- Raport Najwyższej Izby Kontroli (NIK) ujawnił, że żaden z ośmiu skontrolowanych operatorów infrastruktury krytycznej (m.in. energetyka, transport, woda) nie zapewnił swoim systemom odporności na naruszenia bezpieczeństwa danych.
- Sześciu z ośmiu operatorów systematycznie ignorowało krytyczne alerty generowane przez własne systemy monitorujące, a część z nich w ogóle nie prowadziła monitoringu bezpieczeństwa.
- W 2025 r. krajowe zespoły CSIRT obsłużyły niemal 273 tys. incydentów, co stanowi wzrost o 144,4% rok do roku. Eksperci wskazują, że problemem jest brak reakcji na sygnały i niedostateczne zabezpieczenie urządzeń brzegowych (OT), a nie tylko brak narzędzi.
Najwyższa Izba Kontroli poddała analizie osiem podmiotów świadczących usługi kluczowe w rozumieniu ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). Kontrola objęła dostawców energii, wody pitnej, operatorów transportu kolejowego i wodnego, a także nadzorujące ich ministerstwa: cyfryzacji, energii i infrastruktury. Wnioski NIK są jednoznaczne i dotyczą wszystkich skontrolowanych bez wyjątku: „żaden z operatorów nie zagwarantował systemom obsługującym usługi kluczowe odporności na działania naruszające bezpieczeństwo przetwarzanych danych”. Oznacza to, że kluczowe dla funkcjonowania państwa systemy nie są w stanie skutecznie chronić się przed atakami, które mogłyby prowadzić do poważnych konsekwencji.
Ignorowane sygnały ostrzegawcze: Głębszy problem niż brak narzędzi
Najbardziej niepokojący aspekt raportu NIK nie dotyczy braku narzędzi do monitorowania, lecz sposobu, w jaki traktowano już posiadane zabezpieczenia. Sześciu z ośmiu operatorów systematycznie ignorowało krytyczne alerty generowane przez ich własne systemy monitorujące. W niektórych przypadkach monitoring bezpieczeństwa w ogóle nie był prowadzony. Taka postawa oznacza, że sygnały ostrzegawcze, które mogłyby zapobiec poważnym incydentom, trafiały w próżnię, pomimo istnienia infrastruktury do ich wykrywania. NIK podkreśla, że mechanizmy nadzoru przewidziane w Krajowym Systemie Cyberbezpieczeństwa – systemie funkcjonującym od ponad siedmiu lat – nie wymuszały skutecznie na operatorach spełniania ustawowych obowiązków, mimo że nadzorujące ministerstwa były świadome niedostatecznego poziomu zabezpieczeń.
„Ten raport pokazuje coś ważniejszego niż samą listę braków formalnych – pokazuje, że posiadanie systemu monitorującego niczego samo w sobie nie gwarantuje. Kluczowe jest to, czy organizacja rzeczywiście reaguje na sygnały, które ten system generuje, i czy traktuje bezpieczeństwo jako spójną politykę obejmującą całą sieć, a nie zbiór osobnych, niepowiązanych ze sobą zabezpieczeń” – komentuje Konrad Badowski, Business Relationships Manager z Axis Communications.
Skala zagrożeń cybernetycznych: Dlaczego to nie tylko problem formalny?
Skuteczny atak na systemy sterujące uzdatnianiem wody mógłby prowadzić do zaburzenia dozowania środków dezynfekujących, co stanowiłoby bezpośrednie zagrożenie dla zdrowia publicznego. Z kolei atak na infrastrukturę energetyczną mógłby skutkować długotrwałymi przerwami w dostawach prądu, obejmującymi duże obszary kraju. W tym kontekście skala zagrożeń cybernetycznych przestaje być abstrakcyjną liczbą w raporcie, a staje się realnym ryzykiem. W 2025 roku krajowe zespoły CSIRT obsłużyły niemal 273 tys. incydentów, co stanowi wzrost o 144,4% w stosunku do roku poprzedniego. Polska od dłuższego czasu znajduje się w gronie krajów najczęściej atakowanych przez cyberprzestępców, co dodatkowo uwypukla wagę problemu.
Państwo reaguje finansowo na te zagrożenia. Przykładem jest konkurs „Cyberbezpieczne Wodociągi”, w ramach którego rozdysponowano 602 mln zł w 733 umowach na modernizację infrastruktury IT wodociągów. Ponadto, przy Ministerstwie Infrastruktury powstał sektorowy CSIRT dla transportu i gospodarki wodnej. Raport NIK pokazuje jednak, że sam dopływ pieniędzy i technologii nie rozwiąże problemu, jeśli operatorzy nie zmienią sposobu, w jaki reagują na to, co te systemy monitorujące im pokazują. Konieczne jest holistyczne podejście do cyberbezpieczeństwa, które wykracza poza formalne wdrożenia.
Urządzenia brzegowe: Zapomniane ogniwo w łańcuchu cyberbezpieczeństwa
Systemy monitorujące, o których mowa w raporcie, to złożone sieci czujników, kamer, kontrolerów dostępu i innych urządzeń brzegowych. Te elementy infrastruktury operacyjnej (OT) są jednocześnie źródłem danych wykorzystywanych do wykrywania zagrożeń oraz punktem styku z siecią, a co za tym idzie, potencjalnym wektorem ataku. To rozróżnienie bywa pomijane w dyskusji o cyberbezpieczeństwie infrastruktury krytycznej, która koncentruje się zwykle na systemach IT i procedurach, rzadziej zaś na tym, czy samo urządzenie zbierające dane jest zaprojektowane tak, by nie stać się dodatkową luką.
Konrad Badowski z Axis Communications zwraca uwagę na ten często niedoceniany aspekt:
„Coraz częściej urządzenie brzegowe (kamera sieciowa, czujnik czy kontroler dostępu na terenie zakładu energetycznego lub stacji uzdatniania wody) jest traktowane wyłącznie jako źródło obrazu lub danych, a nie jako pełnoprawny element sieci, który trzeba zabezpieczyć równie rygorystycznie jak serwer czy stację operatorską. Jeśli takie urządzenie nie ma wbudowanych mechanizmów integralności – podpisanego cyfrowo oprogramowania układowego, możliwości bieżącego aktualizowania zabezpieczeń przez cały cykl życia sprzętu – staje się najsłabszym ogniwem całego systemu, niezależnie od tego, jak dobrze zabezpieczona jest jego reszta”. Oznacza to, że nawet najlepiej zabezpieczony serwer może być bezużyteczny, jeśli kamera monitorująca lub czujnik temperatury staną się bramą dla cyberprzestępców.
Wyzwania dla operatorów: Jak zapewnić realne bezpieczeństwo?
Raport NIK wskazuje na lukę, której nie zamknie samo wdrożenie nowych narzędzi. Fakt, że sześciu z ośmiu operatorów miało systemy monitorujące, a mimo to ignorowało generowane przez nie alerty, jest sygnałem, że cyberbezpieczeństwo infrastruktury krytycznej należy traktować całościowo. Każde urządzenie podłączone do sieci – także kamera czy czujnik – jest częścią powierzchni ataku i wymaga tej samej dyscypliny co serwery czy stacje operatorskie. Kluczowe jest wprowadzenie inwentaryzacji wszystkich urządzeń, regularnych aktualizacji oprogramowania oraz realnej, a nie tylko formalnej, reakcji na generowane alerty. Bez tych działań, jak ostrzega raport, kolejna kontrola za kilka lat może przynieść bardzo podobne wnioski, a infrastruktura krytyczna nadal będzie narażona na poważne zagrożenia cybernetyczne. Konieczne jest zbudowanie kultury bezpieczeństwa, która obejmuje każdy element sieci i każdego pracownika.
Na podstawie komunikatu prasowego Axis Communications
