• W związku z nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (KSC) powstają nowe, sektorowe zespoły reagowania na incydenty bezpieczeństwa komputerowego (CSIRT-y), jednym z nich jest CSIRT Infrastruktura, który będzie odpowiadał za wsparcie w zakresie cyberbezpieczestwa dla takich branż jak: transport, zaopatrzenie w wodę pitną i jej dystrybucja oraz zbiorowe odprowadzanie ścieków. 
• Zespół formalnie został ustanowiony 30 czerwca 2026 r., rozpoczął już działalność i jest obecnie rozwijany. Jego szefową została Monika Gliwka, zastępczyni dyrektora Biura Zarządzania Kryzysowego w Ministerstwie Infrastruktury.
• W pierwszym wywiadzie dla mediów, jakiego udzieliła WNP, zdradza, jakie są cele i priorytety nowego krajowego CSIRT-u. - Chcemy budować CSIRT „po nowemu”, myśląc o rozwiązaniach chmurowych, automatyzacji i zwinności biznesowej. Uważam, że to klucz do sukcesu - podkreśla Monika Gliwka.

Nowe sektorowe CSIRT-y

W WNP opisujemy na bieżąco ewolucję polskiego systemu cyberbezpieczeństwa, za sprawą nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC) powstają właśnie nowe sektorowe zespoły reagowania na incydenty bezpieczeństwa komputerowego (CSIRT-y, ang. Computer Security Incident Response Team): CSIRT Cyfra, CSIRT Infrastruktura oraz CSIRT UDT.

Pierwsze dwa są w trakcie tworzenia i rozwijania zdolności operacyjnych, a Urząd Dozoru Technicznego przygotowuje się do nowych obowiązków. Wszystko to po to, by współpraca pomiędzy poszczególnymi branżami przebiegała jeszcze sprawniej, a w razie wystąpienia incydentu - reakcja na zagrożenie była szybka i skuteczna. 

W ramach cyklu wywiadów z szefami polskich CSIRT-ów: 

• z Marcinem Dudkiem, szefem CERT Polska;
• z Karolem Paciorkiem, kierownikiem CSIRT KNF;
• z Jeremim Olechnowiczem, kierownikiem CSIRT w Centrum E‑Zdrowia;

rozmawiamy teraz z Moniką Gliwką, zastępczynią dyrektora Biura Zarządzania Kryzysowego, szefową CSIRT Infrastruktura. 

CSIRT Infrastruktura powstał w strukturach Ministerstwa Infrastruktury. Fot. Materiały prasowe / CSIRT Infrastruktura, Ministerstwo InfrastrukturyTrwa budowa CSIRT Infrastruktura

Na jakim etapie jest obecnie tworzenie CSIRT Infrastruktura?

- Jesteśmy na zaawansowanym etapie prac. CSIRT powstaje w oparciu o projekt z Krajowego Planu Odbudowy, który zapewnił finansowanie sprzętu, oprogramowania i budowy zespołu. Projekt określał kamienie milowe, które wyznaczały tempo naszego działania.

Korzystaliśmy ze wsparcia NASK, szczególnie przy wypracowaniu modelu organizacyjnego: pierwsza i druga linia, wsparcie operacyjne, administratorzy, co znacząco ułatwiło proces. Dziś mamy już biuro, obsadzoną w większości pierwszą i częściowo drugą linię, kierownictwo oraz wsparcie operacyjne. Rozbudowujemy zespół administratorów i przygotowujemy się do raportowania - pierwszy raport dla Pełnomocnika Rządu ds. Cyberbezpieczeństwa powstanie w styczniu 2027 r.

Formalnie działacie od końca czerwca, rozmawiamy miesiąc później. Czy waszym zadaniem jest już raportowanie tego, co widzicie w cyberprzestrzeni do Pełnomocnika?

- Na tę chwilę jeszcze nie. Ustawowo mamy 18 miesięcy na uzyskanie pełnej operacyjności CSIRT‑u - taki czas daje nam nowelizacja ustawy o KSC - jednak realizowanie projektu w ramach KPO narzuca na nas zupełnie inne terminy, dlatego wstępną operacyjność chcemy osiągnąć przed ustawowo wskazanym terminem. 

Mamy już dostęp do systemu S46 (centralna platforma teleinformatyczna polskiego Krajowego Systemu Cyberbezpieczeństwa - przyp. red.), czekamy na dostęp do back office Wykazu Podmiotów Kluczowych i Ważnych. Do października poznamy ostateczną listę wpisanych podmiotów, choć już teraz widzimy, że tempo wpisywania się do Wykazu nie jest szybkie.

Praca w CSIRT. Analitycy poszukiwani

Wspomniała pani o budowie zespołu, widziałam opublikowane ogłoszenia o naborze na konkretne stanowiska. Jakich osób przede wszystkim szukacie? Poza kompetencjami w zakresie cyberbezpieczeństwa także z wiedzą w sektorach, które wam podlegają?

- Na pewno mile widziana jest wiedza dotycząca specyfiki funkcjonowania KSC. Oczywiście można się w ten temat szybko wdrożyć i dokształcić, ale doświadczenie w administracji publicznej i na styku z KSC jest dużym plusem. Aktualnie mamy otwarte rekrutacje na analityków drugiej linii oraz na administratora. Nabory trwają i zachęcamy do aplikowania. Praca w CSIRT‑cie jest atrakcyjna, nie narzekamy na brak chętnych. Stawiamy na osoby, które mają doświadczenie w strukturach SOC‑owych (Security Operations Center - przyp. red.) i wiedzą, jak wygląda praca dyżurowa na pierwszej linii.

Jesteśmy również otwarci na osoby po studiach i osoby posiadające certyfikacje branżowe. Cenimy aktywność i chęć podnoszenia wiedzy; W ostatnim miesiącu mieliśmy otwarte nabory na pierwszą linię  na stanowiska juniorskie. Chcemy także, aby zespół rozwijał kompetencje w zakresie korzystania z narzędzi AI, które będą wspierać ich codzienną pracę w CSIRT.

Współpracujecie z CSIRT‑ami sektorowymi: konsultujecie się, wymieniacie wiedzą, dobrymi praktykami?  

- Do tej pory w największym stopniu korzystaliśmy z wiedzy CSIRT KNF i CSIRT Cyfra. Jesteśmy na etapie rozpoznania: staramy się zaczerpnąć najlepsze praktyki, które możemy zastosować, uczyć się na bazie cudzych doświadczeń. Mieliśmy także spotkanie w Dowództwie Komponentu Wojsk Obrony Cyberprzestrzeni, stale rozmawiamy z CSIRT‑em NASK, zaplanowane mamy również rozmowy z RCB i CSIRT GOV.

Spotkania odbywają się stopniowo z uwagi na priorytety naszych zadań, które ostatecznie prowadzą do osiągnięcia gotowości operacyjnej. Otrzymaliśmy sprzęt, który jest kluczowy do budowy własnej infrastruktury. Dołączają kolejni pracownicy, a dynamika zmian jest duża. Po nowym roku otworzymy nabory na kolejne stanowiska wspierające i podnoszące nasze zdolności, nie tylko w obszarze AI, ale i np. w komunikacji.

Wspomniała pani o samoidentyfikacji podmiotów, które działają w ramach kontrolowanych przez was sektorów. Według szacunków w sumie cały KSC ma objąć ok. 40 tys. podmiotów. Szacowaliście, ile z nich będzie przypadało na wasz sektor?

- Na razie mamy bardzo wstępne szacunki: w wykazie nie mamy jeszcze nawet części tej liczby. Wstępne obliczenia mówiły o 2,5 tys. podmiotów, które bezpośrednio nam podlegają. Myślę, że ostateczna liczba i tak będzie znana dopiero w październiku br.

Różny poziom świadomości cyberbezpieczeństwa

Jak pani ocenia sektor pod kątem dojrzałości, świadomości zagrożeń i podejścia do cyberbezpieczeństwa?

- Na pierwszy rzut oka widzimy, że poziom dojrzałości w naszych sektorach jest nierówny. Są podmioty większe, które mają więcej środków na cyberbezpieczeństwo, inne - jak wodociągi - mają uboższe fundusze i zasoby kadrowe.

Podstawowa odpowiedzialność za spełnienie wymogów nowelizacji ustawy o KSC pozostaje po stronie podmiotu: za cyberbezpieczeństwo, szkolenia zarządu, korzystanie z S46, wpis do wykazu – tych obowiązków jest całkiem sporo.

Jako CSIRT dążymy do stałych relacji z podmiotami – większymi i mniejszymi i do wypracowania kanałów komunikacji, które pozwolą wypracować „krótką linię” z przedstawicielami z trzech naszych sektorów: transport, zaopatrzenie w wodę pitną i jej dystrybucja oraz  odprowadzanie ścieków.

Chcemy mieć stały wgląd w wykaz, ale nasza rola jest wspierająca: analiza incydentów, edukowanie. Nie chcemy być postrzegani jako podmiot opresyjny, bezdusznie przyczyniający się do nakładania kar. Chcemy pomagać - szczególnie mniejszym podmiotom - na tyle, na ile możemy. Zakładam, że nawet jeśli podmiot z naszego sektora nie będzie miał dostępu do S46, to i tak będziemy mogli mu pomóc. Uruchomimy też własny formularz zgłoszeniowy na naszej stronie, nikomu nie odmówimy pomocy.

W planach budowa laboratorium podatności OT i ćwiczenia sektorowe

Z perspektywy podległych wam sektorów, jakie są pani zdaniem największe cyberzagrożenia?

- To pełne spektrum znanych zagrożeń: ransomware, przejęcia kont, ataki na łańcuch dostaw czy infrastrukturę krytyczną.

Szczególnie istotne będą incydenty związane z automatyką przemysłową (OT), dlatego rozważamy w jakiejś perspektywie budowę laboratorium podatności. Szacujemy, że większość poważniejszych incydentów będzie związana właśnie z tym obszarem, dlatego planujemy rozwijać swoje zdolności i szkolić naszych pracowników w tym zakresie; na rynku brakuje specjalistów OT. To nie jest kompetencja bardzo szeroko dostępna, wielu ekspertów zajmuje się ogólnym cyberbezpieczeństwem, a cyber w OT jest inne: z innymi protokołami, mechanizmami działania. Jesteśmy tego świadomi.

Chcemy także organizować ćwiczenia sektorowe, w modelu tabletop exercise (ćwiczenie polegające na omówieniu poszczególnych kroków, które w realnej sytuacji zostałyby podjęte w przypadku wystąpienia konkretnego zdarzenia - przyp. red.), w przyszłym roku, które będą dopasowane do realnych incydentów, minimum po jednym dla każdego z sektorów: transport, zaopatrzenie w wodę, odprowadzanie ścieków. Będziemy dopasowywać scenariusze do tego, co zobaczymy w systemie S46 pod kątem rodzaju incydentów, z którymi już będziemy mieli styczność.

Patrząc na ogólny obraz zagrożeń w Polsce, widzi pani różnicę w specyfice działań adwersarzy w atakach wycelowanych w podmioty z waszego sektora? Często wskazuje się na Rosję, Białoruś jako najaktywniejsze i wrogie nam państwa. Wiecie, na co w związku z tym musicie się szczególnie przygotować?

- Przede wszystkim musimy wspierać podmioty w zapewnieniu cyberbezpieczeństwa komponentów automatyki przemysłowej i urządzeń infrastruktury brzegowej oraz w budowaniu świadomości. Punktem wejścia bywa często bardzo prozaiczna kwestia: człowiek jako najsłabsze ogniwo, o czym eksperci mówią od lat.

Pod uwagę bierzemy także m.in. specyfikę systemów łączności na kolei. Rodzaj incydentów w transporcie kolejowym będzie inny niż w wodociągach: inne komponenty, inne punkty wejścia i scenariusze działań przeciwnika. CSIRT GOV odpowiada za cyberbezpieczeństwo infrastruktury krytycznej, a my jesteśmy jednostką wspierającą. Zagrożenia są bardzo przekrojowe: słyszymy o ransomware, następnie o atakach typu DDoS, na łańcuchy dostaw, o ingerencji w systemy łączności, a później znów o prozaicznym, aczkolwiek poważnym zagrożeniu, jakim są ataki phishingowe.

CSIRT „po nowemu”. Po pierwsze OT i AI

Na koniec, gdyby miała pani wskazać najbliższe priorytety dla waszego zespołu, jakie by one były?

- Naszym głównym celem jest podniesienie poziomu cyberbezpieczeństwa podmiotów w naszych sektorach. Mamy na uwadze, jak bardzo te usługi są krytyczne: obywatel nie musi zastanawiać się nad wodą z kranu, dojazdem do pracy metrem czy nad odprowadzaniem ścieków.

Jednym z priorytetów będzie budowa sieci współpracy z podmiotami z sektorów, być może stworzymy trzy specjalnie wyznaczone do tego kanały łączności – po jednym dla każdego sektora – zaczynając od podmiotów kluczowych, tak żeby mieć możliwość szybkiej rozmowy i rozwiązywania problemów.

Priorytetem jest też budowa zdolności zespołu: doszkalanie, szczególnie w specyfice OT, ale też AI. Chcemy budować CSIRT „po nowemu”, myśląc o rozwiązaniach chmurowych, automatyzacji i zwinności biznesowej. Uważam, że to klucz do sukcesu.

Dziękuję za rozmowę.