Doktryna cyberbezpieczeństwa RP: brak dostępu do kodu źródłowego jest wielkim zagrożeniem dla państwa

„Doktryna cyberbezpieczeństwa Rzeczpospolitej Polskiej”to opublikowany przez Biuro Bezpieczeństwa Narodowego dokument, którywyznacza ramy funkcjonowania systemów informatycznych, przeznaczonychnie tylko do działań defensywnych, ale też operacji o naturzeofensywnej. Cyberprzestrzeń została oficjalnie określona jako kolejnywymiar bezpieczeństwa kraju, obok lądu, powietrza, wody i kosmosu.

Tak zdefiniowana doktryna cyberbezpieczeństwa dobrze oddaje duchawspółczesnych czasów, w których działania prewencyjne uznawane są zaniewystarczające. Ostatnio media donosiły, że nawet niewielka Daniaprzygotowuje własny korpus hakerski, którego celem ma być teżprzeprowadzanie cyberataków – i najwyraźniej nie inaczej myśląeksperci Biura Bezpieczeństwa Narodowego. Źródła zagrożenia mają byćzwalczane poprzez aktywną obronę,rozumianą jako ich dezorganizowanie, zakłócanie i niszczenie.Podkreślono także znaczenie procedur, które pozwoliłyby na szybkieodtworzenie sprawności i funkcjonalności polskich systemówinformatycznych po ewentualnych atakach.

Działań takich nie zdołasamodzielnie skoordynować żadne ministerstwo, więc autorzy postulująstworzenie ponadresortowego systemu, obejmującego zarówno komórkidowodzenia jak i jednostki operacyjne, zdolne działać zarównosamodzielnie jak i z sojusznikami z NATO, nie tylko w zakresiezwiązanym z wojskowością, ale też wszędzie tam, gdzie w grę wchodzistrategiczny interes kraju, czyli także podmiotów prywatnychzwiązanych z energetyką, transportem, finansami, Internetem,nowoczesnymi technologiami i zdrowiem publicznym.

W czasie pokoju konieczne jestzbudowanie właściwych relacji między podmiotami działającymi w Sieci,objemujących m.in. wzajemne informowanie o zagrożeniach, dbanie owłaściwy poziom finansowania takich operacji, analizę ryzyka napięćspołecznych związanych z operacjami cyberbezpieczeństwa, a takżerozwijanie rodzimych narzędzi kryptograficznych i ochronnych iopracowanie pozwalających na to regulacji prawnych.

W tym dość przemyślanym irealistycznym spojrzeniu na kwestię cyberobronności pojawia się jedenbardzo ciekawy aspekt, związany z dostępnością do kodu źródłowegooprogramowania. Wśród wyzwań autorzy wymieniają szczególnie wysokieryzyko, związane z wykorzystaniem dla potrzeb bezpieczeństwanarodowego wysoce zinformatyzowanych systemów technicznych obcejprodukcji, szczególnie systemów walki i wsparcia, do których nieotrzymano kodu źródłowego oprogramowania, gwarantującego utrzymanieich kontroli.

Z tego też powodu Doktrynazakłada konieczność uzyskania własnych pełnych kompetencji izdolności do wytwarzania polskich rozwiązań do obronycyberprzestrzeni, a w szczególności kontroli nad podsystemamiuzbrojenia i innego sprzętu zagranicznej produkcji, poprzezdysponowanie ich kodami źródłowymi. Czy jednak jest to założenierealistyczne? W jaki sposób kraj średniej wielkości miałby zmusićproducentów, nierzadko wywodzących się z krajów-potęg militarnych igospodarczych, do udostepnienia ich strategicznych tajemnic? Coprawda na międzynarodowym rynku handlu broni często mówi się o prawiepaństw do wglądu do oprogramowania broni i uzbrojenia, ale rzadkokiedy do przekazania czy udostępnienia kodu źródłowego – conajwyżej nabywca otrzymuje dokładną dokumentację techniczną.

Niechęć do ujawniania własnychtajemnic jest tak duża, że niejednokrotnie państwa gotowe sąryzykować utratę kontraktu, niż odsłonić szczegóły techniczne przedklientem. Przykładem może być tu ostatnie wielkie zamówienie rząduIndii na francuskie myśliwce Rafale, według pierwotnych założeńprodukowane już na miejscu, w Indiach. W wyniku niechęci Francuzów douruchomienia produkcji w kraju klienta i przekazania mu kompletnejdokumentacji technicznej myśliwca (w tym całego oprogramowania),kontrakt stoi pod znakiem zapytania, i jest wysoce prawdopodobne, żeDelhi zdecyduje się na zakupy w Moskwie – biuro konstrukcyjneSuchoja nie czyni przeszkód z zaoferowaniem kolejnych maszyn Su-30.

Doktryna ma oczywiście jeszcze jeden aspekt, pozamilitarny. Topierwszy polski dokument, który pośrednio przyznaje, że stosowanieoprogramowania o zamkniętym kodzie źródłowym nie daje gwarancjipanowania nad systemami informatycznymi, także cywilnymi. Nie chodzitu oczywiście tylko o Windows – nie mniejszym zagrożeniem sąnp. routery Cisco, które jak twierdził Edward Snowden, zawierać miałyimplantowane w ich firmware furtki dla NSA. By w pełni zabezpieczyćnasz kraj, należałoby we wszystkich strategicznych dziedzinachzrezygnować ze stosowania własnościowego oprogramowania, a niemożliwydo samodzielnego zbudowania sprzęt kupować nie w USA czy Chinach, alew mniejszych, neutralnych krajach, takich jak np. Korea Południowa.

Z pełnym tekstem Doktryny cyberbezpieczeństwa RP możecie zapoznaćsię na stronach BiuraBezpieczeństwa Narodowego.