Bon Voyage, chciałoby się powiedzieć również dzisiaj patrząc na to, co dzieje się w świecie IT. Szczególnie, jeśli chodzi o globalny „przemyt” wirusów komputerowych i innego złośliwego  badziewia, które mogą  zidentyfikować, zmodyfikować czy wreszcie zniszczyć nasze zasoby IT, często żądając przy okazji okupu od nieszczęśnika, który padł ofiara takich praktyk.

Aktualnym przykładem jest dyskusja dotycząca znanej na całym świecie firmy założonej przez (byłego?) oficera rosyjskiego wywiadu wojskowego Jewgienija Kasperskiego.

W połowie tego roku amerykańskie wojskowe instytucje zakazały wykorzystywania znanego w Polsce oprogramowania pochodzącego z firmy Kaspersky Lab. To samo zrobił amerykański Departament Bezpieczeństwa Wewnętrznego, zakazując rządowym instytucjom cywilnym używania tego oprogramowania

Kaspersky Lab (ros. Лаборатория Касперского), to firma wyspecjalizowana w obszarze cyberbezpieczeństwa. Jej głównym – znanym na całym świecie produktem – jest program antywirusowy dystrybuowany również w Polsce, jednak prawie 1/3 dochodów tej firmy pochodzi z obszaru USA!

Już w 1997 r. Kaspersky wraz grupa specjalistów rozpoczął intensywne prace nad narzędziem antywirusowym nowej generacji o nazwie AVP. Następnie nazwę te zmieniono na Kaspersky Anti-Virus po zarejestrowaniu systemu w USA. Globalny dziś Kaspersky Lab ma centralę w Moskwie, a operacje w Europie Zachodniej (w tym także w Polsce) prowadzi głównie z Wielkiej Brytanii, marketując swoje produkty praktycznie we wszystkich krajach europejskich.

Kaspersky rozwinął się gwałtownie w latach 2007-2011 osiągając ponad 700 mln dolarów przychodu już w roku 2015. W chwili obecnej program antywirusowy Kasperskiego jest używany przez setki milionów użytkowników na całym świecie, co plasuje go w ścisłej czołówce dostawców oprogramowania antywirusowego w skali globu. Na polskiej stronie Kaperskiego można znaleźć całą gamę produktów IT związaną z cyberbezpieczeństwem. Bez trudu wyszukamy też polskie firmy, które antywirusa firmy Kaspersky Lab, na pewno w dobrej wierze, reklamują. Czy w świetle działań amerykańskich, sprzedaż produktów informatycznych Kasperskiego jest bezpieczne w Polsce?

W Polsce nie istnieje odpowiednik amerykańskiego Departamentu Bezpieczeństwa Wewnętrznego, który rekomenduje bądź nakazuje wycofanie takich czy innych produktów informatycznych, które stanowią zagrożenie firm czy instytucji. Mamy dużo różnych instytucji, które zajmują się cyber-bezpieczeństwem , ale niewiele co z tego wynika. Procedury obronne  są reaktywne, a działania odbywają się na ogół w myśl prastarej maksymy „mądry Polak po szkodzie” i sprowadzają się do minimalizowania skutków ataków hakerskich, a nie prewencji .

Nie ma żadnych poważnych rekomendacji  technologicznych i organizacyjnych wynikających  z rychłego wprowadzenia europejskiego rozporządzenia RODO (maj 2018), dotyczącej ścisłej ochrony danych osobowych.

Zgodnie z Art.43 projektu Ustawy z dnia 13.09. br. rekomendacje takie opracuje przyszły  Prezes Urzędu  Ochrony Danych Osobowych (obecnie GIODO) z uwzględnieniem specyfiki danego rodzaju działalności i w konsultacji z zainteresowanymi podmiotami. Czas pomyśleć o publicznie dostępnej „Białej Księdze” i polskich narzędziach informatycznych, które zapewnią bezpieczeństwo i wyeliminują niepewne lub złośliwe oprogramowanie.

W  Stanach Zjednoczonych rolę promotorów nowych, najbardziej innowacyjnych i opłacalnych technologii pełnią prywatne amerykańskie  firmy, zaś państwo wspiera je i wspomaga tworząc odpowiednie instrumentarium prawne. Oczywiście nie oznacza to, że rynek amerykański jest zamknięty na firmy spoza USA, ale preferencje są bardzo jasne czyli „America First”. Czy ktoś słyszał o „Poland First”, przynajmniej w cyberbezpieczeństwie ? Ja jeszcze nie, ale może kiedyś…

Na razie Polakom wolno kupować i używać produktów takich firm jak Kaspersky Lab, i innych zagranicznych, do których można mieć podobne zastrzeżenia, a jedynym kanałem ostrzegawczym są media . Dobre i to…

Wielu rodzimych przedsiębiorców wciąż nie ma bladego pojęcia o RODO (Rozporządzenie ogólne o ochronie danych osobowych), więc w zamian mają szansę wystąpić w charakterze ujeżdżanego byka na amerykańskim RODeO (zbieżność nazw nie musi być przypadkowa).

Mówiąc bardziej serio: jeśli polskie firmy, instytucje i samorządy nadal nie będą wiedziały, co to znaczy RODO i co z tym zrobić, to od 25 maja 2018 r. będą miały spory kłopot. Kary finansowe za brak właściwej ochrony danych osobowych, a tym jest właśnie RODO, są horrendalne, a poszukujący dochodów fiskus na pewno nie odpuści… Dość powiedzieć, że teoretycznie maksymalna kara może wynosić nawet 20 mln euro!

Czym dokładnie jest RODO?

RODO to Rozporządzenie (czyli dyrektywa) Parlamentu Europejskiego i Rady UE z dnia 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, Dz.Urz.UE L 119 z 4.5.2016 r., zwane dalej: „RODO”)

Jest to pierwsza od 21 lat tak radykalna reforma dotycząca ochrony danych osobowych w Unii, która dotyczy wszystkich firm (małych, średnich i dużych), instytucji, samorządów i administracji – słowem wszelkich podmiotów, które mają do czynienia z danymi osobowymi, których należy restrykcyjnie chronić.

Hakerzy robią swoje

RODO wymusza ochronę naszych danych osobowych znajdujących się w rękach firm czy instytucji, w czym zawiera się również – a może przede wszystkim – ochrona osób fizycznych przed atakami hakerów wykradających dane osobowe w celu atakowania materialnych zasobów osób fizycznych lub ich dóbr osobistych.

Na dzisiaj powszechne jest instalowanie złośliwego oprogramowania szyfrującego, czyli robaków typu ransomeware, w celu wymuszania okupu od firm, ale również przysłowiowych Kowalskich. Spektakularnym przykładem takich działań jest następca internetowego robaka WannaCry zwany w Polsce (niesłusznie) Petya, ponieważ chodzi o ransomeware zwane NotPetya, a mówiąc bardziej po słowiańsku NiePietia:)

Skuteczna szczepionka na RODO

Słabe lub bardzo słabe zabezpieczenia polskich systemów IT, w których stosowane są głównie firewalle, programy antywirusowe czy hasła dostępowe wysyłane SMS-em oraz szyfrowanie danych wrażliwych w starych, kilkunastoletnich już formatach, może drogo kosztować zarówno firmy jak i nas, obywateli. Microsoft szacuje, że koszty działalności hakerów w roku 2016 to prawie pół biliona dolarów. W tym roku będzie znacznie gorzej, ponieważ hakerzy coraz częściej atakują kraje nie tylko najbogatsze, ale również takie jak Polska. Skutecznych ataków hakerskich jest na dzisiaj na świecie ponad 30 tys. dziennie i ta liczba systematycznie rośnie. Dobrym przykładem jest tu np. szyfrowanie transmisji e-maili w SSL, co dla profesjonalnego hakera stanowi fraszkę. Jedyna skuteczna metoda są dedykowane platformy szyfrujące typu end-to-end, i uwaga ta dotyczy nie tylko RODO.

Na skuteczną ochronę danych osobowych przez wszelkie podmioty, ale również osoby fizyczne, składa się kilka podstawowych elementów:

1. Zielona świadomość problemu bezpieczeństwa u osób, których to zagadnienie dotyczy. Warto podkreślić, iż firmy czy instytucje są najczęściej przekonane, że ich systemy IT są doskonale zabezpieczone. Jest jednak inaczej. Żeby wiedzieć jak jest naprawdę należy wykonać tzw. testy penetracyjne, które wykażą wszelkie podatności na ataki hakerskie. Tego nie zrobi najdoskonalszy team IT, bo cyberbezpieczeństwo to zupełnie inna dziedzina wiedzy.  To nie jest w Polsce zbyt popularne, zaś profesjonalne firmy, które to robią są nieliczne i kosztowne, ale poważna firma czy instytucja akurat na tym oszczędzać nie powinna.

2. Stare przyzwyczajenia – ludzie z IT często sadzą, że wystarczy sięgnąć po narzędzia firmowane przez wielkie międzynarodowe koncernów, ale to tak nie działa. Bezpieczeństwo danych uzyskiwane za pomocą standardowych narzędzi, w tym również bezpłatnych, jest na ogol wycinkowe i dla profesjonalnych włamywaczy nie stanowi większego wyzwania. Dobór odpowiednich narzędzi z obszaru zabezpieczeń IT, w szczególności takich jak np. szyfrowanie danych na dedykowanych platformach kryptograficznych typu end-to-end, jest krytycznie ważne.

3. Czynnik ludzki, to najsłabszy na ogół cybersecurity. Właściwe procedury i kontrola ludzi ciągle zawodzi – dowodem największe i najbardziej spektakularne afery w NSA i CIA, skąd wyniesiono supertajne narzędzia informatyczne, m.in. do walki z hakerami i monitorowania podejrzanych systemów IT na całym świecie. Jak to się stało!? Bardzo prosto: ktoś z pracowników skopiował software na fizyczny nośnik i wyniósł go na zewnątrz. W tym kontekście wspominki o haśle do komputera ex-premiera polskiego rządu, przyklejonym przez jego „specjalistów” z Kancelarii na tenże komputer, to naprawdę mały pikuś.

Na koniec warto jeszcze zwrócić uwagę na fakt, iż żadne szanujące się państwo należące do hemisfery zachodniej nie polega na obcych systemach zabezpieczających we wrażliwych obszarach IT. Amerykanie stosują software amerykański, Francuzi – francuski, Niemcy – niemiecki, Rosjanie – rosyjski, Chińczycy – chiński itd.

Czy podobnie jest w Polsce? To nadal bardzo dobre pytanie, na które aktualna odpowiedź brzmi: NIE. Niestety.

Wzrost przychodów budżetowych związanych z cyfrowymi systemami komunikacji wynosi w Europie powyżej 2 proc. PKB. W Polsce mogłoby być nawet lepiej, gdyby nie biurokratyczna mitręga, kulawe prawo i czas tracony przez Polaków, co towarzyszy większości kontaktów z urzędami czy wymiarem sprawiedliwości.

Dzisiaj zaledwie 27 proc. z nas załatwia swoje sprawy elektronicznie, zaś głównym motorem tego działania jest program 500+, w którym jako cyfrowi pośrednicy uczestniczą przede wszystkim banki, co i tak jest zasługą głównie Ministerstwa Cyfryzacji.

„Porozumienie, jakie dzisiaj podpisujemy jest krokiem w stronę sprawnego działania administracji, krótszych kolejek w urzędach i bardziej przyjaznych procedur” – powiedział 31 sierpnia 2016 r. minister Andrzej Adamczyk.

Stało się jednak inaczej. Envelo od czasu zawarcia porozumienia nie zrobiło wiele. Według pracowników spółki, Envelo była blokowana przez Zarząd Poczty Polskiej, który w 2015 r. zawiesił jej działania. – To jedna z większych porażek obecnego rządu, który tego projektu do dziś nie reaktywował – alarmują  eksperci.

Jak wieść gminna niesie, Ministerstwo Cyfryzacji wypowiedziało właśnie umowę o cyfryzacji z roku 2016, którą miała realizować Envelo (należąca do Poczty Polskiej).

Przecieram oczy. Platformy cyfryzacyjne funkcjonują w Europie Zachodniej i Środkowej od wielu lat, i w większości przypadków ich operatorami są państwowe poczty.

Nie przywołując nawet przykładów z takich krajów jak Anglia, Niemcy czy Francja, warto wspomnieć o operacji państwowej Poczty Czeskiej zwanej Datove Schranki. Już prawie milion czeskich gospodarstw domowych korzysta z możliwości, jakie daje czeska platforma, zaś liczba wszystkich transakcji realizowanych elektronicznie za pośrednictwem Poczty Czeskiej na przestrzeni ostatnich trzech lat zbliża się do miliarda.  Wszystko można sprawdzić on-line!

W Polsce byłoby to, zatem około trzech milionów ludzi, i to 2/3 lata po starcie, i kilka miliardów transakcji. Czy to nie daje do myślenia?

My na dziś mamy platformę Envelo, która drogo kosztuje, ale niewiele robi, bo jest podobno nadal blokowana (czego skutkiem jest zapewne wspomniane już zakończenie współpracy Ministerstwa Cyfryzacji z Pocztą Polską).

Od lat słyszymy szumne zapowiedzi o cyfryzacji na narodowej platformie do załatwiania spraw wszelkich i czego skutkiem jest coraz większa frustracja młodych Polaków, że nic się w tej sprawie nie dzieje!

Poczta Polska nie przetrwa bez cyfryzacji. Hipoteza, że należy budować potęgę naszego narodowego operatora przede wszystkim w oparciu o papierowe listy i paczki, jest wątpliwa i sprzeczna z empirycznym doświadczeniem i praktyką krajów należących do hemisfery zachodniej, w tym naszych bliskich sąsiadów. Ekonomiczne i polityczne zagrożenie jest takie, że ten strategiczny segment gospodarki może być wkrótce kontrolowany przez obcego operatora zagranicznego lub – być może – jakąś dużą prywatną firmę informatyczną. Cyfrowe życie nie znosi próżni…

Już dzisiaj poczty z Niemiec i Francji zdominowały w Polsce rynek paczek i przesyłek kurierskich. Poczta Polska ma tylko 11 proc. udziału w tym rynku i próbuje zdobyć kolejne… Narodowa platforma cyfrowa trafiał póki co do archiwum projektów ważnych, nie zrealizowanych… dlaczego?!