Nowy wymiar cyberobrony: BKA otrzymuje rozszerzone uprawnienia
Niemiecka architektura bezpieczeństwa stoi przed znaczącą przemianą: wraz z planowaną ustawą o wzmocnieniu cyberbezpieczeństwa Federalny Urząd Kryminalny (BKA) ma w przyszłości otrzymać uprawnienie do aktywnego występowania przeciwko infrastrukturom napastników. Federalny minister spraw wewnętrznych Alexander Dobrindt (CSU) określił zamierzenie jako "kamień milowy dla architektury bezpieczeństwa Niemiec" i zapowiedział: "Uderzamy w odwecie, wyłączamy zagrożenie. Gdy zostaniemy zaatakowani, będziemy mogli zakłócać napastników i niszczyć ich infrastrukturę."
Ta nowa forma "aktywnej cyberobrony" wyznacza zmianę paradygmatu w niemieckiej strategii cyberbezpieczeństwa. Podczas gdy dotąd na pierwszym planie stały przede wszystkim działania defensywne, teraz ma być możliwe prewencyjne występowanie przeciwko potencjalnym zagrożeniom.
Od ochrony pasywnej do aktywnej obrony
Dotąd niemiecka cyberobrona ograniczała się głównie do działań reaktywnych. "Dotychczas przy atakach reagowaliśmy, próbując przekierować je do nieszkodliwych obszarów sieci", wyjaśnił minister Dobrindt dotychczasowy sposób postępowania. Metody te były wprawdzie skuteczne, stanowiły jednak maksimum dotychczasowych aktywnych działań obronnych.
W przyszłości na celowniku mają móc znaleźć się także oprogramowanie i serwery napastników za granicą. To rozszerzenie uprawnień uzasadniane jest politycznie zmienioną sytuacją bezpieczeństwa i zwiększoną pilnością w cyberprzestrzeni.
Konkretne scenariusze zastosowania nowych uprawnień
BKA ma według nowych regulacji otrzymać uprawnienie do zwalczania różnych rodzajów infrastruktur napastników:
- urządzenia IoT nadużywane do cyberataków
- serwery służące jako centra dowodzenia i kontroli
- przejęte instancje chmurowe
- serwery Command & Control do koordynowania ataków DDoS
Celem jest możliwość wczesnej interwencji, aby od razu udaremniać ataki takie jak DDoS, zanim zdołają wyrządzić szkody.
Odgraniczenie od kontrowersyjnej koncepcji hackbacku
Minister Dobrindt podkreślił, że planowane działania nie są hackbackiem. Hackback to "nieukierunkowane uderzenie odwetowe", podczas gdy tutaj na pierwszym planie stoi konkretne zapobieganie zagrożeniom przez Federalny Urząd Kryminalny, policję federalną i Federalny Urząd Bezpieczeństwa Informatycznego.
Dla zobrazowania minister przywołał analogię: "Gdy od pozostawionej bez opieki walizki wychodzi zagrożenie, wkraczamy przeciwko niemu, a nie wyjaśniamy najpierw, do kogo ta walizka należy." Kto dokładnie stoi za atakującym systemem, jest dla zapobiegania zagrożeniom nieistotne. Ważne jest tylko, aby ze struktury serwerowej wychodziło konkretne zagrożenie.
Na podstawie tego odgraniczenia rząd federalny nie widzi konieczności zmiany ustawy zasadniczej. Planowane działania mają mieścić się w ramach istniejących możliwości konstytucyjnych.
Krytyczne głosy ze społeczeństwa obywatelskiego
Mimo zapewnień rządu federalnego krytycy widzą w regulacji problematyczne uprawnienie do hackbacku. Ich główna obawa: przy profesjonalnych cyberatakach regularnie nadużywane są cudze urządzenia, przez co działania mogłyby dotknąć nie właściwych sprawców, lecz niezaangażowane osoby trzecie.
Planowane działania w zakresie cyberbezpieczeństwa wpisują się w serię projektów ustaw przyznających policji i prokuraturom rozszerzone uprawnienia. Po planach retencji danych, ustawach wdrażających cyfrowe zabezpieczanie dowodów oraz uprawnieniach do analizy danych i biometrycznych porównań w internecie jest to już trzeci duży pakiet tego rodzaju.
Szczególnie krytykowane jest planowane tempo prac legislacyjnych, ponieważ projekty mają przejść przez Bundestag w trybie ekspresowym.
Klasyfikacja i znaczenie dla branży bezpieczeństwa
Nowe uprawnienia stanowią znaczne rozszerzenie państwowych działań w zakresie cyberbezpieczeństwa. Dla przedsiębiorstw i organizacji oznacza to z jednej strony potencjalnie silniejszą ochronę przed cyberatakami, z drugiej powstają także nowe wyzwania prawne i techniczne.
Aktywna cyberobrona postrzegana jest jako konieczne uzupełnienie istniejących środków ochrony, takich jak utwardzanie systemów IT czy ustawowe zobowiązania do większego bezpieczeństwa IT wynikające z reguł NIS2.
Wpływ na branżę techniki zabezpieczeń
Rozszerzone uprawnienia państwa mogłyby zmienić wymagania wobec prywatnych rozwiązań bezpieczeństwa. Przedsiębiorstwa będą prawdopodobnie mogły mocniej polegać na solidnych, koordynowanych państwowo działaniach obronnych, podczas gdy jednocześnie ważniejsza stanie się dokumentacja i przejrzystość ich własnych środków bezpieczeństwa.
Perspektywy: wyzwania prawne i techniczne
Wdrożenie nowych uprawnień przyniesie ze sobą różne wyzwania. Trzeba będzie uwzględnić zarówno aspekty prawa międzynarodowego, jak i praktyczne odróżnianie systemów legalnych od nadużywanych.
Dla branży bezpieczeństwa powstają nowe możliwości kooperacji z jednostkami państwowymi, jednocześnie rosną jednak także wymagania wobec dokumentacji i możliwości prześledzenia środków bezpieczeństwa.
Nadchodzące miesiące pokażą, jak rozwinie się debata o rozszerzonych uprawnieniach i jakie konkretne skutki nowe regulacje będą miały dla krajobrazu cyberbezpieczeństwa w Niemczech.
