Po co nam Krajowe Ramy Interoperacyjności
Krajowe Ramy Interoperacyjności to dobry przykład tego, jak państwo potrafi przygotować sensowny dokument, a następnie osłabić go jednym źle osadzonym elementem. Warto spojrzeć na KRI właśnie jako na studium przypadku. Nie po to, żeby wszystko krytykować, tylko po to, żeby oddzielić to, co działa, od tego, co w praktyce przestaje mieć sens.
To, co w KRI jest dobre
Pierwsza część dokumentu, czyli ta dotycząca technicznych i organizacyjnych aspektów interoperacyjności, jest potrzebna i dobrze pomyślana. Państwo musi mieć wspólne zasady wymiany danych, wspólne podejście do architektury, opisów usług i struktur informacji. Bez tego każdy urząd, każda jednostka i każdy system działają jak osobna wyspa. A przecież właśnie po to tworzy się ramy interoperacyjności, żeby te wyspy zaczęły ze sobą rozmawiać. I tutaj KRI spełnia swoją rolę. Porządkuje myślenie o tym, jak systemy publiczne mają współpracować. Wskazuje kierunek, który sam w sobie jest słuszny. W tym obszarze trudno mieć poważny spór z samą ideą dokumentu.
Problem z tempem zmian technicznych
Jest jednak coś, co trzeba powiedzieć wprost. Standardy techniczne zmieniają się szybko. Znacznie szybciej niż akty prawne. To, co dziś jest aktualne, za kilka lat może być już tylko śladem po poprzedniej epoce cyfryzacji. I właśnie dlatego dokument taki jak KRI powinien być aktualizowany częściej. Nie chodzi o to, żeby co chwilę robić rewolucję. Chodzi o to, żeby część techniczna nie zamieniała się w archiwum. Sam kierunek jest dobry, ale mechanizm aktualizacji jest zbyt wolny. A w świecie technologii zbyt wolna aktualizacja oznacza, że dokument zaczyna opisywać rzeczywistość, która już nie istnieje.
Gdzie zaczyna się zasadniczy błąd
Prawdziwy problem zaczyna się wtedy, gdy dokument o interoperacyjności zaczyna mówić językiem systemu zarządzania bezpieczeństwem informacji. I tu właśnie coś się rozjeżdża. Interoperacyjność dotyczy tego, czy systemy potrafią współpracować, wymieniać dane i działać w sposób spójny. ISO 27001 nie odpowiada na to pytanie. To nie jest standard od komunikacji między systemami. To jest standard zarządczy. Dotyczy polityk, procedur, ról, audytów, przeglądów i całego aparatu organizacyjnego wokół bezpieczeństwa. To są dwa różne porządki. System może być bardzo dobrze opisany od strony organizacyjnej i nadal nie być interoperacyjny. Może też wymieniać dane poprawnie, a jednocześnie nie mieć rozbudowanego aparatu zarządczego typowego dla dużych organizacji. Nie można tych dwóch rzeczy wrzucać do jednego worka i udawać, że to jest to samo.
Interoperacyjność to nie SZBI
To jest właśnie podstawowy błąd KRI. Dokument, który powinien koncentrować się na zdolności systemów do współpracy, zostaje obciążony logiką systemu zarządzania. W praktyce oznacza to przesunięcie z obszaru technicznej współpracy w stronę formalnego aparatu zgodności. A przecież interoperacyjność nie polega na tym, że organizacja ma politykę, rejestr ryzyka i plan przeglądów. Interoperacyjność polega na tym, że systemy rozumieją dane, potrafią je wymieniać i robią to w sposób przewidywalny. ISO tego nie załatwia. ISO nie sprawia, że systemy zaczynają ze sobą rozmawiać. Ono porządkuje proces zarządczy wokół bezpieczeństwa. To zupełnie inna funkcja.
Przypadek szkoły podstawowej
Najlepiej widać to na przykładzie szkoły podstawowej. Zwykła szkoła w małej gminie nie jest dużą organizacją z rozbudowanym działem bezpieczeństwa, architektami, compliance i budżetem na ciągłe utrzymywanie systemów zarządzania. To jest jednostka, która ma uczyć dzieci, prowadzić administrację i radzić sobie z codziennymi problemami kadrowymi i finansowymi. Taka szkoła oczywiście powinna mieć podstawowe zasady bezpieczeństwa. Powinna dbać o aktualizacje, kopie zapasowe, kontrolę dostępu, reagowanie na incydenty i ochronę danych. To jest rozsądne. To jest potrzebne. To jest wykonalne. Ale wciskanie takiej organizacji pełnego SZBI opartego na ISO jest zwykłym absurdem. Nie dlatego, że szkoła nie potrzebuje bezpieczeństwa. Właśnie dlatego, że potrzebuje bezpieczeństwa realnego, a nie papierowego. Szkoła nie potrzebuje rozbudowanego ceremoniału zgodności. Nie potrzebuje kosztownej dokumentacji tworzonej po to, żeby ktoś mógł wykazać, że proces istnieje. Nie potrzebuje aparatu zarządczego, którego później i tak nie będzie w stanie utrzymać. Koszt, przeciążenie i fikcja zgodności W całym kraju mamy kilkanaście tysięcy szkół podstawowych. Jeżeli dla takich jednostek państwo promuje model bezpieczeństwa oparty na pełnym SZBI według ISO, to nie tworzy rozsądnego systemu. Tworzy kosztowną imprezę, która przeciąża organizacje i nie daje adekwatnego efektu. W praktyce kończy się to bardzo często tak samo. Organizacja kupuje dokumentację, tworzy formalne procedury, opisuje procesy, których nikt później realnie nie wykonuje, a potem żyje z rosnącą różnicą między tym, co ma na papierze, a tym, co robi w rzeczywistości. To nie poprawia cyberbezpieczeństwa. To produkuje fikcję zgodności.
Dodatkowe ryzyko audytowe
Co gorsza, taki model może wygenerować dodatkowe ryzyko. Jeżeli mały podmiot wdroży SZBI tylko formalnie, to podczas audytu nie będzie oceniany wyłącznie brak praktycznych zabezpieczeń. Będzie oceniany także rozdźwięk między deklaracją a rzeczywistością. To oznacza, że organizacja sama buduje sobie nowy obszar podatności. Nie technologicznej, tylko formalnej. Ma dokumenty, ma polityki, ma rejestry, ale nie ma ludzi i zasobów, żeby faktycznie żyć zgodnie z tym, co zostało zapisane. I wtedy państwo dochodzi do absurdalnego punktu, w którym wymóg mający poprawiać bezpieczeństwo zaczyna być źródłem nowego ryzyka.
Co należałoby zmienić
KRI nie wymaga odrzucenia. KRI wymaga korekty. Część dotycząca interoperacyjności powinna zostać, bo jest potrzebna i ma sens. Powinna być tylko częściej aktualizowana, żeby nadążała za zmianą technologii i standardów technicznych. Natomiast część dotycząca SZBI powinna zostać odklejona od wrażenia, że tylko jeden model zarządczy daje legitymację do zgodności. W przypadku podmiotów objętych KRI punktem odniesienia powinna być adekwatność, skuteczność i możliwość wykazania, że podstawowe środki bezpieczeństwa rzeczywiście działają. Nie rozmiar dokumentacji i nie zgodność z modelem, który został zaprojektowany z myślą o dużo dojrzalszych organizacyjnie podmiotach.
Wniosek
KRI pokazuje bardzo dobrze, gdzie państwo ma rację, a gdzie zaczyna przesadzać. Ma rację wtedy, gdy porządkuje zasady technicznej współpracy systemów. Przesadza wtedy, gdy do dokumentu o interoperacyjności dokłada logikę pełnego systemu zarządzania bezpieczeństwem informacji i próbuje przenieść ją na podmioty, które ani nie mają takich zasobów, ani nie potrzebują takiego ciężaru. Interoperacyjność to zdolność systemów do współpracy. Nie segregator z procedurami. A cyberbezpieczeństwo szkoły podstawowej nie zaczyna się od ISO. Zaczyna się od prostych, wykonalnych i utrzymywalnych zabezpieczeń. I właśnie tego w obecnym podejściu najbardziej brakuje.