XXXII Forum Teleinformatyki: Cyfrowy Bunkier

Administracja publiczna prowadzi dziś dwa wyścigi jednocześnie – mówili autorzy prezentacji „Cyberodporność jako filar bezpieczeństwa Państwa w dobie ransomware. Ochrona danych i ciągłość działania w administracji” w czasie XXXII Forum Teleinformatyki. Cyfryzuje dziesiątki kilometrów akt, realizując obowiązek elektronicznego zarządzania dokumentacją, a równolegle broni się przed falą ataków, które coraz częściej celują nie w systemy produkcyjne, ale w kopie zapasowe. i zasoby archiwalne.

Opowiemy o bezpieczeństwie informacji i cyberodporności od strony, która pewnie nie wszystkim wydaje się oczywista – zaciekawiła słuchaczy Karolina Słowińska, prezeska firmy Iron Mountain. – Będę jednak nawiązywać do moich poprzedników, którzy skupiali się na podwalinach i filarze zarządzania kwestiami bezpieczeństwa. Rozmawiając z klientami (między innymi z sektora usług publicznych), bardzo często słyszę, iż wskazują oni na galopujący postęp technologii, który powoduje, iż wiele działań nabiera zupełnie innego tempa. Bardzo szybki rozwój cyfryzacji oznacza przy tym niejednokrotnie presję czasu i wynikający stąd chaos. Obserwują oni również wielowątkowy wpływ informacji na działalność organizacji. I nie będzie to chyba żadną tajemnicą, o ile powiem, iż sektor publiczny przez cały czas bazuje na dokumentacji w formie papierowej.

Coraz częściej zdarzają się departamenty czy procesy, które można określić jako Digital Born, czyli od początku funkcjonujące w formie elektronicznej. Jednak ogólnie administracja publiczna staje przed wielkim wyzwaniem, z którym sektor prywatny na razie radzi sobie lepiej. Jest na pewno na dużo bardziej zaawansowanym poziomie w kontekście archiwum hybrydowego, które łączy świat analogowy z cyfrowym, tworząc podwaliny pod bezpieczne zarządzanie całym ekosystemem przepływu informacji w organizacji. W związku z brakiem takiego jednolitego systemu zarządzania informacją, trudno jest mówić w sposób spójny o bezpieczeństwie, w tym także w obszarze cyber.

Na to wszystko nakładają się coraz bardziej wymagające regulacje narzucane nam na szczeblu europejskim. Sformułowania typu DORA, NIS2 czy RODO powodują, iż na zdarzenia w obszarze cyberbezpieczeństwa zaczynamy patrzeć już nie tylko jako na wyzwania w obszarze IT. w tej chwili atak, który ma miejsce w organizacji, jest rozpatrywany także jako zdarzenie o charakterze naruszenia przepisów bezpieczeństwa przetwarzania danych osobowych.

– Moja przedmówczyni pokazała przed chwilą na liczbach wartość kar nałożonych w latach 2025-2026 – przypomniała Karolina Słowińska. – Pobudzają one wyobraźnię, pokazując, iż przetwarzanie danych i cyberbezpieczeństwo nie są już kwestią ryzyka poszczególnych departamentów, tylko stają się wyzwaniem na najwyższym szczeblu kierowniczym i stanowią istotny element zarządzania ryzykiem w całej organizacji. Dlaczego dane są aż tak ważne w kontekście cyberbezpieczeństwa?

W przypadku jakiegokolwiek ataku należy sobie odpowiedzieć na podstawowe pytania, z którymi musi się zmierzyć każda organizacja. W krótkim czasie (i to zaczyna być największym wyzwaniem) trzeba wskazać, jaka jest skala zdarzenia, jaki rodzaj danych, jaki ich zakres, czy dane wrażliwe, czy poufne zostały naruszone, a przede wszystkim – jak wyglądał przepływ tych danych. Czyli choćby o ile organizacja ma backup (abstrahując od tego, iż bardzo często został również zainfekowany), praktyka często pokazuje, iż trudno w sposób jednoznaczny określić, jaki rodzaj danych jest backupowany, z jakich subdepartamentów i jaki jest przepływ tych danych wewnątrz organizacji.

Karolina Słowińska wierzy, iż trzeba zrobić choćby trzy kroki wstecz, które pozwolą stworzyć w organizacji spójne zasady przepływu informacji i zbudować data governance. Zrozumienie, jak przetwarzane są dane, to podstawa przy budowie technologicznych zabezpieczeń procesów, w których te dane występują. W związku z tym pojawia się kwestia bezpiecznego obiegu dokumentów, a także archiwum hybrydowego, w którym – biorąc pod uwagę etap rozwoju technologicznego – na pewno przez cały czas wykorzystywany będzie papier.

– Pozwolę sobie na dygresję dotyczącą AI – powiedziała Karolina Słowińska. – Ona usprawnia wiele procesów, o ile bazuje na dobrych danych. Efekty pracy są tak konkretne i tak miarodajne, jak zakres i kompletność danych zasilających modele, które tę pracę usprawniają. Trzeba jednak uwzględnić ryzyka związane z zarządzaniem i utrzymaniem ciągłości działania. Gdy zastanawiamy się, co może zapewnić nam ciągłość operacyjną, odpowiedź prowadzi do cyberbezpieczeństwa. Najpierw trzeba określić zakres danych i zrozumieć, którędy przepływają. Dopiero wtedy można szukać rozwiązań technologicznych, które w razie ataku wskażą, jakie dane zostały zainfekowane lub wykradzione i w jaki sposób, a przy tym pozwolą gwałtownie przywrócić ciągłość działania. Odpowiedzią na to wyzwanie jest CyberBunkier. Opowie o nim więcej kolega, ekspert w zakresie rozwiązania technologicznego, które bazując na spójnych danych jest w stanie w bardzo krótkim czasie odtworzyć krytyczne procesy biznesowe w organizacji.

fot. Alicja Żebruń

– Przedstawię Państwu pewną koncepcję: co zrobić, żeby nie stać się zakładnikiem osób, które chciałyby wykorzystać nasze dane w złych celach – powiedział Dominik Żochowski, założyciel, prezes Rady Nadzorczej firmy Engave. – Najpierw kilka słów o sobie. Z wykształcenia jestem lekarzem, przez parę lat pracowałem w administracji publicznej, a także w wielkich korporacjach. Od piętnastu lat prowadzę własną firmę, więc wiem, przed jakimi problemami Państwo dzisiaj stoją, z czym się zmagacie jako administracja publiczna. Oczywiście wiem też, jakie kary nakładają przepisy na prezesów i dyrektorów w związku z ochroną danych.

Aż 96 proc. ataków ransomware uderza najpierw w backup, dowiedzieli się widzowie filmu zaprezentowanego przez Dominika Żochowskiego. Nie masz czystej kopii, płacisz okup i podlegasz karom. Zwykły backup w tej samej sieci, co atak to dziś za mało. Potrzebujesz izolacji, weryfikacji i natychmiastowego odtworzenia. Poznaj Cyber Recovery. Cyfrowy bunkier jest dla intruzów niewidzialny. Zainfekowane środowisko nie może się z nim połączyć. Sam pobiera dane z Twojej sieci, po czym zamyka połączenie. Ono po prostu przestaje istnieć. W bunkrze każda kopia otrzymuje sprzętową blokadę worm. Nie nadpisze jej choćby administrator. Równolegle silnik AI prześwietla pliki na poziomie bajtów, pokazując jednoznaczny wynik. Czysty albo podejrzany. Gdy uderzy kryzys, odbudowujemy całą infrastrukturę w sterylnym, izolowanym środowisku. Dopiero w pełni sprawny system wraca do Ciebie, a weryfikacja powtarza się automatycznie. Dzień po dniu, kopia po kopii. Bunkier buduje historię czystych kopii, dlatego w momencie ataku nie masz tylko jednej szansy na przywrócenie systemu. To Ty decydujesz, do którego dnia wraca Twoja firma.

– Disaster Recovery to dzisiaj za mało – wyjaśniał Dominik Żochowski. – Musimy przejść do takiego elementu, który nazywamy Cyber Recovery. To jest taki system, który umożliwi nam niepoddanie się dyktatowi i zapłaceniu okupu, tylko przywrócenie do działania z czystej kopii. Aż 86 proc. zaatakowanych wcześniej firm zostało zaatakowanych ponownie. Czyli jeżeli ktoś uważa, iż jak został zaatakowany, to ma spokój, może być prawie pewien, iż zostanie zaatakowany po raz drugi. Chcąc się zabezpieczyć, musimy przede wszystkim mieć plan, co backupować i mieć pewność, iż to, co backupujemy, jest czyste i bezpieczne.

Przede wszystkim środowisko cyfrowego bunkra musi być odizolowane od środowiska produkcyjnego. Po drugie, dane muszą być na bieżąco weryfikowane. Jest to wykorzystane nie tylko do tego, by analizować pliki pod kątem znanych już zagrożeń, ale również nieznanych. Administrator określa wówczas, czy plik jest dobry, czy niedobry. Gwarancja niezmienności polega na tym, iż zapisane dane nie będą już mogły być zmienione. Są blokady na poziomie sprzętowym, dlatego faktycznie nie można nic zmienić. Opracowane są również procedury: co się stanie w przypadku ewentualnej katastrofy.

fot. Alicja Żebruń

Często ofiara dowiaduje się o ataku dopiero wtedy, gdy już wszystkie dane są zaszyfrowane. Firma Engave ma klienta, u którego zaszyfrowany został cały system oraz system backupu – wszystkie kopie zapasowe z ostatnich sześciu miesięcy. Natomiast jeżeli zainstalowane jest rozwiązanie typu Cyfrowy Bunkier, już przy pierwszym przesłaniu danych do tego Bunkra, zatrzyma ono procedurę i zgłosi wykrycie incydentu. A to umożliwia natychmiastowe zatrzymanie kolejnych backupów i odtworzenie czystych danych.

Firma Engave wdrożyła Cyfrowy Bunkier w Zakładzie Ubezpieczeń Społecznych, który operuje wolumenem ponad jednego petabajta danych i kilkudziesięcioma aplikacjami. Są one na bieżąco testowane do odtworzenia i dla wszystkich są przygotowane procedury, co zrobić, gdyby taki atak nastąpił. Oczywiście Bunkier jest odizolowany i jest całkowicie niedostępny dla osób z zewnątrz. W przypadku zagrożenia, można po prostu uruchomić chronione aplikacje i dalej pracować.

– Poszliśmy o krok dalej i oferujemy rozwiązanie chmurowe, w polskiej lokalizacji (w Warszawie, w dwóch miejscach), a więc wszystkie dane nie opuszczają terytorium Polski, co przecież w ostatnich czasach jest coraz bardziej istotne. Najważniejsze jest to, by w momencie ataku nie wpaść w panikę. Musimy wiedzieć dokładnie, co robić. Dlatego przy każdym wdrożeniu Bunkra przygotowujemy tak zwane playbooki, czyli procedury, gdzie jest napisane krok po kroku, co dokładnie kto ma robić, żeby odtworzyć system – zapewniał Dominik Żochowski.