SL Uradni list Evropske unije C 255/98

Mnenje Evropskega ekonomsko-socialnega odbora o sporočilu Komisije Evropskemu parlamentu, Svetu, Evropskemu ekonomsko-socialnemu odboru in Odboru regij o zaščiti kritične informacijske infrastrukture: „Kako zaščititi Evropo pred obsežnimi kibernetskimi napadi in prekinitvami: izboljšati pripravljenost, varnost in odpornost“

(COM(2009) 149 konč.)

(2010/C 255/18)

Poročevalec: g. McDONOGH

Evropska komisija je 30. marca 2009 sklenila, da v skladu s členom 262 Pogodbe o ustanovitvi Evropske skupnosti Evropski ekonomsko-socialni odbor zaprosi za mnenje o naslednjem dokumentu:

Sporočilo Komisije Evropskemu parlamentu, Svetu, Evropskemu ekonomsko-socialnemu odboru in Odboru regij o zaščiti kritične informacijske infrastrukture: „Kako zaščititi Evropo pred obsežnimi kibernetskimi napadi in prekinitvami: izboljšati pripravljenost, varnost in odpornost“

COM(2009) 149 konč.

Strokovna skupina za promet, energijo, infrastrukturo in informacijsko družbo, zadolžena za pripravo dela Odbora na tem področju, je mnenje sprejela 12. novembra 2009 Poročevalec je bil g. McDONOGH.

Evropski ekonomsko-socialni odbor je mnenje sprejel na 458. plenarnem zasedanju 16. in 17. decembra 2009 (seja z dne 16. decembra) s 179 glasovi za in 4 vzdržanimi glasovi.

1. Sklepi in priporočila

1.1 Odbor pozdravlja sporočilo Komisije o akcijskem načrtu za zaščito kritične informacijske infrastrukture (KII) v Evropi. Odbor je podobno kot Komisija zaskrbljen zaradi ranljivosti Evrope za obsežne kibernetske napade, tehnične okvare, napade, ki jih povzroči človek, in naravne nesreče, pa tudi zaradi izjemne škode, ki bi bila lahko storjena gospodarstvu in blaginji njenih državljanov. Strinjamo se s Komisijo, da je treba nujno ukrepati, da bi v EU dosegli večje usklajevanje in sodelovanje za obravnavo tega kritičnega problema. Strinjamo se tudi, da je treba naglo oblikovati obsežen političen okvir za zaščito KII.

1.2 Odbor se je seznanil s sklepi ministrske konference EU o zaščiti kritične informacijske infrastrukture in ga skrbi, da je Evropa slabo pripravljena na obsežne kibernetske napade in motnje KII, saj imajo posamezne države članice pogosto različne in med seboj premalo usklajene pristope k zaščiti KII. Jasno je, da sta razvoj interneta in odsotnost celostnega sistemskega pristopa k varnosti in odpornosti informacijskih infrastruktur povzročila resno situacijo, v kateri se zdaj nahajamo. Potreba po ukrepanju pa je zdaj znana in Odbor Komisijo poziva, naj se z odločnimi ukrepi in brez zavlačevanja loti tega problema.

1.3 Odbor podpira načrt na visoki ravni za ukrepanje na petih področjih, predstavljen v sporočilu, in Komisiji čestita za opravljeno delo. Zelo težko je razviti celovit, večstranski pristop na več ravneh za krepitev varnosti in odpornosti KII, zlasti ko gre za tako različne zainteresirane strani in ob takšni zapletenosti evropskih informacijskih infrastruktur. Priznava tudi podporo in prispevek, ki ju ima pri doseganju ciljev tega sporočila Evropska agencija za varnost omrežij in informacij (ENISA, European Network and Information Security Agency).

1.4 Odbor ugotavlja, da vpletene strani niso storile dovolj za izvajanje Resolucije Sveta 2007/C 68/01, ki se nanaša na varnost in odpornost infrastruktur IKT (1). Težavnost razvoja učinkovitih politik za zaščito najbolj kritične informacijske infrastrukture v Evropi koristi tistim, ki bi radi te KII napadli iz političnih ali finančnih razlogov. Zato bi Odbor želel, da bi bila Komisija odločnejša glede močne vodstvene vloge, potrebne za to, da se povežejo vse zainteresirane strani in se izvajajo učinkoviti ukrepi za zaščito Evrope pred možnimi napadi na njeno kritično informacijsko infrastrukturo. Odbor je prepričan, da akcijski načrt, predstavljen v sporočilu, ne bo imel nameravanega učinka, če odgovornost za njegovo izvajanje ne bo podeljena ustreznemu regulativnemu organu.

1.5 Odbor želi Komisijo opozoriti tudi na svoja prejšnja mnenja, v katerih je obravnaval potrebo po varni informacijski družbi, vprašanja internetne varnosti in zaščito kritične infrastrukture.

2. Priporočila

2.1 Evropska unija bi morala ustrezni regulativni organ, v katerem bi bili med drugim člani Agencije EU za temeljne pravice, pooblastiti za izvajanje učinkovite zaščite kritične informacijske infrastrukture v vsej EU.

2.2 Vse države članice bi morale razviti nacionalno strategijo, trden političen in regulativni okvir, celovite nacionalne postopke za obvladovanje tveganja ter ustrezne ukrepe in mehanizme za pripravljenost. V tem smislu bi morala vsaka država članica sestaviti skupino za odzivanje na računalniške grožnje (CERT, Computer Emergency Response Team) in jo vključiti v evropsko skupino vladnih CERT (EGC, European Governmental Group of CERTs) (2).

2.3 Komisija bi morala pospešiti svoja prizadevanja za ustanovitev evropskega javno-zasebnega partnerstva za odpornost (EP3R, European Public Private Partnership for Resilience) in jih povezati z delom Evropske agencije za varnost omrežij in informacij (ENISA) ter evropske skupine vladnih CERT (EGC).

2.4 Najboljša praksa na področju obvladovanja tveganja bi morala biti vključena v vse ravni politike zaščite kritične informacijske infrastrukture. Zlasti bi bilo treba oceniti potencialne stroške, ki bi nastali zaradi neuspešnosti ukrepov za varnost in odpornost, ter z njimi seznaniti ustrezne pristojne strani.

2.5 Zainteresirane strani, ki ne izpolnjujejo svojih obveznosti v skladu s politiko zaščite kritične informacijske infrastrukture, bi morale biti finančno in drugače kaznovane, sorazmerno s tveganjem in stroški odpovedi sistema zaradi svoje malomarnosti.

2.6 Največ odgovornosti za varnost in odpornost kritične informacijske infrastrukture bi morale nositi velike zainteresirane strani – vlade, ponudniki infrastrukture in tehnološki dobavitelji – ki ne bi smele imeti možnosti, da se odgovornosti izognejo tako, da jo prenesejo na podjetja in potrošnike.

Varnost in odpornost morata biti nujno sestavni del vseh sistemov IKT, uporabljanih v EU. Zasebne akterje, vpletene v zaščito kritične informacijske infrastrukture, spodbujamo, da si nenehno prizadevajo za izboljšanje na posebnih področjih, povezanih z odpornostjo, tj. upravljanje omrežja, obvladovanje tveganja in neprekinjeno poslovanje.

2.7.1 Postavljanje in nadzorovanje najboljše prakse in standardov bi moralo biti temeljni del kakršne koli politike za preprečevanje okvar, ukrepe za odziv na razmere in odpravo posledic za kritično informacijsko infrastrukturo.

2.7.2 Prednostni pomen bi moralo imeti izvajanje tehnologij IPv6 (najnovejšega protokola za internetne naslove) in DNSSEC (serije varnostnih dodatkov sistemu internetnih domenskih imen) po vsem internetu v EU, s čimer bi se povečala internetna varnost.

2.8 Javne in zasebne zainteresirane strani spodbujamo, da z rednim sodelovanjem in z vajami preverjajo svojo pripravljenost in ukrepe za odzivanje. V celoti podpiramo predlog Komisije v sporočilu, da se do konca leta 2010 izvede prva vseevropska vaja.

2.9 V Evropi bi si morali prizadevati za močno industrijo informacijske varnosti, ki bi bila po sposobnostih enakovredna zelo dobro financirani industriji v ZDA. Vlaganje v raziskave in razvoj, povezane z zaščito kritične informacijske infrastrukture, bi bilo treba bistveno povečati.

2.10 Treba bi bilo povečati financiranje za razvoj sposobnosti ter programov izobraževanja in ozaveščanja na področju kibernetske varnosti.

2.11 V vsaki državi članici bi bilo treba ustanoviti agencije za informiranje in podporo, ki bi MSP in državljanom pomagale razumeti svoje dolžnosti v okviru politike zaščite kritične informacijske infrastrukture in jih izpolnjevati.

2.12 V interesu varnosti bi morala EU razviti svoje stališče o prihodnosti upravljanja interneta (3): ta terja bolj večstranski pristop, ki spoštuje nacionalne prioritete ZDA, vendar odraža tudi interese Evropske unije. EU bi morala v svoje ukrepanje na tem področju vključiti poglobljen razmislek o interakciji med kibernetsko varnostjo in spoštovanjem javnih in osebnih svoboščin.

3. Ozadje

Nevarnost obsežnih kibernetskih napadov na kritične informacijske infrastrukture

3.1.1 Kritične informacijske infrastrukture (KII) vključujejo informacijske in komunikacijske tehnologije (IKT), ki so temeljne informacijske in komunikacijske platforme za zagotavljanje osnovnega blaga in storitev, vključno z bistvenimi družbenimi funkcijami, kot so dobava električne energije in vode, promet, bančne in zdravstvene storitve ter nujne službe.

3.1.2 Za KII so značilne visoka stopnja povezanosti kompleksnih sistemov, odvisnost od drugih infrastruktur (npr. električnega omrežja) ter tudi čezmejna medsebojna povezanost. Te zapletene infrastrukture so zato izpostavljene številnim tveganjem, ki bi lahko povzročila katastrofalno odpoved sistemov, ki bi prizadela kritične družbene storitve v več državah članicah. Tveganja izvirajo iz človeške napake, tehničnih okvar, napadov, ki jih povzroči človek (vključno s kriminalnimi in politično motiviranimi napadi), in naravnih nesreč. Analiza tveganja pokaže slabosti takih sistemov in razkriva možnost prevzema njihovega nadzora s postopki, ki namerno ali nenamerno kratijo tako javne kot osebne svoboščine. Komisija je pri pripravi zakonodaje Skupnosti dolžna skrbeti za spoštovanje temeljnih pravic.

3.1.3 Vlade in izvajalci ključnih storitev ne objavljajo problemov z varnostjo in odpornostjo, če niso v to prisiljeni. Kljub temu je bilo veliko javnih primerov nevarnosti za kritično infrastrukturo, ko so pri KII odpovedali ukrepi varnosti in odpornosti:

— Leta 2007 in 2008 so bili obsežni kibernetski napadi na Estonijo, Litvo in Gruzijo.

— Ko so se leta 2008 pretrgali medcelinski podmorski kabli v Sredozemlju in Perzijskem zalivu, je bil prizadet internetni promet v številnih državah.

— Aprila 2009 so ameriški predstavniki za nacionalno varnost sporočili, da so „kibernetski vohuni“ vdrli v ameriško električno omrežje in vanj vnesli računalniške programe, s katerimi bi lahko ohromili sistem.

— Julija so se morali v ZDA in Južni Koreji odzvati na zelo javni DOS-napad (preobremenitev strežnika z navideznimi zahtevami), v katerega je bilo vključenih 100 000do200 000„zombi“ računalnikov in ki je prizadel številne vladne spletne strani.

3.1.4 Problem še močno povečujejo zle namere kriminalnih združb in izkoriščanje kibernetske vojne za politične motive.

— Z zlorabljanjem šibkosti operacijskih sistemov osebnih računalnikov, priključenih na internet, kriminalne združbe ustvarjajo t. i. botnete. Gre za računalnike, ki so kot „zombiji“ ali „droni“povezani z zlonamernimi računalniškimi programi v en sam virtualni računalnik, s katerim upravljajo zločinci. Te botnete uporabljajo za različne kriminalne dejavnosti ter za obsežne kibernetske napade teroristov in vlad, ki sodelujejo v kibernetski vojni in ki si botnete„izposodijo“ pri kriminalcih. Eden takih botnetov z imenom Conficker naj bi imel na razpolago več kot 5 milijonov osebnih računalnikov.

3.1.5 Gospodarski stroški okvar kritične informacijske infrastrukture so lahko izjemno visoki. Svetovni gospodarski forum ocenjuje, da je 10–20 % možnosti, da bo v naslednjih desetih letih prišlo do večjega zloma KII, kar bi lahko v svetovnem merilu ustvarilo za 250 milijard dolarjev škode in terjalo na tisoče življenj.

Vprašanje pripravljenosti, varnosti in odpornosti

3.2.1 Internet je osnovna platforma, ki podpira večino evropske kritične informacijske infrastrukture. Arhitektura interneta temelji na medsebojni povezanosti milijonov računalnikov, pri čemer so obdelava, komunikacije in nadzor razporejeni po svetu. Razporejenost te arhitekture je ključna za stabilnost in odpornost interneta, saj se lahko tako promet hitro obnovi, ko se kje pojavi problem. Vendar to tudi pomeni, da je mogoče obsežne kibernetske napade sprožiti s samega roba omrežja, na primer z uporabo botneta, loti pa se jih lahko vsak huligan, ki to hoče in ima za to osnovno znanje.

3.2.2 Globalna komunikacijska omrežja in KII terjajo visoko stopnjo čezmejne medsebojne povezanosti. Če torej v eni državi obstaja nizka raven varnosti in odpornosti omrežja, lahko to slabo vpliva na varnost in odpornost KII v vseh drugih državah, s katerimi je povezana. Zaradi te mednarodne medsebojne odvisnosti mora EU zagotoviti integrirano politiko za upravljanje varnosti in odpornosti KII po vsej EU.

3.2.3 Pri večini zainteresiranih strani in v številnih državah članicah sta znanje in ozaveščenost o tveganjih za KII slaba. Le malo držav ima celovito politiko za obvladovanje teh tveganj.

3.2.4 Predlagana reforma regulativnega okvira za elektronska komunikacijska omrežja in storitve bo okrepila obveznosti upravljavcev omrežij ter tako zagotovila sprejetje ustreznih ukrepov za ugotavljanje tveganj, zagotavljanje stalnosti storitev in prijavljanje kršitev varnosti (4).

3.2.5 Veliko večino tehnologij, ki podpirajo platformo za KII, nudi zasebni sektor in zagotavljanje ustreznega sodelovanja, ki bo zajamčilo učinkovito zaščito KII, je močno odvisno od visoke stopnje kompetenc, zaupanja, preglednosti in komunikacije med vsemi zainteresiranimi stranmi – vladami, podjetji in potrošniki.

3.2.6 Pristop mora nujno vključevati več zainteresiranih strani, več ravni in biti mora mednaroden.

3.3 Akcijski načrt na petih področjih

Za obravnavanje teh izzivov Komisija predlaga akcijski načrt s petimi področji ukrepanja:

1. pripravljenost in preprečevanje: zagotovitev pripravljenosti na vseh ravneh

2. odkrivanje in odziv: zagotovitev ustreznih mehanizmov zgodnjega opozarjanja

3. ublažitev in odprava posledic: okrepitev obrambnih mehanizmov EU na področju KII

4. mednarodno sodelovanje: spodbujanje prednostnih nalog EU na mednarodni ravni

5. merila za sektor IKT: podpora izvajanju direktive o ugotavljanju in določanju evropske kritične infrastrukture (5).

Za vsako področje so določeni konkretni cilji z roki za njihovo izvedbo, tja do konca leta 2011.

4. Pripombe

4.1 S pristopom, ki je opisan v sporočilu in ki temelji na visoki stopnji posvetovanja, prostovoljni osnovi in sodelovanju, bo zelo težko razviti in izvajati učinkovito strategijo za zaščito kritične informacijske infrastrukture. Glede na resnost in nujnost izziva Odbor predlaga, da Komisija preuči politiko, ki se izvaja v Združenem kraljestvu in ZDA, da se odgovornost in pooblastila prenesejo na ustrezen regulativni organ.

4.2 Odbor se strinja s pozivom Resolucije Generalne skupščine Združenih narodov 58/199 o vzpostavitvi svetovne kulture kibernetske varnosti in zaščiti ključnih informacijskih infrastruktur. Glede na medsebojno odvisnost med državami pri varnosti in odpornosti KII – „veriga je tako močna, kot je močan njen najšibkejši člen“ – je zaskrbljujoče, da je zaenkrat le devet držav članic ustanovilo skupine za odzivanje na računalniške grožnje (CERT) in se pridružilo evropski skupini vladnih CERT (EGC). Oblikovanje teh skupin je treba uvrstiti višje na medvladni dnevni red.

4.3 Zainteresirane strani za kibernetsko varnost v EU so vsi državljani, katerih življenje je morda odvisno od ključnih storitev. Ti državljani so tudi dolžni čim bolj zavarovati svojo internetno povezavo pred napadi. Še večjo odgovornost imajo ponudniki tehnologije in storitev IKT, ki zagotavljajo KII. Izjemno pomembno je, da so vse zainteresirane strani ustrezno poučene o kibernetski varnosti. Pomembno je tudi, da ima Evropa veliko usposobljenih strokovnjakov na področju varnosti in odpornosti IKT.

4.4 Odbor priporoča, da vsaka država članica ustanovi organizacijo, katere naloga je obveščanje, izobraževanje in podpora sektorju MSP glede vprašanj kibernetske varnosti. Velika podjetja lahko to znanje dobijo zlahka, MSP pa potrebujejo podporo.

4.5 Ker je zagotavljanje KII v glavnem v rokah zasebnega sektorja, je pomembno, da se z vsemi podjetji, odgovornimi za KII, spodbuja visoka stopnja zaupanja in sodelovanja. Treba je pozdraviti in spodbujati pobudo EP3R (evropsko javno-zasebno partnerstvo za odpornost), ki jo je Komisija začela junija. Odbor pa je prepričan, da bi jo bilo treba podpreti tudi z zakonodajo, ki bi zainteresirane strani, ki ne izpolnjujejo svojih obveznosti, prisilila v sodelovanje.

4.6 Obvladovanje tveganja je področje, katerega cilj je pomagati pri reševanju problemov, ki jih obravnava ta dokument. Komisija bi morala vztrajati, da se najboljše prakse s področja obvladovanja tveganja upoštevajo v njenem akcijskem načrtu, kjer je to ustrezno. Zlasti bi bilo koristno ovrednotiti tveganja in stroške okvar na vsaki ravni kritične informacijske infrastrukture. Če so znani verjetnost in morebitni stroški okvar, je zainteresirane strani lažje spodbuditi k ukrepanju. Lažje je tudi terjati finančno odgovornost od njih, če svojih dolžnosti ne izpolnijo.

4.7 Velike zainteresirane strani skušajo svojo odgovornost omejiti tako, da s svojo tržno močjo prisilijo svoje stranke ali dobavitelje, da sprejmejo pogoje, ki veliko podjetje zavarujejo pred pravo odgovornostjo, na primer z licenčnimi pogodbami za uporabo programske opreme ali pogodbami za povezavo s ponudniki internetnih storitev, ki omejijo odgovornost glede varnostnih vprašanj. Te pogodbe bi morale biti nezakonite in odgovornost bi moral nositi glavni akter.

4.8 Varnost in odpornost je mogoče in bi bilo treba vključiti v zgradbo vsakega omrežja IKT. Prednostno bi bilo treba preučiti topologijo omrežne strukture v državah članicah in EU kot celote, da bi ugotovili, kje se komunikacijski promet nesprejemljivo zgosti in kje so točke omrežja, kjer je nevarnost okvare velika. Nesprejemljivo tveganje je zlasti visoka koncentracija internetnega prometa v zelo majhnem številu internetnih izmenjevalnih točk (IXP) v nekaterih državah članicah.

4.9 Odbor želi Komisijo tudi opozoriti na svoje ugotovitve v mnenju o sporočilu COM(2008) 313 konč. z naslovom Nadaljnji razvoj interneta – Akcijski načrt za uvedbo internetnega protokola različice 6 (IPv6) v Evropi (6), v katerem je poudaril koristi, ki bi jih za varnost imela uvedba IPv6 v vsej EU. Priporočamo tudi, da se za povečanje internetne varnosti, kjer je mogoče, uvedejo tehnologije DNSSEC.

4.10 Z novo politiko o varnosti v kibernetskem prostoru nameravajo ZDA za kibernetsko varnost v letih 2009 in 2010 porabiti 40 milijard dolarjev. Gre za orjaško finančno injekcijo varnostnemu sektorju in veliko podjetij, ki se ukvarjajo z varnostjo informacijske tehnologije, tudi evropskih, bo svoja prizadevanja osredotočilo na ZDA. Ameriška varnostna podjetja bo tudi spodbudila, da postanejo vodilna na svetu. Močno bi bilo zaželeno, da ima Evropa lastno najsodobnejšo industrijo, ki se lahko enakopravno meri z ameriškimi podjetji, ter da varnostna industrija vloži zadostna prizadevanja in energijo v evropske infrastrukturne potrebe. Odbor Komisiji svetuje, naj razmisli, kako bi bilo mogoče najti protiutež orjaški finančni spodbudi v ZDA.

4.11 Odbor podpira nedavno sporočilo Komisije o prihodnosti internetnega upravljanja (3). Prepričan je, da mora EU imeti bolj neposreden vpliv na politiko in prakso Internetne korporacije za dodeljena imena in številke (ICANN, Internet Corporation for Assigned Names and Numbers) in Organa za dodeljevanje internetnih naslovov (IANA, Internet Assigned Numbers Authority) ter da bi dosedanji enostranski nadzor ZDA morali zamenjati sporazumi za večstransko, mednarodno odgovornost.

V Bruslju, 16. decembra 2009 Predsednik Evropskega ekonomsko-socialnega odbora Mario SEPI

(1) COM(2006) 251.

(2) http://www.egc-group.org.

(3) COM(2009) 277 konč.

(4) Člena 13a in 13b predlaganih sprememb Direktive 2002/21/ES, v COM(2007) 697 konč.

(5) Direktiva Sveta 2008/114/ES.

(6) UL C 175, 28.7.2009, str. 92.