ENISA ostrzega Europę
3 czerwca 2008 CERT Polska ENISA
(The European Network and Information Security Agency), czyli Europejska Agencja Bezpieczeństwa Sieci i Informacji, w swoim najnowszym raporcie General Report 2007 a także na swojej oficjalnej stronie, alarmuje Europę o konieczności większego zaangażowania państw członkowskich Unii Europejskiej w działania mające na celu podniesienie poziomu bezpieczeństwa sieciowej infrastruktury obejmującej ich własne kraje a także całą Europę, aby uchronić „europejski” Internet przed „cyber-atakiem 9/11″.
Niedostrzeganie faktycznego problemu zagrożenia, zwłaszcza w sektorach rządowym i bankowym, stwarza bardzo poważne zagrożenie dla strategicznych części europejskiej infrastruktury internetowej. Dlatego jak najszybciej powinny zostać podjęte zdecydowane działania, które poprawią aktualną sytuację.
W skali krajowej, nadal istnieje zbyt niski poziom świadomości istniejących zagrożeń, zwłaszcza wśród małych i średnich przedsiębiorstw, które stanowią 2/3 całości rynku ekonomicznego Unii Europejskiej. Niechęć do ponoszenia nakładów finansowych na zabezpieczenia sieci oraz na środki ochrony zasobów powoduje, że sieci należące do tych przedsiębiorstw stają się „najsłabszym ogniwem” infrastruktury Internetu, które może zostać wykorzystane w spektakularnym ataku. W tym zakresie ENISA widzi konieczność prowadzenia odpowiednich szkoleń oraz programów uświadamiających.
W skali europejskiej, problemy dotyczą niedostosowania odpowiednich struktur krajów członkowskich do działań nadzorujących bezpieczeństwo sieciowe i informacyjne. Tylko 14 z 27 krajów Unii posiada własne zespoły typu CERT (z czego 6 tego typu zespołów powstało dopiero w ubiegłym roku), natomiast w pozostałych krajach nie ma podobnych jednostek. Jakkolwiek, w tym zakresie sytuacja ma poprawić się
o tyle, że w najbliższych dwóch latach planowane jest utworzenie kolejnych 10 CERTów rządowych.
Jednak to, co jest najbardziej niepokojące, to powszechna niechęć niektórych organizacji do ujawniania informacji o naruszeniach bezpieczeństwa w ich sieci. ENISA dostrzega ogromny problem w braku zgłaszania
wielu istotnych przypadków naruszeń bezpieczeństwa w Internecie (w tym różnego typu ataków oraz kradzieży lub przecieku danych osobowych) do zespołów reagowania typu CERT, zajmujących się zbieraniem takich informacji, analizą skali zagrożenia oraz wdrażaniem odpowiednich środków interwencyjnych. Problem ten dotyczy w szczególności sektora bankowości, ale także małych i średnich przedsiębiorstw.
Zeszłoroczny cyber-atak DDoS na Estonię, który w kwietniu 2007 roku na 2 tygodnie sparaliżował estońskie serwisy informacyjne, rządowe i finansowe a także główny serwer DNS, wskazuje na bezwzględną konieczność poważniejszego potraktowania problemu. Stąd normą powinno stać się zgłaszanie wszelkich niepokojących zjawisk dotyczących naruszania bezpieczeństwa natychmiast po ich zaistnieniu. Tylko takie postępowanie może pozwolić na ocenę faktycznego stanu bezpieczeństwa w Internecie i odpowiednio wczesne wdrożenie zaawansowanych środków zapobiegawczych, które pozwoliłby uchronić funkcjonowanie strategicznych części infrastruktury sieci przed poważniejszymi zakłóceniami.
ENISA widzi rozwiązanie tych problemów w działaniach na poziomie globalnym, europejskim. Zdaniem organizacji ENISA dotychczasowe podejście do zgłaszania przypadków naruszeń bezpieczeństwa mogą zmienić przede wszystkim odpowiednie regulacje wprowadzone przez Unię Europejską, nakładające powszechny obowiązek dostarczania pełnych i rzetelnych informacji na temat zaistniałych incydentów przez wszystkie firmy i organizacje w krajach członkowskich Unii.
Nadmieńmy, że zespół CERT Polska (funkcjonujący w strukturach NASK), powołany do reagowania na zdarzenia naruszające bezpieczeństwo „polskiej części” sieci Internet, działa od 1996 roku i obsługuje ponad 2 tys. zgłoszeń rocznie.
CERT Polska aktywnie współpracuje z organizacją ENISA, powołaną w 2004 roku w celu nadzorowania poziomu bezpieczeństwa sieciowej infrastruktury Unii Europejskiej. Polski CERT rządowy (CERT GOV PL) został powołany w lutym 2008 roku.
