16.12.2014 |
PL |
Dziennik Urzędowy Unii Europejskiej |
C 451/31 |
Opinia Europejskiego Komitetu Ekonomiczno-Społecznego w sprawie ataków cybernetycznych w UE
(opinia z inicjatywy własnej)
(2014/C 451/05)
Sprawozdawca: |
Thomas McDONOGH |
Dnia 27 lutego 2014 r. Europejski Komitet Ekonomiczno-Społeczny postanowił, zgodnie z art. 29 ust. 2 regulaminu wewnętrznego, sporządzić opinię z inicjatywy własnej w sprawie
ataków cybernetycznych w UE.
Sekcja Transportu, Energii, Infrastruktury i Społeczeństwa Informacyjnego, której powierzono przygotowanie prac Komitetu w tej sprawie, przyjęła swoją opinię 18 czerwca 2014 r.
Na 500. sesji plenarnej w dniach 9–10 lipca 2014 r. (posiedzenie z 10 lipca) Europejski Komitet Ekonomiczno-Społeczny stosunkiem głosów 135 do 1 – nikt nie wstrzymał się od głosu – przyjął następującą opinię:
1. Wnioski i zalecenia
1.1 |
Komitet zaleca utworzenie unijnego organu ds. bezpieczeństwa cybernetycznego, na podobieństwo centralnego organu w lotnictwie, jakim jest Europejska Agencja Bezpieczeństwa Lotniczego (EASA), aby zapewnić silne przywództwo na poziomie UE konieczne do zajęcia się złożonym wdrażaniem skutecznej polityki bezpieczeństwa cybernetycznego na szczeblu europejskim. |
1.2 |
Dobrze poinformowani i świadomi obywatele mają kluczowe znaczenie dla solidnego bezpieczeństwa cybernetycznego w Europie. Kształcenie obywateli w dziedzinie bezpieczeństwa cybernetycznego i ochrony danych osobowych powinno stanowić istotną część szkolnych programów nauczania i szkoleń w środowisku pracy. Ponadto UE powinna prowadzić inicjatywy i programy informacyjne na te tematy w całej Unii. |
1.3 |
Przedsiębiorcy powinni być prawnie zobowiązani do proaktywnego podejścia do ochrony przed atakami cybernetycznymi, w tym do stosowania bezpiecznych i odpornych technologii informacyjnych i komunikacyjnych (ICT) oraz szkolenia personelu w zakresie polityki bezpieczeństwa, podobnie jak szkoli się w zakresie bezpieczeństwa i higieny pracy. |
1.4 |
W każdym państwie członkowskim funkcjonować powinna organizacja, której zadaniem byłoby informowanie, kształcenie i wspieranie sektora MŚP w zakresie najlepszych praktyk związanych z bezpieczeństwem cybernetycznym. Duże przedsiębiorstwa z łatwością mogą zdobyć potrzebną wiedzę, natomiast MŚP potrzebują jednak wsparcia w tym zakresie. |
1.5 |
Należy rozszerzyć mandat Europejskiej Agencji ds. Bezpieczeństwa Sieci i Informacji (ENISA) i zapewnić finansowanie, tak by podejmowała ona bardziej bezpośrednią odpowiedzialność za kształcenie i programy upowszechniania wiedzy w zakresie bezpieczeństwa cybernetycznego skierowane w szczególności do obywateli oraz małych i średnich przedsiębiorstw (MŚP). |
1.6 |
Przedsiębiorstwa i organizacje muszą zwiększyć świadomość odpowiedzialności za bezpieczeństwo cybernetyczne na szczeblu zarządu. Informacje o ewentualnej odpowiedzialności przedsiębiorstwa wynikającej z nieodpowiedniej polityki bezpieczeństwa cybernetycznego i działań w tym zakresie powinny być wyraźnie przekazywane dyrektorom wszystkich organizacji. |
1.7 |
Ze względu na swą kluczową rolę w świadczeniu usług internetowych wszyscy dostawcy usług internetowych w UE powinni w szczególnym stopniu odpowiadać za ochronę swoich klientów przed atakami cybernetycznymi. Odpowiedzialność ta powinna być określona i zapisana w prawodawstwie na szczeblu UE. |
1.8 |
W celu zapewnienia szybkiego wykorzystania ogromnego potencjału dla wzrostu gospodarczego płynącego z dynamicznego rozwoju chmury obliczeniowej (1), na dostawców usług w chmurze obliczeniowej powinny zostać nałożone szczególne wymogi bezpieczeństwa i obowiązki także na szczeblu UE. |
1.9 |
Komitet uważa, że środki dobrowolne są niewystarczające i należy nałożyć ścisłe wymogi regulacyjne na państwa członkowskie, aby zapewnić harmonizację cyberbezpieczeństwa, zarządzanie nim i wdrażanie go na szczeblu europejskim. Potrzebne jest także prawodawstwo przewidujące obowiązek zgłaszania istotnych incydentów dotyczących bezpieczeństwa cybernetycznego przez wszystkie organizacje i przedsiębiorstwa, nie tylko dostawców infrastruktury krytycznej. Pomogłoby to poprawić reakcję na zagrożenia w Europie, jak również podnieść poziom wiedzy i zrozumienia ataków cybernetycznych, tak aby można było opracować lepsze środki zaradcze. |
1.10 |
Komitet zdecydowanie zaleca, by Unia Europejska przyjęła oparte na projektowaniu podejście do zagrożenia atakami cybernetycznymi i zadbała o to, by wszystkie technologie i usługi wykorzystywane w Europie dla zapewnienia dostępu do internetu i usług internetowych były zaprojektowane tak, by gwarantowały jak najwyższy poziom zabezpieczenia przed atakami cybernetycznymi. Podczas projektowania należy poświęcić szczególną uwagę interfejsowi między użytkownikiem a maszyną. |
1.11 |
EKES oczekuje, że europejskie organizacje normalizacyjne opracują i rozpowszechnią istotne normy bezpieczeństwa cybernetycznego dla wszystkich technologii i usług dotyczących sieci ICT. Normy te powinny zawierać obowiązkowy kodeks dobrych praktyk w celu zapewnienia zgodności wszystkich urządzeń ICT i usług internetowych sprzedawanych obywatelom europejskim z najwyższymi standardami. |
1.12 |
UE musi bez zwłoki zadbać o to, by każde państwo członkowskie dysponowało w pełni sprawnym zespołem reagowania na incydenty komputerowe (CERT), aby chronić siebie i Europę przed atakami cybernetycznymi. |
1.13 |
Komitet domaga się, by Europejskie Centrum ds. Walki z Cyberprzestępczością (EC3) przy Europolu otrzymało dodatkowe środki niezbędne do zwalczania cyberprzestępczości i do zacieśnienia współpracy z siłami policyjnymi w Europie i poza nią w celu zwiększenia zdolności Europy do chwytania i ścigania cyberprzestępców. |
1.14 |
Ogólnie rzecz biorąc EKES uważa, że polityka UE w zakresie bezpieczeństwa cybernetycznego powinna w szczególności uwzględniać następujące aspekty: wzmacnianie wiodącej pozycji UE; opracowywanie strategii w zakresie cyberbezpieczeństwa zwiększających bezpieczeństwo przy jednoczesnej ochronie prywatności oraz innych praw podstawowych; podnoszenie świadomości obywateli i zachęcanie do proaktywnego podejścia do ochrony; kompleksowe zarządzanie ze strony państw członkowskich; świadome i odpowiedzialne działania przedsiębiorstw; ścisłe partnerstwo między władzami, sektorem prywatnym i obywatelami; odpowiedni poziom inwestycji; wysokie standardy techniczne i wystarczające inwestycje w badania, rozwój i innowacje; zaangażowanie międzynarodowe. W tym kontekście Komitet powtarza swoje zalecenia dotyczące polityki bezpieczeństwa cybernetycznego wyrażone w wielu wcześniejszych opiniach (2) i zwraca się do Komisji o przeanalizowanie działań, o które w nich apelowano. |
2. Zakres opinii
2.1 |
Gospodarka internetowa wytwarza ponad jedną piątą wzrostu PKB w UE, a każdego roku w internecie robi zakupy 200 milionów Europejczyków. Jesteśmy zależni od internetu i związanych z nim technologii cyfrowych, dzięki którym funkcjonują kluczowe usługi energetyczne, zdrowotne, administracji państwowej i finansowe. Jednakże najważniejsza infrastruktura i usługi cyfrowe, które odgrywają tak istotną rolę w naszym życiu gospodarczym i społecznym, są narażone na rosnące ryzyko ataków cybernetycznych zagrażających naszemu dobrobytowi i jakości życia. |
2.2 |
Komitet jest zdania, że coraz większej zależności Unii od internetu i technologii cyfrowej w niewystarczającym stopniu towarzyszą praktyki i polityki zapewniające właściwy poziom bezpieczeństwa cybernetycznego całej Europy teraz i w przyszłości. Celem niniejszej opinii jest zwrócenie uwagi na luki, które Komitet dostrzega w unijnej polityce bezpieczeństwa cybernetycznego, oraz zalecenie usprawnień, które lepiej ograniczałyby ryzyko ataków cybernetycznych. |
2.3 |
Motywy ataków cybernetycznych mogą być rozmaite, od bardzo osobistych, np. odwet na osobie lub przedsiębiorstwie, po szpiegostwo uprawiane przez państwa narodowe i wojnę cybernetyczną między krajami. Podczas przygotowywania niniejszej opinii zdecydowano, aby zawęzić jej zakres wyłącznie do ataków cybernetycznych z pobudek przestępczych, tak by skupić się na zaleceniach dotyczących problemów o podstawowym znaczeniu dla większości członków Komitetu. Wielowątkowa debata polityczna na temat ataków cybernetycznych dokonywanych przez państwa członkowskie wobec obywateli i innych państw może być tematem przyszłej opinii. |
2.4 |
W niniejszej opinii omówiono tylko ataki cybernetyczne popełniane przez cyberprzestępców dla pieniędzy, co stanowi znakomitą większość ataków. Wprowadzając politykę bezpieczeństwa cybernetycznego i praktyki skutecznego radzenia sobie z atakami cybernetycznymi z pobudek przestępczych, zmniejsza się również zagrożenie związane z atakami cybernetycznymi o motywach politycznych lub bardziej osobistych. |
2.5 |
Mimo iż Unia Europejska poczyniła znaczne postępy w działaniach na rzecz zaufania i bezpieczeństwa w ramach europejskiej agendy cyfrowej oraz opracowała szeroko zakrojoną strategię bezpieczeństwa cybernetycznego, która obejmuje większość celów nakreślonych powyżej, wiele jeszcze pozostaje do zrobienia. |
3. Ataki cybernetyczne i bezpieczeństwo cybernetyczne
3.1 |
Atak cybernetyczny jest to wszelkiego rodzaju szkodliwe działanie, którego celem są komputerowe systemy informatyczne, infrastruktury, sieci komputerowe i/lub osobiste urządzenia cyfrowe, prowadzone za pomocą różnego rodzaju czynów dokonywanych w zamiarze kradzieży, zmiany lub zniszczenia określonego celu. Celem mogą być pieniądze, dane lub technologie informacyjne. |
3.2 |
Cyberprzestępcy dokonują ataków cybernetycznych, aby ukraść pieniądze lub dane, dopuścić się oszustwa, prowadzić przestępczą działalność szpiegowską lub w celu dokonania wymuszenia. Ataki cybernetyczne mogą szkodzić podstawowym sieciom i usługom, od których zależy nasze zdrowie, bezpieczeństwo i dobrobyt gospodarczy, w tym sieciom rządowym, transportowym i energetycznym. |
3.3 |
Zagrożenie wynikające z ataków cybernetycznych wzmaga się wraz z naszą rosnącą zależnością od internetu i technologii cyfrowych. Według ostatniego sprawozdania opracowanego przez firmę Symantec, całkowita liczba naruszeń ochrony danych na świecie wzrosła o 62 % w 2013 r., co oznacza ujawnienie ponad 552 mln zapisów. W wyniku tych naruszeń często ujawniano imię i nazwisko, datę urodzenia, numer dowodu tożsamości, dokumentację medyczną czy też informacje finansowe. Ponadto 38 % użytkowników urządzeń mobilnych doświadczyło cyberprzestępczości mobilnej w okresie ostatnich 12 miesięcy. |
3.4 |
Ataki cybernetyczne mogą mieć poważny wpływ na poszczególne przedsiębiorstwa i szerzej rozumianą gospodarkę europejską:
|
3.5 |
Metody dokonywania ataków cybernetycznych nieustannie się zmieniają:
|
3.6 |
Między organizacjami bezpieczeństwa cybernetycznego istnieje powszechna zgoda co do priorytetowych działań, które obywatele i przedsiębiorstwa powinni przedsięwziąć, aby się ochronić przed atakami cybernetycznymi. Praktyki te powinny być przekazywane w każdym programie uświadamiającym i edukacyjnym na temat bezpieczeństwa cybernetycznego:
|
3.7 |
Małym przedsiębiorstwom często brakuje wystarczającego wsparcia IT, by uzyskać bieżące informacje o potencjalnych zagrożeniach cybernetycznych, w związku z czym potrzebują specjalnej pomocy w ochronie przed atakami cybernetycznymi. |
3.8 |
Ujawnianie ataków cybernetycznych i słabości systemu ma zasadnicze znaczenie dla zwalczania ataków cybernetycznych, zwłaszcza w zwalczaniu tzw. ataków zero-day, czyli nowych odmian ataków, które nie były wcześniej znane społeczności zajmującej się bezpieczeństwem cybernetycznym. Jednak przedsiębiorstwa często nie podają ataków cybernetycznych do wiadomości publicznej ze względu na obawy związane z utratą reputacji lub odpowiedzialnością prawną. To nieujawnianie informacji naraża na szwank zdolność Europy do szybkiego i skutecznego reagowania na zagrożenia cybernetyczne oraz do poprawy ogólnego bezpieczeństwa cybernetycznego dzięki uczeniu się od siebie nawzajem. |
3.9 |
Obywatele i przedsiębiorstwa kupują dostęp do internetu i usług za pośrednictwem dostawców usług internetowych (ISP). Ze względu na ich kluczową rolę w świadczeniu usług online jest istotne, by dostawcy usług internetowych zapewniali możliwie najwyższy poziom ochrony przed atakami na swoich klientów. Oprócz dbania o to, by ich własne usługi i infrastruktura były zaprojektowane i utrzymywane w taki sposób, by zapewniały najwyższy poziom bezpieczeństwa cybernetycznego, dostawcy usług internetowych powinni służyć swoim klientom doskonałej jakości poradami na temat bezpieczeństwa cybernetycznego oraz powinni dysponować specjalnymi protokołami w celu bieżącego wykrywania i zwalczania ataków cybernetycznych na klientów. Odpowiedzialność ta powinna być określona i zapisana w prawodawstwie na szczeblu UE. |
3.10 |
Przyspieszenie rozpowszechnienia chmury obliczeniowej wśród obywateli i przedsiębiorstw w Europie jest bardzo istotne dla gospodarki UE (3). Ze względu na to, że korzystanie z chmury obliczeniowej w aplikacjach osobistych i biznesowych staje się coraz powszechniejsze, istotne jest zwłaszcza, aby Europa zapewniła bezpieczeństwo cybernetyczne dostawców usług w chmurze. Niepewność co do bezpieczeństwa usług w chmurze ma negatywny wpływ na tempo przyjmowania tej dynamicznej technologii. Komitet życzyłby sobie, aby UE nałożyła specjalne wymogi bezpieczeństwa i obowiązki na dostawców usług w chmurze, aby wspierać rozwój chmury obliczeniowej w Europie. |
3.11 |
Należy podjąć szczególne wysiłki w celu rekrutacji pracowników do przemysłu bezpieczeństwa cybernetycznego w Europie. Oczekuje się, że zapotrzebowanie na pracowników posiadających dyplom studiów dotyczących bezpieczeństwa informacji wzrośnie ponad dwukrotnie w stosunku do wskaźnika wzrostu w odniesieniu do ogółu branży komputerowej. W tym kontekście Komitet zwraca uwagę Komisji na popularność konkursów i zawodów organizowanych w USA i w niektórych państwach członkowskich oraz ich skuteczność w kwestii podnoszenia świadomości bezpieczeństwa cybernetycznego i z punktu widzenia kształcenia następnego pokolenia specjalistów w dziedzinie bezpieczeństwa cybernetycznego. |
3.12 |
Jedną z najlepszych strategii ochrony przed cyberatakami jest przyjęcie opartego na projektowaniu podejścia, tak by dopilnować, by wszystkie technologie i usługi wykorzystywane w Europie do łączności internetowej i usług internetowych były zaprojektowane tak, by gwarantowały jak najwyższy poziom ochrony przed atakami cybernetycznymi. Podczas projektowania należy poświęcić szczególną uwagę interfejsowi między użytkownikiem a maszyną. Wymagałoby to współpracy między producentami technologii, dostawcami usług internetowych, przemysłem bezpieczeństwa cybernetycznego, EC3, ENISA, agencjami obrony narodowej i bezpieczeństwa państw członkowskich oraz obywatelami. Tego typu podejście do bezpieczeństwa cybernetycznego mogłoby zostać wprowadzone na poziomie UE przez Komisję i – być może – koordynowane przez ENISA. |
4. Polityka UE w zakresie bezpieczeństwa cybernetycznego
4.1 |
UE opracowuje kompleksową strategię na rzecz zwiększenia bezpieczeństwa cybernetycznego obywateli Europy (4):
|
4.2 |
EKES zdecydowanie zareagował na wniosek Komisji dotyczący dyrektywy w sprawie bezpieczeństwa sieci i informacji (NIS) (6), ponieważ proponowane środki zostały uznane za zbyt łagodne i nieskłaniające państw członkowskich w wystarczającym stopniu do ochrony obywateli i przedsiębiorstw przed atakami cybernetycznymi. Tymczasem przyjmując proponowaną dyrektywę, Parlament dodatkowo osłabił jej przydatność, ściśle ograniczając zakres jej stosowania do dostawców „infrastruktury krytycznej”, przez co wykluczono jej stosowanie do wyszukiwarek, platform mediów społecznościowych, internetowych portali płatniczych i dostawców usług w chmurze obliczeniowej. |
4.3 |
Proponowana dyrektywa NIS obecnie nie wystarczy, aby zapewnić przepisy konieczne do zwiększenia świadomości zagrożenia i zdolności reagowania na ataki cybernetyczne w Unii. Komitet pragnie, by przyjęto nowe przepisy przewidujące obowiązek zgłaszania wszystkich istotnych incydentów dotyczących bezpieczeństwa cybernetycznego, które miałyby zastosowanie nie tylko wobec dostawców infrastruktury krytycznej. Brak obowiązku zgłaszania pomaga cyberprzestępcom wykorzystywać niewiedzę wrażliwych celów. |
4.4 |
UE powinna rozważyć rozszerzenie mandatu ENISA, by zwiększyć świadomość zagrożenia atakami cybernetycznymi i usprawnić reagowanie na nie w całej Unii. Być może rolę ENISA można by rozszerzyć w taki sposób, by odpowiadała ona bardziej bezpośrednio za programy szkoleń i upowszechniania wiedzy w dziedzinie bezpieczeństwa cybernetycznego skierowane w szczególności do obywateli i MŚP. |
4.5 |
W 2013 r. utworzono Europejskie Centrum ds. Walki z Cyberprzestępczością (EC3) przy Europolu w celu zwiększenia zdolności Europy do walki z cyberprzestępczością. EC3 działa jako centrum wywiadu kryminalnego w Europie i wspiera prowadzone w państwach członkowskich działania i dochodzenia dotyczące ataków cybernetycznych. Jednakże w swoim pierwszym sprawozdaniu rocznym EC3 ostrzega, że jego obecne zasoby już ograniczają możliwości postępu w dochodzeniach i że nie będzie w stanie uporać się z dochodzeniami na dużą skalę, które do niego trafiają. |
4.6 |
UE powinna zwrócić się do europejskich organizacji normalizacyjnych (CEN, CENELEC i ETSI) o opracowanie norm bezpieczeństwa cybernetycznego dla wszelkiego oprogramowania, sprzętu ICT lub usług internetowych przeznaczonych do sprzedaży w UE. Normy te powinny być stale aktualizowane, by uwzględniać nowe zagrożenia. |
4.7 |
Potrzebne jest prawodawstwo przewidujące obowiązek zgłaszania istotnych incydentów dotyczących bezpieczeństwa cybernetycznego przez wszystkie organizacje i przedsiębiorstwa, nie tylko dostawców infrastruktury krytycznej. Pomogłoby to zwiększyć możliwości łagodzenia zagrożeń internetowych, jak również podnieść poziom wiedzy i zrozumienia dokonywanych ataków cybernetycznych, co pomogłoby władzom, branży bezpieczeństwa cybernetycznego, przedsiębiorstwom i obywatelom poprawiać bezpieczeństwo cybernetyczne oraz zwalczać zagrożenia. Aby zachęcić do wymiany informacji o atakach, przepisy prawne powinny zapewniać przedsiębiorstwom i organizacjom informującym o ataku odpowiedni poziom anonimowości. Należy również zwrócić uwagę w stosownych przypadkach na zapewnienie ochrony przed odpowiedzialnością. |
4.8 |
Pomimo inicjatyw podejmowanych przez UE państwa członkowskie reprezentują bardzo różny poziom zdolności i gotowości, co prowadzi do niejednolitych reakcji na ataki cybernetyczne w całej UE. Biorąc pod uwagę fakt, że sieci i systemy są ze sobą połączone, te państwa członkowskie, które prowadzą bardzo słabą politykę bezpieczeństwa cybernetycznego, zmniejszają ogólną zdolność UE do zwalczania ataków cybernetycznych. Należy podjąć działania zmierzające do zapewnienia akceptowalnego poziomu bezpieczeństwa cybernetycznego we wszystkich państwach członkowskich. Trzeba szczególnie zadbać o to, by każde państwo członkowskie dysponowało sprawnie funkcjonującym zespołem reagowania na incydenty komputerowe (CERT). |
4.9 |
Zgodnie z zaleceniami zawartymi we wcześniejszych opiniach (7) EKES uważa, że dobrowolne działania są nieskuteczne, jeśli chodzi o poprawę ochrony UE przed atakami cybernetycznymi, i że należy nałożyć na państwa członkowskie zdecydowane zobowiązania regulacyjne, by zapewnić harmonizację, zarządzanie i egzekwowanie w zakresie europejskiego bezpieczeństwa cybernetycznego. |
4.10 |
Podsumowując: aby Unia Europejska była w stanie zapewnić rzeczywistą i aktualizowaną ochronę obywateli i przedsiębiorstw przed atakami, jej polityka w zakresie bezpieczeństwa cybernetycznego powinna koncentrować się na następujących działaniach:
|
Bruksela, 10 lipca 2014 r.
Przewodniczący Europejskiego Komitetu Ekonomiczno-Społecznego
Henri MALOSSE
(1) Dz.U. C 24 z 28.1.2012, s. 40; Dz.U. C 76 z 14.3.2013, s. 59.
(2) Dz.U. C 97 z 28.4. 2007, s. 21;
Dz.U. C 175 z 28.7. 2009, s. 92;
Dz.U. C 255 z 22.9. 2010, s. 98;
Dz.U. C 54 z 19.2. 2011, s. 58;
Dz.U. C 107 z 6.4. 2011, s. 58;
Dz.U. C 229 z 31.7. 2012, s. 90;
Dz.U. C 218 z 23.7. 2011, s. 130;
Dz.U. C 24 z 28.1. 2012, s. 40;
Dz.U. C 229 z 31.7. 2012, s. 1;
Dz.U. C 351 z 15.11. 2012, s. 73;
Dz.U. C 76 z 14.3. 2013, s. 59;
Dz.U. C 271 z 19.9. 2013, s. 127;
Dz.U. C 271 z 19.9.2013, s. 133.
(3) Dz.U. C 24 z 28.1.2012, s. 40; Dz.U. C 76 z 14.3.2013, s. 59.
(4) JOIN/2013/01 final.
(5) Dz.U. L 218 z 14.8.2013, s. 8–14.
(6) Dz.U. C 271 z 19.9.2013, s. 133.
(7) Dz.U. C 255 z 22.9.2010, s. 98; Dz.U. C 218 z 23.7.2011, s. 130; Dz.U. C 271 z 19.9.2013, s. 133.