Operator IK najczęściej ma pełne ręce roboty z utrzymaniem ciągłości działania własnego
biznesu. Gdy do tego dochodzą obowiązki związane z zapewnieniem odpowiedniego
poziomu ochrony infrastruktury krytycznej, czasu na poszukiwanie wiedzy jest przerażająco
mało. Co powinien przeczytać operator IK, by wiedzieć jakie są jego obowiązki i być
świadomym jak wygląda system ochrony IK? Na początek polecam przede wszystkim te trzy
dokumenty:

Po pierwsze, USTAWA z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym
https://isap.sejm.gov.pl/isap.nsf/download.xsp/WDU20070890590/U/D20070590Lj.pdf

Po drugie, Narodowy Program Ochrony Infrastruktury Krytycznej
https://www.gov.pl/web/rcb/narodowy-program-ochrony-infrastruktury-krytycznej

Po trzecie, Standardy służące zapewnieniu sprawnego funkcjonowania infrastruktury
krytycznej – dobre praktyki i rekomendacje (Załącznik nr 1 do NPOIK)
https://www.gov.pl/web/rcb/narodowy-program-ochrony-infrastruktury-krytycznej

Ponadto, w tym odcinku wyjaśniam pojęcia takie jak: równość operatorów IK,
bezsankcyjność, koordynator systemu IK

Kto jest kim w ochronie infrastruktury krytycznej (IK)?

W polskim systemie prawnym ustanowiono osoby odpowiedzialne za utrzymywanie kontaktu między
operatorem infrastruktury krytycznej a podmiotami właściwymi w zakresie ochrony IK; czyli np. z
Rządowym centrum Bezpieczeństwa, z właściwym ministerstwem etc. Zgodnie z aktualnie
obowiązującymi przepisami taką rolę pełnią: osoba wskazana do kontaktów oraz pełnomocnik do
spraw ochrony IK. Jak jest różnica? Kto jest kim? Czy ich pozycja jest równorzędna? Jakie są
wymagania wobec osób zajmujących takie stanowiska? Zapraszam na kolejny odcinek.

Cyber winter is coming czyli cyberataki w sektorze WodKan cz.2.

W 2020 r. dyrektor izraelskiego Krajowego Zarząd ds. Cyberbezpieczeństwa (INCD), Yigal Unna,
potwierdził, że ich system wodociągów był celem poważnego cyberataku, który został udaremniony.
Żeby potwierdzić wagę swoich słów użył zwrotu „Cyber winter is comi ng”, dodając, że kwiecień i maj
2020 roku zapamiętamy jako punkt zwrotny w historii współczesnej cyberwojny. Na czym ten punkt
zwrotny polegał? Dlaczego miasteczko Oldsmar stało się słynne? Zapraszam na dalszy ciąg opowieści o cyberatakach na system WodKan .

Cyber winter is coming czyli cyberataki w sektorze WodKan – cz.1.

W 2020 r. dyrektor izraelskiego Krajowego Zarząd ds. Cyberbezpieczeństwa (INCD), Yigal Unna,
potwierdził, że ich system wodociągów był celem poważnego cyberataku, który został udaremniony.
Żeby potwierdzić wagę swoich słów użył zwrotu „Cyber winter is coming”, dodając, że kwiecień i maj
2020 roku zapamiętamy jako punkt zwrotny w historii współczesnej cyberwojny. Każdy artykuł na temat cyberataków na systemy wodno-kanalizacyjne zwykle otwiera przypadek z Australii. Rzadko jednak poświęca mu się więcej niż dwa zdania, a szkoda, bo to ciekawy przypadek, żeby zrozumieć nie tylko ideę dokonania tamtego ataku, ale także pojęcia takie jak: sabotaż, bezpieczeństwo teleinformatyczne, czy bezpieczeństwo osobowe.

Czy wykaz infrastruktury krytycznej można znaleźć w intrenecie?

Ustawa o zarzadzaniu kryzysowym mówi, że dyrektor Rządowego Centrum Bezpieczeństwa sporządzana podstawie szczegółowych kryteriów, we współpracy z odpowiednimi ministrami, jednolity wykaz obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej. W skrócie nazywasię go wykazem IK. Gdzie go szukać? Kolejne ważne pytania: gdzie znaleźć kryteria służące wyłanianiu infrastruktury krytycznej?

Co sześciopak ma wspólnego z infrastrukturą krytyczną?

Choć słowo „sześciopak” zwykle odsyła nas do klimatów dalekich od infrastruktury krytycznej, to nie
da się dziś mówić o bezpieczeństwie infrastruktury krytycznej bez przywołania sześciopaku właśnie.
W Narodowym Programie Ochrony Infrastruktury Krytycznej (NPOIK) zdefiniowano sześć obszarów,
które są kluczowe dla zapewnienia bezpieczeństwa infrastruktury krytycznej. Opisano też działania
podejmowane przez operatora IK, które mają zminimalizować ryzyko zakłócenia funkcjonowania IK.

 Dotych działań należą: zapewnienie bezpieczeństwa fizycznego, zapewnienie bezpieczeństwa
technicznego, zapewnienie bezpieczeństwa osobowego, zapewnienie bezpieczeństwa
teleinformatycznego, zapewnienie bezpieczeństwa prawnego oraz opracowanie i wdrożenie planów
ciągłości działania i odtwarzania. Co oznaczają te pojęcia?

3 najczęstsze błędy w myśleniu o infrastrukturze krytycznej

Pojęcie infrastruktury krytycznej jest dość precyzyjnie zdefiniowane w ustawie o zarządzaniu
kryzysowym. Jednak ustawa ma swoje ograniczenia, nie służby drobiazgowemu tłumaczeniu
rzeczywistości. I tu właśnie pojawiają się niedomowienia i mity i błędne wyobrażenia na temat
infrastruktury krytycznej. W dzisiejszym odcinku rozprawie się z tymi najpopularniejszymi.