W oparciu o materiał naszego Partnera Thales Polska przedstawiamy opracowanie Ekspertów JBW.
Technologia 5G stała się jednym z bardziej kontrowersyjnych tematów, wywołujących nierzadko skrajne emocje. Wątpliwości w zakresie bezpieczeństwa z punktu widzenia naszego zdrowia spowodowały protesty na całym świecie. Jednak obok kwestii zdrowotnych, technologia 5G wiąże się również z innymi zagrożeniami. W związku z centralizacją infrastruktury przesyłu danych z wykorzystaniem technologii 5G, pod znakiem zapytania staje kwestia bezpieczeństwa narodowego, w tym bezpieczeństwa infrastruktury krytycznej kraju. Niniejszy artykuł ma na celu omówienie potencjalnych zagrożeń w tym zakresie, jak również możliwych sposobów zminimalizowania ryzyka.
I. Bezpieczeństwo infrastruktury krytycznej
Produkcja oraz przesył energii elektrycznej to jedne z najbardziej kluczowych funkcji dla sprawnego funkcjonowania społeczeństw i państw. Pozbawienie społeczeństwa dostępu do energii elektrycznej może wiązać się z rozruchami społecznymi oraz zaburzeniem stabilności funkcjonowania państw.
Niezależnie od tego w jaki sposób produkowana będzie energia elektryczna, należy przewidzieć ryzyko związane z potencjalnym atakiem na systemy sterujące produkcją i dystrybucją energii. Systemy te zwane są „systemami automatyki przemysłowej” i stanowią rozwiązania informatyczne sterujące nie tylko produkcją i dystrybucją prądu, ale wszelkimi procesami wytwórczymi w fabrykach, dystrybucją paliw z wykorzystaniem rurociągów, transportem kolejowym, lotniczym. Systemy automatyki zwane także: „Operational Technology” (OT) stają się coraz częściej celem ataków hakerskich, które wcześniej w znaczącej mierze koncentrowały się na systemach IT „Information Technology”, tj. systemach biurowych (kadrowych, finansowo-księgowych,) oraz e-commerce. Systemy OT były także celem ataków, przy czym przyczyny tych ataków były zwykle polityczne i stanowiły element tzw. wojny hybrydowej.
Według raportu spółki Thales, w ostatnich latach mieliśmy do czynienia z następującymi atakami:
1) rosyjska grupa ATK14 (Black Energy) pozbawiła 1,4 mln mieszkańców Ukrainy energii elektrycznej i ciepła na kilka godzin w grudniu zimą 2015 roku;
2) w 2016 r. w wyniku ataku „Industroyer” została odłączona podstacja Pivnichna na Ukrainie, co skutkowało pozbawienie prądu ok. 1/5 gospodarstw domowych w Kijowie;
3) w październiku 2019 r. nastąpił atak na największą indyjską elektrownię jądrową, Kudankulam (łączna moc 2000 MWe), którą zaatakowała północnokoreańska grupa hakerska ATK3 (APT38);
4) dnia 19 marca 2019 r. Norsk Hydro z Norwegii ogłosiła, że po cyberataku przeszła w „tryb ręczny” oraz tymczasowo wstrzymała produkcję aluminium w kliku innych zakładach.
Z innych przykładów ataków na zautomatyzowane systemy przemysłowe opisanych przez spółkę Thales w raporcie ze stycznia 2020 r. „Report on Cyber Threats to Operational Technologies in the Energy Sector”1 można wymienić atak z 2017 r. na instalację naftowo-gazową w Arabii Saudyjskiej, która w wyniku tego ataku musiała zostać zamknięta. Złośliwe oprogramowanie było wymierzone w system bezpieczeństwa spółki Schneider, do którego dostęp został uzyskany poprzez atak phishingowy, który pozwolił na uzyskanie dostępu administracyjnego w sieci IT. Hakerzy następnie włamali się do stacji roboczej administratora systemu po przekroczeniu strefy zdemilitaryzowanej DMZ, stanowiącej bramę pomiędzy światem IT a OT. Kolejno uzyskano dostęp do kontrolerów Safety Instrument System, którzy zostali ustawieni w trybie umożliwiającym atakującym ich przeprogramowanie. Atakujący penetrowali sieć OT spółki Schneider przez wiele miesięcy, kiedy to przejęli systemy bezpieczeństwa, używając do tego podatności „zero-day”, czyli narzędzie wykorzystujące błąd w systemie informatycznym.
Ilość ataków na systemy automatyki przemysłowej radykalnie wzrasta. W swoim raporcie Thales zawarł następujące zestawienie: według analiz IMP liczba ataków na przemysłowe systemy automatycznego sterowania wzrosła o 600% w latach 2012-2014, a według raportu rocznego Dell z 2015 r. liczba ataków na systemy typu SCADA wzrosła w tym samym okresie ponad siedmiokrotnie.
Unia Europejska zainicjowała działania w zakresie ochrony infrastruktury krytycznej poprzez uchwalenie Dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii. Dyrektywa ta zobowiązuje wszystkie państwa członkowskie do zagwarantowania minimalnego poziomu krajowych zdolności w dziedzinie bezpieczeństwa teleinformatycznego w zakresie usług kluczowych, takich, jak m.in. sektory: energetyczny (m.in. energia elektryczna, ropa naftowa, gaz), transportowy (lotniczy, kolejowy, morski), czy zaopatrzenia w wodę. Dyrektywa ta została implementowana w Polsce w drodze ustawy z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa2.
II. Infrastruktura krytyczna technologii 5G
Pierwsza generacja (1G) sieci bezprzewodowych przyniosła pierwsze telefony komórkowe, które służyły do przeprowadzania bezprzewodowych rozmów telefonicznych. Technologia 2G wprowadziła ulepszony zasięg i SMS-y. Następnie wprowadzono 3G z transferem danych oraz 4G jako długoterminowa ewolucja (LTE) zwiększająca prędkość przesyłu danych, aby nadążyć za popytem na dane mobilne. Obecnie wprowadzana jest piąta generacja (5G) technologii bezprzewodowej, polegająca na całkowitej transformacji sieci telekomunikacyjnych, wprowadzająca wiele korzyści, takich jak wyższe szybkości transmisji danych (ekstremalnie szybkie prędkości pobierania), bardzo niskie opóźnienia (prawie w czasie rzeczywistym interaktywność) i zwiększona przepustowość sieci (zezwalanie do połączenia wielu innych urządzeń jednocześnie). Wraz z pojawieniem się na rynku pierwszych urządzeń opartych na technologii 5G, pojawiły się obawy społeczeństwa związane z narażeniem na tak duże promieniowanie. Jednak kwestie zdrowotne to nie jedyne zagrożenia związane z technologią 5G. Stworzenie zupełnie nowej infrastruktury krytycznej, której zarządzanie jest scentralizowane, zagrażać może bezpieczeństwu narodowemu w związku z utratą kontroli nad własnymi danymi.
Różnica pomiędzy 4G a 5G polega na tym, że sieć 5G ma wykraczać poza typowe przypadki użycia łączności komórkowej. Zostanie rozszerzona na przypadki użycia Smart City, inteligentnych fabryk, centr dystrybucyjnych i innych branż. Tak więc zagrożenia, które obecnie występują w sieci 4G, obliczane głównie w kontekście bezpieczeństwa danych i poufności danych, stają się kwestią bezpieczeństwa operacyjnego i integralności.
Agencja ds. Cyberbezpieczeństwa i Infrastruktury w Stanach Zjednoczonych (Cybersecurity and Infrastructure Security Agency; „CISA”) przedstawiła narodową strategię ochrony infrastruktury 5G, opartą na 4 filarach:
1) ułatwienie wdrażania 5G na rynku krajowym;
2) ocenie ryzyka i identyfikacji podstawowych zasad zabezpieczeń infrastruktury 5G;
3) Zaadresowanie zagrożeń dla gospodarki Stanów Zjednoczonych i bezpieczeństwa narodowego w okresie rozwoju oraz wdrożenia infrastruktury 5G na całym świecie;
4) Promocji odpowiedzialnego globalnego rozwoju i wdrożenia 5G.
Każda z inicjatyw strategicznych odnosi się do ryzyk związanych z zabezpieczeniem wdrożenia 5G, takich jak problemy z bezpieczeństwem, próby wpłynięcia na architekturę sieci, luki w łańcuchu dostaw 5G oraz zwiększona ilość ataków złośliwych oprogramowań. W ramach każdej inicjatywy strategicznej znajdują się cele, które definiują konkretne działania i obowiązki w zakresie zapewnienia bezpieczeństwa i odporności technologii 5G.
Bezpieczeństwo łańcucha dostaw 5G jest stale zagrożone. Jak wskazano w ww. strategii, podczas gdy niektóre urządzenia 5G mogą pochodzić od zaufanego dostawcy, komponenty produkowane lub obsługiwane przez niezaufanych partnerów mogą negować wszelkie stosowane środki bezpieczeństwa. Te komponenty mają możliwość wpływania na łączność i bezpieczeństwo przesyłanych danych i informacji.
Dostawcy wysokiego ryzyka i niesprawdzone komponenty mogą potencjalnie zwiększyć podatność łańcucha dostaw 5G na złożone ryzyka. W celu ochrony przed lukami w zabezpieczeniach, niezbędnym może się okazać partnerstwo publiczno-prywatne w zakresie zarządzania ryzykiem w łańcuchu dostaw, podobnie jak współpraca z grupą zadaniową, definiującą procesy, które priorytetyzują ryzyka na podstawie ich wagi oraz wpływu na krytyczne procesy i funkcje dotyczące zarządzania ryzykiem w łańcuchu dostaw 5G. Ponadto opracować należałoby dostosowane do potrzeb produkty informacyjne, które koncentrować się będą na ryzyku w każdym z krytycznych sektorów infrastruktury. Zainteresowane strony mogą wykorzystać informacje i rozpocząć ustanowienie proaktywnych środków i powtarzalnych procesów zarządzania oraz oceny zagrożenia bezpieczeństwa ich łańcucha dostaw.
Kwestią bezpieczeństwa infrastruktury krytycznej 5G powinien zająć się wyspecjalizowany organ mający na celu ochronę interesu państwowego. W związku z globalnym wymiarem infrastruktury 5G, ważne znaczenie ma również współpraca z innymi rządami w opracowywaniu kryteriów ułatwiających wymianę informacji związanych z identyfikacją i zarządzaniem określonymi ryzykami łańcucha dostaw, w tym ryzykiem stwarzanym przez technologie 5G. Jak wskazuje CISA, kluczowym elementem jest umiejętność wykluczenia niektórych dostawców lub usunięcia niektórych produktów w celu złagodzenia zagrożenia bezpieczeństwa. Ta umiejętność stanie się coraz ważniejsza w rozwoju oraz wdrażaniu infrastruktury 5G.
Przed przejściem na samodzielną infrastrukturę pierwsze iteracje wdrożenia 5G będą działać równolegle z istniejącymi 4G LTE w zakresie infrastruktury i sieci rdzeniowych. Podczas gdy architektura 5G została zaprojektowana tak, aby była bezpieczniejsza, specyfikacje i protokoły 5G pochodzą jednak z poprzednich sieci, które zawierają starsze luki w zabezpieczeniach. Na przykład nakładka sieci ma rozszerzenie, którego wykorzystanie umożliwia przeprowadzenie ataku prowadzącego do obniżenia wersji – zmuszającego użytkownika sieci 5G do korzystania z 4G w celu wykorzystania przeciwko nim znanych luk w zabezpieczeniach. Te nieodłączne luki, wraz z nowymi i niezidentyfikowanymi zagrożeniami, wymagają współpracy sektora przemysłu z rządem w celu opracowania i zakomunikowania ulepszeń w zabezpieczeniach.
5G będzie wykorzystywać więcej komponentów niż poprzednie generacje sieci, a rozprzestrzenianie się infrastruktury 5G może wiązać się ze wzmożoną ilością ataków hakerskich. W celu przeciwdziałania tym zagrożeniom, istotną może okazać się współpraca ze środowiskiem akademickim, laboratoriami i centrami technologicznymi, ustanowienie programów testowych, które dotyczą wyzwań związanych z bezpieczeństwem i podatnością 5G, w zakresie telefonami 5G, radiowymi sieciami dostępowymi i innymi komponentami 5G. Ponieważ sieci 5G są wdrażane w krytycznych sektorach infrastruktury, będzie to wymagało zaangażowania w komunikowanie znanych zagrożeń i najlepszych praktyk wspierających bezpieczne i odporne na ataki 5G.
Udoskonalone możliwości technologii 5G będą obsługiwać szereg nowych funkcji i urządzeń, wprowadzając je do użycia. Z możliwością podłączenia miliardów urządzeń w sieci aplikacje takie jak inteligentne miasta będą wymagały zwiększonego bezpieczeństwa w postaci ochrony podłączonych urządzeń przed potencjalnymi zagrożeniami i lukami w zabezpieczeniach.
We wdrażaniu 5G CISA kładzie nacisk na zapewnienie, aby podmioty będące pod wpływem państwa nie zdominowały rynku 5G. Ważna jest więc współpraca w celu wspierania inicjatyw badawczo-rozwojowych i programów nagród, które skutkują bezpieczeństwem i odpornością technologii i możliwości 5G. Wspierając tego typu wysiłki, państwo powinno stymulować innowacje i rozwijać zaufaną społeczność dostawców na rzecz przyszłości 5G.
Pomoc w zarządzaniu ryzykiem związanym z technologiami 5G polegać będzie na współpracy agencji rządowych w celu koordynowania, identyfikowania, rozwijania lub dostosowywania wysiłków badawczo-rozwojowych w celu zaspokojenia strategicznych potrzeb 5G. Te wysiłki zaowocują narzędziami, technologiami i produktami informacyjnymi, które pomogą wypełnić lukę między przemysłem a społecznościami użytkowników końcowych, zapewniając zainteresowane stron, które lepiej rozumieją, jak bezpiecznie wdrażać infrastrukturę i technologię 5G oraz wykorzystają wszystkie korzyści z nią związane. Należy również analizować komponenty od dostawców 5G i zgłaszać wszelkie długoterminowe ryzyka, które mają wpływ na zdolność do bezpiecznego komunikowania się i udostępniania informacji.3
III. Podsumowanie
Dzięki ulepszonym właściwościom, takim jak zwiększona prędkość przesyłu danych i niezawodna łączność, sieć 5G jest elementem rewolucji cyfrowej, która umożliwia rozwój wielu nowych i ulepszonych usług, jak autonomiczne pojazdy, inteligentne miasta, rzeczywistość rozszerzona i zdalne operacje. Biorąc jednak pod uwagę potencjał różnych zastosowań i zależność przyszłej infrastruktury od sieci, stawka w zakresie ochrony sieci przed atakami nie może przewyższać potencjalnych korzyści.
Wykorzystanie możliwości partnerstw, również z podmiotami prywatnymi, w sektorze infrastruktury krytycznej powinno być jednym z filarów wysiłków państwa w zakresie 5G, ponieważ charakter środowiska ryzyka uniemożliwia jakiemukolwiek pojedynczemu podmiotowi zarządzanie ryzykiem całkowicie samodzielnie. Ponadto w zakresie zapewnienia międzynarodowego bezpieczeństwa infrastruktury 5G, zalecana jest współpraca z rządami innych państw. Istotne wsparcie mogą też zapewnić środowiska akademickie, organizacje non-profit i sojusznicy międzynarodowi w celu wdrożenia strategicznych inicjatyw i zdefiniowanych celów.
Marlena Wach – Radca prawny, doktor nauk prawnych
Małgorzata Puto – Prawnik
1Raport dostępny pod adresem: https://www.ge.com/content/dam/gepower/global/en_US/documents/services/cyber/GE_&_Thales_cyber_security_report_2020.pdf.
2Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz. U. z 2020 r. poz. 1369).
3Zob. CISA 5G STRATEGY Ensuring the Security and Resilience of 5G Infrastructure In Our Nation, 2020, U.S. Department of Homeland Security Cybersecurity and Infrastructure Security Agency.
