Edukacja i prewencja to dla nas absolutnie kluczowa sprawa

Z wiceprezesem rady ministrów, ministrem cyfryzacji Krzysztofem Gawkowskim rozmawiała Anna Jarmuszkiewicz. Wywiad ukazał się w "Głosie Banków Spółdzielczych" nr 2/2025.

- Obecnie cyberbezpieczeństwo przestaje być domeną, która zajmuje wyłącznie informatyków, ale weszło ono do codzienności i tym samym – do języka powszechnego. Dotyczy to także m.in. sektora finansowego. Ustawa o zarządzaniu kryzysowym wymienia systemy finansowe wśród infrastruktury krytycznej. Jak bardzo realne są teraz zagrożenia dla tego rodzaju infrastruktury w zakresie cyberbezpieczeństwa?

Musimy jasno powiedzieć – zagrożenia dla systemów finansowych są realne i rosną z każdym dniem. Zorganizowane grupy cyberprzestępców, związane z państwami, takimi jak Rosja czy Białoruś, potrafią prowadzić ataki miesiącami. Używają zaawansowanych narzędzi, specjalistycznej wiedzy i trudnych do wykrycia metod. 

Do tego dochodzą inne zagrożenia, jak na przykład ataki typu ransomware. Przestępcy potrafią sparaliżować działanie całej instytucji, a potem żądać okupu, grożąc przy tym ujawnieniem wrażliwych danych. Obserwujemy też ataki DDoS, których celem jest zablokowanie dostępu do usług finansowych. Cyberprzestępcy próbują wyłudzać dane uwierzytelniające do systemów. Chcą zdobyć loginy i hasła. Ataki phishingowe i socjotechniczne są na porządku dziennym. Zdarzają się też kradzieże danych osobowych i finansowych. Nie możemy zapominać o atakach na łańcuchy dostaw – to próby dostania się do firmy przez jej dostawców albo partnerów biznesowych. 

Każde z tych zagrożeń może wywołać poważne skutki, dlatego jako państwo musimy działać. Naszym zadaniem jest chronić nie tylko instytucje lecz także obywateli. Pracujemy nad tym każdego dnia.

- Jakie są główne zagrożenia, które Ministerstwo Cyfryzacji identyfikuje w tym obszarze, i jakie działania są podejmowane w odpowiedzi na nie?

Główne zagrożenia w obszarze rynków finansowych to wspomniana już aktywność grup APT, a także ataki typu ransomware, DDoS i phishing. Za cyberbezpieczeństwo podmiotów rynku finansowego odpowiada zespół CSIRT KNF. Realizuje on zadania Sektorowego Zespołu Cyberbezpieczeństwa we współpracy z podmiotami krajowego systemu cyberbezpieczeństwa. CSIRT KNF wdrożył zaawansowane narzędzia, które umożliwiają efektywną komunikację z podmiotami rynku finansowego, w tym operatorami usług kluczowych. Sprawna wymiana informacji to fundament budowania cyberodporności sektora finansowego. Umożliwia szybką identyfikację i neutralizację zagrożeń oraz skuteczną prewencję przyszłych incydentów. 

Ministerstwo Cyfryzacji – w odpowiedzi na rosnące zagrożenia cybernetyczne – realizuje szereg działań, których celem jest podniesienie poziomu bezpieczeństwa systemów państwowych.

- Odwróćmy jednak pytanie: jakie działania powinny podejmować narażone instytucje?

Instytucje finansowe muszą być przede wszystkim świadome, że cyberzagrożenia są realne. To już nie jest pytanie „czy”, tylko „kiedy” pojawi się próba ataku. Dlatego cała infrastruktura informatyczna musi być zbudowana z jak najwyższym poziomem dbałości o bezpieczeństwo.

Instytucje powinny korzystać z nowoczesnych systemów monitorowania i wykrywania zagrożeń – takich jak SIEM, IDS/IPS czy XDR – które pozwalają szybko zidentyfikować podejrzane działania i odpowiednio zareagować. Ważne jest też, żeby systemy poczty elektronicznej były prawidłowo skonfigurowane i zabezpieczone, ponieważ to właśnie tędy często próbują dostać się cyberprzestępcy. Nie można zapominać o regularnych aktualizacjach oprogramowania – to podstawa. Instytucje powinny także cyklicznie sprawdzać swoją infrastrukturę pod kątem podatności, które mogą być potencjalnie wykorzystane przez hakerów. Sieci powinny być odpowiednio segmentowane, tak aby ograniczyć skutki ewentualnego włamania. Ważne jest też, by pracownicy używali silnych, unikalnych haseł i logowali się za pomocą uwierzytelniania wieloskładnikowego. Uprawnienia i dostęp do danych powinny być przydzielane tylko tam, gdzie to rzeczywiście konieczne.

Zachęcam również instytucje do współpracy z CSIRT KNF. To zespół ekspertów, który może stanowić realne wsparcie w ochronie przed cyberzagrożeniami. Warto też korzystać z rozwiązań takich jak system zarządzania cyberbezpieczeństwem S46, który został stworzony po to, żeby wspierać zgłaszanie i obsługę incydentów. 

Nie mniej ważna jest edukacja. Pracownicy powinni być regularnie szkoleni, a klienci informowani o możliwych zagrożeniach. Podnoszenie świadomości użytkowników jest kluczowym elementem ochrony przed cyberatakami.

- Jak wiadomo, każdy łańcuch jest tak mocny jak jego najsłabsze ogniwo. Czy w zakresie cyberbezpieczeństwa możemy wskazać na czynnik ludzki? Jakie działania w tym zakresie, czy np. edukacyjno-szkoleniowym czy innym, podejmowane są przez Ministerstwo Cyfryzacji, aby wzmacniać nie tylko kompetencje cyfrowe, ale i świadomość cyfrowych zagrożeń?

Edukacja i prewencja to dla nas absolutnie kluczowa sprawa. W Ministerstwie Cyfryzacji od lat prowadzimy działania, których celem jest zwiększanie świadomości na temat zagrożeń w sieci.

Organizujemy bezpłatne szkolenia online dla podmiotów krajowego systemu cyberbezpieczeństwa. Wzięło w nich udział już ponad 84 tysiące osób. Uczestnikami tych szkoleń są pracownicy instytucji publicznych, operatorzy usług kluczowych, użytkownicy Systemów Rejestrów Państwowych czy przedstawiciele sektora zdrowia. Oferujemy także szkolenie e-learningowe z podstawowych zasad cyberbezpieczeństwa dla pracowników administracji publicznej. Ponadto – w ramach projektów SecureV – realizujemy we współpracy z NASK szkolenia z zakresu cyberbezpieczeństwa dla osób pełniących najważniejsze funkcje w państwie. Szkolenia takie są prowadzone indywidualnie lub w małych grupach, a ich zakres jest dostosowany do konkretnych potrzeb szkolonej osoby. Każda przeszkolona osoba otrzymuje odpowiednie narzędzia do silnego uwierzytelnienia.

Zależy nam również na edukacji dzieci i młodzieży, dlatego razem z NASK prowadzimy projekt „Cyberlekcje”. Powstały gotowe scenariusze lekcji na temat bezpieczeństwa cyfrowego, które nauczyciele mogą wykorzystać na zajęciach w szkołach podstawowych i ponadpodstawowych. Mamy też materiały dodatkowe, takie jak filmy, animacje, prezentacje i infografiki. Są one dostępne publicznie na portalu gov.pl w zakładce CyberEdukacja oraz na Zintegrowanej Platformie Edukacyjnej. Ponadto w zeszłym roku ruszyliśmy z pilotażem, w ramach którego przeprowadziliśmy stacjonarne szkolenia dla nauczycieli. Projekt ten będziemy kontynuować. 

- Jakie kroki podejmuje Ministerstwo Cyfryzacji w celu zwiększenia poziomu cyberbezpieczeństwa instytucji finansowych oraz ich klientów? 

Oszustwa komputerowe stanowią – pod względem liczebności – główne wyzwanie dla podmiotów krajowego systemu cyberbezpieczeństwa. Podnoszenie świadomości cyberzagrożeń jest w tym kontekście kluczowe – może przekładać się m.in. na lepszą ochronę pieniędzy obywateli. Nie mniej istotne są działania prewencyjne i wykrywanie zagrożeń, realizowane przez CSIRT-y, czyli zespoły zajmujące się zarządzaniem incydentami bezpieczeństwa komputerowego.

Ministerstwo Cyfryzacji podejmuje działania, które mają wzmocnić krajowy system cyberbezpieczeństwa. Jedną z inicjatyw w tym zakresie jest rozwój CSIRT-ów sektorowych tj. zespołów cyberbezpieczeństwa działających w określonych branżach, w tym w obszarze bankowości i infrastruktury rynków finansowych. 

Sektor finansowy może skorzystać ze szkoleń w ramach programu PWCyber. Dostępne są także narzędzia wspierające cyberbezpieczeństwo, takie jak Artemis (projekt pozwalający na wykrywanie najczęściej występujących podatności i błędów usług sieciowych) czy system S46, które są stale rozwijane dzięki wsparciu Ministerstwa Cyfryzacji. 

- Jakich nowych projektów legislacyjnych możemy się spodziewać w zakresie cyfryzacji i cyberbezpieczeństwa? 

W ministerstwie pracujemy nad projektami legislacyjnymi, które mają wesprzeć cyfrową transformację naszego kraju. Szczególne znaczenie ma tutaj projekt ustawy o chmurze obliczeniowej w administracji, która ma stanowić ważny krok ku polityce Cloud First. Taka ustawa miałaby wypełnić lukę w przepisach w zakresie możliwości korzystania z Rządowej Chmury Obliczeniowej i Publicznej Chmury Obliczeniowej. Określi ona obowiązki dla administracji i dostawców rozwiązań chmurowych, a także to, jakiego rodzaju dane będą mogły być przetwarzane w określonym rodzaju chmury. Ureguluje też kwestię zabezpieczeń. Technologia chmurowa przyniesie wiele korzyści dla państwa i obywateli – zarówno w wymiarze ekonomicznym, wydajnościowym, jak i pod względem bezpieczeństwa przetwarzania danych. 

Istotne znaczenie dla cyberbezpieczeństwa mają również dwa projekty, które znajdują się już w toku procesu legislacyjnego – projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa i projekt ustawy o krajowym systemie certyfikacji cyberbezpieczeństwa przyjęty niedawno przez Radę Ministrów. 

Pierwszy z nich wdraża do porządku krajowego dyrektywę NIS 2. W znacznym zakresie rozbudowuje on krajowy system cyberbezpieczeństwa, określając nowe rodzaje podmiotów i nowe obowiązki, których realizacja ma zwiększyć poziom bezpieczeństwa. Utworzone zostaną CSIRT-y sektorowe, które będą wspierać podmioty kluczowe i ważne w obsłudze incydentów. Dużą rolę w budowie stabilnego systemu będzie również pełnić Krajowy plan reagowania na incydenty i sytuacje kryzysowe w cyberbezpieczeństwie na dużą skalę. 

Drugi projekt umożliwia wydawanie certyfikatów cyberbezpieczeństwa dla produktów, usług i procesów ICT, a także systemów zarządzania i osób. System certyfikacji, oparty na europejskim Akcie o cyberbezpieczeństwie, pozwoli potwierdzić, że dany produkt lub usługa spełnia określone standardy ochrony danych i odporności na cyberataki. Dla konsumentów certyfikat stanie się swego rodzaju gwarancją cyfrowego bezpieczeństwa.

- Obraz wart jest tysiąca słów, ale obecnie i jedno, i drugie może być nieprawdziwe, wygenerowane przez sztuczną inteligencję, czy wręcz może być fake newsem. Danie im wiary może pociągać za sobą wiele negatywnych konsekwencji. Na jakie główne zagrożenia w tym zakresie należy zwrócić uwagę i jakie podjąć środki zapobiegawcze? Jakie w tym zakresie są działania resortu cyfryzacji?

Wpływ technologii generatywnych na różne obszary naszego życia i zagrożenia z tym związane są coraz bardziej widoczne. Możliwość podrobienia obrazu czy głosu w sposób niemal nierozróżnialny od rzeczywistych stwarza ogromne ryzyko dezinformacji i manipulacji. Sztuczna inteligencja może być używana do manipulowania opinią publiczną – na przykład poprzez fałszywe nagrania znanych osób. Wykorzystanie technologii AI i deepfake może wpływać na wyniki wyborów, wywoływać protesty, nieufność i panikę w społeczeństwie.

Kolejnym problemem jest cyberprzestępczość. Ataki phishingowe mogą przyjąć formę fałszywych głosów, które imitują członków rodziny. Celem jest wyłudzenie pieniędzy poprzez emocjonalnie szantażowane ofiary, często pod pretekstem nagłej potrzeby finansowej. Przestępcy mogą również wykorzystywać deepfake do podszywania się pod kandydatów do pracy podczas rozmów kwalifikacyjnych na odległość, aby zdobyć dostęp do poufnych danych.

Istotnym zagrożeniem jest też szerzenie dezinformacji i teorii spiskowych. Może to dotyczyć wydarzeń takich jak zamachy, katastrofy, strajki czy wypadki. Takie treści mogą być używane do wywoływania paniki, zwiększania napięcia społecznego czy manipulowania rynkami finansowymi (fałszywe informacje mogą np. wpływać na kurs akcji na giełdzie). Tworzenie fikcyjnych profili w farmach trolli pozwala wzmocnić wiarygodność narracji opartej na fałszywych treściach. Istnieją też farmy lajków, czyli struktury, w których fałszywe konta lub boty są używane do zwiększania interakcji na platformach społecznościowych. Celem jest sztuczne zwiększanie widoczności danego profilu lub treści w sieci. Konta generowane przez farmy lajków mogą być wykorzystywane do szerzenia dezinformacji. 

Wojna informacyjna to kolejny obszar, w którym manipulacja treściami stanowi poważne zagrożenie. Manipulowanie wizerunkiem polityków lub tworzenie fałszywych materiałów symulujących zagrożenie militarne może podważyć zaufanie obywateli do rządu, prowadzić do eskalacji konfliktów wewnętrznych i zagrożenia bezpieczeństwa narodowego.

Technologie generatywne niosą ze sobą także inne zagrożenia. Mogą być używane do tworzenia fałszywych materiałów dowodowych w procesach sądowych. W sieci pojawiają się reklamy fałszywych leków i terapii, które narażają zdrowie ludzi. Obserwujemy ogromną liczbę fałszywych reklam inwestycyjnych, wykorzystujących wizerunek znanych osób. Przestępcy sięgają także po bardziej skomplikowane metody, podszywając się pod organizacje, które rzekomo pomagają osobom oszukanym w odzyskaniu utraconych środków, aby jeszcze raz wyłudzić pieniądze od swoich ofiar. Istnieją też zagrożenia dla systemów biometrycznych, które opierają się na rozpoznawaniu twarzy i głosu. Omijanie tego typu zabezpieczeń może prowadzić do kradzieży tożsamości i włamań do systemów zabezpieczonych biometrycznie.

Aby przeciwdziałać wymienionym zagrożeniom, kluczowe jest prowadzenie szerokich kampanii edukacyjnych. W Ministerstwie Cyfryzacji przykładamy dużą wagę do edukacji w zakresie weryfikowania informacji i rozpoznawania manipulacji oraz cyberhigieny. Oprócz edukacji ważny jest rozwój narzędzi dopasowanych do konkretnych form ataków, współpraca z organami ścigania i stałe monitorowanie przestrzeni internetowej. Tylko w ten sposób jesteśmy w stanie przeciwdziałać rosnącej skali zagrożeń w cyberprzestrzeni.