Materiał powstał we współpracy z ABB Polska

Najnowszy raport „ABB Trends Cyber 2026” przynosi niejednoznaczny obraz polskiego przemysłu. Z jednej strony aż 49 proc. przedsiębiorstw postrzega cyberincydent zagrażający ciągłości produkcji jako realne ryzyko, ale z drugiej niska świadomość pracowników wciąż bywa wskazywana jako jedna z głównych barier odporności. Do tego przetestowane procedury reagowania ma zaledwie co trzecia firma. Jak właściwie interpretować te wyniki? Poziom świadomości w polskich zakładach rośnie czy drepczemy w miejscu?

Zdecydowanie rośnie. To trend widoczny w naszych badaniach, ale też potwierdzany przez niezależne analizy rynkowe. Z roku na rok wiedza na temat zagrożeń zwiększa się zarówno wśród pracowników operacyjnych, jak i na poziomie zarządów. W ABB obserwujemy tę dynamikę z bliska, chociażby organizując już trzecią edycję dorocznego wydarzenia poświęconego cyberbezpieczeństwu w przemyśle. Jeszcze kilka lat temu zderzaliśmy się z poważną barierą komunikacyjną. Wiele firm przemysłowych, z którymi współpracowaliśmy, miało trudność ze zrozumieniem samej terminologii i celowości wdrażania zaawansowanych zabezpieczeń systemów OT. Dziś bez trudu możemy wskazać partnerów biznesowych, którzy mają już za sobą pierwsze doświadczenia, wypracowali dojrzałe spojrzenie na problematykę cyberryzyka i traktują ją priorytetowo.

Warto spojrzeć na oficjalne statystyki zespołu CERT Polska. Liczba zgłaszanych incydentów bezpieczeństwa systematycznie rośnie, a to niekoniecznie oznacza wyłącznie gwałtowną eksplozję przestępczości w sieci. Raczej pokazuje, że jako społeczeństwo staliśmy się bardziej wyczuleni. W życiu prywatnym na co dzień stykamy się z podejrzanymi linkami, fałszywymi SMS-ami czy próbami wyłudzenia wrażliwych danych. Ludzie zaczynają rozumieć te mechanizmy i reagują, zgłaszając nieprawidłowości.

Świadomość to jednak jedno, a realne kompetencje techniczne i proceduralne to drugie. Czy wiedza praktyczna nadąża za dostrzeganiem zagrożeń?

To fundamentalna kwestia. Dziś pewien impuls nadaje prawodawstwo – nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa nakłada na przedsiębiorstwa formalny obowiązek systematycznego szkolenia pracowników oraz kadry zarządzającej. Z uwagą obserwuję, w jaki sposób firmy podejdą do realizacji tych wymogów – czy potraktują je fasadowo, czy jako rzeczywistą inwestycję w odporność organizacji.

Dostrzegam jednak wyraźną zmianę oddolną. Pracownicy sami z siebie wykazują coraz większą uważność i wręcz oczekują od pracodawców dostarczenia rzetelnej wiedzy. W ABB widzimy, że nawyki wyrobione podczas profesjonalnych szkoleń wewnątrz organizacji są przez pracowników przenoszone do sfery prywatnej.

Z drugiej strony rynek szkoleniowy będzie się dynamicznie rozwijał, bo rośnie presja otoczenia, która wymusi podnoszenie kwalifikacji. Do niedawna przygotowanie wiarygodnego ataku phishingowego wymagało od przestępcy sporego nakładu pracy, znajomości specyfiki branży czy choćby poprawnej polszczyzny. Obecnie wygenerowanie bezbłędnej, wysoce spersonalizowanej wiadomości za pomocą modeli generatywnych zajmuje sekundy. Zwiększanie kompetencji i edukacja to sprawa wagi państwowej. Tak się buduje cyberodporność całego kraju.

Gdzie w takim razie w realiach zakładów przemysłowych znajduje się dziś najsłabsze ogniwo? W przestarzałych maszynach czy w zachowaniu personelu?

Każda fabryka ma swoją specyfikę i profil ryzyka, ale niezależne badania od lat wskazują na ten sam element: najsłabszym ogniwem pozostaje człowiek. Należy jednak unikać uproszczeń, bo winy nie ponosi wyłącznie szeregowy pracownik, który kliknął w niewłaściwy link. Odporność firmy to naczynia połączone. Zaczyna się od samej góry. To zarząd odpowiada za sformułowanie i wdrożenie spójnej strategii cyberbezpieczeństwa. Za deklaracjami muszą iść adekwatne inwestycje, traktowane nie jako koszt, lecz jako polisa ubezpieczeniowa i lokata w stabilność biznesu. Na szali leży przecież reputacja przedsiębiorstwa. Żaden zarząd czy właściciel nie chce przeczytać na pasku telewizji informacyjnej albo na czołówce „Rzeczpospolitej”, że jego firma stała się ofiarą paraliżującego ataku. W ślad za utratą reputacji mogą pojawić się spadek wartości firmy i utrata kontraktów.

W interesie decydentów leży więc stworzenie warunków, w których strategia realnie funkcjonuje na każdym poziomie operacyjnym. Oznacza to odpowiednio przeszkoloną załogę, właściwą infrastrukturę i skuteczne procedury zapewniające ciągłość procesów produkcyjnych. Utrzymanie zdolności wytwórczych zakładu to absolutny priorytet. Z drugiej strony nie mam wątpliwości, że cyberryzyka nie da się wyeliminować do zera. Każdy, kto obiecuje całkowitą odporność, mija się z prawdą. Firmy dzielą się dziś na te, które już zostały zaatakowane, oraz te, które jeszcze o tym nie wiedzą lub zostaną zaatakowane za chwilę.

Czyli przed hakerami nie da się obronić?

Celem powinna być drastyczna minimalizacja powierzchni ataku. Żaden renomowany producent sejfów nie gwarantuje, że jego szafy pancernej nie da się otworzyć. Zapewnia jednak, że włamywacz będzie musiał siłować się z zamkiem i ryglami przez określony czas, co ograniczy zakusy potencjalnych przestępców. I w sferze cyfrowej ten czas kupujemy klientowi – dajemy mu margines niezbędny do tego, by systemy zaalarmowały odpowiednie służby i można było podjąć skoordynowaną interwencję.

Nawet najlepsze narzędzia do cyberobrony potrzebują jednak wykwalifikowanych operatorów. Tymczasem na rynku pracy inżynierów bezpieczeństwa systemów OT dramatycznie brakuje.

Niedobór kadr to fakt, z którym branża mierzy się od dawna. Specjalistów od cyberbezpieczeństwa przemysłowego jest na rynku zdecydowanie zbyt mało w stosunku do skali potrzeb. Często rolę tę przejmują doświadczeni inżynierowie utrzymania ruchu czy automatycy, którzy rozumieją specyfikę procesów technologicznych i dokształcają się w domenie bezpieczeństwa cyfrowego. Musimy nauczyć się efektywnie gospodarować zasobami, którymi realnie dysponujemy. Dlatego strategia ABB opiera się na dostarczaniu rozwiązań technologicznych zaprojektowanych tak, by były intuicyjne i zrozumiałe dla inżyniera bez wykształcenia stricte cybernetycznego. Chodzi o to, aby przeciętny operator czy automatyk na linii produkcyjnej był w stanie podjąć wstępną decyzję i przekazać właściwy sygnał do wyspecjalizowanych zespołów reagowania.

Dążymy do tego, aby pracownicy operacyjni stali się w naturalny sposób „czujkami” bezpieczeństwa. Nasze oprogramowanie i narzędzia analityczne dają im czytelną informację: „w tym segmencie sieci dzieje się coś nietypowego, poinformuj ekspertów”. Przekazujemy czytelne ostrzeżenie, a dalszym procedowaniem zajmują się dedykowane komórki. Tylko tak możemy zasypać lukę kadrową bez paraliżowania bieżącej pracy fabryk.

Wspomniał pan o konieczności finansowania tych wdrożeń. Z badania wynika, że 36 proc. firm planuje zwiększyć wydatki na cyberbezpieczeństwo OT w ciągu najbliższego roku. Czy struktura tych budżetów odpowiada faktycznym wyzwaniom?

Regulacje związane z KSC stanowią silny impuls, zobowiązując podmioty kluczowe i ważne do zrewidowania budżetów. Oceniam ten kierunek jednoznacznie pozytywnie. Wzrost nakładów inwestycyjnych idzie w parze z rosnącą dojrzałością zarządów, co daje nadzieję na trwałą zmianę podejścia w polskim przemyśle. Paradoksalnie jednak w obecnych realiach to wcale nie kwestie czysto finansowe stanowią najwęższe gardło transformacji. Pieniądze są w biznesie dostępne, zwłaszcza gdy na szali stoi ciągłość biznesowa. Przeciwnikiem jest czas. Rynek dysponuje ograniczoną liczbą wykwalifikowanych inżynierów i integratorów zdolnych przeprowadzić skomplikowane audyty i wdrożenia bez zakłócania bieżącego cyklu produkcyjnego. Czas jest potrzebny też samej organizacji na opanowanie nowych narzędzi. A wdrożenie zaawansowanego oprogramowania to dopiero początek – załoga musi nauczyć się z niego świadomie korzystać, zaadaptować procedury i zastosować odpowiednią higienę pracy. Na rynku mamy do czynienia z kumulacją terminów regulacyjnych, rosnącą falą zagrożeń i ograniczonymi mocami przerobowymi zespołów wdrożeniowych. To wyścig z czasem.

O ile w dużych zakładach zatrudniających powyżej tysiąca pracowników przetestowane procedury reagowania posiada 59 proc. firm, o tyle w sektorze MŚP ten wskaźnik wynosi zaledwie 5 proc. Skąd ta przepaść?

To alarmująca statystyka, ale wynika z obiektywnych uwarunkowań ekonomicznych i organizacyjnych. Duże przedsiębiorstwa dysponują nieporównywalnie większym kapitałem, własnymi działami technicznymi i dedykowanymi zespołami ds. zarządzania ryzykiem. Ponadto ich operacje są osadzone w globalnych łańcuchach dostaw, gdzie międzynarodowi partnerzy od dawna wymuszają bezwzględne spełnianie rygorystycznych standardów bezpieczeństwa. W małych i średnich przedsiębiorstwach dominuje natomiast iluzoryczne przekonanie, że ze względu na mniejszą skalę działalności mają one mniej do stracenia. Zarządy takich spółek często wychodzą z założenia, że cyberprzestępcy polują wyłącznie na gigantów o strategicznym znaczeniu, pokroju Orlenu czy PGE, a lokalny zakład produkcyjny pozostaje poza radarem atakujących. To fundamentalny błąd i trwa on zwykle do pierwszego poważnego incydentu.

Te małe firmy to ogniwa w łańcuchach dostaw.

Dokładnie. Dla cyberprzestępców sforsowanie zabezpieczeń globalnego koncernu od frontu bywa niezwykle trudne, zdecydowanie prościej uderzyć w łańcuch dostaw, znaleźć słabiej chronionego poddostawcę komponentu lub zewnętrzną firmę serwisową, aby wykorzystać ją jako tylną furtkę prowadzącą bezpośrednio do serca systemów dużego partnera. Ale korporacje doskonale to rozumieją i już teraz zaczynają bezwzględnie wymagać od swoich kooperantów z sektora MŚP certyfikowanych zabezpieczeń. Kto nie dostosuje się do tych standardów, wypadnie z łańcucha.

Jak w perspektywie kolejnych lat ukształtuje się bilans sił między atakującymi a obrońcami infrastruktury przemysłowej? Czy polski przemysł jest w stanie utrzymać kruchą równowagę, czy też przewaga przestępców stanie się przytłaczająca?

W cyberprzestrzeni strona atakująca niemal z definicji pozostaje o krok przed obrońcami. Hakerzy wybierają czas, cel i wektor uderzenia, podczas gdy instytucje odpowiedzialne za bezpieczeństwo muszą stale chronić każdy możliwy punkt styku z siecią.

Nie brzmi to optymistycznie.

Ale nie stoimy na straconej pozycji, w przestrzeni publicznej nie słyszymy codziennie o katastrofalnych awariach przemysłowych paraliżujących cały kraj. Zdarzają się incydenty głośne medialnie, jak choćby niedawne przypadki zakłóceń pracy systemów chłodniczych w sieciach handlowych w Europie, w tym w Polsce, ale infrastruktura krytyczna wciąż zachowuje stabilność. Wiele prób penetracji jest neutralizowanych na wczesnym etapie.

Sztuczna inteligencja zmieni układ sił?

Narzędzia oparte na algorytmach uczenia maszynowego drastycznie skracają czas potrzebny przestępcom na rozpoznanie podatności, rekonesans i przeprowadzenie ataku. Skoro bariera wejścia dla agresorów spada, liczba prób przełamania zabezpieczeń w sektorze wytwórczym będzie lawinowo rosła. Z drugiej strony mamy do dyspozycji nowoczesny, zaawansowany technologicznie oręż defensywny. Sukces zależy od tego, czy zdołamy go powszechnie wdrożyć i nauczyć się z niego odpowiedzialnie korzystać. Przede wszystkim musimy dysponować jak największą liczbą wspomnianych „ludzkich sensorów” – wyczulonych pracowników na każdym szczeblu fabryki.

Czyli znów człowiek? Jest i najsłabszym ogniwem, i tarczą jednocześnie?

Oczywiście, niezależnie od poziomu automatyzacji i wyrafinowania algorytmów to człowiek zawsze stoi na początku i na końcu każdego cyberataku.

—rozmawiał Michał Duszczyk

Materiał powstał we współpracy z ABB Polska