Gen. Włodzimierz Nowak: W kwestii 5G jest wiele sygnałów, które ocierają się o fantastykę

Od lat toczy się dyskusja w sprawie 5G i cyberbezpieczeństwa, chociaż jeszcze nie mamy 5G ani wymagań co do bezpieczeństwa tej technologii. Czy ta dyskusja ma sens?

Śledzę tę dyskusję. W pewnym zakresie przebiega na poziomie eksperckim, mówi, jak się do tego przygotować, na co zwrócić uwagę, co powinniśmy zmienić, żeby 5G było bezpieczne. Z drugiej strony jest wiele sygnałów, które zaciemniają temat. Ocierają się o fantastykę, czasami o politykę. Trzeba dobrze się skoncentrować, żeby z tego szumu informacyjnego wyłowić to, co jest istotne.

A co jest istotne w 5G?

5G nie różni się bardzo od pozostałych systemów, które aktualnie eksploatujemy. Pryncypia niewiele się zmienią. Po pierwsze, ludzie, którzy powinni być przygotowani, żeby zaadaptować taką technologię, odpowiednio ją wdrożyć, utrzymywać i chronić.

Po drugie, istotnym elementem są procedury. Nawet najlepsi ludzie bez dobrze opracowanych procedur reagowania na incydenty w sieci i anomalie nic nie zrobią. Te procedury muszą być bardzo klarowne, transparentne i jednoznaczne.

Po trzecie, technologia. Bez niej sieci 5G nie będzie. Kluczowe są wszelkie wymagania mówiące, jak sprzęt powinien być przygotowany, certyfikowany, kto to powinien zrobić, co jest istotne z punktu widzenia bezpieczeństwa, eksploatacji i użytkownika.

Po czwarte, architektura sieci. Globalne bezpieczeństwo opiera się na architekturze sieci. Jeśli jest zła, to łatwo sieć zaatakować. Z dobrą architekturą łatwo jest jej bronić. Warto zobaczyć hiperboliczną mapę internetu, która pokazuje powiązania pomiędzy węzłami. Przedstawia ona globalną sieć z autonomicznymi segmentami sieci, które są kontrolowane przez organizacje lub rząd.

Ta architektura jest istotna w wymiarze globalnym, krajowym i lokalnym. Warto spojrzeć na lokalizację Gruzji i Ukrainy na hiperbolicznej mapie internetu, zobaczymy, dlaczego te kraje nie miały szansy na uniknięcie ataków z Rosji. Dlatego że ich sieć internetu jest wręcz wtopiona w segment rosyjski, bez zmian w architekturze sieci kraje te będą permanentnie w stanie zagrożenia skutecznym cyberatakiem.

Pan mówi o architekturze, tymczasem nasze przepisy ujmują to w sposób znacznie bardziej prosty, wskazując na przykład na dostawców wysokiego ryzyka. Czy to dobre rozwiązanie?

To bardzo niedobre rozwiązanie. Każda technologia jest jednakowo podatna na ataki hakerskie. W każdej technologii wykrywa się wiele podatności, które potem się naprawia. Sama ocena ryzyka związanego z poszczególnymi dostawcami jest skomplikowana, dotyka też czynników politycznych, nie tylko technicznych.

Z technicznego punktu widzenia każda technologia jest jednakowo dobra, każdą można stosować w jednakowym zakresie. Nowy projekt ustawy o krajowym systemie cyberbezpieczeństwa pomija chyba najistotniejszy z punktu widzenia cyberbezpieczeństwa element, czyli urządzenia IoT (internet rzeczy). Skupia się na urządzeniach sieciowych, z których buduje się sieć telekomunikacyjną, a internet rzeczy został pominięty. Dzisiaj najwięcej ataków jest poprzez urządzenia IoT dołączone do sieci, bo często nie ma w nich możliwości wprowadzenia kodów zabezpieczających.

A dlaczego nie ma? Bo nikt nie postawił takich wymagań producentom tych urządzeń. To jest problem, który pojawi się również w przyszłości.

Bo w sieci 5G będą funkcjonować miliony urządzeń IoT. Jeśli chodzi o sieć telekomunikacyjną, nie znam przypadku, żeby jednym naciśnięciem guzika można było ją sparaliżować. Sieć jest tak budowana, że ma połączenia redundantne i nigdy nie opiera się na jednej technologii. Obezwładnienie sieci telekomunikacyjnej jest niezmiernie trudne i w dużej skali w zasadzie niemożliwe.

Czy nie będziemy mieć większej pewności do bezpieczeństwa 5G, gdy będą to produkty naszych sojuszników, a nie azjatyckie?

W sieciach wojskowych, które mają klauzulę tajności, stosowane są tylko urządzenia naszych sojuszników, bo są przewidziane do pracy w czasie wojny. To szczególna sytuacja, więc logistykę systemów buduje się wyłącznie w oparciu o sojuszników. Zupełnie inna sytuacja jest w sieciach powszechnych i publicznych. One mogą być atakowane, ale nie w taki sposób, jak systemy wojskowe. Rozwiązaniem jest tu postawienie na certyfikację i testy urządzeń. Certyfikacja nie rozwiąże jednak problemu, jeśli sieć ma nieodpowiednią architekturę i słaby system nadzoru, ponieważ wiele procesów może się wówczas odbywać bez udziału i wiedzy administratorów. Urządzenia same ściągają sobie uaktualnienia, same rejestrują się na serwerach producentów. To jest problem. Trzeba to wszystko kontrolować, ale dzisiaj takich rozwiązań świat cywilny używa bardzo rzadko. Nie dorósł jeszcze do tego, że cyberprzestrzeń musi być posegmentowana. Trzeba mieć swoje strefy wpływu, nad którymi panuje się całkowicie. Trzeba decydować o tym, jakie aktualizacje instalowane są na urządzeniach, kiedy jest to robione i czy aktualizacja pochodzi z zaufanego źródła.

Cyberatak wyobrażamy sobie jako frontalny atak na wszystko. Wcale nie musi tak być. Czy w sieci 5G będzie możliwość, żeby podsłuchiwać wybranych czy docierać do niektórych urządzeń? Wróg po prostu sprawdza, co mu jest potrzebne. Czy sprzęt od sojuszników wyklucza takie ryzyka?

Urządzenia każdego wytwórcy mają swoje plusy i minusy. W systemach cyberbezpieczeństwa nigdy nie stosuje się urządzeń jednego producenta do ochrony sieci. Ponieważ niby parametry i funkcje są te same, ale nie takie same. Jeżeli jesteśmy w stanie nadzorować parametry ruchu w sieci, to możemy wyłowić każdą anomalię. Jest to o tyle skomplikowane, że nie można bazować tylko na dostępnych algorytmach. Potrzebny jest wkład własny, trzeba opracować swoje oprogramowanie.

Czyli w ogóle jesteśmy w stanie zapewnić bezpieczeństwo sieci 5G? Kto właściwie powinien to robić?

Organy rządowe powinny precyzyjnie podzielić kompetencje, kto się powinien czym zajmować. Jest to częściowo uwzględnione w propozycji ustawy o cyberbezpieczeństwie. Jednak zabrakło tam wymagań dotyczących architektury sieciowej. Wypadałoby ją uporządkować, żeby zmniejszyć możliwość dostępu do pewnych systemów. To jest kluczowe. Każda technologia jest jednakowo podatna i każdą można w jednakowy sposób zabezpieczyć, pod warunkiem że wszyscy działamy zgodnie z określonymi zasadami.

5G będzie miało nie tylko zastosowania cywilne, również wobec obiektów o znaczeniu strategicznym, infrastruktury krytycznej czy militarnych. Jak taka sieć powinna wyglądać?

Technologia 5G do zastosowań wojskowych nie ma nic wspólnego z cywilnym 5G. Wojskowe 5G będzie wykorzystywało częstotliwości rządowe, czyli przyznane wojsku. Będą to sieci zamknięte, wykorzystywane m.in. do szybkiej wymiany informacji na stanowiskach dowodzenia.

Co do systemów cywilnych, moje przerażenie budzi to, co projekt ustawy mówi o powołaniu operatora systemów bezpieczeństwa. Opowieść, jaką się kreuje o powołaniu tego operatora, jest taka, że podobnie jak w innych krajach chcemy zbudować operatora strategicznego – we Francji to Orange, w Niemczech – Deutsche Telekom. Tylko że u nas tym operatorem ma być niewielka firma Exatel. Orange ma 160 tys. ludzi, jest to spółka publiczna z akcjami w wolnym obrocie. Deutsche Telekom to 200 tys. ludzi, a państwo posiada około 32 proc. akcji. Exatel to 450 ludzi, 100-proc. własność państwa i potencjał telekomunikacyjny mniej niż 5 proc. w skali kraju. Skumulowanie wszystkich ważnych instytucji i podmiotów infrastruktury krytycznej u takiego operatora to prezent dla Putina. Sparaliżowanie funkcjonowania państwa poprzez cyberatak na tego jednego operatora to czarny scenariusz, który może się zmaterializować. Uważam, że w naszych warunkach operator, który mógłby pełnić funkcję operatora strategicznego, powinien być hybrydą operatora strukturalnego i wirtualnego. Czyli operatora, który posiada własną infrastrukturę i działa jako operator wirtualny na zasobach wszystkich pozostałych operatorów telekomunikacyjnych.

Tym sposobem zwiększymy niezawodność systemu i unikniemy poważnego zagrożenia, jakim jest brak redundancji sieci. Niestety, w projekcie Polskie 5G jako plus przyjmuje się, że będzie to jedna sieć zbudowana wspólnie przez wszystkich operatorów telekomunikacyjnych, uzasadniając to niższymi kosztami. Z finansowego punktu widzenia to prawda, jednak z punktu widzenia bezpieczeństwa sieci to złe rozwiązanie, ponieważ jeśli jeden maszt zostanie uszkodzony przez przypadkowy samochód czy burzę, to od razu mamy dziurę w całym łańcuchu telekomunikacyjnym, gdyż nadajniki wszystkich operatorów umieszczone będą na tym samym maszcie. Stworzenie operatora wirtualnego na bazie wielu operatorów telekomunikacyjnych daje możliwość pełnej redundancji, co sprawia, że w zasadzie nigdy nie przerwałoby się funkcjonowania sytemu telekomunikacyjnego dedykowanego służbom państwowym. Ponadto, uważam, że powołanie takiego operatora ze względu na wagę problemu powinno być przedmiotem oddzielnej ustawy, a nie dopisania rozdziału do ustawy o Krajowym Systemie Cyberbezpieczeństwa, bo wygląda to niepoważnie.

Pandemia unaoczniła problemy z łańcuchem dostaw. Co w momencie, kiedy sieci byłyby budowane w dużej mierze z udziałem dostawców azjatyckich? Nie stwarzamy sobie dodatkowego ryzyka?

Znam hasło cybersuwerenność. Nie należy opowiadać takich rzeczy. Dzisiaj nawet Stany Zjednoczone są lata świetlne od cybersuwerenności. Jeśli ktoś mówi, że osiągniemy cybersuwerenność, to jest to śmieszne. Jeśli chodzi o dostawy półprzewodników, układów scalonych i ich produkcji, to niestety świat pokpił sprawę. Cała produkcja jest właściwie w Azji. Bez Azji żaden kraj dzisiaj sobie sam nie poradzi. To jest problem – do rozwiązania w ramach globalnych sojuszy. Na dzisiaj jedynym rozsądnym rozwiązaniem jest dywersyfikacja dostawców, by nie uzależnić się od jednego dostawcy.

Jak powinien wyglądać idealny model współpracy sektora publicznego i prywatnego?

Stawiałbym na dialog. Do projektu ustawy o cyberbezpieczeństwie zgłoszono 750 uwag. Nieliczne zostały uwzględnione, szkoda, a było wiele cennych. Ważne jest wzajemne zrozumienie potrzeb. Sektor komercyjny musi zrozumieć potrzeby państwa i je wspierać.