Rośnie rola zarządzania ryzykiem

Michał Furman, dyrektor wykonawczy ds. transformacji cyfrowej i informatyki w ORLEN, biorący udział w panelu „Cyberbezpieczeństwo: Między rosnącymi zagrożeniami a nowymi kierunkami rozwoju”, wskazał na kilka kluczowych trendów, które jego zdaniem będą dominować w obszarze cyberbezpieczeństwa w nadchodzących miesiącach i latach. Podkreślił, że ataki cybernetyczne się nasilają, stają się coraz bardziej dotkliwe i skomplikowane.

– To obserwacja, która choć oczywista dla społeczności zajmującej się cyberbezpieczeństwem, wciąż wymaga uwagi – dodał przedstawiciel największego w Polsce koncernu multienergetycznego i zaznaczył, że szczególnie niepokojącym zjawiskiem jest szersze wykorzystanie nowych technologii, zwłaszcza w zakresie sztucznej inteligencji (AI) i uczenia maszynowego (ML). Choć używane również w strukturach obronnych do zapobiegania zagrożeniom, są obecnie w znacznym stopniu stosowane w atakach. W ocenie Michała Furmana wykorzystanie AI oraz ML w ofensywie będzie widoczne coraz częściej.

Patrząc w dłuższej perspektywie, ekspert ORLENU zwrócił uwagę na trwające prace nad komputerami kwantowymi i związane z nimi cyberbezpieczeństwo postkwantowe.

Szczególna rola ORLENU

Michał Furman mówił również o specyficznych ryzykach. Podkreślił, że jako dostawca ważnej infrastruktury krytycznej ORLEN obserwuje zagrożenia hybrydowe. Ataki stają się coraz bardziej zorganizowane, rozproszone i globalne.

Odnosząc się z kolei do kwestii równoważenia wydajności operacyjnej z potrzebą zwiększonego cyberbezpieczeństwa, przedstawił punkt widzenia integratorów.

– My patrzymy na to z innej perspektywy. Chcemy integrować. Kluczowym przesłaniem jest to, że nie poświęca się stabilności ani dostępności dla bezpieczeństwa. Zamiast tego obie te sfery są integrowane w jedną całość – wyjaśnił.

Jest to możliwe dzięki odpowiednim procesom, inwestycjom w cyberodporność, a także edukacji i budowaniu świadomości w zakresie cyberbezpieczeństwa. Dzięki tym działaniom możliwe jest połączenie go z efektywnością biznesową.

Michał Furman zwrócił również uwagę na znaczenie cyberbezpieczeństwa w kontekście bezpieczeństwa narodowego. Podkreślił, że kluczowa jest dzisiaj współpraca między różnymi instytucjami – prywatnymi, publicznymi, organami ścigania etc.

– ORLEN stara się wprowadzić zasadę „need to share” jako podstawę współpracy. Tworzy to ekosystem wymiany informacji, w którym każda część czerpie korzyści z wiedzy o bieżących i potencjalnych zagrożeniach, które mogłyby wpłynąć na ich operacje – tłumaczył.

Co na to Unia Europejska

Biorący udział w dyskusji Steve Purser, mający 15 lat doświadczenia w Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (European Union Agency for Cybersecurity – ENISA), wśród niepożądanych trendów dotyczących cyberbezpieczeństwa wymienił nadmierne poleganie na technologii z przekonaniem, że zrobi ona znacznie więcej, niż w rzeczywistości jest w stanie zdziałać. Tymczasem, jak podkreślił, najlepsze modele bezpieczeństwa opierają się na współdziałaniu ludzi, procesów i technologii. Kolejnym niepożądanym zjawiskiem jest podejście rynku skupione na zgodności (compliance) zamiast na zarządzaniu ryzykiem, pomimo że ustawodawstwo UE promuje właśnie silne zarządzanie ryzykiem.

Steve Purser podkreślił także, że konieczne jest szybsze dostosowanie polityki cyberbezpieczeństwa m.in. do polityki przemysłowej.

Eksperci biorący udział w panelu mówili również o pozytywnych trendach. Wskazano na forsowane obecnie połączenie współpracy cywilno-wojskowej, co uznano za bardzo interesujący, choć spóźniony proces. Oceniono, że połączenie obu społeczności będzie trudne. Odnotowano także zwiększony nacisk na bezpieczeństwo w sektorze zdrowia, wymieniając w tym kontekście dyrektywę NIS2. Wspomniano też o wprowadzaniu Cyber Resilience Act (CRA).

W dyskusji poruszono również kwestię szybkich zmian w świecie technologii, za którymi nie nadążają regulacje. Dlatego zamiast skupiać się na zgodności, najnowsze przepisy UE, takie jak NIS2 i DORA, promują przede wszystkim silne ramy zarządzania ryzykiem.

Eksperci wymienili też inne narzędzia wykorzystywane na poziomie UE do wzmacniania cyberbezpieczeństwa. Należą do nich: miękkie prawo i polityki (niewiążące, ale stosowane przez organizacje), standaryzacja i certyfikacja (ze wskazaniem, że ta pierwsza jest ważniejsza, ponieważ określa wymagania). UE stosuje również kodeksy postępowania oparte na najlepszych praktykach branżowych. Duże znaczenie mają szkolenia zwiększające świadomość i wiedzę z zakresu cyberbezpieczeństwa – to musi iść w parze. Wymieniono także współpracę sektorową, przynoszącą korzyści skali i lepszy przepływ informacji, oraz międzysektorową, choć tu należy być ostrożnym ze względu na różne postrzeganie bezpieczeństwa (np. bank priorytetowo traktuje poufność i integralność, firma energetyczna – dostępność).

Istotne jest – podkreślono – aby przyszłe ustawodawstwo UE opierało się na badaniach i rekomendacjach, co pozwoli na dostosowanie przepisów do praktyki. Ewoluująca polityka regulacyjna Unii Europejskiej powinna nadal coraz mocniej stawiać na zarządzanie ryzykiem i współpracę, wobec tak dynamicznie zachodzących zmian.

organizator

partner relacji