Główny wniosek z debaty: Polska musi szybciej uczyć się współdziałania. Potrzebujemy wspólnych ćwiczeń, lepszej komunikacji, kompetentnych zespołów, odpornej infrastruktury i odwagi, by wychodzić poza stare schematy. 

Panel podczas Kongresu Bezpieczeństwo Polski był rozmową nie o teorii cyberbezpieczeństwa, lecz o praktycznej odporności państwa, infrastruktury i organizacji. Wspólnym mianownikiem wypowiedzi panelistów była teza, że najgroźniejsze są dziś nie tylko ataki, lecz także iluzje: przekonanie, że można bronić się samemu, że bezpieczeństwo da się kupić jako produkt albo że kryzys dotknie wyłącznie technologii.

Cyberprzestrzeń została pokazana jako jedna, wspólna przestrzeń odpowiedzialności. Nie istnieje osobna cyberprzestrzeń wojskowa, cywilna, energetyczna czy biznesowa. Te światy są ze sobą połączone przez dane, infrastrukturę, łańcuchy dostaw, ludzi i procesy decyzyjne. Dlatego odporność państwa wymaga stałej współpracy wojska, administracji publicznej, operatorów infrastruktury krytycznej, dostawców technologii i sektora prywatnego.

Ważnym wątkiem była zmiana sposobu myślenia o infrastrukturze. Bezpieczeństwo nie kończy się na ochronie systemów przed atakiem. Coraz większe znaczenie ma zdolność działania w środowisku zdegradowanym: przy częściowym dostępie do danych, ograniczonej mocy obliczeniowej, przerwanej łączności, zakłóceniach energii czy presji na systemy OT. Pojawiła się także potrzeba myślenia kategorią „minimum viable company” — organizacji, która nawet po poważnym incydencie wie, które funkcje musi utrzymać, jak je odtworzyć i kto podejmuje decyzje.

Dyskusja pokazała również, że odporność cyfrowa jest nierozerwalnie związana z odpornością energetyczną i telekomunikacyjną. Sieci energetyczne, liczniki, systemy sterowania, łączność i transmisja danych są dziś elementami jednego organizmu państwa. W sytuacji kryzysowej technologia jest ważna, ale nie zawsze pęka pierwsza. Często wcześniej zawodzą komunikacja, przywództwo, zaufanie i koordynacja.

Szczególnie istotny był także wątek suwerenności technologicznej. Realistyczna suwerenność nie oznacza, że wszystko musi być krajowe. Oznacza natomiast kontrolę nad kluczowymi kompetencjami, danymi, scenariuszami odtworzeniowymi, dostawcami i łańcuchami zależności. Polska nie powinna próbować izolować się od globalnych ekosystemów, ale musi umieć budować własne zdolności, wzmacniać lokalne kompetencje i tworzyć zaufane alianse.

Odporność trzeba ćwiczyć, zanim sprawdzi ją realny kryzys. Nie wystarczą strategie, regulacje ani zakup technologii. Potrzebne są wspólne ćwiczenia, procedury odtworzeniowe, kompetentne zespoły, sprawna komunikacja i jasne przywództwo. Polska musi nauczyć się działać razem — nie dopiero wtedy, gdy zawiodą systemy, ale zanim to nastąpi.

W dyskusji udział wzięli:

• płk Jarosław Wacko, Dowództwo Komponentu Wojsk Obrony Cyberprzestrzeni
• Radosław Maćkiewicz, COI, Centralny Ośrodek Informatyki
• Kinga Piecuch, Prezes Zarządu, HPE
• Grzegorz Lot, Prezes Zarządu, TAURON Polska Energia
• Dariusz Piotrowski, VP, Dyrektor Zarządzający, Dell Technologies Polska
• Tomasz Sawko, Dyrektor Sektora Klientów Strategicznych, Obronności i Bezpieczeństwa, Orange Polska

Panel poprowadził: 

• Krzysztof Dyki, Współprzewodniczący Rady Programowej KBP, Przewodniczący Komitetu CISOs i CSOs

*Autor podsumowania: Krzysztof Dyki, Współprzewodniczący Rady Programowej KBP, Przewodniczący Komitetu CISOs i CSOs

Całą debatę można obejrzeć tutaj.