Cyberbezpieczeństwo w Polsce: iluzja ochrony czy realna strategia? Mocne słowa eksperta

Rynek nie promuje bezpiecznych technologii, tylko te, które przynoszą szybki zysk. Z uwagi na luki w zabezpieczeniach to użytkownicy są nieświadomymi testerami produktów - ostrzegał w czasie Europejskiego Kongresu Gospodarczego w Katowicach Paweł Nogowicz, założyciel Evercom.

• Cyberbezpieczeństwo w Polsce jest często pozorne, bo opiera się na nieprecyzyjnych definicjach, rozproszonych inwestycjach i błędach ludzkich, a nie realnych systemowych rozwiązaniach - to wnioski Pawła Nogowicza, założyciela spółki Evercom. Mówił o nich w czasie Europejskiego Kongresu Gospodarczego. 
• Ostrzegł, że do klientów trafiają niezabezpieczone produkty, bo przedsiębiorcom zależy na zysku, nie na bezpieczeństwie użytkowników. Jego zdaniem problem dotyczy również oprogramowania mającego zapewniać bezpieczeństwo cyfrowe. 
• Nogowicz zauważył, że brakuje wykwalifikowanych specjalistów. Jego zdaniem dziś tworzona jest iluzja kształcenia - dyplomy w dziedzinie cyberbezpieczeństwa dostają osoby po studiach podyplomowych, które nie mają nic wspólnego z informatyką. 

Czy Polska jest bezpieczna w cyberprzestrzeni? - Nie możemy w prosty sposób odpowiedzieć  - zastrzegł w czasie EEC Talks podczas Europejskiego Kongresu Gospodarczego Paweł Nogowicz, właściciel firmy Evercom i członek Polskiego Towarzystwa Informatycznego. Ekspert, który od trzech dekad zajmuje się tym zagadnieniem, nie szczędził słów krytyki wobec sposobu, w jaki instytucje państwowe i rynek prywatny traktują kwestię ochrony cyfrowej. 

Nie ma definicji, więc skąd wiadomo, co jest atakiem? 

Nogowicz zwrócił uwagę między innymi na problem metodologii raportów dotyczących cyberzagrożeń. Wskazał, że bez jasnej definicji pojęcia "atak" dane statystyczne mogą wprowadzać w błąd.

- Każdy policzy to tak, jak mu wygodnie. Czy tysiąc identycznych e-maili phishingowych to tysiąc ataków, czy jeden? - pytał. Brak precyzji, jego zdaniem, wynika również z intencjonalnego zaciemniania obrazu zagrożeń - często w celach marketingowych lub politycznych.

Ekspert skrytykował przypisywania cyberataków wyłącznie zewnętrznym czynnikom. Nogowicz wskazał, że wiele tzw. incydentów to wynik niefrasobliwości użytkowników. - Jeżeli ktoś nie zamyka zamka, to nie może mieć pretensji, że ułatwił przestępcy dostęp do jakichś zasobów. To nie jest kwestia cyberbezpieczeństwa, ale zachowania bezpieczeństwa osób, które są za nie odpowiedzialne - mówił i dodawał: 

Nie nazywajmy tej luki, która w ten sposób powstała luką związaną z bezpieczeństwem informatycznym. 

W opinii eksperta cyberbezpieczeństwo zaczyna się od podstawowych nawyków i procedur, których w wielu przypadkach po prostu brakuje. 

Użytkownicy stają się testerami oprogramowania

Nogowicz ostro ocenił obecne realia rynkowe, w których – jak stwierdził – priorytetem firm technologicznych nie jest bezpieczeństwo, a maksymalizacja zysków. Zaznaczył, że problem dotyczy także systemów bezpieczeństwa informatycznego. 

- Zadaniem firm jest produkować jak najwięcej, jak najtaniej i uzyskiwać z tego tytułu jak największy wzrost przychodów i zysków. Nic nie zmusza firmy do tego, aby produkować rozwiązania bezpieczne - mówił. Przekonywał też:

Nie może być tak, że użytkownicy są testerami oprogramowania. Nie może być tak, że oprogramowanie wymaga wgrywania non stop poprawek, które likwidują jedne podatności, ale generują nam nowe. 

Według Nogowicza, producenci nie są dziś zobligowani regulacjami do dostarczania bezpiecznego oprogramowania czy urządzeń.

W rozmowie pojawiła się też krytyka działań państwowych w zakresie inwestowania w ochronę cyfrową. Zdaniem eksperta, programy typu "Bezpieczna gmina" czy "Bezpieczny urząd" w praktyce nie rozwiązują realnych problemów.

- Trafia tu 50 tysięcy, tam 100 tysięcy i ogłasza się sukces. Efektywność? Żadna. Samorządy nadal są dziurawe jak sito - mówił ekspert.

Nogowicz apelował o centralizację i racjonalne wykorzystanie środków, a nie symboliczne działania pod publiczkę.

Ekspert podkreślił także dramatyczny brak prawdziwych specjalistów z zakresu cyberbezpieczeństwa. Skrytykował zjawisko "produkcji ekspertów" na szybkich kursach podyplomowych, którzy później zajmują kluczowe stanowiska bez odpowiedniego przygotowania.

Nie można wyszkolić specjalisty od cyberbezpieczeństwa na weekendowym kursie.

Tymczasem obecni doświadczeni eksperci zbliżają się do wieku emerytalnego, a realnych następców brak.