CS Úřední věstník Evropské unie C 255/98

Stanovisko Evropského hospodářského a sociálního výboru ke sdělení Komise Evropskému parlamentu, Radě, Evropskému hospodářskému a sociálnímu výboru a Výboru regionů o ochraně kritické informační infrastruktury – „Ochrana Evropy před rozsáhlými počítačovými útoky a narušením: zvyšujeme připravenost, bezpečnost a odolnost“

(KOM(2009) 149 v konečném znění)

(2010/C 255/18)

Zpravodaj: pan McDONOGH

Dne 30. března 2009 se Evropská komise, v souladu s článkem 262 Smlouvy o založení Evropského společenství, rozhodla konzultovat Evropský hospodářský a sociální výbor ve věci

sdělení Komise Evropskému parlamentu, Radě, Evropskému hospodářskému a sociálnímu výboru a Výboru regionů o ochraně kritické informační infrastruktury - „Ochrana Evropy před rozsáhlými počítačovými útoky a narušením: zvyšujeme připravenost, bezpečnost a odolnost“

KOM(2009) 149 v konečném znění.

Specializovaná sekce Doprava, energetika, infrastruktura a informační společnost, kterou Výbor pověřil přípravou podkladů na toto téma, přijala stanovisko dne 12. listopadu 2009. Zpravodajem byl pan McDONOGH.

Na 458. plenárním zasedání, které se konalo ve dnech 16. a 17. prosince 2009 (jednání dne 16. prosince 2009), přijal Evropský hospodářský a sociální výbor následující stanovisko 179 hlasy pro, 4 členové se zdrželi hlasování.

1. Závěry a doporučení

1.1 Výbor vítá sdělení Komise o akčním plánu pro ochranu kritické informační infrastruktury (KII) v Evropě. Výbor sdílí obavy Komise ze zranitelnosti Evropy vůči rozsáhlým počítačovým útokům, technickým selháním, útokům způsobeným člověkem a přírodním pohromám a z potenciálních obrovských škod na hospodářství a prosperitě jejích občanů. Jsme s Komisí zajedno v názoru, že je třeba neprodleně podniknout nutné kroky ke zlepšení koordinace a spolupráce v EU při řešení těchto kritických otázek. Souhlasíme rovněž, že je nutné rychle vybudovat komplexní rámec politik na ochranu KII.

1.2 Výbor bere na vědomí závěry evropské ministerské konference o ochraně kritické informační infrastruktury a vyjadřuje silné znepokojení nad tím, že Evropa není dostatečně připravena reagovat na rozsáhlé počítačové útoky nebo narušení KII, neboť přístupy uplatňované v jednotlivých členských státech v oblasti ochrany KII bývají často nevyvážené a nepřiměřeně koordinované. Dnešní závažná situace vznikala zřejmě postupně s vývojem internetu a chybějícím velkosystémovým přístupem k bezpečnosti a odolnosti informačních infrastruktur. Nyní však již bylo konstatováno, že je třeba jednat, a Výbor tedy vyzývá Komisi, aby se problémem rozhodně a bezodkladně zabývala.

1.3 Výbor podporuje akční plán vysoké úrovně o pěti pilířích popsaný ve sdělení a gratuluje Komisi k odvedené práci, neboť vypracovat integrovaný mnohostranný víceúrovňový přístup k posílení bezpečnosti a odolnosti KII je nesmírně obtížné, zejména když se jedná o tak nesourodou řadu zúčastněných stran a komplexní evropské informační infrastruktury. Oceňuje rovněž podpůrnou roli, jež sehrála Evropská agentura pro bezpečnost sítí a informací (ENISA), a její přínos ke splnění cílů tohoto sdělení.

1.4 Výbor si je vědom nedostatečné činnosti zúčastněných stran při provádění usnesení Rady 2007/C 68/01, jež se vztahuje na bezpečnost a odolnost infrastruktur IKT (1). Obtíže spojené s rozvojem účinných politik na ochranu evropských nejkritičtějších informačních infrastruktur nahrávají těm, kteří by rádi KII napadli z politických či finančních důvodů. Výbor by proto ocenil, kdyby Komise důrazněji prosazovala silnou vedoucí pozici nutnou ke sjednocení všech zúčastněných stran a k provedení účinných opatření, která budou Evropu chránit před možným ohrožením jejích kritických informačních infrastruktur. Výbor nevěří, že akční plán popsaný ve sdělení bude mít zamýšlený efekt, pokud odpovědnost za jeho provádění nebude svěřena vhodnému regulačnímu orgánu.

1.5 Výbor upozorňuje Komisi na svá předchozí stanoviska, kde se vyjádřil k potřebě bezpečné informační společnosti, problematice bezpečnosti internetu a ochraně kritických infrastruktur.

2. Doporučení

2.1 Evropská unie by měla svěřit odpovědnost za provádění účinné ochrany kritických informačních infrastruktur v celé EU vhodnému regulačnímu orgánu, jehož členy by byli i členové Agentury EU pro základní práva.

2.2 Všechny členské státy by měly vypracovat vnitrostátní strategii, solidní politiku a připravit regulační prostředí, celostní vnitrostátní procesy řízení rizik a vhodná opatření a mechanismy zajišťující připravenost. V této souvislosti by měl každý členský stát zřídit skupinu pro reakci na počítačové hrozby (Computer Emergency Response Team – CERT) a přidružit ji k Evropské vládní skupině CERT (EGC) (2).

2.3 Komise by měla urychlit vytvoření Evropského partnerství mezi veřejným a soukromým sektorem pro odolnost (European Public Private Partnership for Resilience – E3PR) a propojit jej s činností ENISA a Evropské vládní skupiny CERT (EGC).

2.4 Osvědčené postupy řízení rizik by měly být využity v politice ochrany kritické informační infrastruktury na všech úrovních. Zejména potenciální náklady v případě selhání bezpečnosti a odolnosti by měly být vyčísleny a oznámeny příslušným odpovědným zúčastněným stranám.

2.5 Na zúčastněné strany neplnící své závazky vyplývající z politiky ochrany KII by měly být uvaleny finanční a další sankce úměrné riziku a nákladům spojeným se selháním systému způsobeným jejich nedbalostí.

2.6 Odpovědnost za bezpečnost a odolnost KII by měla především spočívat na velkých zúčastněných stranách – vládách, poskytovatelích infrastruktury a dodavatelích technologie – a nemělo by jim být umožněno, aby se vyhýbali odpovědnosti a převáděli závazky na podniky a soukromé spotřebitele.

Bezpečnost a odolnost musí být hlavními kritérii designu u veškerých informačních a komunikačních technologických systémů zaváděných v EU. Chtěli bychom pobídnout soukromé strany zajišťující ochranu KII, aby nepřetržitě usilovaly o zlepšení zejména v oblastech souvisejících s odolností, např. správě sítě, řízení rizik a zachování kontinuity provozu.

2.7.1 Určení osvědčených postupů a norem a dohled nad nimi by měly být nedílnou součástí všech politik orientovaných na prevenci selhání, opatření pro okamžitou reakci a obnovu KII.

2.7.2 Prioritu by mělo mít zavádění technologií IPv6 (nejnovější protokol pro internetové adresy) a DNSSEC (rozšíření ochrany systému doménových jmen) prostřednictvím internetu v EU, což by zvýšilo bezpečnost internetu.

2.8 Vyzýváme veřejné a soukromé zúčastněné strany, aby pravidelně spolupracovaly a testovaly svoji připravenost a opatření pro reakci pomocí cvičení. Plně podporujeme ve sdělení obsažený návrh Komise uspořádat první celoevropské cvičení do konce roku 2010.

2.9 V Evropě by se mělo podporovat silné odvětví bezpečnosti informací, které by drželo krok s kapacitou tohoto odvětví v USA, jež je velmi dobře financováno. Investice do V&V souvisejících s problematikou ochrany KII by měly být výrazně zvýšeny.

2.10 Je třeba posílit financování rozvoje dovedností a programů rozvoje znalostí a osvěty v oblasti počítačové bezpečnosti.

2.11 Ve všech členských státech by měly být zřízeny informační a podpůrné agentury, které budou MSP a občanům pomáhat chápat a dodržovat závazky vyplývající z politiky ochrany KII.

2.12 V zájmu bezpečnosti by EU měla prosazovat svůj postoj k budoucnosti řízení internetu (3), jenž požaduje přístup více založený na multilateralitě, který respektuje národní priority USA, ale také zohledňuje zájmy Evropské unie. Činnost EU v této oblasti by měla zahrnovat důkladné zvážení interakcí mezi kybernetickou bezpečností a respektováním veřejných a soukromých svobod.

3. Souvislosti

Hrozba rozsáhlých počítačových útoků na kritické informační infrastruktury

3.1.1 Součástí kritických informační infrastruktur (KII) jsou informační a komunikační technologie (IKT), jež poskytují podpůrné informační a komunikační platformy pro zásobování základním zbožím a službami, včetně funkcí klíčových pro společnost, jako jsou poskytování elektrické energie, vody, dopravy a bankovních, zdravotnických a havarijních služeb.

3.1.2 Pro KII je charakteristická vysoká míra integrace komplexních systémů, vzájemné závislosti na jiných infrastrukturách (např. elektrické energie) a také přeshraniční propojení s ostatními infrastrukturami. Tyto komplikované infrastruktury jsou tedy vystaveny četným rizikům, které by mohly vést ke katastrofickému selhání systémů, jež by ovlivnilo služby životně důležité pro společnost v mnoha členských státech. Rizika pramení z lidského faktoru, technického selhání, útoků způsobených člověkem (včetně trestných a politicky motivovaných útoků) a přírodních pohrom. Posouzení rizik poukazuje na nedostatky takových systémů a odhaluje zároveň, že je možné získat nad nimi kontrolu pomocí postupů, které úmyslně či neúmyslně ohrožují veřejné i soukromé svobody. Komise musí při přípravě právních předpisů Společenství zajistit dodržování základních práv.

3.1.3 Vlády a poskytovatelé životně důležitých služeb nemají ve zvyku zveřejňovat selhání bezpečnosti a odolnosti, pokud k tomu nejsou donuceni. I tak je však známo, že došlo k mnoha veřejným případům ohrožení kritické infrastruktury kvůli selhání bezpečnosti a odolnosti KII:

— v letech 2007 a 2008 byly zaznamenány rozsáhlé počítačové útoky v Estonsku, Litvě a Gruzii;

— poškození transkontinentáních podmořských kabelů ve Středozemním moři a v Perském zálivu v roce 2008 narušilo provoz internetu v mnoha zemích;

— v dubnu 2009 úředníci USA odpovědní za národní bezpečnost oznámili, že „kybernetičtí špióni“ pronikli do elektrické distribuční soustavy USA a zanechali za sebou počítačové programy, kterými lze systém narušit;

— v červenci musely USA a Jižní Korea řešit zcela veřejný útok typu odmítnutí služby (DoS – „denial of service“), do nějž bylo zapojeno 100 000–200 000 infikovaných tzv. „zombie“ počítačů a který postihl mnoho vládních internetových stránek.

3.1.4 Situaci značně zhoršují nekalé úmysly zločineckých band a používání kybernetické války k politickým účelům.

— Využitím slabin v operačních systémech osobních počítačů připojených k internetu vytvořily zločinecké bandy pomocí škodlivého sofwaru („malware“) sítě propojených zavirovaných počítačů („botnet“), které fungují jako jediný virtuální počítač a plní příkazy zločinců (jako internetoví roboti „zombies“ či paraziti „drones“). Botnety jsou využívány k řadě zločineckých aktivit a k podpoře rozsáhlých počítačových útoků teroristy a vládami zapojenými do kybernetické války, jež si botnety od zločinců pronajímají. Odhaduje se, že jeden takový botnet zvaný „Conficker“ má k dispozici 5 milionů počítačů.

3.1.5 Hospodářské náklady spojené se selháním KII by mohly být velmi vysoké. Podle odhadů Světového ekonomického fóra existuje v následujících deseti letech 10–20 % pravděpodobnost závažné poruchy KII s potenciálními celosvětovými hospodářskými náklady ve výši přibližně 250 miliard USD a ohrožením tisíců lidských životů.

Problém připravenosti, bezpečnosti a odolnosti

3.2.1 Internet je primární platformou, jež podporuje značnou část evropské KII. Struktura internetu je založena na vzájemném propojení milionů počítačů s globálně rozloženým zpracováním, komunikací a dohledem. Rozložená struktura je klíčová pro stabilitu a odolnost internetu a pro rychlou obnovu provozu v případě jakéhokoli problému. Znamená to však rovněž, že prakticky kterýkoli darebák se špatným úmyslem a základní znalostí problematiky může z okraje sítě spustit rozsáhlé počítačové útoky, např. využitím botnetů.

3.2.2 Globální komunikační sítě a KII se vyznačují vysokým stupněm přeshraniční propojenosti. Proto když je v jedné zemi nízká úroveň bezpečnosti a odolnosti sítě, může to nepříznivě ovlivnit bezpečnost a odolnost KII ve všech dalších zemích, s nimiž je propojena. Tato mezinárodní vzájemná závislost staví EU před povinnost zavést integrovanou politiku pro řízení bezpečnosti a odolnosti KII v celé Unii.

3.2.3 Úroveň znalostí a povědomí o rizicích pro KII je u většiny zúčastněných stran a v mnoha členských státech nízká. Velmi málo zemí má komplexní politiku pro řízení těchto rizik.

3.2.4 Navrhované reformy regulačního rámce pro sítě a služby elektronických komunikací zpřísní povinnosti operátorů s cílem zajistit, že budou přijata vhodná opatření k určení rizik, zaručena kontinuita poskytovaných služeb a hlášení o narušení bezpečnosti (4).

3.2.5 Velká většina technologií podporujících platformu pro KII je dodávána soukromým sektorem. Zajištění řádné spolupráce pro zabezpečení účinné ochrany pro KII záleží do značné míry na vysoké úrovni kompetence, důvěry, transparentnosti a komunikace mezi všemi zúčastněnými stranami – vládami, podniky a spotřebiteli.

3.2.6 Mnohostranný, víceúrovňový, mezinárodní přístup je zásadní podmínkou.

3.3 Akční plán o pěti pilířích

K řešení těchto úkolů Komise navrhuje akční plán o pěti pilířích:

1. Připravenost a prevence: zajištění připravenosti na všech úrovních;

2. Detekce a reakce: vytvoření přiměřeného mechanismu včasného varování;

3. Zmírňování a obnova: posílení obranných mechanismů EU pro KII;

4. Mezinárodní spolupráce: mezinárodní podpora priorit EU;

5. Kritéria pro odvětví IKT: podpora provádění směrnice o určování a označování evropských kritických infrastruktur (5).

V každé z těchto kapitol jsou stanoveny konkrétní cíle doplněné o termíny plnění, z nichž některé sahají až do konce roku 2011.

4. Připomínky

4.1 Rozvoj a zavádění účinné strategie pro ochranu KII postupem navrženým ve sdělení, jenž se ve vysoké míře opírá o konzultace a je založený na spolupráci a dobrovolnosti, bude velmi obtížné. Vzhledem k závažnosti a naléhavosti tohoto úkolu Výbor doporučuje Komisi, aby přezkoumala politiku uplatňovanou ve Spojeném království a Spojených státech, jejíž podstatou je svěření odpovědnosti a pravomoci vhodnému regulačnímu orgánu.

4.2 Výbor souhlasí s výzvou obsaženou v rezoluci Valného shromáždění OSN 58/199 Vytvoření celosvětové kultury kybernetické bezpečnosti a ochrana kritických informačních infrastruktur. Vzhledem k vzájemné závislosti mezi zeměmi v otázkách bezpečnosti a odolnosti KII („každý řetěz je právě jen tak silný jako jeho nejslabší článek“) je znepokojivé, že dosud pouze 9 členských států zřídilo skupiny pro reakci na počítačové hrozby (CERT) a připojilo se k Evropské vládní skupině CERT (EGC). Zřizování těchto skupin je třeba protlačit mezi priority mezivládní agendy.

4.3 K zúčastněným stranám v EU v oblasti kybernetické bezpečnosti patří každý občan, jehož život může záviset na životně důležitých službách. Právě občané mají odpovědnost co nejlépe chránit své připojení k internetu od útoků. Ještě větší odpovědnost leží na poskytovatelích technologie a služeb IKT, kteří KII dodávají. Je věcí zásadní důležitosti, aby všechny zúčastněné strany byly přiměřeně informovány o kybernetické bezpečnosti. Pro Evropu je rovněž významné, aby měla k dispozici velký počet kvalifikovaných expertů v oblasti bezpečnosti a odolnosti IKT.

4.4 Výbor doporučuje, aby měl každý členský stát svou organizaci, jejímž úkolem bude informovat, vzdělávat a podporovat odvětví MSP v otázkách souvisejících s kybernetickou bezpečností. Velké firmy mohou snadno získat potřebné znalosti, ale MSP potřebují podporu.

4.5 Vzhledem k tomu, že poskytování KII je převážně záležitostí soukromého sektoru, je důležité podporovat vysokou úroveň důvěry a spolupráce se všemi společnostmi odpovědnými za KII. Iniciativu EP3R, kterou Komise zahájila v červnu, je třeba ocenit a povzbudit. Výbor je však přesvědčen, že tato iniciativa musí být podpořena legislativou, aby bylo možné donutit ke spolupráci zúčastněné strany, které se samy odpovědně nezapojí.

4.6 Metoda řízení rizik existuje proto, aby pomáhala řešit právě druh problémů popsaných v tomto dokumentu. Komise by měla trvat na tom, aby se v rámci tohoto akčního plánu ve vhodných případech dodržovaly osvědčené postupy řízení rizik. Jako velmi přínosné se jeví zejména vyčíslení rizik a nákladů v případě selhání na každé úrovni KII. Je-li známa pravděpodobnost selhání a případné náklady, je snazší motivovat zúčastněné strany k činnosti. Snáze se u nich rovněž prosazuje finanční odpovědnost za nedodržení jejich povinností.

4.7 Velké zúčastněné strany se snaží omezit svou odpovědnost využitím své tržní síly tak, že nutí své zákazníky nebo dodavatele přijmout podmínky, které velkou společnost zbavují vlastní odpovědnosti, např. softwarové licenční dohody nebo dohody o vzájemném propojení mezi poskytovateli internetových služeb, které omezují odpovědnost za otázky bezpečnosti. Takové dohody by měly být nezákonné a odpovědnost by měla zůstat na hlavním subjektu.

4.8 Bezpečnost a odolnost by mohly a měly být součástí návrhu každé sítě IKT. Uspořádání síťových struktur v členských státech a EU jako celku by mělo být prioritně prozkoumáno, aby bylo možné určit nepřípustné koncentrace provozu informací a body s vysokým rizikem selhání sítě. Především vysoká koncentrace internetového provozu do velmi nízkého počtu výměnných uzlů internetu (IXP – Internet Exchange Points) v některých členských státech představuje nepřijatelné riziko.

4.9 Výbor také odkazuje Komisi na svůj komentář k dokumentu KOM(2008) 313 v konečném znění Modernizace internetu – akční plán pro zavedení internetového protokolu verze 6 (IPv6) v Evropě (6), jenž vyzdvihl přínos v oblasti bezpečnosti v důsledku zavedení IPv6 pro internet v celé EU. Ke zvýšení bezpečnosti internetu rovněž doporučujeme uplatňovat technologie DNSSEC, kdykoli je to možné.

4.10 Spojené státy zahájily svou politiku bezpečnosti v kybernetickém prostoru a v letech 2009 a 2010 plánují výdaje na kybernetickou bezpečnost v hodnotě 40 miliard dolarů. Jedná se o významnou finanční injekci do sektoru bezpečnosti, která bude mít za následek, že mnohé firmy působící v oblasti zabezpečení informační technologie, včetně evropských firem, budou své úsilí orientovat na USA. Tento krok bude rovněž stimulem pro americké bezpečnostní společnosti, aby si vydobyly vedoucí pozici ve světě. Je velmi žádoucí pro Evropu, aby měla vlastní špičkové odvětví, jež bude držet krok s americkými firmami, a pro odvětví bezpečnosti, aby soustředilo dostatečné úsilí do evropských potřeb v oblasti infrastruktury. Výbor doporučuje, aby Evropská komise posoudila, jakým způsobem by mohla vyvážit obrovskou finanční pobídku poskytovanou Spojenými státy.

4.11 Výbor podporuje nedávné sdělení Komise o budoucnosti řízení internetu (3). Je přesvědčen, že EU musí mít výraznější vliv na politiky a postupy sdružení ICANN (Internet Corporation for Assigned Names and Numbers) a úřadu IANA (Internet Assigned Numbers Authority). Nynější jednostranný dohled USA by měl být nahrazen dohodami o multilaterální mezinárodní odpovědnosti.

V Bruselu dne 16. prosince 2009 předseda Evropského hospodářského a sociálního výboru Mario SEPI

(1) KOM(2006) 251.

(2) http://www.egc-group.org.

(3) KOM(2009) 277 v konečném znění.

(4) Články 13a a 13b dokumentu KOM(2007) 697 v konečném znění obsahují návrhy na změny ve směrnici 2002/21/ES.

(5) Směrnice Rady 2008/114/ES.

(6) Úř. věst. C 175, 28.7.2009, s. 92.