychczasowego tysiąca podmiotów aż do 65 tys. Te przedsiębiorstwa zyskają status podmiotów ważnych i kluczowych. Będą musiały obowiązkowo przechodzić rygorystyczne audyty oraz raportować stan zabezpieczeń. Będziemy dokładnie wiedzieli, jak wyglądają ich systemy ochrony.
Każda z tych firm musi mieć pełną świadomość: jeśli nie inwestujesz w cyberbezpieczeństwo, narażasz się na to, że państwo wytknie cię palcem. Czas, w którym wysyłaliśmy rekomendacje i prosiliśmy na kolanach, bezpowrotnie się skończył. Instytucje państwowe stosują się do wymogów, bo w nich jest bezpośrednia ręka państwa, która wchodzi i nakazuje. A instytucje prywatne często to lekceważyły. Uważam, że twarde egzekwowanie tego jest dziś elementarnym wymogiem państwa, które znajduje się w stanie cyfrowej wojny.
Jak to będzie wyglądać? Będzie konkretna skala, zgodnie z którą będą oceniane zabezpieczenia?
Nie. Wystarczy stworzyć publiczny wykaz firm, w którym czarno na białym pokażemy, które podmioty nie zastosowały się do zaleceń audytu cyberbezpieczeństwa.
Czyli system zero-jedynkowy.
A po co tutaj cokolwiek komplikować? Trzeba transparentnie pokazywać, czy prywatna firma, która przetwarza tysiące rekordów danych powierzonych jej przez obywateli, realnie je chroni.
Kto będzie wystawiać ocenę?
To wynika wprost z KSC, audyty przeprowadzać będą certyfikowane podmioty, w tym NASK.
A co, jeśli państwo się pomyli i wskaże niewinną firmę?
Lepiej, żeby państwo raz się pomyliło i oficjalnie za to przeprosiło, niż żeby miało w obawie przed pomyłką nie reagować, podczas gdy bezkarna firma doprowadziłaby do potężnego ataku i wycieku wrażliwych danych.
Czytaj również: Kulisy wycieku danych z ALAB. Trop prowadzi do MyDr i technologii z 2008 roku
Problem z incydentem MyDr polegał na tym, że to jest podmiot prywatny, nad którym państwo nie miało bezpośredniej kontroli. Przecież ministerstwo nie może pójść i ustawić w takiej firmie cyberpolicjanta. Zamiast tego może dawać wytyczne, które firmy często ignorowały. Dlatego wchodzą kontrole i będą nakładane bardzo dotkliwe kary finansowe.
Pana dane wyciekły z bazy MyDr?
Moje nie.
Pytam, bo do dzisiaj jedyne, co można sprawdzić, to wyciek numeru PESEL. A przecież mówiono także o konkretnych danych medycznych.
Sama firma MyDr w ogóle nie chciała informować opinii publicznej. Uważam za absolutny skandal twierdzenia biznesu, że obywatel nie powinien wiedzieć, jakie jego dane wyciekły. Ja jestem radykalnie odmiennego zdania, dlatego w rejestrze bezpiecznedane.gov.pl te informacje zostały udostępnione, aby każdy mógł zweryfikować, czy jego numer PESEL znalazł się w wycieku.
O dokładnym zakresie wycieku danych zgodnie z prawem musi poinformować ich administrator. Czyli podmiot, który miał zgodę obywatela na przetwarzanie tych danych zgodnie z RODO.
Przy czym nadal to sam numer PESEL. A co z pozostałymi danymi?
Pozostałe dane zostały w porę zabezpieczone przez służby. Nie są one dostępne w otwartej sieci cyfrowej, nie można ich kupić na czarnym rynku, nie krążą w nielegalnym obrocie. Względy bezpieczeństwa wymagały z jednej strony ostrzeżenia ludzi, a z drugiej zademonstrowania, że państwo roztoczyło nad nimi parasol ochronny.
Natomiast partnerzy komercyjni i placówki medyczne, które współpracowały z MyDr i były formalnymi administratorami danych, mają prawny obowiązek bezpośrednio informować swoich pacjentów, jeżeli w danej klinice czy przychodni doszło do naruszenia. Robią to indywidualnie, bo tak precyzyjnie skonstruowane są procedury RODO.
W społeczeństwie pokutuje błędne przekonanie, że to państwo ma fizycznie pilnować każdej pojedynczej firmy. Otóż nie. Przedsiębiorca ma twardy obowiązek inwestować we własne bezpieczeństwo. Dotychczas firmy stawiały cyberbezpieczeństwo na samym końcu listy priorytetów. Musimy sprawić, żeby ludzie zrozumieli wagę tych zabezpieczeń.
My, Polacy, pokochaliśmy e-usługi, korzystamy z nich z dumą i radością, ale za tym entuzjazmem musi pójść twarda świadomość cyfrowej higieny.
Polacy – jak i wszyscy – być może złudnie pokochali też platformy społecznościowe. Pan idzie z nimi na wojnę. To pana największy wróg?
Ja w ogóle nie operuję pojęciem „wrogów” w cyfrowym świecie. Ja mam wyłącznie konkretne cele państwowe do osiągnięcia. A moim głównym celem jest doprowadzenie do sytuacji, w której globalne platformy cyfrowe zaczną brać pełną odpowiedzialność za obywatela, na którym zarabiają gigantyczne pieniądze.
To prawda, że w piątek ma się pan spotkać z przedstawicielami platform cyfrowych?
Tak, przedstawiciele platform cyfrowych przyjeżdżają do Ministerstwa Cyfryzacji. Zamierzam położyć na stole twarde raporty i dane pokazujące, jak olbrzymia liczba zgłoszeń dotyczących nielegalnych treści, które im oficjalnie przekazujemy, nie jest przez nich w ogóle usuwana. Albo te treści znikają dopiero po 24 czy 48 godz. W realiach internetu materiał wiszący przez 48 godz. robi swoje – czy on potem zostanie skasowany, czy nie, nie ma już większego znaczenia, bo zdążyły go zobaczyć setki tysięcy ludzi.
Postawi im pan jutro twarde ultimatum?
Powtórzę im dokładnie to, co mówię publicznie: jeżeli wy nie będziecie usuwali nielegalnych treści i transparentnie informowali o swoich algorytmach, to my jako państwo będziemy publicznie ujawniać i pokazywać posty, których odmówiliście usunięcia; będziemy was bezwzględnie piętnować, dokładnie tak samo, jak piętnowaliśmy was za brak reakcji na zalewający sieć scam inwestycyjny.
To przynosi najlepszy efekt społeczny. Ludzie zaczynają zdawać sobie sprawę, że platforma, z której korzystają rzekomo „za darmo”, wcale nie gra fair wobec swoich użytkowników. Trzeba rzeczy nazywać po imieniu, nie przymykać oczu i nie powtarzać naiwnie: „oni są tacy nowocześni i fajni”. Nie jest „fajna” korporacja, która daje ci darmową aplikację, a generuje na tobie miliardy zysków. Skoro nie płacisz za produkt, to znaczy, że sam jesteś towarem – koncern zarabia na twoich danych, na braku wiedzy i naiwności.
Moim zadaniem jest zapewnienie Polakom bezpieczeństwa, a platformy muszą przestać ich oszukiwać.
Co w takim razie będzie kluczowym celem Ministerstwa Cyfryzacji na ostatni rok rządu?
Budowanie twardych kompetencji cyfrowych u obywateli. Bolesną, ale niezwykle ważną lekcją z ostatnich incydentów – chociażby z fali fałszywych alarmów bombowych i paniki wywołanej w polskich szkołach – jest to, jak bardzo brakuje nam zbiorowej odporności emocjonalnej. Musimy nauczyć Polaków, czym jest dezinformacja, jak działają mechanizmy manipulacji w sieci, jak zabezpieczać konta i dlaczego własne dane osobowe są bezcenną walutą.
Dlatego przykładam strategiczną wagę do projektu Klubów Rozwoju Cyfrowego. W każdej z 2,5 tys. polskich gmin powstanie nowoczesny punkt, działający stacjonarnie i mobilnie. Będzie można tam przyjść, porozmawiać ze specjalistą, dowiedzieć się, jak bezpiecznie korzystać z sieci – oferta skierowana będzie zarówno do młodzieży, jak i do seniorów. Chodzi o pokazanie, że cyfrowy świat jest wspaniały i oferuje niezwykłe możliwości, ale musi być osadzony w krajobrazie elementarnego bezpieczeństwa.
Takie kafejki internetowe z instruktorem na etacie?
Żadne „kafejki internetowe”, stanowczo protestuję przeciwko takiemu spłycaniu tematu. To mają być nowoczesne centra budujące odporność cyfrową i uczące korzystania z e-administracji tych, którzy czują się wykluczeni.
Cieszymy się dzisiaj, że z aplikacji mObywatel korzysta już 13 milionów Polaków. Jesteśmy pod tym względem jednym z najbardziej zaawansowanych państw w Europie, to powód do dumy. Ale ja zadaję pytanie: dlaczego z mObywatela korzysta 13 mln, a nie 23 mln obywateli? To oznacza, że 10 mln ludzi boi się technologii, nie potrafi z niej korzystać albo napotyka bariery. Państwo musi podać im cyfrową rękę: zdiagnozować potrzeby i nauczyć bezpiecznych nawyków.
Czytaj również: Wiceminister cyfryzacji dla Zero.pl: Nie usuwamy mObywatela
Przecież widzimy, co dzieje się w sieci. Rejestrujemy gwałtowny wzrost zaangażowania aktorów zewnętrznych, w tym wprost farm trolli sterowanych przez rosyjskie służby. W ostatni weekend zaobserwowaliśmy wysyp botów, które próbowały instrumentalnie wykorzystać niepokoje społeczne do siania nienawiści i podbijania przekazów gloryfikujących sprawców ataków.
Przy okazji ostatnich ataków w szkołach ten wzrost nastąpił dopiero po nich, czy widać było wcześniejszą ingerencję?
Nie było żadnej korelacji wyprzedzającej incydenty krytyczne w placówkach oświatowych. Dopiero po atakach, kiedy emocje w społeczeństwie zaczęły wrzeć, do akcji wkroczyły rosyjskie boty. Ale nie była to skala masowa – znacznie potężniejsze uderzenia obserwowaliśmy na przykład wtedy, gdy w polską przestrzeń powietrzną wlatywały rosyjskie drony. Wtedy skoordynowany atak dezinformacyjny w infosferze ruszył co do godziny z działaniami militarnymi. W przypadku szkół operacja rozpoczęła się później.
Właśnie dlatego tak kluczowe jest powołanie Centrum Walki z Dezinformacją. Będzie ono działało bezpośrednio przy Ministerstwie Cyfryzacji, w ścisłym kontakcie z poszczególnymi resortami i służbami specjalnymi. Cel operacyjny jest precyzyjny: błyskawiczna koordynacja działań państwa i bezwzględne demaskowanie rosyjskich narracji. Chodzi o to, by w polskiej infosferze istniał jeden weryfikowalny punkt odniesienia, do którego każdy dziennikarz, redakcja czy obywatel będzie mógł sięgnąć i sprawdzić, czy dany przekaz nie jest spreparowaną wrogą operacją wpływu.
Na czele tego centrum stanąć ma wiceminister Paweł Olszewski.
Paweł Olszewski jest sekretarzem stanu bezpośrednio odpowiedzialnym za cyberbezpieczeństwo w resorcie. Przygotował całą agendę legislacyjną, odpowiada za operacyjną koordynację procesów i wdrożył parasol ochronny na wybory. Raport instytucji państwowych był jednoznaczny: w Polsce muszą powstać stałe ramy prawne i funkcjonalne zwalczania dezinformacji. Wszystko to, co zidentyfikowały służby, przekuwamy teraz w twarde ustawy.
To kontrowersyjny wybór. Nazwisko Olszewskiego pojawiało się przy okazji niesławnego raportu NASK dot. ingerencji w ostatnie wybory prezydenckie. Dziennikarze zarzucali mu m.in. bierność i ukrywanie kluczowego raportu.
Przedstawiliśmy kompletny, przejrzysty raport z tamtych wydarzeń i sprawa jest jasna: instytut NASK miał całkowicie czyste ręce. Wszelkie opowieści o tym, że NASK cokolwiek ukrywał albo prowadził działania pod tezę wyborczą którejkolwiek partii, są po prostu śmieszne. Prawda jest dokładnie odwrotna: gdyby nie profesjonalizm i czujność ekspertów NASK, nikt w Polsce nie dowiedziałby się o próbach manipulacji. To NASK te zagrożenia zidentyfikował, udokumentował i pokazał opinii publicznej.
Mówi pan o raporcie zbiorczym. Dziennikarze wskazywali na nieujawnianie raportu związanego z Akcją Demokracja i wsparciem kampanii Rafała Trzaskowskiego. Czy ten dokument uda nam się kiedyś zobaczyć?
Jest to opisane w raporcie z Parasola Wyborczego. Sama analiza NASK, która wówczas powstała, została przekazana do prokuratury, która prowadzi śledztwo.
Może zainteresuje Cię również:
