Infrastruktura, która gwarantuje przetrwanie

Można się zastanowić, czy ci, którzy wykupywali ryż i makaron, pomyśleli choć przez chwilę, czy będą go w stanie zjeść, jeśli zabraknie wody i energii elektrycznej lub gazu. Nie sądzę. Większość społeczeństwa za pewnik wzięła fakt, że prąd, woda (i kanalizacja) po prostu będą, a tylko o papier toaletowy należy się zatroszczyć.

Czy to wynika z głębokiej wiary narodu polskiego w sprawne funkcjonowanie przedsiębiorstw infrastruktury krytycznej (IK), czy po prostu dopóki coś w miarę sprawnie działa, to się temu nie poświęca zbyt wiele uwagi?

Śmiem twierdzić, że to drugie. Tam, gdzie codzienna refleksja nie sięga, pojawiają się scenarzyści filmów katastroficznych i ich wyobraźnia. Wszyscy znamy te scenariusze; brak energii elektrycznej pogrąża ludzkość w chaosie, skażona woda powoduje, że wyludniają się wsie i miasteczka lub w przestworzach dzielny pilot ratuje maszynę i pasażerów z beznadziejnej sytuacji, gdy wszystkie systemy kontroli lotów przestały działać.

Może też być bardziej banalnie, o czym wie każdy, kto był w sytuacji, kiedy pociąg zwiększył opóźnienie do 240 minut, lub ten, kto przez kilka dni musiał radzić sobie bez bieżącej wody.

Przymiotnik „krytyczna” nie wziął się znikąd. Ustawa o zarządzaniu kryzysowym (z dnia 26 kwietnia 2007 r.) zgrabnie definiuje, że infrastruktura krytyczna to systemy oraz wchodzące w ich skład powiązane ze sobą funkcjonalnie obiekty, w tym obiekty budowlane, urządzenia, instalacje, usługi kluczowe dla bezpieczeństwa państwa i jego obywateli oraz służące zapewnieniu sprawnego funkcjonowania administracji publicznej, a także instytucji i przedsiębiorców.

Czytaj też: Collateral Damage >>>

W skład infrastruktury krytycznej wchodzą systemy zaopatrzenia w energię, surowce energetyczne i paliwa, systemy łączności, sieci teleinformatycznych, systemy finansowe, zaopatrzenia w żywność, zaopatrzenia w wodę, ochrony zdrowia, transportowe, ratownicze, zapewniające ciągłość działania administracji publicznej, a także produkcji, składowania, przechowywania i stosowania substancji chemicznych i promieniotwórczych. Bez tych układów, systemów, obiektów i instalacji po prostu nie przetrwamy, bo prawdopodobnie nikt (może poza preppersami) nie byłby w stanie przez dłuższy czas żyć jak Robinson Cruzoe.

Gdy świat opanowały żywe trupy, a przemysł i produkcja stanęły, bohaterowie serialu „The Walking Dead” wydobyli z lokalnego muzeum drewniany wóz, bo porzucone na drogach samochody bez paliwa nie stanowiły żadnej wartości. Podobnie jak telefony komórkowe, systemy typu Alexa czy ekspres do kawy z młynkiem ceramicznym.

Bez sprawnie działającej sieci teleinformatycznej, bez energii elektrycznej i łączności, były warte o tyle, o ile dało się je porąbać i użyć jako opału bądź elementu barykady. Przykłady można mnożyć.

W ramach Narodowego Programu Ochrony Infrastruktury Krytycznej (NPOIK) wyznaczono sześć obszarów, które są kluczowe dla bezpieczeństwa IK:

• po pierwsze, bezpieczeństwo fizyczne, czyli działania organizacyjne i techniczne, które mają minimalizować ryzyko zakłócenia funkcjonowania IK w następstwie działań osób, które nielegalnie przedostały się lub usiłowały się dostać na teren przedsiębiorstwa bądź zakłócić działanie systemu.

• Po drugie, bezpieczeństwo techniczne, czyli te wszystkie działania, które minimalizują ryzyko zaburzenia realizowanych procesów technologicznych.

• Po trzecie, bezpieczeństwo osobowe, czyli działania związane z minimalizacją ryzyka, że ktoś z pracowników lub osób uprawnionych do wejścia na teren IK zakłóci funkcjonowanie przedsiębiorstwa czy systemu.

• Po czwarte, bezpieczeństwo teleinformatyczne, czyli działania związane z minimalizacją ryzyka zakłócenia funkcjonowania IK w następstwie oddziaływania na aparaturę kontrolną oraz systemy i sieci teleinformatyczne.

• Po piąte, bezpieczeństwo prawne, czyli te zabiegi i procedury, które chronią przedsiębiorstwo czy system przed skutkami prawnych działań podmiotów zewnętrznych.

• Po szóste, plany ciągłości działania i odtwarzania, rozumiane jako zespół działań organizacyjnych i technicznych prowadzących do utrzymania i odtworzenia funkcji realizowanych przez IK.

Nie sposób określić, który poziom jest najważniejszy, warto pamiętać, że obszary, o których mówi się stosunkowo rzadko – np. bezpieczeństwo osobowe, mogą być ważniejsze, niż przypuszczamy. Przykładem może być sytuacja z sierpnia 2020 roku, gdy pracownik wielkiej fabryki usytuowanej w Newadzie otrzymał lukratywną propozycję od znajomego Rosjanina, który akurat przebywał w USA, rzecz jasna, w celach turystycznych.

Jegor Igoriewicz Kriuczkow proponował pół miliona dolarów (potem stawka została zwiększona do równego miliona – gotówką bądź w krypotwalucie) za zainstalowanie złośliwego oprogramowania i uruchomienie go na dowolnym komputerze w sieci firmowej. Za tę sumę pracownik miał przekazać informacje o sieci firmowej przedsiębiorstwa i metodach uwierzytelnienia. Ponadto, rosyjski turysta przekonywał, że grupa, z którą jest powiązany, realizowała już podobne „projekty”, nigdy nie wykryto źródła ataku, a w momencie instalacji przekazanego na USB lub w poczcie elektronicznej oprogramowania, przeprowadzony zostanie atak typu DDoS, który skutecznie zajmie pracowników IT i odwróci ich uwagę.

Nagabywany pracownik poinformował o tym wszystkim przełożonych, ci poinformowali FBI, a dalsze kontakty z rosyjskim turystą odbywały się już pod kontrolą służb i skończyły się zatrzymaniem Kriuczkowa. Firma miała powód do świętowania, a tysiące szefów zaczęło się zastanawiać, czy ich załoga będzie odporna na ten typ ataku, niekoniecznie związany z propozycją korupcyjną, bo tu spektrum działań jest znacznie większe. Nie bez powodu klasyk mawiał: „Łamałem ludzi, nie hasła”…

Katastrofy naturalne, awarie czy wreszcie czynnik ludzki – intencjonalnie lub nie – mogą zaszkodzić infrastrukturze krytycznej w sposób znaczny powodując straty z jednej strony materialne, z drugiej, uderzając w sferę tzw. efektów miękkich.

Nic tak nie podgrzewa palnika społecznego niezadowolenia niż przerwa w dostawie prądu, niewydolna kolej czy zakorkowany podjazd dla karetek. Z drugiej strony, już sama plotka o skażeniu w miejskich wodociągach może spowodować daleko idące skutki, podobnie plotka o poważnej awarii w zakładach chemicznych.

Czytaj też: Samotność wilka >>>

Umiejętnie sterowana dezinformacja może być równie skuteczna, co faktyczny atak na element infrastruktury. Bo wyobraźmy sobie taki scenariusz… Oto na lokalnych stronach internetowej wersji popularnego dziennika pojawia się amatorski film z wypowiedzią zamaskowanego „pracownika” fabryki produkującej nawozy, który czuje się w obywatelskim obowiązku poinformować społeczeństwo o niedawnej katastrofie, którą dyrekcja i lokalne władze trzymają w tajemnicy.

Taka wiadomość błyskawicznie zostanie zacytowana, a film będzie bił rekordy popularności, udostępniany, przesyłany w komunikatorach, w krótkim czasie dotrze do setek tysięcy osób. Ci, którzy z racji wieku czy trybu życia nie korzystają z mediów społecznościowych, zostaną poinformowani przez zaniepokojonych członków rodziny czy sąsiadów. Blady strach padnie na pracowników rzeczonej fabryki i okoliczną ludność. Mieszkańcy pobliskich miast poczują się zagrożeni, będą szukać informacji, może dojść do przeciążania numerów alarmowych, ponieważ ludzie nie wiedząc, skąd czerpać informacje o rzekomym skażeniu, dzwonić będą na numer alarmowy 112 lub numer straży pożarnej, co skutecznie zablokuje linie. Ponadto, z powodu strachu przed skażeniem wody, mieszkańcy przestaną jej używać i w bardzo szybkim tempie wykupią z lokalnych sklepów wodę butelkowaną.

W trakcie chaotycznych zakupów może dojść do prób kradzieży, bójek itp. Wyzwaniem dla policji będzie zapewnienie bezpieczeństwa. Strach, niepokój i panika przyczynią się do zwiększonej liczby wypadków na drogach, ulice będą się korkować, kierowcy zachowywać agresywnie. Wzrośnie liczba omdleń, zawałów i somatycznych objawów chorobowych, a także zaostrzenia nerwic i stanów lękowych. Karetki pogotowia ratunkowego będą częściej wyjeżdżać, powodując kolejne utrudnienia w ruchu, personel medyczny będzie przeciążony pracą, system opieki zdrowotnej, zwłaszcza na lokalnym poziomie, stanie się niewydolny.

Niektórzy ludzie zapewne na „własną rękę”, bez konsultacji z lekarzem, będą profilaktycznie brać płyn Lugola (doświadczenia z lat osiemdziesiątych), co spowoduje konsekwencje zdrowotne (może dojść do zaburzeń żołądkowo-jelitowych, reakcji alergicznych, w skrajnych przypadkach – do śmierci) i dodatkowo obciąży poradnie medyczne. Taka sytuacja będzie wyzwaniem dla lokalnych władz – samorządowych i administracji rządowej. Zwłaszcza że w sytuacji szumu informacyjnego znajdą się z jednej strony osoby podsycające chaos i panikę, jak i ci, którzy będą próbowali osiągnąć jakieś korzyści dla siebie, np. sprzedając cudowne preparaty „medyczne”, „nieskażoną” wodę itp.

Taki scenariusz jest tym bardziej prawdopodobny, im bardziej społeczeństwo jest podatne na teorie spiskowe, manipulację, a przede wszystkim, im niższy jest poziom zaufania do władzy i instytucji publicznych…

Podatność infrastruktury na awarie, katastrofy naturalne lub wywołane działalnością człowieka czy zwykły sabotaż czasami w osobliwy sposób pokazują media. Kilka lat temu przedsiębiorstwa wodociągowe padły ofiarą prowokacji, gdy sfotografowano wprowadzenie obcej substancji do zbiornika. Tabloidy mogły przez jakiś czas krzyczeć o tym, że terroryści mają wolną rękę i w każdej chwili mogą zatruć wodę w dużym mieście, a mało kto zastanowił się, ile faktycznie tej substancji należałoby wpompować, gdzie dokładnie ją wprowadzić i na którym etapie uzdatniania wody.

O systemach wykrywania zanieczyszczeń, stałej kontroli jakości wody czy fakcie, że wprowadzanie czegokolwiek do nieużywanego zbiornika niekoniecznie ma sens, mało kto wówczas myślał, bo tam, gdzie uruchamia się strach, racjonalne myślenie schodzi na dalszy plan, co już zostało tu pokazane.

Ochrona infrastruktury krytycznej jest wyzwaniem na wszystkich szczeblach władzy od Rządowego Centrum Bezpieczeństwa, właściwych ministrów, Agencję Bezpieczeństwa Wewnętrznego po samorząd terytorialny i operatorów IK.

Dokumenty i akty prawne na czele ze wspomnianą ustawą oraz NPOIK, ponadto uzgadniane na wielu poziomach plany ochrony IK, mają na celu nie dopuścić do załamania się systemu tak, aby prezentowane wyżej scenariusze pozostały scenariuszami. Aby atak na elektrownię w państwie nadbałtyckim pozostał elementem scenariusza wojny hybrydowej umieszczonego na kartach powieści Antoniego Langera i nigdzie indziej. 

Chcesz być na bieżąco? Zapisz się do naszego newslettera!