W poniedziałek podczas konferencji na Uniwersytecie Śląskim w Katowicach zaprezentowano najważniejsze wnioski z raportu dot. cyberbezpieczeństwa w systemie szkolnictwa wyższego i nauki, który powstał dla Ministra Nauki i Szkolnictwa Wyższego. W wydarzeniu wzięli udział m.in. przedstawiciele resortu nauki oraz resortu cyfryzacji. Raport opracował zespół badaczy z jednostek z całego kraju pod kierownictwem przedstawicieli Uniwersytetu Śląskiego i Politechniki Śląskiej.

W ocenie kierownika projektu, w ramach którego powstał raport, dr. hab. Dariusza Szostka, prof. UŚ, aby system cyberbezpieczeństwa dla zróżnicowanego i specyficznego sektora nauki był wydajny, nie wystarczy skopiować scentralizowanych modeli korporacyjnych lub militarnych.

– Potrzeba rozwiązań wysoce wyspecjalizowanych, które będą równoważyć konieczność wdrożenia paradygmatu ograniczonego zaufania z zachowaniem otwartości i swobody prowadzenia badań naukowych – mówił badacz podczas konferencji, łącząc się z jej uczestnikami zdalnie.

Innymi słowy, konieczne jest połączenie wysokich wymogów cyberbezpieczeństwa (które, jak podkreślono, nie podlegają dyskusji) - z pozostawieniem otwartego charakteru nauki.

Stąd też – w ocenie autorów raportu – optymalnym podejściem jest zbudowanie struktury federacyjnej, która opiera się na jasnej i ustalonej hierarchii kompetencji decyzyjnych, przy jednoczesnym rozproszonym systemie wczesnego reagowania i z uwzględnieniem głosu środowiska naukowego.

Prezentując propozycję modelu takiej struktury, Dariusz Szostek wymienił takie poziomy jak: minister ds. nauki, sektorowy CSIRT dla nauki (czyli Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego), rada ds. cyberbezpieczeństwa (głos środowiska, jako ciało doradcze), regionalne centra operacji bezpieczeństwa, rektorzy uczelni/dyrektorzy instytutów oraz wewnętrzne jednostki uczelni.

Jak podkreślali autorzy raportu, z uwagi na prowadzenie specjalistycznych i zaawansowanych badań naukowych oraz posiadanie w swoich bazach danych o milionach ludzi (studentów, pracowników), uczelnie „dołączyły” do innych sektorów (m.in. finansowego czy administracyjnego), stając się celem cyberataków.

Potwierdzają to przytoczone dane z raportu Grant Thornton z czerwca br., przeprowadzonego wśród 50 uczelni w Polsce. Jak wskazano, doszło do blisko 25 tys. wycieków danych uwierzytelniających oraz zidentyfikowano blisko 60 tys. luk w infrastrukturze w polskich podmiotach nauki.

Autorzy raportu dodali, że znaczna część incydentów wynika bezpośrednio z braku podstawowych zasad cyberhigieny użytkowników. „Aż 32 przypadki wycieku były powiązane z rektorami polskich uczelni, co wskazuje na niski poziom kompetencji w tym zakresie i niestosowanie podstawowych zasad cyberhigieny” – podali.

Do wątku licznych danych będących w zasobach uczelni nawiązała wiceminister nauki prof. Maria Mrówczyńska, która przypomniała, że system szkolnictwa wyższego i nauki jest zróżnicowany – to uczelnie, instytuty badawcze, instytuty PAN, instytuty Sieci Badawczej Łukasiewicz. - Wszystkie te jednostki przechowują dane, które są bardzo cenne. Mamy wyniki badań, dane pracowników, dane milionów studentów, posiadamy informacje o własności intelektualnej tworzonej w tych jednostkach. Wszystkie te informacje są narażone na cyberataki – mówiła.

Wiceminister prof. Marek Gzik przypomniał z kolei, że w styczniu br. resort nauki przekazał uczelniom publicznym na poprawę szeroko rozumianego bezpieczeństwa, w tym cyberbezpieczeństwa, 200 mln zł. Wyraził przekonanie, że w tym roku będzie to podobna kwota.

Zaś senator Halina Bieda przypomniała, że 2027 r. Senat ustanowił Rokiem Świadomości i Bezpieczeństwa Informacyjnego. Wyraziła więc nadzieję, że będzie to okazja do działań w tym zakresie na różnych poziomach społecznych.

Wraz z wymienionymi przedstawicielami resortu nauki, w debacie na temat cyberbezpieczeństwa w nauce wziął również udział wiceminister cyfryzacji dr Michał Gramatyka. Zaapelował on o większą dbałość o swoje bezpieczeństwo w sieci. Jak bowiem mówił, dopóki akademicy nie będą odporni na cyberzagrożenia w sferze społecznej, np. będą mieli jedno hasło do wielu kont, to najlepsi specjaliści od cyberbezpieczeństwa niewiele pomogą.

Jednocześnie paneliści przyznali, że środowisko mierzy się z problemem pewnego rodzaju krnąbrności akademików. I choć podkreślono, że otwartość i swoboda nauki pozostaje priorytetem, to np. dwuetapowa weryfikacja do służbowego konta nie ogranicza przecież wolności naukowej. W tym kontekście wskazywano również, że uczelnia to zakład pracy, a więc powinno się do pewnych wymogów dostosowywać.

Ponadto Dariusz Szostek podkreślił, że dbałość o cyberbezpieczeństwo to niekończąca się historia – dziś bowiem można być zabezpieczonym w 100 procentach, ale jutro może zmienić się technologia i wszystko trzeba będzie na nowo tworzyć – stąd też konieczność ciągłego podnoszenia kompetencji kadr.

Dariusz Szostek zakończył debatę, mówiąc, że nie jest już pytaniem, czy dojdzie do cyberataku, ale kiedy. W jego ocenie do kilku ataków na infrastrukturę polskich uczelni dojdzie jeszcze w tym roku.

Pełny raport – po uwzględnieniu uwag od uczestników poniedziałkowej konferencji – ma być gotowy w przyszłym tygodniu. Raport jest częścią projektu obejmującego również m.in. materiały edukacyjne oraz cykle szkoleń dla pracowników z sektora nauki. (PAP)

Nauka w Polsce

akp/ bar/