FRONTEX: Szerokie kompetencje i skala działalności oznaczają dużą złożoność naszego środowiska IT

Z Karolem Okońskim, Dyrektorem Pionu Bezpieczeństwa i Zarządzania Informacją w Europejskiej Agencji Straży Granicznej i Przybrzeżnej FRONTEX rozmawiam o roli technologii w ochronie unijnych granic, doświadczeniach związanych z wykorzystaniem cyfrowych bliźniaków, zasadach współpracy z zewnętrznymi dostawcami usług i aplikacji, wyzwaniach związanych z wykorzystaniem danych oraz AI, a także o problematyce zapewnienia sprawnej wymiany danych i interoperacyjności centralnych systemów unijnych z rozwiązaniami funkcjonującymi w poszczególnych krajach członkowskich UE.

Na czym polega działalność agencji Frontex, szczególnie w kontekście technologii?

Frontex warto przedstawić w szerszej perspektywie, ponieważ często funkcjonuje uproszczony obraz tej instytucji, jako organizacji wyłącznie wspierającej ochronę zewnętrznych granic Unii Europejskiej. W rzeczywistości jej kompetencje i zakres działań są znacznie większe.

Obecnie jest to największa agencja unijna, która zatrudnia blisko 3 tys. pracowników, jednocześnie współpracując z jeszcze większą liczbą funkcjonariuszy oddelegowanych czasowo lub długoterminowo przez państwa członkowskie. W efekcie, każdego dnia kilka tysięcy funkcjonariuszy pracujących z ramienia instytucji, zaangażowanych jest w działania na granicach. Co ciekawe, Frontex ma swą centralę w Warszawie, gdzie pracuje ponad tysiąc osób.

Warto też dodać, że organizacja funkcjonuje nie tylko na granicach zewnętrznych UE, lecz również w wybranych państwach spoza Unii – przede wszystkim na Bałkanach Zachodnich, m.in. w Serbii, Kosowie, Albanii i Macedonii. Celem naszych działań – realizowanych w tych krajach na mocy specjalnych umów – jest wspieranie państw sąsiadujących z UE w uszczelnianiu kontroli granicznych i identyfikacji osób niepożądanych, zanim presja migracyjna dotrze bezpośrednio do granic Unii.

Posiadają Państwo również dość unikalne uprawnienia…

Zdecydowanie tak. Frontex to również jedyna agencja unijna dysponująca własnymi służbami mundurowymi. Nasi funkcjonariusze mają uprawnienia do noszenia broni, munduru oraz prowadzenia kontroli. Zawsze jednak działamy na podstawie uzgodnionego z danym państwem planu operacyjnego. Oznacza to, że nasze wsparcie nie odbywa się automatycznie, lecz dopiero po ustaleniu, w jaki sposób i w jakim zakresie ma być realizowane.

W praktyce oznacza to obecność naszych funkcjonariuszy, ale także sprzętu: samochodów, jednostek morskich, mobilnych punktów kontrolnych, a także samolotów wykorzystywanych do patrolowania wybranych obszarów granicznych, jak i tych przedgranicznych. Dzięki temu można reagować wcześniej, zanim określone zjawiska pojawią się bezpośrednio na granicy.

Nasza działalność obejmuje wsparcie na przejściach granicznych, przeciwdziałanie przestępczości transgranicznej, identyfikację skradzionych pojazdów i dokumentów, wykrywanie przemytu, patrolowanie granic lądowych oraz morskich, a w razie potrzeby także udział w akcjach ratowniczych na morzu.

Kolejny obszar to wsparcie powrotów osób, wobec których wydano decyzję o wydaleniu z terytorium Unii. Frontex może organizować takie operacje zarówno w lotach rejsowych, jak i czarterowych. Realizujemy również działania reintegracyjne, mające ułatwić powrót do kraju pochodzenia, na przykład poprzez szkolenia czy pomoc rzeczową.

Frontex dysponuje też ogromnymi zbiorami danych…

To prawda. Na podstawie danych gromadzonych przez Frontex i pozyskiwanych z innych źródeł, analizowane są trendy migracyjne oraz poziom ryzyka związany z ochroną granic. Analiza ryzyka to bardzo ważny obszar naszej działalności. Przygotowujemy raporty, które trafiają do odpowiednich służb i administracji państw członkowskich. Część analiz ma charakter niejawny i dotyczy oceny podatności oraz poziomu przygotowania poszczególnych krajów do realizacji zadań związanych z ochroną granic.

Mamy też zespoły odpowiedzialne za badania, rozwój i innowacje. Ich zadaniem jest rozpoznawanie nowych technologii poprzez pilotaże i testowe wdrożenia realizowane wspólnie z państwami członkowskimi. Naszym zadaniem nie jest więc bezpośrednie wdrażanie innowacji na dużą skalę, ale stworzenie warunków do ich oceny – tak, aby poszczególne państwa mogły później świadomie zdecydować o ich wykorzystaniu.

Jak to wszystko przekłada się na obszar IT?

Szerokie kompetencje i skala działalności Fronteksu oznaczają m.in. dużą złożoność naszego środowiska IT. Mamy systemy jawne i niejawne, a część przetwarzanych przez nas informacji ma szczególnie wrażliwy charakter. Dodatkowo, działając wspólnie z państwami członkowskimi, często korzystamy także z ich infrastruktury łącznościowej, choć dysponujemy również własnymi rozwiązaniami komunikacyjnymi, w tym wykorzystywanymi w terenie. Integracja systemów krajowych to dodatkowe wyzwanie. Niezależnie od tego, Frontex ma też własne centrum operacyjne działające w trybie 24/7, monitorujące sytuację na zewnętrznych granicach Unii i zbierające informacje z różnych źródeł.

Na czym wobec tego polega Pańska rola?

Odpowiadam za obszar IT obejmujący rozwój i utrzymanie infrastruktury oraz systemów, w tym cyberbezpieczeństwo. Równolegle nadzoruję też drugi zespół, który zajmuje się szerzej rozumianym bezpieczeństwem: fizycznym, osobowym, ale też obsługą informacji niejawnych oraz bezpieczeństwem działań prowadzonych w terenie.

Działania te obejmują m.in. ochronę naszych placówek, weryfikację dostępu do informacji niejawnych oraz zabezpieczenie rejestrów i procesów związanych z ich przetwarzaniem. Istotnym obszarem jest także tzw. field security, czyli zapewnianie bezpieczeństwa operacyjnego funkcjonariuszom wykonującym zadania w różnych lokalizacjach.

W tym ostatnim obszarze chodzi zarówno o ocenę poziomu zagrożeń w danym miejscu, jak i o dobór odpowiednich środków bezpieczeństwa, wyposażenia, liczebności zespołów oraz przygotowanie scenariuszy awaryjnych, w tym ewakuacyjnych. Wymaga to stałej koordynacji, zarówno wewnątrz Fronteksu, jak i z innymi służbami działającymi na miejscu.

[/quote] Za sprawą naszego centrum operacyjnego możemy zestawiać zdarzenia z obszaru cyber, z wydarzeniami obserwowanymi w świecie fizycznym. Oceniamy wtedy czy dany przypadek jest działaniem incydentalnym czy też elementem szerszej operacji. [/quote]

W jaki sposób tak szeroki zakres działalności przekłada się na wyzwania związane z interoperacyjnością systemów, wymianą danych oraz ich zabezpieczeniem?

To zagadnienie ma kilka wymiarów. Po pierwsze, istnieje grupa systemów, w których państwa członkowskie centralizują określone informacje zamiast wymieniać je bezpośrednio między sobą. Przykładem są SIS (System Informacyjny Schengen) i VIS (Visa Information System). Są to systemy centralne zasilane przez państwa członkowskie, z których następnie korzystają uprawnione służby. W obszarze granicznym są one kluczowe, ale za ich rozwój i dostarczanie odpowiada inna agencja unijna – eu-LISA. Frontex występuje jako użytkownik tych rozwiązań, a nie podmiot odpowiedzialny za ich utrzymanie i zarządzanie od strony IT.

Jednocześnie, za niektóre rozwiązania odpowiadamy bezpośrednio. Przykładem jest Europejski System Nadzorowania Granic – EUROSUR. Jest on zasilany danymi przekazywanymi przez państwa członkowskie, jednak obecnie wymiana informacji w wielu przypadkach odbywa się niespójnie i z wykorzystaniem różnych mechanizmów.

Docelowo naszą intencją jest jednak bezpośrednia integracja systemów krajowych z EUROSUR. Pojawia się tu jednak wspomniana kwestia interoperacyjności. Poszczególne systemy krajowe powstawały w różnym czasie, nierzadko w odpowiedzi na lokalne wymogi prawne i opierają się na różnych technologiach. Jako operator systemu uzgadniamy wspólny format i interfejs wymiany danych, ale to po stronie państw członkowskich konieczne są odpowiednie zmiany, testy oraz dostosowanie architektury systemów. To proces czasochłonny i wymagający.

Co istotne, istnieją także instrumenty finansowe wspierające te działania. Państwa członkowskie mogą korzystać z funduszy unijnych, m.in. w ramach programu Border Management and Visa Instrument, aby sfinansować zmiany niezbędne do zapewnienia sprawnej integracji z rozwiązaniami Frontexu.

Jest też trzeci model współpracy, w którym nie tyle integrujemy się bezpośrednio z systemami, ile proponujemy standardy komunikacji oraz budowy rozwiązań. Tak jest na przykład w obszarze systemów wspierających zarządzanie powrotami migrantów, gdzie określamy dobre praktyki i pożądany model działania, ale nie uczestniczymy bezpośrednio w budowie lokalnych systemów. Tego rodzaju standaryzacja ma jednak przyspieszyć i ułatwić integrację rozwiązań w przyszłości.

Jak – przy tak złożonym środowisku – wygląda podejście do cyberbezpieczeństwa?

Sytuacja jest względnie klarowna tam, gdzie Frontex jest właścicielem rozwiązania centralnego. Wówczas to my określamy standardy bezpieczeństwa i nie dopuszczamy do podłączenia systemów, które nie spełniają naszych wymagań. Jeśli architektura zakłada centralny system Fronteksu oraz lokalne komponenty po stronie państw członkowskich, to nadzorujemy zarówno połączenie między warstwą lokalną oraz centralną, jak i bezpieczeństwo tego lokalnego komponentu.

Oczywiście, jak każda organizacja, jesteśmy narażeni na pełne spektrum zagrożeń: od ataków internetowych po phishing i próby wyłudzenia informacji skierowane do pracowników. Dlatego jednym z podstawowych elementów naszej działalności w obszarze cybersec pozostaje budowanie świadomości bezpieczeństwa w organizacji.

Bardzo ważna jest dla nas także współpraca w ramach instytucji unijnych. Jako agencja unijna podlegamy określonym obowiązkom raportowania incydentów do centralnego europejskiego CERT-u, który równocześnie wspiera nas operacyjnie. We współpracy z innymi instytucjami, w tym także z ENISA, otrzymujemy informacje o podatnościach, rekomendacje działań oraz dodatkowe usługi, takie jak wsparcie z zakresu analiz poincydentowych i kryminalistyki.

Korzystamy również z usług SOC. W naszym przypadku istotny jest też dodatkowy wymiar związany z zagrożeniami hybrydowymi. Za sprawą naszego centrum operacyjnego możemy zestawiać zdarzenia z obszaru cyber, z wydarzeniami obserwowanymi w świecie fizycznym. Oceniamy wtedy czy dany przypadek jest działaniem incydentalnym czy też elementem szerszej operacji.

Jednym z największych wyzwań pozostają podatności typu zero-day i sytuacje, w których luka jest aktywnie wykorzystywana, zanim pojawi się poprawka. Dlatego wprowadziliśmy politykę bardzo szybkiego reagowania i staramy się wdrażać je w ciągu 24 godzin. Nawet jeśli czasowo wiąże się to z zakłóceniem działania niektórych procesów biznesowych. W takich sytuacjach naszym priorytetem pozostaje bezpieczeństwo. Ten obszar jest zresztą mocno sformalizowany. Dotyczy to choćby change managementu, tak aby żadna istotna zmiana nie była wdrażana bez odpowiedniej kontroli, oceny ryzyka i sprawdzenia konsekwencji dla środowiska IT.

Widać tu pewne podobieństwa do praktyk istniejących w sektorze komercyjnym…

Jeśli szukać analogii do sektora komercyjnego, to pod względem wymagań i wrażliwości operujemy gdzieś pomiędzy bankowością, infrastrukturą krytyczną i sektorem publicznym. Chociaż formalnie nie podlegamy pod NIS2, obejmują nas równoległe regulacje dotyczące instytucji unijnych. W praktyce przepisy te wzmacniają również znaczenie procesów zarządzania ryzykiem, zapewnienia ciągłości działania i systematycznego podnoszenia dojrzałości cyberbezpieczeństwa.

W jakim zakresie i stopniu wykorzystują Państwo mechanizmy automatyzujące działania związane z cyberbezpieczeństwem?

Staramy się wdrażać rozwiązania automatyzujące reagowanie na incydenty wszędzie tam, gdzie jesteśmy w stanie to zrobić bez ryzyka nieprzewidzianego zakłócenia naszej działalności. Korzystamy więc z automatyzacji m.in. na potrzeby ochrony stacji roboczych czy systemów pocztowych.

Widzimy również potencjał wykorzystania AI do przyspieszenia prac programistycznych czy testowania. Jednocześnie, doświadczenie uczy, że trzeba bardzo uważnie kontrolować, czy – i w jakim stopniu – sztuczna inteligencja została wykorzystana przez dostawców dostarczających rozwiązania dla nas. Może się bowiem okazać, że coś, co było wygodne z perspektywy szybkiego wytworzenia rozwiązania, nie jest optymalne pod kątem utrzymania, zrozumienia kodu czy dalszego rozwoju. Może też zawierać błędy wynikające z nadmiernej automatyzacji.

Dlatego, z jednej strony szukamy miejsc, w których automatyzacja może zwiększać efektywność i bezpieczeństwo, ale z drugiej musimy się również bronić przed skutkami niekontrolowanej automatyzacji stosowanej po stronie dostawców i cyberprzestępców.

Czy Frontex dysponuje własną infrastrukturą IT, czy korzysta ze współdzielonych zasobów unijnych albo usług zewnętrznych dostawców?

W dużym uproszczeniu można powiedzieć, że nasza architektura jest w pełni hybrydowa. Dysponujemy własnym centrum danych, korzystamy z kolokacji w innych ośrodkach, ale mamy także środowiska chmurowe oparte na usługach różnych dostawców oraz rozwiązania typu SaaS.

To model dość klasyczny z perspektywy dużej organizacji, ale w naszym przypadku decyzje architektoniczne są szczególnie silnie uzależnione od analizy ryzyka, wymogów compliance oraz kosztów. Trzeba też pamiętać o uwarunkowaniach historycznych: wiele środowisk rozwijało się początkowo on-premise, a dopiero później pojawiły się możliwości szerszego wykorzystania chmury.

Oczywiście dostrzegamy potencjał większego przetwarzania danych w chmurze, ale nie zawsze jest to możliwe z uwagi na poziom ryzyka, jaki możemy zaakceptować. W naszym przypadku ogromne znaczenie mają również wymagania związane z przetwarzaniem danych osobowych i nadzorem Europejskiego Inspektora Ochrony Danych, który bardzo skrupulatnie podchodzi do takich kwestii. Dlatego każda decyzja dotycząca architektury naszego środowiska IT wymaga bardzo ostrożnej analizy.

W jakich obszarach opierają się Państwo się na własnych kompetencjach IT, a gdzie korzystacie z dostawców zewnętrznych?

Model sourcingowy jest u nas jednym z ciekawszych i bardziej specyficznych zagadnień. Mamy własne zasoby, ale ich liczba jest wprost określona w planach i budżecie zatwierdzanym na poziomie unijnym. Oznacza to, że poza budżetem istnieje także formalny limit etatów i nie możemy zatrudnić więcej osób, nawet gdyby teoretycznie były na to środki.

W praktyce powoduje to konieczność korzystania z zasobów zewnętrznych, zarówno okresowo, jak i długofalowo. Posługujemy się przy tym umowami ramowymi zawieranymi przez Komisję Europejską lub przygotowywanymi bezpośrednio przez nas.

Wykorzystujemy różne modele współpracy. Czasem jest to klasyczny time and material, czyli pozyskiwanie specjalistów, którzy stają się częścią naszych zespołów. Innym razem zlecamy konkretne zadania lub całe obszary odpowiedzialności w modelu bardziej zbliżonym do outtaskingu czy outsourcingu. Zdarzają się także projekty realizowane w modelu fixed price, zwłaszcza przy wdrożeniach. Zarządzanie tymi kontraktami ma swoją specyfikę, ponieważ jest to obszar mocno sformalizowany.

Co jednak ważne, udział w naszych postępowaniach jest otwarty dla firm z całej Europy, o ile tylko spełniają one określone kryteria. Sama procedura przetargowa bywa wymagająca i wiąże się z dużą ilością pracy formalnej, ale jednocześnie daje szansę na długofalową współpracę w ramach umów ramowych.

Jaką rolę w działalności Fronteksu odgrywa analityka danych?

Ma ona dla nas bardzo duże znaczenie. Dysponujemy informacjami o przekroczeniach granic związanych zarówno z wjazdem do Unii, jak i wyjazdem z niej. Mamy też dostęp do wielu innych danych operacyjnych.

Podstawowym zastosowaniem analityki jest analiza ryzyka, która z natury opiera się na danych historycznych, ale służy również do ekstrapolacji i próby przewidywania przyszłych zjawisk. Porównujemy dane rok do roku i miesiąc do miesiąca, uwzględniając sezonowość migracji oraz specyfikę poszczególnych szlaków migracyjnych. Istotne jest tu jednak nie tylko stwierdzenie, że liczba zdarzeń wzrosła lub spadła, ale również próba zdiagnozowania przyczyn takich zmian. W grę wchodzą także szersze czynniki geopolityczne.

Celem takich analiz jest dostarczenie państwom członkowskim i kierownictwu Fronteksu informacji, które pomogą określić, jakie dodatkowe działania powinny zostać podjęte w celu poprawy ochrony granic. Same analizy nie przesądzają jednak o konkretnych krokach. Są raczej wejściem do dalszej dyskusji z poszczególnymi państwami członkowskimi na temat zakresu, skali i charakteru zaangażowania Frontexu.

To ważne również dlatego, że nasi funkcjonariusze mają różne specjalizacje. Dobór ról, liczby funkcjonariuszy i rodzaju zaangażowania może więc częściowo opierać się właśnie na wynikach analiz. Korzystamy przy tym z narzędzi komercyjnych, natomiast same modele są przygotowywane przez nas albo na nasze zamówienie.

W jaki sposób Frontex podchodzi do wykorzystania możliwości sztucznej inteligencji, na przykład w kontekście wspomnianych analiz?

To zależy od tego, jak definiujemy sztuczną inteligencję i do jakiego obszaru chcielibyśmy ją zastosować. W naszym przypadku każda taka inicjatywa musi być oceniana przez pryzmat równowagi między potencjalną korzyścią a ryzykiem.

Musimy mieć pewność, że wdrażając dane rozwiązanie, nie zwiększamy ryzyka wycieku danych ani nie naruszamy wymogów regulacyjnych. Istotne są tu zarówno kwestie compliance, jak i wymagania wynikające z przepisów dotyczących danych oraz z unijnych regulacji w zakresie AI.

Z tego powodu wdrażanie rozwiązań wykorzystujących sztuczną inteligencję jest u nas bardziej złożone i czasochłonne niż w wielu organizacjach komercyjnych. Zresztą, w praktyce podobnie podchodzimy nie tylko do AI, ale do każdej nowej technologii i do wielu rozwiązań cyberbezpieczeństwa – takie projekty poprzedzamy pilotażami i analizą PoC, aby realnie ocenić ich skuteczność, wartość i poziom ryzyka.

Widzimy w AI duży potencjał i z pewnością będziemy chcieli rozwijać zastosowania w tym obszarze, ale musimy działać bardzo ostrożnie ze względu na charakter danych, odpowiedzialność operacyjną i reputację organizacji.

Podobną ocenę efektywności przeprowadzili już Państwo w kontekście zastosowania cyfrowych bliźniaków…

Tak, zrealizowaliśmy program pilotażowy po to, aby zebrać doświadczenia i podzielić się wnioskami z państwami członkowskimi, które w przyszłości mogłyby takie rozwiązania wdrażać.

Tego rodzaju pilotaże są prowadzone w realnych warunkach, we współpracy z konkretnymi służbami granicznymi. Ich celem jest stworzenie wirtualnego modelu określonego obszaru granicznego, który mógłby służyć zarówno do monitorowania sytuacji, jak i do prowadzenia symulacji typu „co by było, gdyby”. W tym kontekście cyfrowy bliźniak obszaru granicznego może wykorzystywać dane satelitarne z programu Copernicus, dane mapowe, radarowe, termalne, informacje o infrastrukturze terenu czy dane z transponderów. W rozwiązaniu docelowym mógłby być również zasilany dodatkowymi sensorami naziemnymi.

W praktyce pozwalałoby to nie tylko bardzo precyzyjnie odwzorować aktualną sytuację migracyjną na granicy, lecz także symulować skutki określonych decyzji operacyjnych, np. rozmieszczenia sił, użycia określonych zasobów lub reakcji na nagły wzrost presji migracyjnej. Dzięki temu można testować różne warianty działań i lepiej przygotować się do rzeczywistych zdarzeń. Na dziś jest to jednak rozwiązanie pilotażowe. Widzimy jego potencjał, ale nie mówimy jeszcze o wdrożeniu na szeroką skalę.

Jakie inne technologie i kierunki innowacji mogą odegrać ważną rolę w ochronie granic?

Jednym z najbardziej aktualnych tematów jest wykorzystanie dronów oraz przeciwdziałanie zagrożeniom z nimi związanym. To obszar, nad którym również pracujemy w ramach działań badawczo-rozwojowych. Interesuje nas zarówno w jaki sposób drony mogą wspierać działania graniczne, jak również to, jakie systemy byłyby najbardziej skuteczne w przeciwdziałaniu nielegalnym działaniom wykorzystującym drony, na przykład przemytowi.

To temat szczególnie wrażliwy, ponieważ częściowo styka się z obszarem bezpieczeństwa militarnego, choć jako Frontex patrzymy na te zagadnienia wyłącznie z perspektywy cywilnej. W praktyce oznacza to nie tylko analizę potencjału pojedynczych technologii, ale także wypracowanie sposobów ich systemowego wdrażania, aby były skuteczne operacyjnie i możliwe do zastosowania w realnych warunkach granicznych.