SK Úradný vestník Európskej únie C 255/98

Stanovisko Európskeho hospodárskeho a sociálneho výboru na tému „Oznámenie Komisie Európskemu parlamentu, Rade, Európskemu hospodárskemu a sociálnemu výboru a Výboru regiónov o ochrane kritických informačných infraštruktúr ‚Ochrana Európy pred rozsiahlymi kybernetickými útokmi a narušeniami: zvyšovanie pripravenosti, bezpečnosti a odolnosti‘“

[KOM(2009) 149 v konečnom znení]

(2010/C 255/18)

Spravodajca: pán McDONOGH

Dokument odovzdaný na preklad: 2009

Európska komisia sa 30. marca 2009 rozhodla podľa článku 262 Zmluvy o založení Európskeho spoločenstva prekonzultovať s Európskym hospodárskym a sociálnym výborom

„Oznámenie Komisie Európskemu parlamentu, Rade, Európskemu hospodárskemu a sociálnemu výboru a Výboru regiónov o ochrane kritických informačných infraštruktúr ‚Ochrana Európy pred rozsiahlymi kybernetickými útokmi a narušeniami: zvyšovanie pripravenosti, bezpečnosti a odolnosti‘“

KOM(2009) 149 v konečnom znení.

Odborná sekcia pre dopravu, energetiku a informačnú spoločnosť poverená vypracovaním návrhu stanoviska výboru v danej veci prijala svoje stanovisko 12. novembra 2009. Spravodajcom bol pán McDonogh.

Európsky hospodársky a sociálny výbor na svojom 458. plenárnom zasadnutí 16. a 17. decembra 2009 (schôdza zo 16. decembra 2009) prijal 179 hlasmi za, pričom 4 sa hlasovania zdržali, nasledujúce stanovisko:

1. Závery a odporúčania

1.1 Výbor víta oznámenie Komisie o akčnom pláne zameranom na ochranu kritických informačných infraštruktúr (KII) v Európe. Výbor sa stotožňuje s obavami Komisie, že, pokiaľ ide o rozsiahle kybernetické útoky, technické poruchy, ľudské útoky a prírodné katastrofy, Európa je zraniteľná a mohli by vzniknúť obrovské škody z hľadiska hospodárstva a blaha občanov. Súhlasíme s Komisiou, že je naliehavé zlepšiť koordináciu a spoluprácu na úrovni EÚ, aby sa tento vážny problém mohol riešiť. Takisto súhlasíme s názorom, že je nevyhnutné rýchlo vybudovať komplexný politický rámec na ochranu kritických informačných infraštruktúr.

1.2 Výbor poukazuje na závery ministerskej konferencie EÚ o ochrane kritických informačných infraštruktúr (KII) a vyjadruje svoje znepokojenie nad tým, že Európa je tak slabo pripravená na rozsiahle kybernetické útoky alebo narušenia KII, pretože opatrenia na ich ochranu, ktoré zavádzajú jednotlivé členské štáty, sú často rozdielne a nedostatočne skoordinované. Je pochopiteľné, ako v dôsledku vývoja internetu a skutočnosti, že pri rozsiahlych systémoch sa v dostatočnej miere neprihliada na bezpečnosť a odolnosť kritických informačných infraštruktúr, došlo k tejto vážnej situácii. Keď však už teraz vieme, že treba konať, výbor žiada Komisiu, aby rozhodne a okamžite začala tento problém riešiť.

1.3 Výbor podporuje akčný plán na vysokej úrovni založený na piatich pilieroch, ktorý je načrtnutý v oznámení, a chváli prácu Komisie v tejto súvislosti. Je mimoriadne ťažké pristupovať k zlepšeniu bezpečnosti a odolnosti KII integrovane, za účasti viacerých zainteresovaných strán a úrovní, najmä ak ide o takúto nesúrodú skupinu zainteresovaných strán a o komplexné európske informačné infraštruktúry. Uznáva tiež podpornú úlohu agentúry ENISA, ktorá by mohla pomôcť pri dosahovaní cieľov uvedených v tomto oznámení.

1.4 Výbor poukazuje na to, že zainteresované strany nevyvinuli dostatočné úsilie na uplatňovanie uznesenia Rady 2007/C 68/01, ktoré sa týka bezpečnosti a odolnosti infraštruktúry IKT (1). Skutočnosť, že je problematické vytvoriť účinné opatrenia na ochranu najkritickejších európskych informačných infraštruktúr, nahráva do kariet tým, ktorí by z politických alebo finančných dôvodov chceli na tieto infraštruktúry zaútočiť. Výbor by si preto želal, aby Komisia rozhodnejšie presadzovala, že je nevyhnutné určiť vedúcu silu, ktorá by zjednotila všetky zainteresované strany a zaviedla účinné opatrenia na ochranu Európy pred hrozbami, ktoré by mohli ohroziť jej kritické informačné infraštruktúry. Výbor sa nazdáva, že akčný plán uvedený v oznámení neprinesie očakávané výsledky, ak zodpovednosťou za jeho realizáciu nebude poverený vhodný regulačný orgán.

1.5 Výbor upozorňuje Komisiu na svoje predchádzajúce stanoviská, v ktorých sa EHSV vyjadril k nevyhnutnosti vytvoriť bezpečnú informačnú spoločnosť, obavám v súvislosti s internetovou bezpečnosťou a problematike ochrany kritických infraštruktúr.

2. Odporúčania

2.1 Európska únia by mala zabezpečovaním ochrany kritických informačných infraštruktúr v EÚ v praxi poveriť vhodný regulačný orgán, v ktorom by mali svoje zastúpenie aj členovia Agentúry EÚ pre základné práva.

2.2 Každý členský štát by mal vytvoriť národnú stratégiu, solídne politické a regulačné prostredie, zaviesť globálne vnútroštátne postupy riadenia rizika a vhodné opatrenia a mechanizmy z hľadiska pripravenosti. V tejto súvislosti by mal každý členský štát zriadiť tím reakcie na počítačovú pohotovosť (CERT), ktorý by bol pridružený k Európskej skupine vládnych tímov CERT (EGC) (2).

2.3 Komisia by mala intenzívnejšie pracovať na vytvorení Európskeho verejno-súkromného partnerstva pre odolnosť (EP3R) a zapojiť ho do činnosti Európskej agentúry pre bezpečnosť sietí a informácií (ENISA) a Európskej skupiny vládnych tímov CERT (EGC).

2.4 Osvedčené postupy z hľadiska riadenia rizík by mali byť základom politiky v oblasti ochrany kritických informačných infraštruktúr na všetkých úrovniach. Predovšetkým by sa mali vyčísliť potenciálne náklady v prípade zlyhania bezpečnosti a odolnosti, ktoré by mali byť oznámené príslušným zainteresovaným stranám.

2.5 Zainteresovaným stranám, ktoré si neplnia svoje povinnosti v rámci politiky v oblasti ochrany kritických informačných infraštruktúr by sa mali uložiť finančné pokuty a iné sankcie, primerané riziku a nákladom spojeným so systémovým zlyhaním v dôsledku ich nedbalosti.

2.6 Najväčšiu zodpovednosť za bezpečnosť a odolnosť kritických informačných infraštruktúr by mali niesť veľké zainteresované strany – vlády, poskytovatelia infraštruktúry a dodávatelia technológií – a nemalo by sa im dovoliť, aby sa zodpovednosti vyhýbali tým, že ju prenesú na podniky a súkromných spotrebiteľov.

Bezpečnosť a odolnosť sa musia stať nevyhnutnými požiadavkami pre všetky systémy IKT využívané v EÚ. Chceli by sme nabádať súkromných zainteresovaných aktérov v oblasti ochrany KII, aby neustále bojovali za zlepšenie v konkrétnych oblastiach týkajúcich sa odolnosti, ako je riadenie siete, riadenie rizík a zabezpečenie kontinuity podniku.

2.7.1 Stanoviť osvedčené postupy a normy a dohliadať na ich uplatňovanie by malo byť základom každej politiky zameranej na to, ako predchádzať zlyhaniam, reagovať na danú situáciu a obnoviť KII.

2.7.2 Prioritou by malo byť zaviesť IPv6 (najnovší protokol pre internetové adresy) a technológie DNSSEC (bezpečnostná podpora pre systém názvov internetových domén) v celej EÚ, čím by sa zlepšila internetová bezpečnosť.

2.8 Nabádame verejné a súkromné zainteresované strany, aby pravidelne spoločne testovali svoju pripravenosť a schopnosť reagovať prostredníctvom cvičení. Plne podporujeme návrh Komisie uvedený v oznámení, aby sa prvé celoeurópske cvičenie uskutočnilo do konca roka 2010.

2.9 Je nevyhnutné podporovať v Európe vytvorenie silného odvetvia bezpečnosti informácií, ktoré by mohlo konkurovať veľmi dobre financovanému sektoru bezpečnosti v USA. Mali by sa podstatne zvýšiť investície do VaV zameraného na problematiku ochrany KII.

2.10 Bolo by treba investovať viac prostriedkov do rozvoja zručností a do vzdelávacích a osvetových programov v oblasti kybernetickej bezpečnosti.

2.11 V každej členskej krajine by mali byť vytvorené informačné a podporné agentúry s cieľom pomôcť MSP a občanom pochopiť a splniť si svoje povinnosti v rámci politiky ochrany KII.

2.12 V záujme bezpečnosti by sa EÚ mala urýchlene vyjadriť k budúcej správe internetu (3), ktorá si vo väčšej miere vyžaduje multilaterálny prístup rešpektujúci národné priority Spojených štátov amerických, ale zároveň odrážajúci záujmy Európskej únie. EÚ by mala pri svojej činnosti v tejto oblasti dôkladne zvážiť interakcie medzi kybernetickou bezpečnosťou a rešpektovaním občianskych a individuálnych slobôd.

3. Kontext

Hrozba rozsiahlych kybernetických útokov na kritické informačné infraštruktúry

3.1.1 Kritické informačné infraštruktúry (KII) zahŕňajú informačné a komunikačné technológie (IKT), ktoré tvoria základné komunikačné a informačné platformy na zabezpečenie nevyhnutného tovaru a služieb, vrátane funkcií, ktoré sú pre spoločnosť životne dôležité, ako sú dodávky energie, voda, doprava, bankovníctvo, zdravotníctvo a pohotovostné služby.

3.1.2 KII sa vyznačujú vysokým stupňom integrácie zložitých systémov, spätosťou s inými infraštruktúrami (napr. v energetike), ako aj cezhraničnou prepojenosťou. Tieto zložité infraštruktúry sú preto vystavené mnohým rizikám, ktoré by mohli viesť ku katastrofálnemu zlyhaniu systémov, čo by mohlo ohroziť dôležité služby v mnohých členských štátoch. Tieto riziká môžu byť spôsobené ľudským zavinením, technickou poruchou, ľudskými útokmi (vrátane zločineckých a politicky motivovaných útokov) a prírodnými katastrofami. Analýza rizík ukazuje slabé miesta týchto systémov a zároveň odhaľuje, ako možno nad nimi získať kontrolu, a tak ohroziť, či už zámerne alebo nie, občianske ako aj individuálne slobody. Komisia musí pri navrhovaní právnych predpisov Spoločenstva dbať na rešpektovanie základných práv.

3.1.3 Vlády a poskytovatelia dôležitých služieb informácie o zlyhaní bezpečnosti a odolnosti nezverejňujú, pokiaľ nemusia. Aj napriek tomu sa na verejnosť dostalo veľa príkladov ohrozenia kritickej infraštruktúry zlyhaním bezpečnosti a odolnosti KII:

— V roku 2007 a 2008 boli zaznamenané rozsiahle kybernetické útoky v Estónsku, Litve a Gruzínsku.

— Prerušenia transkontinentálnych podmorských káblov v Stredozemnom mori a Perzskom zálive v roku 2008 ovplyvnili internetovú komunikáciu v mnohých krajinách.

— V apríli 2009 úradníci národnej bezpečnosti USA informovali o tom, že „internetoví špióni“ prenikli do elektrickej siete USA a nechali tam softvér, ktorý by mohol byť použitý na prerušenie systému.

— V júli museli USA a Južná Kórea čeliť rozsiahlym útokom DoS (100 000 – 200 000„zombie“ počítačov), ktoré postihli množstvo vládnych internetových stránok.

3.1.4 Situáciu do veľkej miery zhoršujú zákerné úmysly zločineckých bánd a využívanie kybernetickej vojny na politické ciele.

— Zneužívaním slabých miest v operačných systémoch osobných počítačov pripojených na internet zločinecké bandy vytvorili botnety – osobné počítače prepojené pomocou malvéru (malicious software, teda zákerný softvér) do jedného virtuálneho počítača, ktorý ovládajú zločinci (ako „zombies“ alebo „drones“). Tieto botnety sa využívajú na rôznu zločineckú činnosť a pomáhajú pri rozsiahlych kybernetických útokoch teroristov alebo vlád zapojených do internetovej vojny, ktorí si u zločincov využívanie botnetov „prenajímajú“. Predpokladá sa, že jeden takýto botnet nazvaný Conficker má k dispozícii viac než 5 miliónov osobných počítačov.

3.1.5 Hospodárske náklady v dôsledku zlyhania KII by mohli byť neobyčajne vysoké. Podľa odhadov Svetového ekonomického fóra je 10- až 20-percentná pravdepodobnosť, že v najbližších 10 rokoch dôjde k závažnému kolapsu KII, pričom celosvetové straty by mohli predstavovať približne 250 miliárd USD a tisíce životov.

Otázka pripravenosti, bezpečnosti a odolnosti

3.2.1 Internet je hlavnou platformou, o ktorú sa opiera väčšina KII v Európe. Štruktúra internetu spočíva na vzájomnom prepojení miliónov počítačov, pričom spracovanie údajov, komunikácia a kontrola prebiehajú globálne. Rozptýlená štruktúra je kľúčom k tomu, aby sa internet stal stabilným a odolným a aby sa kedykoľvek v prípade problému mohla komunikácia rýchlo obnoviť. Znamená to však tiež, že rozsiahle kybernetické útoky môže, napríklad prostredníctvom botnetov, z periférie siete spustiť akýkoľvek výtržník s nekalým úmyslom a základnými vedomosťami.

3.2.2 Globálne komunikačné siete a kritické informačné infraštruktúry sa vyznačujú veľkou cezhraničnou vzájomnou prepojenosťou. Takže ak je v jednej krajine nízka úroveň bezpečnosti a odolnosti siete, môže to negatívne ovplyvniť bezpečnosť a odolnosť kritických informačných infraštruktúr vo všetkých ostatných krajinách, s ktorými je prepojená. Táto medzinárodná vzájomná závislosť sietí si vyžaduje, aby EÚ mala integrovanú politiku v oblasti riadenia bezpečnosti a odolnosti KII.

3.2.3 Väčšina zainteresovaných strán a mnohé členské štáty majú málo poznatkov o rizikách, ktoré ohrozujú kritické informačné infraštruktúry a málo si ich uvedomujú. Len veľmi málo krajín má komplexnú politiku riadenia týchto rizík.

3.2.4 Navrhované reformy regulačného rámca pre elektronické komunikačné siete a služby sprísňujú povinnosti sieťových operátorov, ktorí musia zabezpečiť prijatie potrebných opatrení na odhalenie rizík, zabezpečenie kontinuity služieb a ohlásenie narušenia bezpečnosti (4).

3.2.5 Prevažnú väčšinu technológií, ktoré sú základom KII poskytuje súkromný sektor a dobrý priebeh spolupráce, ktorá má zabezpečiť účinnú ochranu týchto infraštruktúr vo veľkej miere závisí od vysokej úrovne kompetencie, dôvery, transparentnosti a komunikácie medzi všetkými zainteresovanými stranami – vládami, podnikmi a spotrebiteľmi.

3.2.6 Nevyhnutnou podmienkou je medzinárodný, viacúrovňový prístup viacerých zainteresovaných strán.

3.3 Akčný plán založený na piatich pilieroch

Komisia navrhuje riešiť tieto problémy pomocou akčného plánu založeného na piatich pilieroch:

1. pripravenosť a prevencia: na zaistenie pripravenosti na všetkých úrovniach,

2. detekcia a reakcia: na zabezpečenie náležitých mechanizmov včasného varovania,

3. zmierňovanie a obnova: na posilnenie obranných mechanizmov EÚ v oblasti KII,

4. medzinárodná spolupráca: na medzinárodnú propagáciu priorít EÚ,

5. kritériá sektora IKT: na podporu vykonávania smernice o identifikácii a označení európskych kritických infraštruktúr (5).

V rámci každého z týchto pilierov sú stanovené konkrétne ciele, pričom lehoty na ich splnenie niekedy siahajú až do konca roka 2011.

4. Pripomienky

4.1 Bude veľmi ťažké vytvoriť a zaviesť účinnú stratégiu na ochranu KII pomocou postupu založeného vo veľkej miere na konzultáciách, dobrovoľnosti a spolupráci, ktorý sa uvádza v oznámení. Vzhľadom na závažnosť a naliehavosť tohto problému výbor odporúča, aby Komisia preskúmala politiku, ktorá sa uplatňuje v Spojenom kráľovstve a Spojených štátoch, kde za túto oblasť nesie zodpovednosť a riadi ju príslušný regulačný orgán.

4.2 Výbor súhlasí s výzvou uvedenou v rezolúcii Valného zhromaždenia OSN č. 58/199 „Vytvorenie globálnej kultúry kybernetickej bezpečnosti a ochrana kritických informačných infraštruktúr“. Vzhľadom na to, že v oblasti bezpečnosti a odolnosti KII sú krajiny navzájom závislé, teda reťaz je len taká silná ako jej najslabší článok, je alarmujúce, že len 9 členských štátov doteraz zriadilo tímy reakcie na počítačovú pohotovosť (CERT) a stalo sa členmi Európskej skupiny vládnych tímov CERT (EGC). Vytvorenie týchto tímov musí byť jednou z priorít medzivládnych rokovaní.

4.3 Zainteresovanou stranou v oblasti kybernetickej bezpečnosti v EÚ je každý občan, ktorého život by mohol závisieť od dôležitých služieb. Títo občania sú zároveň povinní čo najlepšie chrániť svoje pripojenie na internet pred útokmi. Ešte väčšiu zodpovednosť nesú poskytovatelia technológie a služieb IKT, ktorí zabezpečujú KII. Všetky zainteresované strany musia byť dostatočne informované o kybernetickej bezpečnosti. Európa musí mať takisto veľa kvalifikovaných odborníkov v oblasti bezpečnosti a odolnosti IKT.

4.4 Výbor odporúča, aby v každom členskom štáte fungovala organizácia, ktorej úlohou by bolo sprostredkúvať informácie, poznatky a poskytovať pomoc sektoru MSP v otázkach kybernetickej bezpečnosti. Veľké firmy môžu ľahko získať poznatky, ktoré potrebujú, malým a stredným podnikom však treba pomôcť.

4.5 Keďže KII zabezpečuje z veľkej časti súkromný sektor, je dôležité upevňovať dôveru a spoluprácu so všetkými firmami zodpovednými za KII. Iniciatívu EP3R, ktorú Komisia odštartovala v júni, treba prijať s nadšením a podporiť. Výbor sa však domnieva, že táto iniciatíva by mala byť podporená aj legislatívou, ktorá by zainteresované strany, ktoré sa nesprávajú zodpovedne primäla k spolupráci.

4.6 Odbor riadenia rizík je tu na to, aby pomáhal riešiť problémy, ktorými sa zaoberá tento dokument. Komisia by mala trvať na tom, aby sa osvedčené postupy v oblasti riadenia rizík uplatňovali všade tam, kde je to v rámci jej akčného plánu vhodné. Predovšetkým by sa mali vyčísliť riziká a náklady v dôsledku zlyhania KII na všetkých úrovniach. Ak vieme, aká je pravdepodobnosť zlyhania KII a aké náklady si takéto zlyhanie vyžiada, môžeme ľahšie motivovať zainteresované strany, aby prijali potrebné opatrenia. Takisto je potom jednoduchšie vyžadovať od nich, aby niesli finančné následky, ak si neplnia svoje povinnosti.

4.7 Veľké zainteresované strany sa pokúšajú čiastočne vyhnúť zodpovednosti tak, že využívajú svoju trhovú silu na to, aby prinútili svojich zákazníkov alebo dodávateľov akceptovať podmienky, na základe ktorých sa veľké spoločnosti zbavujú svojej zodpovednosti, napríklad prostredníctvom licenčných zmlúv na softvér alebo dohôd o pripojení ISP, ktoré obmedzujú zodpovednosť v otázkach bezpečnosti. Tieto dohody by nemali byť legálne a zodpovednosť by mal niesť hlavný subjekt.

4.8 Bezpečnosť a odolnosť by mohli a mali byť zohľadnené vo všetkých sieťach IKT. V prvom rade je nevyhnutné preštudovať topológiu sietí v členských štátoch a v EÚ ako celku s cieľom odhaliť miesta, kde je koncentrácia komunikačného toku neprijateľná a hrozí veľké riziko zlyhania. Neprijateľné riziko predstavuje najmä veľmi hustá prevádzka na internete v niekoľkých internetových peeringových centrách (Internet Exchange Points – IXP) v niektorých členských štátoch.

4.9 Výbor takisto odkazuje Komisiu na svoje pripomienky k dokumentu „Rozvoj internetu – Akčný plán zavádzania verzie 6 internetového protokolu (IPv6) v Európe“ (KOM(2008) 313 v konečnom znení) (6), v ktorých zdôraznil, že prijatie IPv6 v celej EÚ bude prínosom z hľadiska bezpečnosti. Takisto odporúčame, aby sa technológie DNSSEC zavádzali kdekoľvek je to možné, aby sa zvýšila bezpečnosť internetu.

4.10 Spojené štáty začali rozvíjať politiku zameranú na bezpečnosť v kybernetickom priestore a v rokoch 2009 a 2010 vyčlenili na internetovú bezpečnosť 40 miliárd dolárov z rozpočtu. To je obrovská finančná injekcia do sektora bezpečnosti, vďaka ktorej veľa firiem pôsobiacich v oblasti bezpečnosti informačnej technológie, vrátane európskych firiem, zameria svoje úsilie na USA. Americké bezpečnostné firmy to bude takisto motivovať, aby sa stali svetovými lídrami. Je preto viac než žiaduce, aby mala Európa svoj vlastný sektor vychádzajúci z najnovších poznatkov, ktorý by mohol byť rovnocenným konkurentom amerických firiem, a aby sa sektor bezpečnosti v dostatočnej miere zameriaval na potreby európskej infraštruktúry. Výbor by chcel požiadať Komisiu, aby pouvažovala o tom, ako by mohla vyvážiť obrovský finančný stimul zo strany Spojených štátov.

4.11 Výbor podporuje nedávne oznámenie Komisie o správe internetu v budúcnosti (3). Výbor zastáva názor, že EÚ musí mať priamejší vplyv na opatrenia a postupy ICANN (Internetová spoločnosť pre pridelené mená a čísla) a IANA (Internetový orgán na prideľovanie čísel) a že súčasný jednostranný dozor, ktorý vykonávajú USA, by sa mal nahradiť dohodami o viacstrannej medzinárodnej zodpovednosti.

V Bruseli 16. decembra 2009 Predseda Európskeho hospodárskeho a sociálneho výboru Mario SEPI

(1) KOM(2006) 251.

(2) http://www.egc-group.org.

(3) KOM(2009) 277 v konečnom znení.

(4) Články 13a a 13b v dokumente KOM(2007) 697 v konečnom znení, opätovne predložené zmeny a doplnenia smernice 2002/21/ES.

(5) Smernica Rady 2008/114/ES.

(6) Ú. v. EÚ C 175, 28.7.2009, s. 92.