W jaki sposób współpraca w ramach sektora pozwala na tańsze i efektywniejsze wdrożenia? Jakie daje korzyści? W jaki sposób pobudzić sektory do takiego działania i współpracy podmiotów, które często rynkowo są wobec siebie konkurencyjne? Jak współdziałać z regulatorem rynku (gdy jest) i jak radzić sobie, gdy go nie ma? Te zagadnienia były podczas KSC Forum 2019 tematem dyskusji w grupie roboczej „Współpraca sektorowa – klucz do budowania świadomości i efektywnej kooperacji”. Przedstawiamy wypracowane przez jej uczestników wnioski.

Co ułatwia a co utrudnia współpracę?

Partnerstwa publiczno – prywatne  (PPP)

PPP zostało zidentyfikowane jako forma współpracy, która może wspierać regulacje prawne i przyczyniać się do podnoszenia poziomu cyberbezpieczeństwa, zarówno w pojedynczych organizacjach, jak i w skali kraju. 

PPP było rozumiane w trzech aspektach:

1. Współpraca w obrębie sektora publicznego – instytucje państwowe powinny mieć spójny przekaz w zakresie cyberbezpieczeństwa, a w związku z tym powinny między sobą współpracować.
2. Współpraca w obrębie sektora prywatnego – organizacje objęte UoKSC powinny podejmować ze sobą współpracę zarówno w obrębie własnego sektora, jak i pomiędzy sektorami. 
3. Współpraca pomiędzy sektorem prywatnym i publicznym – współpraca pomiędzy administracją publiczną i sektorem prywatnym jest łatwiejsza, kiedy sektor publiczny ma spójny komunikat, a sektor prywatny już między sobą współpracuje.

W tym zakresie uczestnicy zidentyfikowali kilka wyzwań:

• standardy i kodeksy dobrych praktyk – określenie jasnych i precyzyjnych standardów dla współpracy oraz opracowanie kodeksów dobrych praktyk sprzyja budowaniu partnerstw publiczno – prywatnych;
• budowanie świadomości – zwiększanie świadomości na temat potrzeby współpracy w zakresie cyberbezpieczeństwa sprawia, że łatwiej podejmować wspólne działania;
• zarządzanie zmianą – nowe regulacje prawne są znacznym wyzwaniem dla każdej organizacji, dlatego właściwe zarządzanie zmianą jest jednym z istotniejszych czynników w budowaniu PPP;
• systematyczne budowanie relacji – PPP opiera się na współpracy, ale musi być ona systematyczna. Warto także wydelegować do niej konkretne osoby, ponieważ ciągła rotacja nie sprzyja budowaniu relacji i zaufania;
• jasne i precyzyjne komunikaty – ważne, aby komunikaty wymieniane miedzy różnymi organizacjami i sektorami były jasne i precyzyjne, dzięki temu łatwiej uniknąć nieporozumień i osiągnąć zamierzone cele;
• synergia miedzy sektorami – współpraca w ramach PPP powinna być nastawiona na osiąganie synergii pomiędzy sektorami, dzięki temu może realnie przyczyniać się do podnoszenia poziomu cyberbezpieczeństwa;
• CSIRT sektorowy – pożądaną formą współpracy w zakresie cyberbezpieczeństwa jest CSIRT sektorowy lub inne formy wspierające działania operacyjne.

Sektorowe zespoły ds. cyberbezpieczeństwa

Uczestnicy dyskutowali na temat powołania sektorowych zespołów ds. cyberbezpieczeństwa. Jako powody braku powstawania takich form współpracy zidentyfikowano:

• czas – od przyjęcia UoKSC nie upłynęło jeszcze dość czasu. W niektórych sektorach dopiero niedawno zakończyło się wyznaczanie operatorów, którzy teraz dostosowują się do nowych wymagań ustawowych;
• brak środków – powołanie sektorowego zespołu ds. cyberbezpieczeństwa wymaga znacznych nakładów finansowych oraz zatrudnienia ludzi o konkretnych kompetencjach, których nie jest łatwo pozyskać.

Zidentyfikowano także potrzebę tzw. „poruszyciela” sektorowego – instytucji/osoby, która zintegrowałaby sektor. 

Inicjatywa sektorowego zespołu powinna być przy tym dobrze rozumiana przez operatorów. Nie może być to tylko nakaz ze strony administracji, bo wtedy taka struktura nie doniesie sukcesu i nie spełni swojej roli. 

W kontekście sektorowego zespołu ds. cyberbezpieczeństwa dyskutowana była formuła CSIRT sektorowego oraz ISAC sektorowego jako bardziej elastycznej struktury.  

Opracowała: Magdalena Wrzosek, Kierownik Zespołu Analiz Strategicznych i Wpływu Nowoczesnych Technologii NASK PIB, moderator grupy roboczej „Współpraca sektorowa – klucz do budowania świadomości i efektywnej kooperacji”.