Cyberbezpieczeństwo kosztuje mniej niż potencjalne straty

Z Krzysztofem Malesą, członkiem zarządu i dyrektorem ds. strategii bezpieczeństwa w polskim oddziale firmy Microsoft rozmawiamy o współpracy z Ministerstwem Obrony i Wojskami Obrony Cyberprzestrzeni, motywacjach cyberprzestępców, realnych kosztach cyberbezpieczeństwa, a także o nadchodzących zagrożeniach wykorzystujących przetwarzanie kwantowe i systemie telemetrycznym przetwarzającym 3 bln sygnałów na godzinę.

W jaki sposób realia cyberbezpieczeństwa na świecie zmieniły się na przestrzeni ostatnich lat?

Trzeba zauważyć, że coraz mocniej zanurzamy się w cyberprzestrzeni, a to powoduje, że świat cyfrowy staje się lustrzanym odbiciem prawdziwego świata, z całą jego złożonością i problemami. To oznacza, że w cyberprzestrzeni mamy do rozwiązania większość problemów znanych ze świata rzeczywistego, włącznie z cyberprzestępczością, kradzieżami, wymuszeniami czy nieuczciwą realizacją celów politycznych.

Uderzająca jest jednak dynamika rozwoju technologii wykorzystywanych w tego typu operacjach. Sprawia ona, że złożone narzędzia stają się łatwo dostępne dla cyberprzestępców. Obserwujemy też szybki rozwój wszelkiej maści usług związanych z prowadzeniem ataków. Od kilku lat widzimy rozwój usług Cybercrime-as-a-Service. Dziś skala tego rodzaju rozwiązań jest ogromna. Wolumen takich ataków – motywowanych przede wszystkim finansowo – bardzo szybko rośnie.

Trzeba mieć świadomość, że w cyberprzestrzeni już dziś obraca się naprawdę potężnymi pieniędzmi. Mówi się, że ich wartość plasuje cyberprzestrzeń na trzecim miejscu gospodarek świata, która osiąga nieprawdopodobne wzrosty na poziomie kilkunastu procent rocznie. Mówimy więc o prawdziwych fortunach, których trzeba pilnować z ogromną uwagą. W szczególny sposób do tego typu wyzwań musi podchodzić sektor finansowy i organizacje typu FinTech. Wszystkie instytucje, którym powierzamy pieniądze muszą nimi obracać w sposób minimalizujący ryzyko ich utraty.

Wspomniał Pan też o innych motywacjach cyberprzestępców…

To prawda. W cyberprzestrzeni nie brakuje dziś działań motywowanych innymi czynnikami – na przykład kwestiami ideologicznymi. Jest to też pole przeróżnych operacji propagandowych i, co nie mniej ważne, działalności stricte politycznej. W świecie cyfrowym ścierają się dziś interesy różnych krajów, a my bieżąco śledzimy te działania.

Jak wynika z raportu Microsoft Digital Defense Report 2024, czwórkę krajów najbardziej zaangażowanych w działania ofensywne w świecie cyfrowym tworzą: Rosja, Chiny, Korea Północna oraz Iran. Każdy z tych krajów ma inne motywacje. Przykładowo, Korea Północna prowadzi przede wszystkim działania rabunkowe, ukierunkowane na finansowanie programu atomowego. Iran z kolei specjalizuje się w cyberatakach niszczących twardą infrastrukturę, przykładowo energetyczną lub portową. Mówimy tu więc głównie o atakach wymierzonych w systemy przemysłowe, sterowniki SCADA i im podobne. Chiny z kolei prowadzą bardzo duże operacje z zakresu szpiegostwa przemysłowego. Natomiast Rosja głównie realizuje cele polityczne. Korzysta przy tym z różnych technik. Inaczej działa na Ukrainie, a inaczej w Polsce. W naszym kraju obserwujemy dość złożone operacje wpływu. Trzeba zatem wyraźnie rozgraniczyć czysto techniczne aspekty ataków na systemy i sieci teleinformatyczne od działań z zakresu inżynierii społecznej.

Nasze raporty pokazują też pewne trendy w zakresie technik stosowanych przez cyberadwersarzy. Na pewno jednym z nich będzie wykorzystanie sztucznej inteligencji w większym niż dotąd stopniu.

Czym różnią się wyzwania z obszaru cybersec stojące przed organizacjami biznesowymi od tych, z którymi muszą mierzyć się instytucje publiczne?

Podejście do cyberbezpieczeństwa wygląda inaczej w sektorze publicznym i na rynku komercyjnym, szczególnie wśród małych i średnich przedsiębiorstw – bo musi tak wyglądać. To dwa różne światy. Sektor publiczny ma to szczęście, że jest mocno regulowany. Dzięki temu poszczególne instytucje mają jasność, jakie lekcje z zakresu cyberbezpieczeństwa muszą odrobić. Przepisy definiują nie tylko wymagania i obowiązki, ale zapewniają też kolejne linie wsparcia na poziomie sektorowym i krajowym.

Sytuacja organizacji biznesowych jest inna. Tu niestety trzeba powiedzieć wprost, że cyberbezpieczeństwo kosztuje. Zdaję sobie sprawę, że na wielu szkoleniach zawsze mówi się, że wdrożenie zabezpieczeń to inwestycje, a nie koszt, ale trzeba zdać sobie sprawę, że bezpieczeństwo, w każdym wymiarze, wymaga nakładów. I tak, cyberbezpieczeństwo to koszt, ale koszt wielokrotnie niższy, niż straty, które mogą pojawić się bez nakładów na rozwiązania z zakresu bezpieczeństwa cyfrowego. Nie zmienia to jednak faktu, że są to pieniądze, które realnie trzeba wysupłać.

Nikogo nie powinno więc dziwić, że zupełnie inna w wymiarze cybersec jest rzeczywistość dużych, bogatych spółek, które mogą sobie pozwolić na zakup najbardziej rozbudowanych systemów, a dodatkowo muszą spełniać pewne wymogi regulacyjne i tych mniejszych lub najmniejszych firm.  Przeciwnicy mają jeszcze jedną przewagę – nie działają według reguł i polityk, których musieliby przestrzegać. Nie mają prawa zamówień publicznych, nie muszą też wywalczyć sobie środków w budżecie.

Poza tym, trzeba pamiętać, że krajobraz cyberzagrożeń jest dziś bardzo złożony i nie na wszystkie możemy mieć jakikolwiek wpływ. Weźmy pod uwagę, że konkretny przedsiębiorca nie ma wpływu na to, czy wejdzie w obszar zainteresowania obcych służb, ani na to jakie będą przejawy tego zainteresowania. Jeśli zatem nie ma możliwości zmitygowania ryzyka, to musi umieć zbudować odporność na skutki ewentualnych zdarzeń.

Jaki wpływ na krajobraz cybersec mają nowe możliwości korzystania z mocy obliczeniowej i sztucznej inteligencji?

Mamy twarde dowody na to, że cyberprzestępcy natychmiast sięgają po nowe technologie i korzystają z nich w świadomy sposób. Jednym z przykładów jest model chmury obliczeniowej, który – pomimo istniejących blokad i zabezpieczeń – znajduje zastosowanie choćby pod kątem wyszukiwania podatności czy łamania haseł. Podobnie jak w świecie zastosowań biznesowych, chmura pozwala też w łatwy sposób skorzystać z potencjału sztucznej inteligencji, który w realiach cyberprzestępców wspiera phishing i ataki socjotechniczne czy ułatwia tworzenie złożonych, spreparowanych treści wykorzystywanych w takich atakach. Nie brakuje też sytuacji, kiedy przestępcy przejmują kontrolę nad zasobami chmurowymi ofiary – i korzystają z nich na swoje potrzeby.

Jak ten sam krajobraz cyberbezpieczeństwa zmienia się po „jasnej stronie mocy”?

Po jasnej stronie ciągle mamy do czynienia z wieloma ograniczeniami i zahamowaniami we wdrażaniu nowych technologii. Powinniśmy je szybko przełamywać. Wspomniana chmura może przecież stanowić sposób na sprawne i elastycznego kosztowo wdrożenie najlepszych w swojej klasie technologii bezpieczeństwa. AI z kolei zapewnia nowe możliwości odpierania ataków na masową skalę.

Ogromne znaczenie dla podniesienia ogólnego poziomu cyberbezpieczeństwa, zwłaszcza w obliczu zagrożeń wykorzystujących możliwości AI, ma rozwój kompetencji – na wszystkich szczeblach firm, instytucji i społeczeństwa. Jednak, jak wspomniałem, bezpieczeństwo kosztuje – i szkolenia też oczywiście kosztują. Jest to jednak koszt, który zawsze znajduje uzasadnienie.

Mogę też dodać, że jako Microsoft udostępniamy bezpłatne narzędzia i całe programy edukacyjne. W ramach inicjatywy Microsoft AI Skills celem jest przeszkolenie miliona osób w Polsce do końca 2025 roku i przygotowanie ich na wyzwania przyszłości, nie tylko w kontekście cyberbezpieczeństwa, ale też ogólnej sprawności w posługiwaniu się możliwościami dzisiejszych komputerów. Zapewniamy też m.in. szkolenia skierowane do programistów i wszystkich osób zaangażowanych w tworzenie oprogramowania. Podpowiadamy, jak tworzyć aplikacje odporne na zagrożenia.

W jaki sposób na skalę zagrożeń obserwowanych w Polsce wpływa geopolityka?

Mogę powiedzieć, że takich zagrożeń naprawdę nie brakuje. Zabezpieczenie polskiej cyberprzestrzeni przed zewnętrznymi zagrożeniami to naprawdę ciężka praca, ponieważ nieustannie zmieniają się wektory ataków oraz ich intensywność. Dzięki żołnierzom z Wojsk Obrony Cyberprzestrzeni, dzięki ich ciężkiej pracy jesteśmy bezpieczni. Należą im się za to wielkie gratulacje i słowa uznania.

Jednocześnie, dziś już nikt nie może powiedzieć, że jego ta sytuacja nie dotyczy. Atakowane są wszelkiego rodzaju organizacje i instytucje. Także te, które przeszkadzają w wojnie informacyjnej, a także te, które mogą stać się źródłem informacji. Znam przykłady działalności obcego wywiadu, który budował sobie mozaikę informacyjną pobierając dane z – wydawałoby się mało istotnych – kamer umieszczonych na terenie prywatnych przedsiębiorstw. Jak się okazało, kamery te częściowo obejmowały trasy przejazdu transportów wojskowych, a jako takie, mogły być bardzo przydatne dla wszystkich grup zainteresowanych choćby zakłóceniem pomocy humanitarnej i militarnej dla Ukrainy.

W strukturach Microsoft także mamy zespoły analityków, którzy specjalizują się w wykrywaniu tego typu ataków. Nie jest tajemnicą, że w ramach programu Government Security współpracujemy także z polskim wojskiem, analitycznie i operacyjnie wspierając Dowództwo Komponentu Wojsk Obrony Cyberprzestrzeni.

Coraz częściej mówi się też o bezpieczeństwie kwantowym. Na ile wyzwania te są istotne już dziś?

Są bardzo istotne. Z najgorszą spośród możliwych sytuacji mamy do czynienia wówczas, kiedy nowa technologia jest już dostępna na rynku, a państwo nie ma jeszcze strategii i nadrzędnej polityki wykorzystania tej technologii. Znamy takie sytuacje z nieodległej przyszłości.

Jeśli chodzi o bezpieczeństwo kwantowe, to czas ucieka szybciej niż nam się wydaje. Zwróćmy uwagę jak przebiegała nasza droga do układu Majorana 1. Jeszcze kilka lat temu pojawiały się opinie, że to się nie uda, że przed nami jeszcze przynajmniej trzy dekady prac. Tymczasem dziś mamy już działające rozwiązanie. Oczywiście, musimy jeszcze popracować nad wydajnością, ale ta droga naprawdę może zostać pokonana szybciej niż nam się wydaje. Jest to również dowód na to, jak niebezpieczne jest mówienie wyzwania związane z bezpieczeństwem kwantowym to pieśń przyszłości, że mamy jeszcze czas, aby się nimi zająć. Musimy przygotować się z wyprzedzeniem. Nawet jeśli mówimy o szerokiej dostępności przetwarzania kwantowego możemy mówić w perspektywie kilku lat, to te lata miną bardzo szybko. Samo zaś przetwarzanie kwantowe naprawdę zmieni zasady gry w wielu obszarach – w szczególności w obszarze cyberbezpieczeństwa.

Podobnie jest ze sztuczną inteligencją. Doceniam słowa Ministra Obrony Narodowej, który zapowiadając powołanie w ramach Wojsk Obrony Cyberprzestrzeni wyspecjalizowanego Centrum Implementacji Sztucznej Inteligencji, podkreślał potrzebę zbudowania całego ekosystemu innowacji wokół AI. Trzeba wykształcić kadry, skoordynować trwające latami inwestycje, zadbać o współpracę sektora publicznego i prywatnego, ale też nakreślić plan i wyznaczyć nadrzędne polityki, które sprawią, że wszyscy będziemy wiosłowali w jedną stronę.

Jakie wyzwania w obszarze cyberbezpieczeństwa stworzy upowszechnienie przetwarzania kwantowego?

Jeśli jest prawdą – a nie mam powodu, aby nie wierzyć w zapewnienia inżynierów Microsoft – fakt, że zmierzamy do układu, który będzie dysponował mocą na poziomie miliona kubitów, to mówimy o systemie bardziej wydajnym od wszystkich działających na świecie komputerów. Moc obliczeniowa tej skali sprawi, że wszystkie dotychczasowe zabezpieczenia będą pękać jak zapałki. Pojawi się też zapewne wiele zastosowań tak dużej mocy obliczeniowej. Trudno dziś wyznaczyć sobie limity wyobraźni, jeśli chodzi o możliwości takiego sprzętu, ale trzeba się do nich przygotowywać instytucjonalnie.

Jakie są główne założenia dotychczasowej współpracy Microsoft z polskim MON?

W ramach wspomnianego już programu GSP zapewniamy jednostkom administracji publicznej z różnych krajów bieżący dostęp do informacji o wielu zjawiskach zachodzących w cyberprzestrzeni. Posiadamy na przykład szczegółowe informacje na temat działalności 600 najpoważniejszych grup hakerskich, także tych, sponsorowanych przez wrogie państwa. Udostępniamy też szereg danych, które pozwalają w zautomatyzowany i skuteczny sposób monitorować cyberprzestrzeń.

Dodatkowo, wspomniany wcześniej zespół MSTIC w oparciu o dane pochodzące z naszych systemów telemetrycznych prowadzi zaawansowaną analitykę zagrożeń i świadczy usługi bieżącego informowania uprawnionych podmiotów publicznych m.in. o tym, że w danym kraju prowadzony jest rekonesans potencjalnie poprzedzający cyberatak albo pewne czynności realizuje grupa sponsorowana przez wrogie państwo. Dostarczamy też rekomendacje określonych działań. Takich sytuacji jest co najmniej kilkadziesiąt w skali roku.

Moim zdaniem, mamy też należący do światowej czołówki zespół DART, a dodatkowo dysponujemy wypracowanymi metodami współdziałania z analogicznymi zespołami na poziomie krajowym. To bardzo cenna współpraca, ponieważ dzięki możliwości połączenia naszych zasobów wiedzy dochodzimy czasami do naprawdę zdumiewających odkryć.

Oczywiście duże znaczenie ma tu nasza oferta biznesowa. Dostarczamy dziś napędzane chmurą narzędzia do ochrony tożsamości, danych, sieci, aplikacji, infrastruktury czy urządzeń końcowych, które zapewniają pełną ochronę i możliwość zabezpieczenia całego ekosystemu środowisk IT.

Z polskim resortem obrony narodowej współpracujemy od lat. Cały czas pojawiają się też nowe pomysły i inicjatywy, także w zakresie wspólnych projektów wykorzystujących przełomowe technologie. Takich właśnie inicjatyw dotyczy ogłoszone niedawno porozumienie z MON.

Jakich aspektów dotyczy ogłoszona niedawno umowa rozszerzająca Państwa dotychczasową współpracę z polskim resortem obrony?

Nasza umowa jest stymulatorem dla trzech kategorii pomysłów, które pojawiły się w naszym dialogu z MON już wcześniej. Mam tu na myśli działania związane z chmurą obliczeniową, sztuczną inteligencją i przetwarzaniem kwantowym. Nie chodzi tu tylko o technologie, ale o prace naukowo-dydaktyczne, działania badawczo-rozwojowe i zaawansowane szkolenia. Mamy też pomysły na konkretne projekty. Nie mogę mówić o szczegółach, ale myślę, że efekty naszej współpracy będą mocno zauważalne.

Co sprawia, że Microsoft jest wartościowym partnerem w zakresie cyberbezpieczeństwa nie tylko dla organizacji biznesowych każdej wielkości, ale też na poziomie administracji państwowej?

Myślę, że istotne są tu nie tylko nasze kompetencje i technologie, ale też wspomniana już telemetryka. System, który 25 lat temu wymyślono na potrzeby obsługi technicznej środowiska Windows ewoluował do największej na świecie platformy, która w zautomatyzowany sposób przetwarza dziś – uwaga – ponad 3 biliony sygnałów na godzinę. To sprawia, że jako pojedyncza organizacja mamy najlepszy wgląd w funkcjonowanie i ryzyka cyberbezpieczeństwa dotykające środowisk IT na świecie. Mamy też liczący przeszło 15 tys. firm ekosystem partnerów, z którymi wspólnie tworzymy rozwiązania wpisujące się w ten globalny system bezpieczeństwa. Microsoft przez 5 dekad obecności na rynku zbudował kompleksowe instrumentarium, dzięki któremu najlepiej wie, co dzieje się w cyberprzestrzeni i potrafi neutralizować różnego rodzaju zagrożenia.

Co ważne, w skali całej korporacji w zadeklarowany i oczywisty sposób stoimy po stronie dobra. Chronimy i będziemy chronić to, co jest najcenniejsze dla naszych klientów, tzn. informacje, które przetwarzają z użyciem naszych narzędzi i usług.