Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), wdrażająca do polskiego porządku prawnego dyrektywę NIS2, wprowadza nie tylko nowe obowiązki ochronne, ale również kładzie ogromny nacisk na obronę zbiorową. Jednym z najbardziej innowacyjnych, a zarazem najmniej dyskutowanych aspektów nowych regulacji jest kwestia proaktywnego współdzielenia informacji o cyberzagrożeniach (Cyber Threat Intelligence – CTI) między podmiotami B2B, instytucjami państwowymi oraz organizacjami sektorowymi.
Zmiana paradygmatu: Od izolacji do zbiorowej odporności
Tradycyjne podejście do cyberbezpieczeństwa w firmach B2B opierało się na budowaniu „twierdzy” i zatrzymywaniu informacji o atakach wyłącznie dla siebie z obawy przed utratą reputacji. Ustawa o KSC oraz dyrektywa NIS2 starają się zburzyć ten silosowy model. O ile raportowanie poważnych incydentów do właściwych zespołów CSIRT ma charakter ściśle obligatoryjny i podlega rygorystycznym terminom, o tyle współdzielenie danych o wskaźnikach kompromitacji (IoC), taktykach, technikach i procedurach (TTP) stosowanych przez cyberprzestępców jest procesem dobrowolnym, ale silnie wspieranym przez ustawodawcę.
Dzięki stworzeniu odpowiednich ram prawnych, firmy zyskują możliwość legalnej i bezpiecznej wymiany danych z pominięciem części barier administracyjnych. Pozwala to na wczesne ostrzeganie innych uczestników rynku o nowych kampaniach phishingowych, złośliwym oprogramowaniu czy atakach typu DDoS, co znacząco podnosi ogólny poziom bezpieczeństwa całych łańcuchów dostaw i sektorów gospodarki.
Ramy prawne współdzielenia informacji w KSC (Art. 29 NIS2)
Zgodnie z założeniami dyrektywy NIS2 (w szczególności art. 29) oraz zaktualizowanymi przepisami KSC, państwa członkowskie mają obowiązek zapewnić, aby podmioty kluczowe i ważne mogły dobrowolnie wymieniać się między sobą istotnymi informacjami o cyberzagrożeniach. Aby taka wymiana mogła funkcjonować w realiach B2B, przepisy wprowadzają tzw. mechanizmy bezpiecznej przystani (safe harbor) dla firm, które w dobrej wierze dzielą się danymi technicznymi o zagrożeniach.
Wymiana ta musi jednak odbywać się zgodnie z określonymi zasadami, z poszanowaniem praw podstawowych oraz unijnych i krajowych przepisów o ochronie konkurencji. Co istotne, ustawa o KSC przewiduje tworzenie dedykowanych platform wymiany informacji, takich jak rozwój krajowego Systemu S4, który ułatwia dwukierunkową komunikację między przedsiębiorstwami a systemem reagowania na poziomie krajowym (CSIRT GOV, CSIRT MON, CSIRT NASK).
ISAC: Sektorowe Centra Wymiany Informacji w Polsce
Jednym z najważniejszych narzędzi ułatwiających współdzielenie CTI są Centra Wymiany i Analizy Informacji (ISAC – Information Sharing and Analysis Centers). Są to organizacje non-profit lub sformalizowane grupy robocze zrzeszające podmioty z jednego sektora (np. ISAC-Kolej, Fin-ISAC, Energy-ISAC) lub powiązane terytorialnie. Ustawa o KSC systematyzuje rolę tych podmiotów, zachęcając firmy B2B do ich współtworzenia.
Dołączenie do branżowego centrum ISAC przynosi przedsiębiorstwu wymierne korzyści:
- Wczesne ostrzeganie: Dostęp do wysoce wyselekcjonowanych, specyficznych dla danej branży danych o zagrożeniach.
- Współpraca analityczna: Możliwość wymiany doświadczeń z inżynierami bezpieczeństwa z innych firm konkurencyjnych w bezpiecznym, zaufanym środowisku.
- Wsparcie CSIRT: Otrzymywanie od krajowych zespołów reagowania zanonimizowanych raportów analitycznych oraz wskaźników zagrożeń niedostępnych w domenach publicznych.
Wyzwania prawne: Threat Intelligence a RODO i ochrona tajemnicy firmy
Kluczowym problemem, z którym mierzą się działy prawne (Legal & Compliance) w firmach B2B, jest konflikt między chęcią współdzielenia danych o atakach a restrykcjami wynikającymi z przepisów o ochronie danych osobowych oraz umów o zachowaniu poufności (NDA). KSC ułatwia rozstrzyganie tych dylematów, jednak wymaga to wdrożenia odpowiednich polityk wewnętrznych.
RODO a Wskaźniki Kompromitacji (IoC)
Wskaźniki kompromitacji, takie jak adresy IP atakujących, złośliwe domeny, czy adresy e-mail wykorzystywane do phishingu, w wielu przypadkach mogą stanowić dane osobowe (np. gdy złośliwa domena zawiera imię i nazwisko). Wymiana takich danych rodzi pytania o podstawę prawną. Z pomocą przychodzi Motyw 49 RODO, który wprost wskazuje, że przetwarzanie danych osobowych w stopniu ściśle niezbędnym i proporcjonalnym do zapewnienia bezpieczeństwa sieci i informacji stanowi prawnie uzasadniony interes administratora danych.
W połączeniu z art. 6 ust. 1 lit. f) RODO oraz przepisami nowej ustawy o KSC, udostępnianie złośliwych adresów IP innym firmom w celu zapobiegania atakom jest w pełni legalne, pod warunkiem, że firma udostępniająca zminimalizuje zakres przekazywanych informacji wyłącznie do danych technicznych związanych z atakiem (np. usuwając z logów dane swoich własnych użytkowników lub klientów).
Tajemnica przedsiębiorstwa i Traffic Light Protocol (TLP)
Aby zapobiec wyciekowi wrażliwych informacji biznesowych (np. faktu, że dana firma padła ofiarą specyficznej podatności), organizacje muszą wdrożyć standardy oznaczania informacji. Najpowszechniej stosowanym standardem w ramach KSC i globalnego ekosystemu CTI jest Traffic Light Protocol (TLP). Definiuje on cztery poziomy poufności udostępnianych danych:
- TLP:RED – Informacje przeznaczone wyłącznie dla konkretnych odbiorców bezpośrednio zaangażowanych w sprawę. Nie można ich udostępniać nikomu poza wyznaczoną grupą roboczą.
- TLP:AMBER – Ograniczone udostępnianie. Informacje mogą być przekazywane wyłącznie członkom własnej organizacji (np. pracownikom działu IT) oraz partnerom w zakresie niezbędnym do podjęcia działań obronnych.
- TLP:GREEN – Szerokie udostępnianie w ramach określonej społeczności (np. dla wszystkich członków danego ISAC lub całego sektora), jednak zakaz publikacji w otwartym internecie.
- TLP:CLEAR – Informacje jawne, które można swobodnie udostępniać publicznie, bez ograniczeń dystrybucyjnych.
Standardy technologiczne w automatyzacji wymiany CTI
Aby proces wymiany informacji w ramach KSC był skuteczny, nie może opierać się na manualnym przesyłaniu plików PDF czy arkuszy Excel. Nowoczesne podejście wymaga integracji technologicznej i automatyzacji. Firmy B2B objęte regulacją powinny rozważyć wdrożenie platform klasy TIP (Threat Intelligence Platform), takich jak otwartoźródłowy MISP (Malware Information Sharing Platform).
Kluczowe znaczenie mają również znormalizowane formaty opisu zagrożeń. Zespoły CSIRT oraz systemy krajowe w ramach KSC wykorzystują standardy STIX (Structured Threat Information Expression) do opisu zagrożeń oraz TAXII (Trusted Automated Exchange of Intelligence Information) do bezpiecznego, zautomatyzowanego przesyłania tych danych pomiędzy systemami zabezpieczeń (np. z krajowego węzła CTI bezpośrednio do zapór sieciowych lub systemów SIEM w firmie).
Jak przygotować firmę B2B do współdzielenia informacji?
Wdrożenie mechanizmów wymiany CTI w zgodzie z ustawą o KSC wymaga ścisłej współpracy działów IT, cyberbezpieczeństwa oraz bezpieczeństwa prawnego. Organizacja powinna podjąć następujące kroki:
- Opracowanie Polityki Wymiany Informacji: Stworzenie formalnego dokumentu określającego, kto w firmie ma prawo decydować o przekazaniu wskaźników IoC podmiotom zewnętrznym i na jakich zasadach.
- Aktualizacja klauzul informacyjnych i rejestru czynności przetwarzania (RCP): Dodanie w dokumentacji RODO procesów związanych z analizą i udostępnianiem danych z logów systemowych na potrzeby zapewnienia cyberbezpieczeństwa i współpracy w ramach KSC.
- Wdrożenie protokołu TLP: Przeszkolenie personelu technicznego z zasad oznaczania dystrybuowanych informacji oraz stosowania matrycy TLP w codziennej komunikacji z partnerami B2B i instytucjami państwowymi.
- Integracja technologiczna: Ocena posiadanej architektury zabezpieczeń pod kątem możliwości automatycznego pobierania (ingestion) i udostępniania (export) danych w standardach STIX/TAXII.
Najważniejsze wnioski
- Współdzielenie danych o zagrożeniach (CTI) w świetle dyrektywy NIS2 i ustawy o KSC jest procesem dobrowolnym, ale kluczowym dla budowania zbiorowej odporności (collective resilience) w sektorze B2B.
- Polskie przepisy wprowadzają ramy prawne i mechanizmy bezpiecznej przystani, które pozwalają firmom legalnie i bezpiecznie dzielić się informacjami o taktykach i procedurach atakujących.
- Wymiana wskaźników kompromitacji (IoC) zawierających dane osobowe jest zgodna z RODO, jeśli opiera się na prawnie uzasadnionym interesie zapewnienia bezpieczeństwa sieci (Motyw 49 RODO).
- Bezpieczeństwo danych biznesowych podczas wymiany chronią sprawdzone standardy operacyjne, takie jak Traffic Light Protocol (TLP) oraz struktury sektorowe typu ISAC.
- Dla maksymalnej efektywności procesy wymiany CTI powinny być zautomatyzowane przy wykorzystaniu standardów STIX/TAXII oraz platform takich jak MISP, zintegrowanych z krajowym Systemem S4.
Treść ma charakter informacyjny i edukacyjny — nie stanowi porady prawnej. Przy wyniku granicznym skonsultuj się z radcą prawnym lub adwokatem.