Niedawny atak hakerski na Uniwersytecie Warszawskim to sygnał, że infrastruktura cyfrowa polskich uczelni i instytutów badawczych stała się realnym polem zagrożeń. Przygotowana we współpracy ze środowiskiem akademickim i uchwalona pod koniec stycznia nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa czeka na podpis prezydenta.
W styczniu Uniwersytet Warszawski stał się obiektem ataku hakerskiego. Zdarzenie z zakresu bezpieczeństwa teleinformatycznego związane było z wykorzystaniem złośliwego oprogramowania typu ransomware w części infrastruktury IT. W wyniku przeprowadzonych działań zidentyfikowano stację roboczą, z której wprowadzono złośliwe oprogramowanie do środowiska uczelni. Jak informuje UW, trwa szczegółowa analiza techniczna i prawna.
Dotychczasowe ustalenia nie wskazują jednak na wystąpienie nieuprawnionego dostępu do danych osobowych.
Sytuacja, jaka miała miejsce na Uniwersytecie Warszawskim, pokazuje, że infrastruktura cyfrowa polskich uczelni i instytutów badawczych stała się realnym polem zagrożeń. Podmioty te przetwarzają dane osobowe, badawcze i technologiczne, realizują projekty międzynarodowe oraz kształcą niemal 1,3 mln studentów. Jednocześnie poziom
cyberbezpieczeństwa w polskiej nauce przez lata pozostawał zróżnicowany – od bardzo wysokiego, charakterystycznego dla najlepszych uczelni technicznych, po niepokojąco niski w części uniwersytetów czy wyższych szkół zawodowych.
Choć od lat obowiązywały przepisy wymagające zabezpieczenia systemów teleinformatycznych – w tym wynikające z Krajowych Ram Interoperacyjności – w praktyce brakowało jednolitego nadzoru, jasnych standardów i realnych mechanizmów egzekwowania obowiązków. Co więcej, mimo rosnącej skali zagrożeń cyberbezpieczeństwo nie było zadaniem pierwszej potrzeby.
Szansę na to, by zmienić ten stan rzeczy, daje uchwalona 29 stycznia nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa. Przygotowano ją m.in. we współpracy ze środowiskiem akademickim. Dostosowuje ona poziom wymagań cyberbezpieczeństwa do realnego poziomu ryzyka. W praktyce oznacza to zróżnicowanie
obowiązków po stronie uczelni i instytutów. Najwyższe wymagania dotyczą konkretnych systemów i procesów związanych z badaniami stosowanymi i pracami rozwojowymi. Pozostałe obszary działalności uczelni i instytutów
objęte są mniej rygorystycznymi, choć nadal wysokimi standardami. Takie rozwiązanie pozwala skutecznie chronić te elementy systemu nauki, które rzeczywiście mają znaczenie strategiczne, bez paraliżowania codziennego funkcjonowania uczelni.
Istotna zmiana dotyczy jednoznacznego określenia odpowiedzialności. Znowelizowana ustawa wyraźnie przypisuje jednostkom naukowym, rektorom i dyrektorom instytutów obowiązki w zakresie cyberbezpieczeństwa. Przyznaje też ministrowi nauki i szkolnictwa wyższego szeregu uprawnień i obowiązków w zakresie nadzoru i kontroli. Co ważne, system nie ogranicza się do sankcji. Przewiduje bowiem zapewnienie środków na cyberbezpieczeństwo w nauce i
utworzenie CSIRT Nauka (Computer Security Incident Response Team, Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego).
Dzięki tym rozwiązaniom cyberbezpieczeństwo przestaje być wyłącznie kwestią techniczną. Jest elementem zarządzania i odpowiedzialności instytucjonalnej. Uczelnie i instytuty muszą wiedzieć, jak mają działać w tym zakresie – przekonuje dr hab. Dariusz Szostek, przewodniczący Zespołu ds.
Cyberbezpieczeństwa Konferencji Rektorów Akademickich Szkół Polskich.
Nowe podejście do cyberbezpieczeństwa w nauce to efekt współpracy władz publicznych ze środowiskiem akademickim. Przepisy znowelizowanej ustawy o Krajowym Systemie Cyberbezpieczeństwa uwzględniają zarówno wymogi prawa unijnego, jak też realia funkcjonowania polskich uczelni i instytutów.
To przykład regulacji, która łączy bezpieczeństwo państwa z poszanowaniem autonomii akademickiej. Dzięki otwartej dyskusji w toku procesu legislacyjnego zostały wypracowane standardy adekwatne do ryzyka, proporcjonalne i możliwe do wdrożenia – podsumowuje prof. Bogumiła Kaniewska, przewodnicząca KRASP. – Są to rozwiązania, których potrzebuje sektor nauki i szkolnictwa wyższego. Cyberbezpieczeństwo jest naszą wspólną odpowiedzialnością, nas, uczelni i instytutów, jak też organów władzy publicznej – dodaje przewodnicząca KRASP.
Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa czeka na podpis prezydenta.
MK, źródło: KRASP
Link do projektu?