Spis treści
1. Cyberprzestrzeń i pojęcia pochodne
1.1. Cyberprzestrzeń 22
1.1.1. Definicje cyberprzestrzeni 23
1.1.2. Definicja autorska 27
1.2. Elementy składowe pojęć złożonych: zagrożenie, podatność, incydent
1.2.1. Zagrożenie 33
1.2.2. Klasyfikacja zagrożeń 36
1.2.3. Sposoby realizacji zagrożeń 39
1.2.4. Podatność 41
1.2.5. Incydent 43
1.3. Bezpieczeństwo i cyberbezpieczeństwo – analiza pojęć 46
2. O pomiarach (nie tylko) ryzyka 51
3. (Cyber)ryzyko 59
3.1. Pojęcie ryzyka w słownikach i potocznym rozumieniu 61
3.2. Pojęcie ryzyka w ujęciu formalnym 63
3.3. Ryzyko w podejmowaniu decyzji dla potrzeb bezpieczeństwa 66
3.4. Ryzyko a analiza skutków biznesowych 69
3.5. Zarządzanie ryzykiem związanym z przetwarzaniem informacji 74
3.5.1. Przegląd zapisów dotyczących cyberbezpieczeństwa i zarządzania ryzykiem w dokumentach unijnych i polskich 76
3.5.2. Przygotowanie organizacji do zarządzania ryzykiem 83
3.5.3. Analiza ryzyka 87
3.5.4. Wskazówki do przeprowadzania sesji „burzy mózgów” 95
3.5.5. Minimalizacja wartości ryzyka i akceptacja ryzyka szczątkowego 98
3.5.6. Praca operacyjna administrowanie ryzykiem 100
3.6. Cyberryzyko z perspektywy bezpieczeństwa państwa 106
3.6.1. Zarys problemu i propozycja jego rozwiązania 108
3.6.2. Koncepcja realizacji zadania zarządzania ryzykiem przez jednostki samorządu terytorialnego 115
4. Szacowanie ryzyka w zapewnianiu cyberbezpieczeństwa systemów informacyjnych 125
4.1. Propozycja metodyki analizy i postępowania z ryzykiem na potrzeby cyberbezpieczeństwa systemów informacyjnych 126
4.2. Algorytm metodyki APR 132
4.3. Problemy z szacowaniem ryzyka 136
4.3.1. Czarne Łabędzie 137
4.3.2. Wyrażanie niepewności 139
4.3.3. Mapy ryzyka 144
4.4. Analiza ryzyka i postępowanie z ryzykiem – przykłady 147
4.4.1. PRZYKŁAD 1 (działanie „siły wyższej”, utrata dostępności) 149
4.4.2. PRZYKŁAD 2 (działania błędne, utrata możliwości świadczenia usług) 158
4.4.3. PRZYKŁAD 3 (działania celowe, wyciek informacji) 162
4.4.4. Szacowanie ryzyka według organizacji Microsoft® 167
5. Cyberbezpieczeństwo sieci i systemów przemysłowych 171
5.1. Normy, standardy i zbiory „dobrych praktyk” dotyczące bezpieczeństwa sieci przemysłowych 179
5.1.1. Seria norm IEC 62443 181
5.1.2. Zalecenia organizacyjne SANS 185
5.1.3. Kompendium niemieckiego urzędu ds. bezpieczeństwa informacyjnego 188
5.2. Szacowanie ryzyka w zapewnianiu cyberbezpieczeństwa systemów przemysłowych
5.2.1. LOPA – analiza warstw zabezpieczeń
5.2.2. Analiza hazardu i gotowości systemu według
5.2.3. Analiza
5.3. Diagnostyka techniczna w zapewnianiu cyberbezpieczeństwa systemów przemysłowych
5.3.1. Testowanie jako element diagnostyki technicznej
6. Metodyki ochrony zasobów informacyjnych przed cyberatakami
6.1. Model diamentu i metodyka firmy
6.2.
7. Cyberbezpieczeństwo łańcuchów dostaw
7.1. Dostawa, logistyka, łańcuch dostaw − rys historyczny
7.2. Łańcuch dostaw i cyfrowy łańcuch dostaw −
7.3. Klasyfikacja
7.4. Bezpieczeństwo dostaw w zapisach wybranych standardów
Wprowadzenie
Inspirację do napisania tej książki stanowiły obserwacje przekazów medialnych, publikacji (mniej i bardziej naukowych) oraz dyskusji na forach takich jak LinkedIn dotyczących zagadnień „cyberbezpieczeństwa”. Z obserwacji tych wynika istotny wniosek –używane tam pojęcia, jak np. cyberprzestrzeń czy cyberbezpieczeństwo, generujące kolejne terminy takie jak „ataki cybernetyczne” czy „cyberhigiena” są różnie rozumiane i interpretowane w zależności od tego, jakie grupy lub poszczególne osoby tych pojęć używają, a tzw. „legalne” wykładnie tych pojęć tylko zaciemniają sprawę. Drugi powód to wzmożony przez różne regulacje prawne (NIS2, KRI, RODO, DORA itp.) nacisk na „ogląd” rzeczywistości przez pryzmat wyników szacowania ryzyka. Paradygmat postrzegania działalności biznesowej poprzez ryzyko związane z tą działalnością nie jest nowy – obowiązuje co najmniej od początku tego stulecia. Ostatnio jednak pojęcie ryzyka zostało przypisane do zdolności świadczenia usług przez organizacje nie tylko wchodzące w skład infrastruktury krytycznej, ale także przez podmioty publiczne, co jest dość istotną zmianą w stosunku do wcześniejszego postrzegania ryzyka i działalności biznesowej w skali państwa. W efekcie słowo ryzyko obok cyberbezpieczeństwa stało się słowem chyba najczęściej używanym w dyskusjach polityczno-militarno-gospodarczych i podstawą wielu przedsięwzięć na szczeblu poszczególnych organizacji biznesowych oraz organizacji takiej jak państwo. Dlatego zasadniczą część tej książki stanowią odniesienia do ryzyka jako podstawy podejmowania decyzji oraz sposobów jego szacowania.
Książkę Cyberprzestrzeń, cyberbezpieczeństwo, cyberryzyko można zaliczyć do grupy podręczników wspomagających kształcenie specjalistów
w dziedzinie cyberbezpieczeństwa. Może ona być przydatna także dla studentów, a także kadry zarządzającej podmiotami publicznymi oraz zakładami przemysłowymi, która musi się mierzyć z problemami cyberbezpieczeństwa zarówno z powodów praktycznych, jak i wprowadzonych uregulowań prawnych. Podstawową trudnością przy pisaniu tej książki był wynikający z ww. przyjętych założeń dobór tematów oraz sposób ich opisu. Mam nadzieję, że udało mi się to zrobić dobrze, chociaż zawsze istnieje obawa, że wybór i opis był nietrafiony – nie-technicy uznają go za zbyt techniczny, a technicy za zbyt powierzchowny. Uważam jednak, że książka ta może być przydatna dla specjalistów zajmujących się, z racji wykonywanej profesji, bezpieczeństwem informacyjnym oraz studentów szkół wyższych na specjalnościach mających w nazwach takie określenia, jak „cyberbezpieczeństwo”, „cyberobrona”, „bezpieczeństwo sieci i systemów”, „inżynieria bezpieczeństwa” itp., które to można znaleźć na kierunkach studiów nie tylko informatycznych, ale również na kierunkach takich jak „Bezpieczeństwo Narodowe” czy „Bezpieczeństwo Wewnętrzne”1.
Na książkę składa się siedem głównych rozdziałów. Rozdział pierwszy nosi tytuł „Cyberprzestrzeń i pojęcia pochodne”. Pojęcie cyberprzestrzeni, szeroko używane w przekazach medialnych i ogólnie w dyskursie publicznym, traktowane jest – co wskazano już we wstępie – jako coś zrozumialego samo przez się. Niestety prawda jest inna – wystarczy zapytać rozmówcę szermującego w dyskusji pojęciami cyberprzestrzeni czy cyberbezpieczeństwa, co te słowa znaczą i co opisują, a okaże się, że jest z tym kłopot. A przecież cyberprzestrzeń stanowi podstawę innych pojęć, mających przyrostki „cyber”. Proponowany, wraz z uzasadnieniem, sposób interpretacji tych pojęć to podstawowa treść rozdziału pierwszego. Wymienione w tytule rozdziału „pojęcia pochodne” to zagrożenie, podatność i incydent jako elementy składowe złożonych pojęć takich jak bezpieczeństwo i cyberbezpieczeństwo.
1 Uzupełnieniem treści zawartych w tej książce może być zawartość książki: Liderman K., Bezpieczeństwo informacyjne. Nowe wyzwania [28], w której można znaleźć m.in. informacje na temat formalnych modeli bezpieczeństwa, dokumentowania systemu (cyber)bezpieczeństwa oraz oceny stanu ochrony zasobów informacyjnych i systemów teleinformatycznych, na które zabrakło już miejsca w niniejszej książce.
