Ewolucja doktryny obronnej państwa na przyk³adzie

Transkrypt

Ewolucja doktryny obronnej państwa na przyk³adzie
AKADEMIA OBRONY NARODOWEJ
CENTRUM SYMULACJI I KOMPUTEROWYCH GIER WOJENNYCH
PRACA STUDYJNA
OCHRONA INFRASTRUKTURY
KRYTYCZNEJ PAŃSTWA
sieci i usługi łączności elektronicznej
Opracował
Kierownik Pracy
Piotr Rutkowski
płk.dr inż. Marek Kinasiewicz
WARSZAWA
2004
1. Infrastruktura krytyczna – zakres pojęciowy i identyfikacja zagrożeń _____________ 3
2. Rola sektora prywatnego w ochronie infrastruktury ___________________________ 8
3. Ewolucja doktryny obronnej państwa na przykładzie amerykańskim______________ 9
3.1. Bezpieczeństwo Narodowe _________________________________________________ 9
3.2. Departament Obrony ____________________________________________________ 13
3.3. Ustawa o produkcji obronnej _____________________________________________ 15
3.4. Kontrola Eksportu ______________________________________________________ 17
3.5. Przebudowa amerykańskiego rynku telekomunikacyjnego _____________________ 18
3.6. NCS – Narodowy System Łączności ________________________________________ 23
3.7. Rozporządzenie wykonawcze Prezydenta 13010 ______________________________ 24
3.8. Dyrektywa 63 (PDD 63) __________________________________________________ 27
3.9. Mobilizacja sił w związku z „problemem roku 2000” __________________________ 33
3.10. Doświadczenie 11 września 2001 roku _____________________________________ 33
3.11. DHS – Departament Bezpieczeństwa Krajowego ____________________________ 37
3.12. Narodowa Strategia Zabezpieczenia Cyberprzestrzeni _______________________ 48
3.13. Narodowa Strategia Fizycznej Ochrony Infrastruktury Krytycznej i Kluczowych
Zasobów __________________________________________________________________ 54
4. Specyfika podejścia europejskiego ________________________________________ 56
5. Problematyka infrastruktury krytycznej w Polsce ____________________________ 63
5.1. Ustawa o powszechnym obowiązku obrony __________________________________ 63
5.2. Ustawa o organizowaniu zadań na rzecz obronności państwa realizowanymi przez
przedsiębiorców ____________________________________________________________ 66
5.3. Strategia bezpieczeństwa narodowego ______________________________________ 67
5.4. Sektor telekomunikacji - prawo telekomunikacyjne ___________________________ 69
5.5. Projekt ustawy o bezpieczeństwie obywatelskim i zarządzniu kryzysowym________ 71
6. Podsumowanie – prawdopodobny wpływ zmian technologicznych i rynkowych ____ 74
8. Skróty użyte w tekście __________________________________________________ 76
9. Bibliografia __________________________________________________________ 78
2
Informacja staje się najważniejszym zasobem
gospodarki i całego społeczeństwa.
Informację od innych strategicznych zasobów
różni jednak to, że można ją kopiować bez
ponoszenia kosztów, może być niszczona bez
pozostawiania śladów, a jej wartość zmienia się w
czasie i w zależności od kontekstu
Ueli Maurer – 2000
Dzisiaj nie wystarczy strategia militarna, która
jest powiązana z planami bitew i działaniami sił
zbrojnych… „Wielka strategia” (w odróżnieniu od
węższej militarnej) koncentruje się na zdolności
państwa do koordynowania i kierowania
narodowymi zasobami.
Sir Basil H. Liddel Hart, 1954
1. Infrastruktura krytyczna – zakres pojęciowy i
identyfikacja zagrożeń
W skład infrastruktury krytycznej wchodzą sektory gospodarki, instytucje, sieci
dystrybucyjne, systemy, które zapewniają ciągłość przepływu towarów i usług
istotnych dla obronności kraju, bezpieczeństwa gospodarczego, zdrowia, i
bezpieczeństwa obywateli.
Infrastrukturę należy uważać za „krytyczną”, kiedy jej nieprawidłowe działanie,
ograniczenie pojemności lub zniszczenie mogłoby mieć wpływ na osłabienie kraju
lub regionu.
3
Potrzeba ochrony zasobów gospodarki przed różnorodnymi zagrożeniami
wydaje się dosyć oczywista, ale wyzwanie to nabrało zupełnie nowego wymiaru,
kiedy powszechne zastosowanie systemów teleinformatycznych wytworzyło,
nieistniejący przedtem, bardzo złożony system współzależności, których
znaczenie wciąż trudno jest oszacować. „W rezultacie, zidentyfikowanie tego, co
jest krytyczne staje się zarówno trudniejsze, jak i bardziej istotne. Epoka
informacji, wprowadziła nas w ekscytującą nową erę technologii, ale przynosi nam
także wiele nowych problemów w dziedzinie bezpieczeństwa” [Bennett, 2002:s.1].
W niesprzyjających okolicznościach złożoność systemów powoduje, że
zagrożenia mogą pociągać za sobą efekt kaskadowy o zaskakującym zasięgu.
Jeżeli awarie lub zniszczenia zostały sprowokowane rozmyślnym atakiem, a
szczególnie zorganizowanym działaniem o charakterze terrorystycznym, z czym
należy się w coraz większym stopniu liczyć, efekty mogą być katastrofalne.
Ewentualne działania terrorystów, są potencjalnie najgroźniejszym rodzajem
zagrożeń, ponieważ terrorystom z zasady zależy na uderzeniu w najsłabszy i
trudny do przewidzenia punkt, wywołaniu jak najbardziej spektakularnych skutków
i eskalacji kryzysu.
Wskazówką w identyfikowaniu potencjalnych celów może być tylko to, że „jeden
z trwałych aksjomatów terroryzmu sprowadza się do tego, że zadaniem
terroryzmu jest zdobywanie rozgłosu i zwracanie uwagi na terrorystów i ich
sprawę. Jest to więc działalność jakby specjalnie stworzona na potrzeby środków
masowej informacji w końcu XX wieku.” [Hoffman, 1999, s. 147]. Z takiego punktu
widzenia media, szczególnie elektroniczne, w tym Internet stają się bronią
terrorystów.
Sytuacja się komplikuje, kiedy terroryści idą na prawdziwą wojnę, kiedy
rzeczywiście planują destabilizować wszelkimi dostępnymi sobie metodami
gospodarkę wrogiego kraju i zabić jak najwięcej ludzi, czego symptomy można
zaobserwować w działaniach Al.-Kaidy, szczególnie w związku z atakiem 11
września 2001 roku.
Media, nadal pozostają dla terrorystów ważnym elementem wojny informacyjnej,
ale są traktowane czysto instrumentalnie. Wykorzystuje się to, że to samym
mediom zależy na nagłośnieniu sensacyjnej sprawy. Podobnie jak w przypadku
tajnych operacji wojskowych, Al. Kaidę, stać na to by tygodniami unikać
oficjalnego potwierdzenia autorstwa ataków. W końcu grudnia 2001 roku Osama
4
Bin Laden, w jednej ze swych słynnych wypowiedzi telewizyjnych mówi, że „to
bardzo ważne, by z użyciem wszelkich możliwych środków koncentrować się na
uderzeniach w gospodarkę USA,…spójrzcie na filary amerykańskiej gospodarki.
Trzeba uderzyć w kluczowe filary wroga…” [przekaz NBC, tłumaczenie z ang.]
Przygotowanie infrastruktury krytycznej na ewentualność ataków
terrorystycznych jest również dobrym punktem wyjścia do klasyfikacji i określenia
środków zaradczych wobec innych, nieco łatwiejszych do zalgorytmizowania
zagrożeń, nie wyłączając klęsk żywiołowych i przypadkowych katastrof.
W podejściu, które można by dzisiaj już uznać jako klasyczne, do
infrastruktury krytycznej zalicza się następujące sektory:
Sieci łączności elektronicznej (telekomunikacja i teleinformatyka);
Energetykę (wytwarzanie energii, sieci transmisyjne i dystrybucyjne)
Magazynowanie przesyłanie i dystrybucja ropy naftowej, gazu, paliw płynnych;
Bankowość i finanse
Transport
Zaopatrzenie w wodę
Służby ratunkowe i naprawcze1
Zabezpieczenie infrastruktury krytycznej wymaga wypracowania zasad i
procedur, które zapewnią ciągłość świadczenia usług, niezawodność i stałą
gotowość skutecznego reagowania, pozwalającą nabrać przekonania, że będzie
ona mniej podatna na potencjalne zagrożenia. Oznacza to, że istnieje zdolność do
ograniczania skutków ewentualnych zagrożeń, a także odtwarzania normalnego
stanu działania systemu.
Można wyróżnić dwie zasadnicze kategorie zagrożeń infrastruktury krytycznej:
Fizyczne ataki na obiekty, które są składnikami tej infrastruktury;
Ataki z cyberprzestrzeni ukierunkowanymi na informację, łączność, systemy
zarządzania infrastrukturą.
Do tej pory dominują ataki fizyczne, przy użyciu broni konwencjonalnej, którą
stosunkowo łatwo zdobyć i której użycie daje natychmiastowe widoczne efekty.
Ochrona fizyczna wymaga stosowania znanych środków technicznych i
1
Emergency services
5
organizacyjnych i jest odpowiedzialnością posiadaczy obiektów. Wystarczy
rozważać przeglądy procedur, użycie nowocześniejszych środków technicznych i
szukać kompromisu pomiędzy kosztami, a zmniejszaniem uciążliwości dla
użytkowników, rozszerzać uniwersalność użytych środków ochrony wobec
ewentualności użycia broni masowego rażenia.
Inaczej jest z atakami z cyberprzestrzeni. Z jednej strony bezpieczeństwo jest
standardową odpowiedzialnością posiadaczy systemów teleinformatycznych.
Trzeba się jednak teraz liczyć z zagrożeniem w większej skali, kumulacją skutków
ewentualnych uszkodzeń, mających skutki daleko poza administrowaną siecią, w
innych obszarach infrastruktury, destabilizacją sytuacji na dużych obszarach. W
odróżnieniu od ochrony fizycznej obietów, gdzie mobilizacja policji, wojska i straży
pożarnej może wspomagać działania prewencyjne, ratownicze i naprawcze w
przypadku zagrożeń z cyberprzestrzeni, zanim pojawią się widoczne fizyczne
skutki zniszczeń, państwowe służby antykryzysowe nie są w stanie reagować na
zagrożenia w prywatnych systemach informatycznych telekomunikacyjnych.
W większości krajów definicja infrastruktury krytycznej i metody jej ochrony są
przedmiotem debaty. W zależności od lokalnych doświadczeń i wyjściowej
perspektywy przyjmuje się własne metody analizy ryzyka, szacowania ważności
poszczególnych priorytetów, określania podatności na zagrożenia i środków
zaradczych potrzebnych do zapewnienia infrastruktury krytycznej. W dalszym
ciągu jest jednak również wiele krajów, gdzie nie wypracowano jeszcze jasnej
koncepcji ochrony infrastruktury krytycznej.
Następstwa ataku terrorystycznego 11 września 2001 roku i późniejszych
zagrożeń bakteriologicznych dodały nowego impulsu do tych dyskusji. Amerykanie
doszli do wniosku, że koncepcję infrastruktury krytycznej należy ekstrapolować na
inne sektory i w obecnie prezentowanej strategii lista sektorów jest skonstruowana
nieco inaczej dla strategii ochrony fizycznej infrastruktury krytycznej oraz inaczej
dla strategii ochrony cyberprzestrzeni. Sektory te są również inaczej
uszeregowane. Trzeba jednak podkreślić, że koordynację obu strategii powierzono
jednemu Departamentowi Bezpieczeństwa Krajowego.
6
Fizyczna ochrona infrastruktury
krytycznej i kluczowych
aktywów
Sektory Infrastruktury krytycznej
Ochrona cyberprzestrzeni
Rolnictwo i żywność
Bankowość i finanse
Woda
Ubezpieczenia
Zdrowie Publiczne
Chemia
Służby ratunkowe
Ropa i gaz
Przemysł zbrojeniowy i usługi i
Energetyka
zaopatrzenie sił zbrojnych
Policja, służby specjalne,
Telekomunikacja
prokuratura2
Energetyka
Szkolnictwo wyższe
Transport
Transport
Bankowość i finanse
Telekomunikacja i teleinformatyka
Chemikalia i materiały
Woda
niebezpieczne
Poczta i spedycja
[Bush-2,2003: s.xiii]
Kluczowe aktywa
Narodowe pomniki i muzea
Elektrownie atomowe
Tamy
Budynki rządowe
Kluczowe aktywa komercyjne
[Bush-3, 2003: s. xii]
2
law enforcement
7
2. Rola sektora prywatnego w ochronie infrastruktury
Zdecydowanie najważniejszym, kluczowym problemem w tworzeniu i wdrożeniu
strategii ochrony infrastruktury krytycznej jest wypracowanie mechanizmów
współpracy pomiędzy służbami rządowymi, a sektorem prywatnym. To sektor
prywatny jest właścicielem większości obiektów infrastruktury krytycznej,
całkowicie kontrolując ich stan, rozwój, inwestycje, w tym związane z
bezpieczeństwem.
To sektor prywatny jest na pierwszej linii ataku, ale nie ma dostępu o niejawnych
informacji zbieranych przez służby rządowe, szczególnie ze źródeł operacyjnych.
Rząd natomiast tworzy strategiczne plany obrony, opierając się o własną wiedzę
analityczną i nadaje im odpowiednią prawną klauzulę informacji niejawnej, ale
gromadząc dane nie ma pełni wiedzy ani o możliwościach, ani o słabościach
infrastruktury krytycznej posiadanej przez sektor prywatny. Ta wiedza jest przez
właścicieli infrastruktury bardzo pilnie strzeżona, jako jeden z najbardziej
wrażliwych czynników oceny zdolności do wygrania własnej pozycji na
konkurencyjnym rynku.
Sektor prywatny buduje swoją filozofię działania o walkę na rynku
konkurencyjnym. Jeżeli w doktrynie obronnej państwa pojawia się teza, że
ewentualność ataków na infrastrukturę krytyczną, szczególnie w związku z
zagrożeniem terrorystycznym jest bardzo prawdopodobna, to nie należy pogłębiać
konfliktu aksjologicznego, kto ma wziąć na siebie odpowiedzialność za
bezpieczeństwo powszechne. Trzeba spróbować znaleźć płaszczyznę wymiany
informacji i wspólnie postarać się o lepszą świadomość uwarunkowań i
współzależności. Poprawa niezawodności i bezpieczeństwa, w epoce gospodarki
elektronicznej powinna wzmacniać pozycję posiadaczy infrastruktury krytycznej.
8
3. Ewolucja doktryny obronnej państwa na przykładzie
amerykańskim
Świadomość obrony własnego terytorium była dla amerykanów ograniczona.
Pomimo krótkiego epizodu gorączki obrony atomowej po kryzysie Zatoki Świń,
wielu amerykanów pozostawało pod wpływem mitu, że kontynent amerykański nie
był obszarem obcej inwazji od 1812 roku. Obecnie mit nie jest już uzasadniony,
ponieważ inwazja za pośrednictwem cyberprzestrzeni jest zjawiskiem codziennym
[Montgomery, 2002: s.21].
3.1. Bezpieczeństwo Narodowe
Potrzeba redefiniowania pojęcia bezpieczeństwa narodowego, wymuszana od
niedawna przez globalizację oraz powszechną dostępność sieci i usług łączności
elektronicznej, nie jest dla amerykanów nowym zjawiskiem. Poważne zmiany w
podejściu do bezpieczeństwa narodowego wynikały na przykład z następstw
Wojny Wietnamskiej, a także zakończenia ery „zimnej wojny” [Oslund, 2002:
s.89].
Można uznać [s.90 ibid.], że najwcześniejsza amerykańska koncepcja
formułowana jako bezpieczeństwo narodowe należy do Edwarda Lippmana, który
w 1942 pisał: „naród jest bezpieczny w granicach, w których nie jest zagrożony w
swoich uświęconych podstawowych wartościach, jeżeli pragnie uniknąć wojny lub
jeżeli zajdzie konieczność prowadzenia wojny, jest w stanie tę wojnę doprowadzić
do zwycięstwa [s.51ibid.]”.
Podczas zimnej wojny, która początkowo sprowadzała się do zintensyfikowania
zbrojeń, zwiększenia potencjału militarnego i agresywnej polityki
międzynarodowej, stopniowo pojawiły się mechanizmy uwzględniające
międzynarodowe interesy gospodarcze.
Do późnych lat osiemdziesiątych, zanim nastąpiła korozja radzieckiej potęgi, w
obszar pojęcia bezpieczeństwa narodowego zaczęto wpisywać wiele innych
dziedzin: dostęp do surowców, ochronę środowiska, demografię, prawa człowieka,
handel narkotykami, choroby epidemiczne, przestępczość zorganizowaną.
W 1994 roku Wspólna Komisja ds. Bezpieczeństwa, powołana przez sekretarza
obrony i dyrektora CIA, przygotowała raport, w którym stwierdziła, że „jeżeli
zamiast atakować nasze wojskowe systemy i bazy danych, wróg uderzy w naszą
9
niechronioną infrastrukturę cywilną, rezultaty gospodarcze i inne byłyby
katastrofalne” [JSC, 1994].
W następstwie wniosków raportu JSC Prezydent wydał w tym samym roku
dyrektywę PDD 29 i powołał Radę ds. Polityki Bezpieczeństwa3, w której
uczestniczyli zastępcy sekretarzy obrony, stanu, handlu, energetyki,
sprawiedliwości, Dyrektor CIA, Zastępca przewodniczącego Połączonego
Kolegium Szefów Sztabu, a przewodniczył Asystent Prezydenta ds.
Bezpieczeństwa Narodowego [PDD 29, 1994],
Znaczącą rolę w rozwoju ogólnej koncepcji obrony infrastruktury krytycznej
odegrał Departament Obrony4, finansujący prace nad problematyką wojny
informacyjnej. W 1995 roku powstał między innymi finansowany przez
Departament Obrony raport na temat strategicznej wojny informacyjnej w RAND
Corporation [Molander, 1996]. Raport podsumował scenariusz ćwiczeń
realizowanych pod hasłem „The Day After” od stycznia do czerwca 1995 roku.
Założeniem scenariusza ćwiczeń było poważne zakłócenie działania infrastruktury
informacyjnej Stanów Zjednoczonych, jako pola nowych potencjalnych konfliktów,
przyszłej wojny, w czasie której „narody wykorzystywałby cyberprzestrzeń, w celu
wpływania na strategiczne operacje wojskowe [Molander 1996: s 1].
W raporcie tym sformułowano potrzebę zidentyfikowania i zdefiniowania
„minimalnej istotnej infrastruktury informacyjnej5”, co otworzyło pole do badań nad
problematyką informacyjnej infrastruktury krytycznej. W raporcie pominięto jednak
„problem wyważenia celów wojskowych i politycznych, co powinno być uważane
za bardzo istotne w strategicznej wojnie informacyjnej” [Rattray 2004, s.361].
Stopniowo, mniej więcej od połowy lat dziewięćdziesiątych zaczęto poważnie
brać pod uwagę ryzyko ataków na infrastrukturę informacyjną, konieczność
ochrony tej infrastruktury, a także systemowej przebudowy metodyki analiz
kontrwywiadowczych, które objęły w szerszym niż przedtem stopniu problematykę
polityki, uwarunkowań społecznych, gospodarczych mających wpływ na intencje i
motywacje potencjalnych atakujących. [Arquilla, 1996: s.96].
Security Policy Board
Department of Defense
5 minimum essential information infrastructure
3
4
10
Definiowanie amerykańskiego bezpieczeństwa narodowego wspomaga
powoływanie komisji skupiających autorytety wyłonione zarówno przez rządząca,
jak i opozycyjną partię6.
Komisja ds. Interesów Narodowych7 w lipcu 1996 roku przygotowała obszerny
dokument, w którym zwraca uwagę na międzynarodowe uwarunkowania
gospodarcze amerykańskiego bezpieczeństwa i katastrofalne następstwa działań
mogących wpływać na międzynarodowy handel, rynki finansowe, dostawy energii,
w tym zależność tych dziedzin od Internetu i sieci komputerowych oraz podatność
na zagrożenie cyberterroryzmem [Commission,1996: s.50].
Ochronę infrastruktury krytycznej umieszczono na takim samym poziomie
„żywotnych interesów8” jak zapobieganie, odstraszanie i redukcja w dziedzinie
broni atomowych, chemicznych i biologicznych, mogących zagrozić Stanom
Zjednoczonym, ochronę granic lądowych i morskich przed pojawieniem się sił
wrogich Stanom Zjednoczonym, zapobieganie umacnianiu się nastrojów antyamerykańskich w Europie i Azji, czy utrzymanie sojuszników Stanów
Zjednoczonych [Oslund 2002, s.92].
W dokumencie wydanym pod tą samą nazwą w 2000 roku znaczenie
infrastruktury informacyjnej dla kwestii bezpieczeństwa systemu finansowego,
energetycznego, transportowego, obronnego i telekomunikacyjnego zostało
wzmocnione – „ pojawiające się zagrożenia wymagają, by bezpieczeństwo
komputerów i sieci było potraktowane jako wyzwanie bezpieczeństwa
narodowego, a nie tylko jako jedno z zagadnień polityki telekomunikacyjnej. Stany
Zjednoczone są tak uzależnione od tych systemów, a problem podatności na
zagrożenia tak powszechnie występujący, że poprawa odporności amerykańskiej
infrastruktury informacyjnej należy do najbardziej żywotnych zagadnień
narodowych” [Commission 2000: s.49]. Dalej odnosząc się do problemów z
wdrażaniem prezydenckiej dyrektywy PDD 63, zauważono, że bardzo istotnym
problemem, którego rozwiązaniu trzeba nadać najwyższy priorytet, jest poprawa
wymiany informacji o zagrożeniach z sektorem prywatnym kontrolującym
większość infrastruktury krytycznej.
Bi-partisan comission
Commission on National Interests
8 vital interests
6
7
11
W połowie 1998 roku na wniosek Sekretarza Obrony powstała inna komisja –
Komisja Bezpieczeństwa Narodowego/ Wiek 219, zwana komisją HartaRudmana od nazwisk dwóch przewodniczących reprezentujących obie partie.
W krótkim (11 stronicowym) raporcie wydanym w roku 1999 zwrócono
lakonicznie uwagę, że „szybki postęp w dziedzinie technologii informacyjnych i
biotechnologii tworzy nowe obszary podatności dla bezpieczeństwa Stanów
Zjednoczonych” [Hart-Rudman, 1999, s.4].
W rok później w następnym krótkim (17 stron) raporcie (faza II) zaproponowano
cztery, a raczej trzy poziomy klasyfikacji priorytetów zagadnień istotnych dla
bezpieczeństwa narodowego – „Interesy od których zależy przetrwanie10 - bez
zachowania których, jak należy sądzić, Ameryka przestałaby istnieć, krytyczne
interesy – od których krok do interesów od których zależy przetrwanie, znaczące
interesy11, na tyle ważne by wpływać na światowe otoczenie w którym Stany
Zjednoczone muszą działać, Są jeszcze oczywiście inne narodowe interesy, które
wydają się mniej ważne od wymienionych trzech kategorii” [Hart-Rudman 2000:
s.7] W raporcie ochronę infrastruktury krytycznej zakwalifikowano do drugiej
kategorii – interesów krytycznych”.
W lutym 2001 roku powstał obszerny raport tej samej Komisji Bezpieczeństwa
Narodowego, który zauważa „gwałtowny wzrost uzależnienia Stanów
Zjednoczonych od infrastruktury krytycznej w ciągu ostatnie dekady ” [HartRudman 2001: s.18], a także potrzebę poszerzania zdolności i obszaru analityki
wywiadu od zagrożenia związane z ochroną infrastruktury krytycznej [s.23]
Raport zaleca też poszerzenie koncepcji ochrony infrastruktury krytycznej na
sieci satelitarne, w związku z jej znaczeniem dla wielu kluczowych amerykańskich
systemów informacyjnych [s.81]
W wydanym w kwietniu 2001 uzupełnieniu do raportu Komisji ds.
Bezpieczeństwa Narodowego, gdzie rozwinięto opis wymagań Narodowego
Bezpieczeństwa Krajowego12, które należy rozumieć jako „ochronę życia, zdrowia
i własności obywateli amerykańskich. Określono również, że skuteczne
Bezpieczeństwo Krajowe, musi zapewnić integralność narodowej infrastruktury
Commisssion on National Security/ 21 Century
survival intersets
11 significant interests
12 National Homeland Security
9
10
12
krytycznej, w tym sieci łączności, transportu i systemu finansowego, oraz
najistotniejszych usług publicznych, jak usług wytwarzania energii, urządzeń
sanitarnych, ochrony zdrowia.” [Hart-Rudman 04.2001: s.5].
W kilka miesięcy po znamiennych w skutki wydarzeniach 11 września
i ukształtowaniu się koncepcji stworzenia nowego Sekretariatu Bezpieczeństwa
Krajowego, Biały Dom opublikował dokument pod nazwą Narodowa Strategia
Bezpieczeństwa Krajowego13. Znalazła się tam nowa definicja Bezpieczeństwa
Krajowego – „ wspólne narodowe wysiłki dla obrony przed atakami
terrorystycznymi w Stanach Zjednoczonych, zmniejszające podatność Ameryki na
terroryzm i minimalizujące szkody i pozwalające wychodzić z kryzysu po atakach,
które miały miejsce” [OHS, 2002: s.2].
3.2. Departament Obrony
Znaczenie koordynacji działań związanych z ochroną systemów informacyjnych
oraz analizowania informacji z jak największej liczby źródeł nie było zbyt dobrze
rozumiane prawie do końca II wojny światowej. Do roku 1945 amerykańskie siły
zbrojne były zorganizowane w ramach dwóch odrębnych ministerstw –
Departamentu Wojny14 i Departamentu Marynarki15, w których działały dwie
niezależne struktury wywiadowcze bez żadnych formalnych procedur współpracy,
w tym wymiany informacji [Bush 2002: 7].
W obliczu wizji zimnej wojny z obozem sowieckim Prezydent Harry Truman w
grudniu 1945 roku zwrócił się do Kongresu z wnioskiem o połączenie
Departamentu Wojny i Departamentu Marynarki w jeden Departament Obrony.
Cel ten został osiągnięty w roku 1947. Nowe ministerstwo, miało być z założenia
kierowane przez cywilnego sekretarza. Utworzono również Centralną Agencję
Wywiadowczą dla koordynacji i analizy zagranicznych informacji wywiadowczych i
Narodową Radę Bezpieczeństwa16, która miała się stać ośrodkiem koordynacji
polityki bezpieczeństwa. Formalne zmiany nie pozwoliły jednak uniknąć,
ciągnących się latami problemów w koordynacji działań wojsk lądowych,
marynarki i sił powietrznych [DeCorla-Souza 2002: 19].
National Strategy for Homeland Security
War Department
15 Navy Department
16 National Security Council
13
14
13
W latach dziewięćdziesiątych w Departamencie Obrony zaczęto rozwijać
koncepcje określane jako wojna informacyjna, rozumiana zarówno jako
wykorzystanie podczas działań wojennych przewagi informacyjnej, nowoczesnych
środków gromadzenia, przesyłania i przetwarzania informacji, jak i przyczynę
ewentualnych zagrożeń, związanych z atakiem na amerykańską infrastrukturę
informacyjną. Pojęcie wojny informacyjnej, zostało formalnie zdefiniowane dla
celów planowania w Departamencie Obrony w 1992 roku w tajnej dyrektywie
TS3600.1 [Rattray, 2004:s.340]. Celem wojny informacyjnej miało być przede
„wszystkim oddzielenie nieprzyjacielskiej struktury dowodzenia od sił bojowych”
[MOP 30, 1993]. Początkowo koncentrowano się jednak raczej na metodach
ataków na systemy informacyjne przeciwnika, niż obronie własnej infrastruktury
[Rattray, 2004: s.341].
W 1995 i w 1996 roku Departament Obrony sfinansował szereg projektów
studialnych, w których zaprezentowano spostrzeżenia stwierdzenia o dużej liczbie
potencjalnych celów, wielu słabych punktach i konieczności podjęcia działań
ukierunkowanych na szerszą ochronę infrastruktury informacyjnej, w tym
kontrolowaną przez komercyjnych operatorów telekomunikacyjnych.
Połączony Sztab17, w którego kompetencjach znajduje się opracowanie
doktryny wojskowej w lutym 1996 roku określił doktrynę w zakresie dowodzenia i
kierowania w dokumencie Joint Publication 3-13.1. W dokumencie tym nadal
kojarzono wojnę informacyjną przede wszystkim z zagranicznymi operacjami
wojskowymi, ale znalazło się tam spostrzeżenie o potrzebie „integrowania się
cywilnych i wojskowych sieci i technologii informacyjnych” [za Rattray 2004, s.
353] i dalej, że wojna informacyjna „wspiera narodową strategię wojskową, lecz
wymaga również wsparcia, koordynacji i uczestnictwa ze strony innych agencji
rządu USA, a także sektora prywatnego”.
Po raz pierwszy w doktrynie wojskowej powiązano „wojnę informacyjną ze
strategicznymi implikacjami, dotyczącymi narodowej strategii informacyjnej”
[Ratttray 2004, s.353] i wskazano na konieczność znalezienia rozwiązań
regulacyjnych wobec infrastruktury cywilnej, znajdującej się poza nadzorem
Departamentu Obrony, ale mogącej mieć dla kwestii obronności potencjalnie
istotne znaczenie.
17
Joint Staff
14
Podejście prezentowane dokumencie 3-13.1 zostało rozwinięte jeszcze w tym
samym roku w kolejnej prezentacji strategii Połączonych Sztabów wydanej pod
tytułem „Wojna informacyjna – strategia dla pokoju – decydujący aspekt wojny”,
[Joint Staff, 1996: s.4], gdzie wskazano między innymi jasno, że „musimy wykazać
dostawcom usług (telekomunikacyjnych) konieczność zespołowego współdziałania
przy opracowywaniu niezbędnych rozwiązań – nie tylko po to, by wspierać
Departament Obrony i chronić bezpieczeństwo narodowe, ale również w celu
ochrony ich własnego interesu”. Te deklaracje nie były jednak zbyt aktywnie
rozwijane. Przygotowania strategiczne skoncentrowały się zdecydowanie mocniej
na udoskonaleniu działań ofensywnych
W 1997 roku Połączony Sztab przeprowadził ćwiczenie pod kryptonimem
Eligibile Receiver. Zespół atakujący wykonując symulowane ataki osiągnął
zdolność do istotnych celów w Departamencie Obrony, a także operatorów
telekomunikacyjnych i dostawców energii elektrycznej ograniczając zdolności
bojowe kilku baz wojskowych.
Od 1997 w poszczególnych dowództwach zaczęto tworzyć wyspecjalizowane
struktury odpowiedzialne za aktywną ochronę przed atakami na systemy łączności
i systemy informacyjne, między innymi przy Dowództwie Europejskim, Dowództwie
Rejonu Pacyfiku i Dowództwie Transportu, obejmując również ochronę
infrastruktury informacyjnej sił sprzymierzonych, również w misjach pokojowych.
Niezależnie programy ochrony infrastruktury informacyjnej wdrożono w
poszczególnych rodzajach wojsk.
.
3.3. Ustawa o produkcji obronnej
Fundamentalne znaczenie dla związania polityki bezpieczeństwa narodowego z
gospodarką miało przyjęcie w roku 1950 ustawy o produkcji obronnej - DPA18.
Regulację tę oparto na koncepcji forsowanej przez administrację prezydenta
Trumana, by pewne szczególne zasady działania gospodarki wypracowane
podczas II wojny światowej i zaraz po niej zachować na stałe. Zasady te pozwały
kierować wyroby i usługi przemysłowe tam gdzie były najbardziej potrzebne
również w warunkach pokoju.
W praktyce uruchomiono mechanizm „promocji obrony narodowej” [DPA 1950,
sec.101], w którym producent A, który realizował zamówienie na łożyska dla firmy
18
Defense Production Act 1950
15
B, musiał zmienić kolejność wysyłki, jeżeli okazywało się, że łożyska są potrzebne
rządowi19 lub firmie C, która realizowała zamówienie bezpośrednio dla rządu
[Zeichner 2002: 76].
Podczas debaty, która wywiązała się w 1950 roku w Kongresie starano się
rozstrzygnąć następujące dylematy:
Czy gospodarka i stabilność przemysłowa mają związek z siłą Stanów
Zjednoczonych i jeżeli tak to jak może to wpływać na bezpieczeństwo
narodowe?
Jakie nadzwyczajne środki Kongres może delegować dla Prezydenta w czasie
pokoju? Czy istotnie są potrzebne specjalne zasady prawne, jeżeli nie ma
wojny, znaczącego konfliktu militarnego, deklaracji Prezydenta o
nadzwyczajnym zagrożeniu?
Czy Kongres może zaufać Prezydentowi, by posługiwał się tego rodzaju
narzędziami prawnymi? Czy Kongres może wziąć na siebie tego rodzaju
odpowiedzialność?
Na wynik tej debaty – przyjęcie ustawy, wpłynęła świeża pamięć powszechnego
wysiłku, związanego z mobilizacją całej gospodarki po ataku na Pearl Harbor i
rosnąca świadomość początku zimnej wojny [Zieicher 2002: 76].
DPA wprowadziła do praktyki regulacyjnej prezydenckie rozporządzenia
wykonawcze20 i dyrektywy decyzyjne21, które określiły sposób wprowadzania
programów polityki bezpieczeństwa i polityki obronnej w gospodarce na następne
lata. Powstała również po raz pierwszy potrzeba definiowania zasobów
infrastruktury krytycznej.
Na przełomie roku 1999 i 2000, kiedy podejmowano szeroko zakrojone
działania, mające ochronić amerykańskie systemy informacyjne w związku z
problemem roku 2000 zastanawiano się, czy właściwe jest stosowanie ustawy o
produkcji wojennej do ochrony infrastruktury krytycznej. Istotnie główną przesłanką
wprowadzenia tamtej ustawy była potrzeba ochrony bezpieczeństwa narodowego,
obrony narodowej, zdrowia i życia obywateli. W przypadku infrastruktury
krytycznej pojawia się silny kontekst gospodarczy, a nawet potrzeba ochrony
w amerykańskim podejściu określenie rząd oznacza również wszystkie służby podległe
administracji rządowej, włącznie z siłami zbrojnymi (ale potocznie „pracować dla rządu (working
for the Government) należy rozumieć „pracować dla którejś z tajnych służb”.
20 Executive Orders
21 Decision direcives
19
16
interesów konsumenta [Zeichner, 2002: s. 83], jednak ostatecznie, jak się wydaje
przeważył pogląd, że nie powinno być problemu z rozszerzającą interpretacją
ustawyy.
3.4. Kontrola Eksportu
Rozszerzenie obszaru zagadnień objętych interesami bezpieczeństwa
narodowego poza kwestie militarne doprowadziło do wprowadzenie systemu
kontroli międzynarodowego obrotu wieloma wyrobami i technologiami uznanymi
za strategiczne [Export Administration Act 1979] ukierunkowanej głownie na kraje
znajdujące się w obszarze wpływów Związku Radzieckiego i Chin. Oprócz
zastosowań typowo militarnych w obszarze technologii objętych embargiem
znalazły się w zasadzie wszystkie nowocześniejsze urządzenia oferowane na
rynku cywilnym, między innymi służące do przetwarzania i przesyłania informacji,
szybsze komputery, urządzenia telekomunikacyjne, elektroniczne, urządzenia
szyfrujące, służące do podsłuchu, urządzenia pomiarowe, podzespoły, elementy,
urządzenia służące do produkcji, technologie, know-how. Embargo objęło również
publikację wymagań technicznych dla technologii objętych zakazem eksportu.
Kryteria, według których formułowano zakazy były często niepublikowane lub
opatrzone klauzulą tajności. W związku z tym duża część wniosków o wydanie
zezwolenia eksportowego była załatwiana odmownie.
Międzynarodową politykę w zakresie kontroli eksportu prowadzono z inicjatywy
amerykańskiej od czasów zimnej wojny ramach Międzynarodowego Komitetu
Koordynacyjnego dla Wielostronnej Kontroli Eksportu (CoCom22), w którym
uczestniczyło 17 krajów.
Z polskich praktycznych doświadczeń wynika, że ograniczenia te
liberalizowano, aż do końca działania CoCom w 1994 prawie wyłącznie wtedy,
kiedy okazywało się, że kraje objęte embargiem dysponują już technologiami z
listy Cocom. Trudno to sobie dzisiaj wyobrazić, ale zakaz eksportu obejmował
takie urządzenia jak np. telefaksy. Również decyzja o uwolnienie Internetu została
na amerykańskiej administracji praktycznie wymuszona metodą faktów
dokonanych, do czego przyczyniły się między innymi prywatne kontakty naukowe
polskich fizyków, którzy zestawiali pierwsze linie komunikacyjne z amerykańską
siecią Internetu przy pomocy przywożonych prywatnie urządzeń.
22
Cocom – Coordinating Committee for Multilateral Export Controls
17
Pomimo formalnego uznania przemian demokratycznych w Polsce po 1989 roku
możliwość zakupu wielu nowoczesnych technologii telekomunikacyjnych była
bardzo utrudniona, prawie do czasu wstąpienia Polski do NATO oraz
wprowadzenia przez Polskę zasad kontroli eksportu w ramach tzw. porozumienia
Waasenaar, które zastąpiło Cocom.
W lutym 2004 Prezydent George Bush zaproponował ponowny przegląd
przepisów, mających przeciwdziałać proliferacji broni masowego rażenia i
technologii podwójnego zastosowania, tym razem biorąc pod uwagę przede
wszystkim wzrost zagrożeń o charakterze terrorystycznym.
3.5. Przebudowa amerykańskiego rynku telekomunikacyjnego
W roku 1984, kiedy uprawomocniło się orzeczenie sędziego Herolda H. Greena o
podziale, AT&T Bell System działała w Stanach zjednoczonych praktycznie w
warunkach monopolu, zarówno w obszarze sieci i usług telekomunikacyjnych, jak i
produkcji urządzeń instalowanych w tych sieciach. Tylko w słabo zaludnionych
regionach wiejskich, programowo zaniedbywanych przez AT&T usługi
telekomunikacyjne świadczyło wiele małych niezależnych spółek i spółdzielni
telefonicznych, działające często na zasadzie „bez zysku23”.
Wcześniej, w roku 1956 AT&T zostało również w wyniku postępowania
antytrustowego zmuszone do oddzielenia się od Western Electric.
Do czasu wprowadzenia szerszej konkurencji kwestie współpracy AT&T z
użytkownikami z administracji rządowej, zapewnienie bezpieczeństwa i utrzymanie
zdolności obronnej, a także działania w sytuacjach zagrożeń miały w dużej części
charakter niesformalizowany, ale poza opisanym w następnym rozdziale, nie jest
znane zbyt wiele przykładów problemów, które sprawiały tego rodzaju „niepisane”
zasady współpracy. Przez lata niezbyt precyzyjnie były również uregulowane
kwestie zakładania podsłuchów, identyfikacji przestępców i terrorystów,
korzystających z publicznie dostępnych środków łączności, co w pośredni sposób
również wpływa na bezpieczeństwo infrastruktury krytycznej.
Prezydent miał jednak prawo żądać priorytetu łączności dla potrzeb sił
zbrojnych i uprawnienie do użycia wojska do ochrony sieci telekomunikacyjnych w
sytuacjach kryzysowych. To uprawnienie do „żądania priorytetu” przełożyło się na
ustalenie procedur odtwarzania łączności dla potrzeb zarządzania kryzysem.
23
non profit organization
18
Ustawa Prawo Telekomunikacyjne z 1934 roku wprowadziła obowiązek
informowania powołanej tą ustawą Federalnej Komisji Łączności (FCC24) o
zmianach, mogących wpłynąć na warunki świadczenia usług. Do połowy lat
pięćdziesiątych FCC powołana do reprezentowania interesu publicznego w
sektorze telekomunikacji, sprawowała nadzór na rynkiem raczej o charakterze
monitorującym, niż regulacyjnym.
Szerokim obszarem właściwości FCC jest również gospodarka zasobami widma
częstotliwości użytkowanych przez wszystkie cywilne służby radiokomunikacyjne
oraz problematyka kompatybilności elektromagnetycznej. Ogólne zagadnienia
federalnej polityki telekomunikacyjnej pozostają od 1934 roku w kompetencjach
Sekretarza Handlu. Operatorzy sieci telekomunikacyjnych są również niezależnie
poddani nadzorowi regulacyjnemu władz stanowych, gdzie z reguły sprawami sieci
telekomunikacyjnych, cen i taryf zajmują się stanowe komisje do spraw
komunalnych usług publicznych25, obejmujących wszystkie rodzaje infrastruktury
sieciowej, telekomunikację, sieci energetyczne, gazowe, wodociągi, kanalizację
itp.
Dopiero od 1959 roku FCC wydawała zezwolenia na eksploatację wydzielonych
linii radiowych typu punkt-punkt dla wewnętrznych potrzeb korporacyjnych
niektórych firm.
Do połowy lat siedemdziesiątych FCC prowadziło szereg postępowań w sprawie
wniosków o zmianę zasad funkcjonowania rynku. W 1968 roku pod naciskiem
producentów, wprowadzono konkurencję na rynku urządzeń końcowych, chociaż
AT&T udawało się przez kilka lat skutecznie opóźniać wykonanie tej decyzji,
starając się uprawdopodobnić tezę o groźbie utraty integralności sieci, a nawet
poważnych uszkodzeń central i urządzeń transmisyjnych, z powodu instalacji
„niezbyt dobrze skontrolowanych” urządzeń.
W 1971 roku pojawili się pierwsi dostawcy wydzielonych łączy dla potrzeb
biznesu. W roku 1980 wydano decyzję o udostępnianiu przez AT&T powierzchni
na centralach, w celu instalacji urządzeń, należących do klientów korporacyjnych
zestawiających dla swoich potrzeb łącza transmisyjne. Pojawiły się też na
poziomie stanowym nowe regulacje, dotyczące współużytkowania obiektów z
operatorami lokalnymi i międzymiastowymi.
24
25
Federal Communications Commission
public utilities
19
W 1974 roku Departament Sprawiedliwości wniósł pozew antytrustowy
przeciwko AT&T Bell Systems, proponując radykalny podział na 22 firmy o ściśle
rozgraniczonych kompetencjach. W 1982 roku sędzia okręgowy Harold Green
wydał kompromisowe orzeczenie, które ograniczyło liczbę firm mających powstać
w wyniku podziału do 7 regionalnych26 i AT&T – operatora sieci międzymiastowej,
międzynarodowej i producenta urządzeń telekomunikacyjnych. Wszystkich
nowych operatorów obowiązywał zakaz świadczenia niektórych usług
przypisanych innym typom operatorów. Chciano między innymi w ten sposób
ujednolicić warunki działania firm istniejących, z tymi które dopiero rozpoczynały
działalność na mniejszą skalę. Chcąc osiągnąć przejrzystość rozliczeń i taryf,
które były podstawą nowych regulacji
Wprowadzanie konkurencji operatorów niezależnych od firm powstałych w
wyniku podziału AT&T postępowało stopniowo. Początkowo wydawano licencje
dla operatorów, świadczących usługi w lokalnych relacjach międzymiastowych,
później licencje dla Sprint i MCI na ogólnokrajową łączność międzymiastową, a
później międzynarodową, licencje satelitarne, komórkowe itd.
Otwartą konkurencję również w usługach lokalnych wprowadzono nowelizacją
prawa telekomunikacyjnego w 1996 roku.
Za liberalizacją, otwarciem rynku na konkurencję stały silne przesłanki
ekonomiczne i społeczne. Oczekiwano wszystkich efektów, jakie niesie ze sobą
rynek konkurencyjny – spadku cen, podniesienia jakości, pojawiania się
nowocześniejszych rozwiązań technicznych. Korzyści pojawiały się szybko, a
efekty konkurencji zaskakiwały wszystkich przyzwyczajonych do tradycyjnych, jak
się okazało całkowicie nieuprawnionych tłumaczeń monopolisty, że tylko
utrzymanie szczególnej ochrony zapewni stabilność inwestycji i ciągłość
świadczenia usług. Nowym graczom rynkowym sprzyjały coraz tańsze technologie
cyfrowe.
Administracja Billa Clintona, pod patronatem Wiceprezydenta Allana Gore’a
przyjęła rozwój rynku technologii informacyjnych jako jeden z kluczowych
priorytetów kadencji prezydenckiej. W 1995 roku z inicjatywy amerykańskiej
spotkanie międzynarodowego forum gospodarczego grupy G-7 po raz pierwszy
poświęcono jednej dziedzinie – technologiom informacyjnym. Zaczęto mówić o
26
tzw. Baby Bells
20
rewolucji informacyjnej, globalnej infrastrukturze informacyjnej i nowym
społeczeństwie informacyjnym. W otwarciu rynku na nowe technologie
informacyjne i konkurencję widziano wiele atrakcyjnych możliwości:
Katalizator rozwoju gospodarczego
Usprawnienie obrotu gospodarczego
Usprawnienie systemu finansowego
Usprawnienie działania administracji
Podnoszenie jakości życia społeczeństwa
Tworzenie nowych miejsc pracy
Dostęp do oświaty, nauki, ochrony zdrowia, kultury
Poprawę bezpieczeństwa
Kwestie ochrony infrastruktury krytycznej, działania w sytuacjach kryzysowych
pozostawały mniej więcej do końca lat dziewięćdziesiątych nieco z boku
intensywnego ruchu przemian w sektorze telekomunikacji. Bardzo obszerna
nowelizacja prawa telekomunikacyjnego z roku 1996 nie wnosiła na przykład w
sprawach ochrony infrastruktury krytycznej nic nowego. Nie można jednak
powiedzieć, że znaczenie operatorów telekomunikacyjnych dla kwestii
bezpieczeństwa narodowego nie było brane pod uwagę. Od stosunkowo
niedawna zagraniczne firmy telekomunikacyjne zostały dopuszczone do udziału w
amerykańskim rynku sieci i usług telekomunikacyjnych. Stało się to, dopiero w
związku z otwartą krytyką na forum WTO27 i pod wpływem nacisków ze strony Unii
Europejskiej, gdzie operatorzy amerykańscy już od dawna nie spotykają się z
podobnymi restrykcjami.
Przygotowanie operatorów telekomunikacyjnych do działań w sytuacjach klęsk
żywiołowych znalazło się częściowo pod nadzorem Federalnej Agencji
Zarządzania w Sytuacjach Zagrożeń (FEMA28). Koncentracja na kwestiach klęsk
żywiołowych sprawia, że FEMA odgrywa niewielką rolę w sprawach zwalczania
zagrożeń na sieci teleinformatyczne, chociaż ma przygotowane zalecenia i
procedury postępowania w przypadku skutków z cyberprzestrzeni, jednej z
możliwych przyczyn zakłóceń w funkcjonowaniu infrastruktury krytycznej. Na
uwagę jednak zasługuje to, że jednym z ważniejszych sposobów działania FEMA,
mającym znaczenie dla upowszechniania wiedzy o ochronie infrastruktury
27
28
Word Trade Organization
Federal Emergency Mangement Agency
21
krytycznej jest udostępnianie z pomocą Internetu i faksu dostępu do wielu
instrukcji, poradników postępowania w przypadku zagrożeń, katastrof, klęsk
żywiołowych.
W rezultacie konkurencyjnej walki o rynek wielu nowych operatorów
zaniedbywało kwestie bezpieczeństwa, które pozostawały nadal głównie troską
AT&T i niektórych innych „wtajemniczonych” uczestniczących w zapewnieniu
szczególnych potrzeb łączności bezpośrednio dla rządu w ramach Narodowego
Systemu Łączności.
Z drugiej strony wzrost konkurencji zmobilizował operatorów sieci do
przykładania coraz większej uwagi do kwestii niezawodności systemów łączności,
odporności na uszkodzenia i działanie w sytuacjach nietypowych, na przykład w
warunkach obciążania ruchem, co jest również typowe w sytuacjach kryzysowych.
Konkurencja umotywowała operatorów do unowocześniania sieci, wprowadzania
rozwiązań redundantnych, dróg obejściowych, cyfryzacji, SDH, usług sieci
inteligentnej.
Wprowadzenie konkurencji w usługach międzymiastowych i przydzielenie
każdemu operatorowi międzymiastowemu prefiksu zmusiło szybko tracącemu
rynek AT&T do uruchomienia, nieistniejących przedtem zasobów organizacyjnych
„szybkiego reagowania” w celu ochrony sieci przed przypadkowymi fizycznymi
uszkodzeniami. System oparto na założeniu, że jeżeli abonent wybierając prefiks
międzymiastowy nie zdoła się za pierwszym razem połączyć, to najdalej po drugiej
próbie spróbuje prefiksu innego operatora. Na początku lat dziewięćdziesiątych
AT&T zakupiło kilkanaście samolotów i helikopterów, by z powietrza prowadzić
monitoring sieci w celu wykrywania robót ziemnych prowadzonych w terenie przez
firmy budowlane i wprowadzono specjalne procedury powiadamiania wykonawców
tych robót wprost z samolotu.
W warunkach konkurencji zdolność do szybkiego podjęcia prac naprawczych i
odtworzenia zdolności do przekazywania ruchu telekomunikacyjnego w przypadku
katastrof lub klęsk żywiołowych ma swój aspekt rynkowy. Pozwala budować
wobec klientów wizerunek wiarygodności i stabilności i pozwala zminimalizować
ryzyko przejęcia chwilowo utraconego rynku przez konkurentów.
22
3.6. NCS29 – Narodowy System Łączności
Historia NCS sięga kryzysu kubańskiego w 1962 r, kiedy jednym z problemów z
uniknięciem konfliktu zbrojnego stały się trudności komunikacyjne na linii Stany
Zjednoczone, Związek Radziecki i kwatera główna NATO. Po zażegnaniu kryzysu
Prezydent John F. Kennedy zarządził dochodzenie w sprawie działania systemów
łączności dla potrzeb zarządzania kryzysem. W następstwie tego dochodzenia
Narodowa Rada Bezpieczeństwa utworzyła specjalną komisję mieszaną z
zadaniem wypracowania zasad, dających gwarancję uniknięcia komunikacyjnych
trudności technicznych i organizacyjnych w przypadku zaistnienia sytuacji
kryzysowych.
Międzyagencyjna komisja mieszana zarekomendowała utworzenie specjalnego
jednolitego systemu łączności dla potrzeb Prezydenta, Departamentu Obrony,
placówki dyplomatyczne, placówki wywiadu i szefów niektórych instytucji
cywilnych.
W sierpniu 1963 roku Prezydent Kennedy wydał memorandum na temat
utworzenia NCS z zadaniem utworzenia systemu łączy telekomunikacyjnych,
poprawy ich jakości i rozszerzenia zasięgu dla potrzeb wszystkich właściwych
agencji rządowych, a także rekomendacji o charakterze instytucjonalnym.
We wrześniu 1982 roku Prezydent Rondla Regan popisał Rozporządzenie
12382, powołujące Prezydencki Komitet Doradczy Narodowego Bezpieczeństwa
Telekomunikacyjnego NSTAC30, który miał doradzać w sprawach bezpieczeństwa
telekomunikacyjnego Prezydentowi i Sekretarzowi Obrony [EO 12382, 1982].
W kwietniu 1984 roku Prezydent Ronald Regan podpisał Rozporządzenie
12472, które rozszerzyło zasięg systemu NCS z liczby sześciu do 23 federalnych
agencji i departamentów [EO 12472, 1984]. Odpowiedzialność za kreowanie
polityki w zakresie NCS przypisano Narodowej Radzie Bezpieczeństwa, a kwestie
związane z określaniem zasobów sieci, a także częstotliwości, mogących mieć
znaczenie w sytuacjach kryzysowych, a także formułowania wymagań
technicznych przypisano Dyrektorowi Urzędu Nauki i Polityki Technologicznej31.
NCS – National Communications Systems
President's National Security Telecommunications Advisory Committee
31 Director of the Office of Science and Technology Policy
29
30
23
3.7. Rozporządzenie wykonawcze Prezydenta 1301032
Jednym z najważniejszych priorytetów politycznych początkowego okresu
prezydentury Billa Clintona stały się kwestie rozwoju infrastruktury informacyjnej
(NII33), nazywanej początkowo trochę niefortunnie programem budowy
„informacyjnych autostrad34”. Inicjatywa NII odnosiła się przede wszystkim do
gospodarczego i cywilizacyjnego znaczenia powszechnej dostępności nowych
technologii informacyjnych, które stopniowo rozwinęły się w programy rozwoju
społeczeństwa informacyjnego, wśród dyskutowanych zagadnień musiała się
również pojawić kwestia ochrony zasobów, których znaczenie należało uznać za
krytyczne.
W 1995 roku po atakach bombowych na Word Trade Center i w Oklahoma City
Prezydent Clinton wydał dyrektywę w sprawie zwalczania terroryzmu PDD 39,
która zawierała wyraźny postulat „oceny podatności agencji rządowych i
podstawowej infrastruktury informacyjnej na ataki terrorystyczne”[PDD 39, 1995].
Oceny tej dokonała grupa robocza, której przewodniczyła zastępca Prokuratora
Generalnego Jamie Goerlick. W skład grupy wchodził również Zastępca
Sekretarza Obrony, Dyrektor FBI, Dyrektor CIA, Zastępca Asystenta Prezydenta
ds. Bezpieczeństwa Narodowego. Zdefiniowano podstawowe rodzaje
infrastruktury krytycznej i zidentyfikowano różne typy zagrożeń. Niestety
„rozwijając mechanizmy organizacyjne obrony krajowej infrastruktury
informacyjnej, nie doceniono roli wytwórców rozwiązań technicznych i
użytkowników komercyjnych”[Rattray 2004: s.363}. Prace tej grupy roboczej
pozwoliły jednak przygotować założenia do pierwszej kompleksowej regulacji na
temat infrastruktury krytycznej EO 13010 w roku 1996, definiując sektory
infrastruktury krytycznej i powołując Prezydencką Komisję ds. Infrastruktury
Krytycznej (PCCIP35). Przewodniczącym PCIP został emerytowany generał
lotnictwa Robert. T. Marsh. Komisja gromadziła przedstawicieli agencji rządowych,
sektora prywatnego i ekspertów ze środowiska akademickiego.
PCCIP podzielono na 5 zespołów:
Presidential Executive Order 13010
National Information Infrstructure
34 information highways
35 PCCIP – Presidential Commission on Critical Infrastructure Protection
32
33
24
Informacja i telekomunikacja, obejmujący telekomunikację, komputery,
oprogramowanie, Internet, satelity, światłowody;
Dystrybucja fizyczna, obejmujący koleje, lotnictwo, żeglugę, rurociągi;
Energia, obejmujący energetykę, gaz, ropę naftową, produkcję, dystrybucję i
składowanie;
Bankowość i finanse, obejmujący transakcje finansowe, rynek akcji i obligacji,
rezerwy federalne;
Najważniejsze usługi dla ludności – wodę, usługi ratownicze, usługi
administracji rządowej i samorządowej
Razem z PCIP powołano również Zespół Specjalny ds. Ochrony Infrastruktury
IPTF36 w strukturach Departamentu Sprawiedliwości.
W 1966 roku GAO37 przedstawił raport na temat bezpieczeństwa
informacyjnego, który we wstępie zauważa, że Departament Obrony korzysta w
coraz większym stopniu z komercyjnych sieci łączności, ale w związku z tym
wzrasta ryzyko ataku na wojskową infrastrukturę informacyjną - „potencjalna
możliwość katastrofalnych zniszczeń jest bardzo duża. Zorganizowani grupy
innych narodowości, w tym terroryści mogą użyć techniki „wojny informacyjnej” dla
zakłócenia działań militarnych, uszkadzając systemy dowodzenia i kierowania,
publiczne sieci komutowane oraz inne systemy i sieci, na których bazują sieci
wojskowe” [GAO 1996: s.2].
Z kolei w raporcie opublikowanym w październiku 1997 roku przez PCCIP
[PCCIP Report, 1997] zwrócono uwagę na niedostateczne zainteresowanie
ochroną infrastruktury krytycznej wśród odpowiedzialnych instytucji i podmiotów.
Zalecono strategię działania, polegającą na współpracy z prywatnymi podmiotami,
potrzebie uświadamiania i kształcenia, opracowania programu badań i rozwoju.
Wyodrębniono pięć obszarów, w których potrzebna jest partnerska współpraca
pomiędzy rządem, a sektorem prywatnym:
Formułowanie polityki;
Zapobieganie i łagodzenie skutków;
Dzielenie się informacjami i analiza informacji
Przeciwdziałanie (reagowanie na incydenty)
Przywrócenie poprzedniego stanu.
36
37
Infrastructure Protection Task Force
General Accounting Office – odpowiednik polskiego NIK
25
Raport zalecał stworzenie specjalnych struktur w ramach administracji, które miały
być odpowiedzialne za ochronę infrastruktury krytycznej:
Urząd ds. Zapewnienia Infrastruktury Krajowej38, działający w ramach
Narodowej Rady Bezpieczeństwa (NSC) kierowany przez specjalnego
asystenta prezydenta.
Krajowa Rada ds. Zapewnienia Infrstruktury39, składająca się z nominowanych
przez prezydenta urzędnicy federalni i stanowi, lokalni
Biuro ds. Pomocy w Zapewnieniu Infrastruktury40, działające w strukturach
Departamentu Handlu, stanowiące płaszczyznę porozumienia rządu i sektora
prywatnego
Federalne agencje zarządzające poszczególnymi sektorami
Koordynatorzy poszczególnych sektorów, odpowiedzialni za wymianę
informacji
Centrum Wymiany Informacji i Analiz41, z zadaniem gromadzenia informacji ze
wszystkich dostępnych źródeł, również anonimowych, w tym informacji o
incydentach. Zakładano, że będzie to miejsce współpracy sektora rządowego i
prywatnego. Proponowano, by organizacyjnie wykorzystać częściowo zasoby
głównego CERT (CERT/CC42). W ośrodku miała również działać komórka
odpowiedzialna za sprawy łączności na potrzeby rządu federalnego i
delegatura komórki FBI, kompetentnej w sprawach przestępstw
komputerowych i naruszeń w sprawach infrastruktury krytycznej.
Centrum Ostrzegania43, pod zarządem FBI, zachowujące zdolność
natychmiastowego reagowania prób ataku na infrastrukturę krytyczną.
Wdrażanie niektórych propozycji i polepszanie ochrony infrastruktury krytycznej
napotykało na przeszkody prawne. Sektor prywatny oczekiwał zapewnienia, że
udostępnione rządowi informacje wrażliwe, nie przedostaną się do wiadomości
strony trzeciej [Denning 2002, s.461-462]. Stwierdzono, że istnieją problemy z
kwalifikacją prawną wielu przestępstw komputerowych. Wiele z nich wykracza
Office of National Infrastructure Assurance
National Infrastructure Assurance Council
40 Infrastructure Assurance Support Office
41 Information Sharing and Analysis Center
42 Computer Emergency Response Team Coordination Center
43 Warning Center
38
39
26
poza granice jurysdykcji i powinno być ściganych z upoważnienia sędziego
federalnego. Sformułowano potrzebę podjęcia działań na szczeblu
międzynarodowym. Zidentyfikowano kilka obszarów badawczych i sformułowano
potrzebę zwiększenia budżetu na zwalczanie zagrożeń związanych atakami na
infrastrukturę krytyczną.
3.8. Dyrektywa 63 (PDD 6344)
Wydana przez Prezydenta Billa Clintona Dyrektywa PDD 63 na temat
Infrastruktury Krytycznej z roku 1998 określiła infrastrukturę krytyczną jako „te
fizyczne i teleinformatyczne (cybernetyczne) systemy informatyczne, które są
istotne dla zapewnienia minimum działania gospodarki i rządu” .
Wcześniejszy raport Prezydenckiej Komisji ds. Ochrony Infrastruktury
Krytycznej (PCCIP) określił punkt wyjścia dla polityki regulacyjnej: „żaden urząd,
organizacja, ani osoba fizyczna w ramach Rządu Federalnego nie odpowiada za
całość ochrony infrastruktury lub politykę w tym zakresie. To nie powinno być
zaskakujące, ponieważ jest niewielkie zapotrzebowanie na istnienie krajowego
punktu widzenia, jeżeli infrastruktura w większości jest zróżnicowana, tworzona
według niezależnych koncepcji, rozproszona geograficznie, niekiedy chroniona
przez siły zbrojne. Dzisiaj jednak współzależność, współdziałanie infrastruktury i
wystawienie na ataki z cyberprzestrzeni oraz inne zagrożenia uzasadniają
potrzebę istnienia takiego jednego punktu widzenia. Dla wsparcia tej potrzeby
powstaną ramowe zasady na poziomie federalnym, przy współpracy z władzami
stanowymi i sektorem prywatnym, by wprowadzić narodową politykę ochrony
infrastruktury” [PCCIP Report 1997: s.50].
PDD 63 przewidywała przeprowadzenie oceny podatności na zagrożenia w ciągu
180 dni, a następnie okresowe przeglądy dla każdego sektora gospodarki i
sektora rządowego, które mogłyby się stać przedmiotem potencjalnego ataku.
Ocena miała również zawierać „minimum istotnej infrastruktury (MEI45) dla
każdego sektora”.
Strategia działań zakładała następujące cele:
Wprowadzenie mechanizmów partnerstwa publiczno-prywatnego dla
wzmocnienia bezpieczeństwa technologii informacyjnych;
44
45
Presidential Decision Directive 63
Minimum Essential Infrastructure
27
Podniesienie świadomości ważności bezpieczeństwa teleinformatycznego w
sektorze prywatnym i rządowym;
Stymulowanie sił rynkowych dla zwiększenia popytu na środki bezpieczeństwa
oraz wypracowanie standardów i zasad postępowania;
Finansowanie i inspirowanie prac badawczych w obszarze technologii
informacyjnych ukierunkowanych na zwiększanie bezpieczeństwa;
Współpraca z ośrodkami akademickimi w celu zwiększenia liczby studentów
specjalizujących się w dziedzinie bezpieczeństwa teleinformatycznego;
Pomoc w organizacji ochrony przed zagrożeniami, łagodzenia skutków i
zdolności reagowania na ataki z cyberprzestrzeni, poprzez budowanie systemu
wymiany informacji pomiedzy agencjami rządowymi, pomiedzy korporacjami, a
także pomiędzy rządem, a biznesem [Report 2001: 3]
Dla osiągnięcia celów PDD 63 przewidziano realizację dwóch kierunków działań
politycznych:
Utworzenie skutecznego systemu współpracy z sektorem prywatnym dla
każdego sektora infrastruktury i innych kluczowych dziedzin, w tym
administracji podatkowej, ubezpieczeń oraz inwestycji komunalnych, w celu
podnoszenia świadomości i inicjowania rozwiązań i działań rynkowych;
Poprawa bezpieczeństwa infrastruktury krytycznej systemów rządowych, w tym
planów działań, prac badawczych i rozwojowych, zatrudnienie kompetentnego
personelu.
Działania te powierzono kilku nowym instytucjom:
Koordynator Krajowy ds. bezpieczeństwa, infrastruktury krytycznej i
przeciwdziałania terroryzmowi
Koordynator Krajowy działał w strukturze Narodowej Rady Bezpieczeństwa
(NCS46) Białego Domu, był sprawozdawcą zagadnień związanych z
bezpieczeństwem teleinformatycznym i naruszeń w związku z wykonaniem
dyrektywy PDD 63.
46
NCS – National Security Council
28
CIAO47 - Urząd ds. Zabezpieczenia Infrastruktury Krytycznej
CIAO było międzyagencyjnym biurem, działającym w strukturach Departamentu
Stanu wspomagając działania koordynacyjne rządu federalnego. Do kompetencji
CIAO należały trzy główne zadania:
Koordynacja przygotowania projektu Narodowego Planu Ochrony
Bezpieczeństwa Informacyjnego. Wersja 1.0 tego planu została opublikowana
w styczniu 2000 roku [National Plan, 2000];
Wspomaganie agencji federalnych w działaniach analitycznych, określających
zależności i współzależności infrastruktury krytycznej;
Koordynacja krajowych osiągnięć, edukacji i wysiłków zmierzających do
wzrostu świadomości, dotyczącej problematyki bezpieczeństwa informacji i
infrastruktury krytycznej.
CIAO miało być katalizatorem utworzenia Partnerstwa dla Bezpieczeństwa
Infrastruktury Krytycznej (PCIS48) przez przedstawicieli sektora prywatnego.
NIPC49 – Centrum Ochrony Infrastruktury Krytycznej
NIPC było międzyagencyjnym biurem działającym w strukturze Federalnego
Biura Śledczego (FBI50). Było ono centrum koordynacyjnym specjalizującym się w
sprawach naruszeń bezpieczeństwa teleinformatycznego, ostrzeżeń, wykrywania
słabych punktów w systemie bezpieczeństwa infrastruktury krytycznej oraz
ścigania przestępstw związanych z bezpieczeństwem teleinformatycznym.
Zatrudniało ono personel składający się częściowo z funkcjonariuszy FBI oraz
osób delegowanych z innych agencji federalnych. Do centrum delegowały również
przedstawicieli właściwe agencje rządowe z Kanady i Wielkiej Brytanii.
Niezależnie od czynności dochodzeniowo śledczych, które były właściwością
NIPC, prowadziło również działalność doradczą promując rozwiązania
bezpieczeństwa.
CICG51 - Grupa Koordynacyjna Infrastruktury Krytycznej
Każdemu sektorowi infrastruktury krytycznej przypisano właściwą agencję
rządową i pracownika agencji - Sektorowego Urzędnika Łącznikowego52, którzy
CIAO – Critical Infrastructure Assurance Office
PCIS – Partnership for Critical Infrastructure Security
49 NIPC – National Infrastructure Protection Center
50 FBI – Federal Bureau of Investigation
51 CICG – Critical Infrastructure Coordinating Group
47
48
29
poprzez Grupę Koordynacyjną Infrastruktury Krytycznej utrzymywał kontakty z
prezydenckim Koordynatorem Krajowym.
CICG składało się z wysokich urzędników szczebla politycznego –
podsekretarza stanu lub wyżej, również z innych instytucji federalnych. Pracami
CICG formalnie kierował Koordynator Krajowy. .
CISG53 – Grupa Sterująca Cyber-Incydentów oraz CIWG54 Grupa Robocza
Cyber-Incydentów.
CISG i CIWG działały w ramach CICG, zajmując się konkretnymi przypadkami
naruszeń bezpieczeństwa infrastruktury krytycznej. CISG zajmowało się
koordynacją działań naprawczych, a CIWG czynnościami dochodzeniowośledczymi, przy współpracy z FBI, ale z zasady nie naruszając właściwości
samego FBI i innych służb policyjnych.
Rada CIO55
Rada CIO skupia pełnomocników ds. ochrony informacji z federalnych agencji
rządowych. Ich odpowiedzialność obejmuje ochronę informacji niejawnych,
ochronę danych osobowych w podległych urzędach, nadzór nad procedurami
bezpieczeństwa, a także politykę udostępniania informacji w systemach
informatycznych.
JTRB56 Wspólna Rada Zasobów telekomunikacyjnych
Wspomaga działania urzędu prezydenta poprzez Dyrektora ds. nauki i
Technologii w sprawach działania Narodowego Systemu Łączności (NCS) w
sprawach szczególnych zagrożeń o niewojennym charakterze. JTRB z udziałem
przedstawicieli sektora prywatnego bierze udział w organizacji centrum łączności
kryzysowej Krajowego Centrum Łączności (NCC57), będąc „wzorcowym
przykładem partnerstwa publicznego-prywatnego” [Report 2001: s.6]
Sector Liaison Official
CISG – Cyber Incydent Steering Group
54 CIWG – Cyber Incident Working Group
55 CIO Council – Chief Information Officers Council
56 JTRB – Joint Telecommunications Resources Board
57 NCC – National Communications Center
52
53
30
NSTISSC58 – Narodowy Komitet Bezpieczeństwa Systemów
Telekomunikacyjnych i Informatycznych
NSTISSC został utworzony w 1990 jest forum dyskusyjnym na temat polityki
ochrony krajowych systemów bezpieczeństwa teleinformatycznego i skupia
przedstawicieli eirlu agencji cywilnych i wojskowych.
NIAP59 – Narodowe Partnerstwo Zabezpieczenia Informacyjnego
NIAP to rządowa inicjatywa powołana do zaspokojenia potrzeb noramizacyjnych
i testowania bezpieczeństwa teleinformatycznego producentów i użytkowników.
NIAP współpracował z Narodowym Instytutem Standardów Technologicznych
(NIST60) i Narodową Agencją Bezpieczeństwa (NSA61)
FedCIRC62 - Federalny Potencjał Reagowania na Incydenty
Komputerowe
FedCIRC był centralnych rządowym ośrodkiem analitycznym bezpieczeństwa
systemów komputerowych cywilnych i rządowych, korzystając z zasobów
analitycznych Departament Obrony, służb specjalnych i policyjnych, Wspólnoty
Wywiadowczej, ośrodków akademickich i innych specjalizowanych agencji
rządowych i cywilnych.
ISAC63 – Centra Wymiany Informacji i Analizy
Jedną z najważniejszych koncepcji PDD 63 było tworzenie ISAC w ramach
poszczególnych sektorów gospodarki w celu wymiany informacji o zagrożeniach,
incydentach, podatności, rozwiązaniach i środkach zaradczych.
ISAC były zorganizowane według następujących zasad:
Dostarczanie informacji miało być dla organizacji gospodarczych dobrowolne
Członkostwo organizacji gospodarczych miało być dobrowolne
***
Założeniem PDD 63 było określenie specyfiki poszczególnych sektorów i różnic
w sposobie podejścia do zachowania infrastruktury krytycznej i środków
National Security Telecommunications and Information Systems Security Committee
NIAP – National Information Assurance Partnership
60 NIST – National Institute of Standards and Technology
61 NSA – National Security Agency
62 FedCIRC – Federal Computer Incident Response Capability
63 ISAC – Information Sharing and Analysis Center
58
59
31
zaradczych. Jednak w po kilku latach doświadczeń, szczególnie pod rządami
administracji nowego Prezydenta oceniono, że wysiłek administracji Clintona
poświęcony na realizację założeń PDD 63 nie dał zadawalających rezultatów.
Część problemów wiązano z samym PDD 63, gdzie nie zawarto dostatecznie
przejrzystych kryteriów do oceny co w istocie jest krytyczne lub przynajmniej
procedur dojścia do ocen pozwalających osiągnąć zakładany cel [Bennett,
2002:3].
Jeszcze w 2001 Prezydencka Rada ds. Integralności i Skuteczności
przedstawiła raport na temat postępów w realizacji PDD 63 [Report, 2001].
Obszerny raport dokumentował wszystkie czynności i decyzje, które były wynikiem
wprowadzania PDD, ale stwierdzał przy tym w wstępnym podsumowaniu [s.6], że:
Większość agencji nie zidentyfikowało swoich najistotniejszych zasobów
infrastruktury64;
Prawie żadana z agencji nie zakończyła oceny podatności swoich zasobów MEI
ani planów zaradczych.
Oceny te potwierdził raport GAO z kwietnia 2001, stwierdzając ponadto
nieskuteczność wysiłków prowadzących do wymiany informacji i doświadczeń,
pomiędzy różnymi agencjami i sektorami gospodarki [GAO 2001: s.71]. .
Konkluzje te potwierdzały nie bez złośliwej satysfakcji komentarze
przedstawicieli administracji prezydenta Busha. Krajowy Koordynator nie był w
stanie zapewnić wystarczającego nadzoru nad podległymi sobie agencjami, ani
odpowiedniego budżetu na rozwój. Administracja Clintona nie zdołała również
przełamać biurokratycznego oporu odpowiedzialnych agencji przed współpracą.
Nie można było skłonić agencji do zastosowania proponowanych standardów i
inwestowania w potrzebne systemy. Planowanie, wdrażanie i wykonanie
wypracowanych założeń ochrony infrastruktury krytycznej komplikowało się, w
związku z zastaną pionową strukturą zarządzania bezpieczeństwem, implikującą
sposób finansowania w większości agencji. Administracji Clintona udawało się
osiągać sukcesy głównie tam, gdzie nie trzeba było liczyć ze skutkami
budżetowymi lub tam gdzie realizacja projektu była oczywistą koniecznością
[Montgomery, 2002, s.23].
64
mission-essential infrastructure assets
32
3.9. Mobilizacja sił w związku z „problemem roku 2000”
Przygotowanie do uniknięcia katastrofy informatycznej na początku roku 2000,
kiedy spodziewano się poważnych zakłóceń w działaniu systemów
informatycznych zależnych od oprogramowania, w którego daty systemowe nie
zakładały zmiany z roku 1999 na rok 2000, zaangażowało tysiące firm prywatnych.
Według wyliczeń Departamentu Handlu przygotowania do granicznej daty roku
2000 mogły pochłonąć w okresie od 1995 do 2000 roku około 100 miliardów
dolarów.
Duża część doświadczeń, głównie o charakterze instytucjonalnym, może być
wykorzystana do prac problematyką infrastruktury krytycznej [Mussington 2002,
s.vii].
W rozwiązywaniu problemu roku 2000 okazało się, że wbrew partykularnym
różnicom interesów możliwe jest osiągnięcie synergii we współpracy wokół
wspólnego celu różnych agencji rządowych, podmiotów gospodarczych, ośrodków
badawczych [Chen, 2002: s.65]
Ostatnie miesiące 1999 upłynęły w atmosferze sporów prawnych, czy zasadne
byłoby zastosowanie ustawy o produkcji obronnej do zupełnie odmiennej sytuacji,
niż w czasach zimnej wojny, a także jak stosować inne ustawy o działaniach w
stanach nadzwyczajnych, skoro nie uwzględniały wprost tematyki infrastruktury
krytycznej [Zeichner 2002: s.76-82].
Pod względem praktycznym działania zmierzające do uniknięcia problemu roku
2000 były poligonem doświadczalnym struktur organizacyjnych wprowadzonych
dyrektywą PPD 63.
Problem roku 2000 pokazał, w jak istotne znaczenie, nawet na zdolność do
przetrwania podmiotu gospodarczego, może mieć ryzyko związane z połączeniem
w sieć systemów kontrolujących działanie gospodarki i wspierających działanie
różnych rodzajów infrastruktury [Keys 2002: s 41].
3.10. Doświadczenie 11 września 2001 roku
11 września boleśnie zweryfikował dużą część teoretycznych rozważań na temat
infrastruktury krytycznej. Terroryzm zaangażowany w wojnę przeciwko państwu
wcale nie musi brać na cel obiektów o strategicznym znaczeniu militarnym. Nie
można również zakładać, że to siły zbrojne będą mogły zawsze wziąć na siebie
33
podstawowy ciężar działań związanych ze zwalczaniem przyczyn i skutków
kryzysu w wojnie prowadzonej metodami terrorystycznymi.
W ataku na wieże World Trade Center użyto cywilnych samolotów, a wybrany
cel ataku, niezależnie od tragicznego rozmiaru zniszczeń i szokującej liczby
niewinnych ofiar, miał przede wszystkim znaczenie symboliczne. Podjęcie
rutynowych działań obronnych przez wojskowe siły powietrzne nie mogłoby
zapobiec atakom, bo wiadomość o porwaniu samolotu American Flight lot nr 11
dotarła do Federalnej Agencji Lotnictwa o 8:40, niespełna 6 minut przed
uderzeniem w World Trade Center. Rozkaz startu dla pary dyżurnej F-15 z bazy
Gwardii Narodowej Otis w Falmouth zbiegł się z uderzeniem w północny
wieżowiec o 8:46, a start nastąpił o 8:52, na dziesięć minut przed uderzeniem
United Flight lot nr 175 w wieżowiec południowy [NRC, 2003, s.15].
Do wyjścia z kryzysu użyto przede wszystkim służb cywilnych, również cywil,
burmistrz Gulliani, zarządzał w Nowym Jorku zwalczaniem kryzysu i akcją
naprawczą.
Z punktu widzenia terrorystów zakładany cel operacji został osiągnięty i to przy
użyciu środków technicznych, będących własnością wroga. Do ataku użyto
amerykańskich samolotów, startujących z amerykańskich lotnisk. Terroryści zdobili
umiejętność sterowania porwanymi samolotami wykorzystując amerykański
system szkolenia pilotów. Wiele wskazuje na to, że najważniejszym celem
terrorystów było instrumentalne wykorzystanie sprawności sieci komunikacji
amerykańskich mediów elektronicznych. Dzięki amerykańskim środkom
komunikacji elektronicznej o atak, dosłownie na żywo mógł oglądać cały świat i
każdy dowiedział się, co to jest Al.-Kaida i kim jest Bin Laden. Gdyby Al.-Kaida
kierowała się głównie maksymalizacją szkód w infrastrukturze, tak się to przyjęto
zakładać w ofensywnych działaniach militarnych, to być może wstrzymano by się
o mniej więcej o godzinę, by do zniszczeń i efektu medialnego dodać katastrofalne
efekty związane z destabilizacją działania giełdy nowojorskiej i być może
światowego rynku finansowego. Ponieważ pierwszy samolot uderzył w północny
wieżowiec o godz. 8:46 zarząd NYSE65 miał jeszcze czas, by podjąć decyzję o
opóźnieniu otwarcia giełdy, [NYSE 2001].
65
New York Stock Exchange
34
Zaatakowany rejon Manhattanu jest przy tym wszystkim bardzo istotnym
węzłem komunikacyjnym. Chronologia zniszczeń systemów telekomunikacyjnych
przedstawia się następująco:
8:46 – 10:00
System łączności WTC zostaje zablokowany
Niektóre urządzenia zostały zniszczone lub zablokowane
przeciążeniowo
Przeciążeniowe zablokowanie internetowych serwisów
informacyjnych NBC, CNN, MSNBC
10:00 – 11:00
Walą się oba wieżowce
Ze względu na skomasowanie nadajników radiowych na
wieżowcach WTC, w rejonie przestaje działać większość
systemów radiowych, komórkowych (Sprint, PCS, AT&T
Wireless, Arizon) oraz dyspozytorskich policji, straży
ogniowej, służb medycznych i innych, a także nadajników i
przekaźników radiowych i telewizyjnych
Przestaje działać kilkanaście internetowych centrów wymiany
danych (PoP66) obsługiwanych przez WorldCom, AT&T Local
Services, Verizon
Przestają działać niektóre linie wydzielone transmisji danych
lub DNS zarządzane z serwerów w WTC, a obsługujące
klientów w Nowym Jorku, Connecticut, Massachusetts, a
nawet w niektórych lokalizacjach w Europie (np.Włochy,
Niemcy, Rumunia), a także w Południowej Afryce.
11:00 – 17:00
Następują wyłączenia kolejnych systemów
telekomunikacyjnych, w związku z wyczerpywaniem się
systemów zasilania
17:20 – 17:40
Runął budynek nr 7 WTC
Zniszczona podstacja elektryczna dla rejonu
Zniszczona główna lokalna centrala telefoniczna Verizon
[NRC, 2003, s.14-19] [materiały archiwalne Verizon, AT&T]
66
Point of Presence
35
Fizyczne zniszczenia sieci telekomunikacyjnych:
Centrala Verizon obsługująca 3,5 mln łączy;
Zniszczone zostaje 10 komórkowych stacji bazowych Verizon;
Zniszczone urządzenia AT&T dla obsługi ruchu korporacyjnego, lokalnego i
międzymiastowego i międzynarodowego;
Sieć komórkowa Sprint traci 4 komórki, obsługujące cały rejon Manhattanu;
Worldcom traci 200 wysokiej wydajności łączy transmisji danych
Zniszczonych 9 z 14 lokalnych nadajników telewizyjnych (wszystkie
przekaźniki telewizyjne były umieszczone na wieżowcu północnym, który runął
pierwszy), co miało w Nowym Jorku relatywnie większe znaczenie, niż w
innych miastach, bo na Manhattanie tylko ok. 50% mieszkań korzystało z
telewizji kablowej (średnia krajowa wynosi 70%) [[NRC, 2003, s.39]
Część systemów przestała funkcjonować ze względu na przeciążenie ruchem:
Większość nowojorskich internetowych serwisów informacyjnych (New York
Limes, CNN, NBC News) zostało całkowicie zablokowanych pomiędzy 9:00, a
10:00
W rejonie Nowego Jorku zanotowano 400% wzrost ruchu telefonicznego
wobec średniej dziennej. Około godziny 11:00 główny lokalny operator
telefoniczny Verizon zanotował wzrost wywołań (żądanie nawiązania
połączenia telefonicznego) ok. 1300% [NRC, 2003: s. 38]
Sieć AT&T obsłużyła 431 mln połączeń, kiedy zwykle obsługuje w szczycie
ruchu ok. 300 mln połączeń [mat. Archiwalne AT&T]
Sieć Verizon obsłużyła ponad 340 mln połączeń, kiedy zwykle w szczycie
ruchu obsługuje srednio ok.105 mln połączeń.
AOL Instant Messenger przesłał 1,2 miliarda wiadomości, czyli 100 razy więcej
niż zwykle
Sieć komórkowa Cingular Wireless zanotowała wzrost ruchu 400%.
Wywołania sieci komórkowych, tych które w rejonie Nowego Jorku działały były
blokowane w 75% ze względu na przeciążenie [NRC, 2003:s.38]
Dla oceny metodyki wychodzenia z trudnej do przewidzenia sytuacji kryzysowej
na Manhattanie 11 września i w dniach następnych, z punktu widzenia strategii
36
ochrony infrastruktury krytycznej, należałoby zwrócić uwagę na trzy ważne
czynniki, które pozwoliły uniknąć pogłębiania lub eskalacji kryzysu:
Natychmiastowe, prawie automatyczne uruchomienie procedur kryzysowych.
Decyzje, zostały podjęte dzięki sprawnym systemom informacyjnym, np:
o Decyzja o wstrzymaniu otwarcia Giełdy NYSE;
o 8:52 zatrzymanie pociągów metra jadących w kierunku stacji WTC;
o 9:12 ostatni ratunkowy pociąg metra opuszcza stację WTC;
o 9:21 zamknięcie mostów i tuneli w Nowym Jorku;
o 11.02 otwarcie mostów dla ruchu z Manhattanu;
Zaangażowanie wszystkich prywatnych operatorów w odtworzenie systemów
łączności,
o ezzwłoczne zapewnienie łączności dla zarządzania kryzysem, m.in:
5000 aparatów komórkowych
wozów łączności satelitarnej,
o udostępnienie 4000 darmowych automatów telefonicznych na
Manhattanie;
o Zorganizowanie zapasowych centrów łączności,
Zrównoważenie destrukcyjnego efektu psychologicznego, przez medialną
propagandę bohaterstwa ratowników i solidarności.
3.11. DHS – Departament Bezpieczeństwa Krajowego67
3.11.1 Biuro Bezpieczeństwa Krajowego68
Wkrótce po ataku na WTC Prezydent Bush przedstawił koncepcję powołania
nowego ministerstwa – Departamentu Bezpieczeństwa Krajowego, którego misję
sformułował w październiku 2001, jako „opracowanie i koordynacja wdrażania
całościowej narodowej strategii ochrony Stanów Zjednoczonych przed
zagrożeniami lub atakami terrorystycznymi” [EO 13228, 08.10.2001]. Prace
przygotowujące powołanie DHS, i długoterminowej strategii Prezydent Bush
powierzył Tomowi Ridge, Asystentowi Prezydenta ds. Bezpieczeństwa Krajowego.
Tom Ridge, stał się tym samym Dyrektorem Biura Bezpieczeństwa Krajowego,
zorganizowanego w strukturze Białego Domu.
67
68
Departament of Homeland Security
Office of Homeland Security
37
Prezydent powołał również rozporządzeniem EO 13228 kierowaną Radę
Bezpieczeństwa Krajowego, dla której Biuro Bezpieczeństwa Krajowego było
organem wykonawczym. Radą kieruje Prezydent lub pod jego nieobecność
Wiceprezydent. W jej skład wchodzą Sekretarze wszystkich agencji federalnych.
W prezydenckim dokumencie roboczym zaprezentowanym w końcu 2001 roku,
znalazło się jasne stwierdzenie, że „Stany Zjednoczone nigdy nie dysponowały
narodowym planem własnego zabezpieczenia przed zagrożeniami
terrorystycznymi”[Bush, 2002: s.6]. Wymieniono następujące obszary działań,
wydzielonych jako ogólne pozycje budżetowe:
Wsparcie sił „pierwszego reagowania” (straż pożarna, wolontariusze, policja
lokalna, ratownicze służby medyczne);
Ochronę przed zagrożeniem bioterroryzmem;
Ochrona granic;
Technologie 21 wieku ukierunkowane na obronność kraju;
Bezpieczeństwo teleinformatyczne. Ochrona Infrastruktury Informacyjnej:
o Narodowe Centrum Ochrony Infrastruktury (NIPC) – działające nadal
w strukturach FBI;
o Sieć wywiadowcza ostrzegania o zagrożeniach (CWIN69);
o Priorytet dla radiodostępu70 - program, który pozwoli zachować;
zdolność do utrzymania ciągłości łączności radiowej w sytuacjach
kryzysowych;
o Symulacyjne i Analityczne Centrum Narodowej Infrastruktury71 - w
Departamencie Energii, dla lepszego rozumienia współzależności
infrastruktury krytycznej, Internetu i gospodarki;
o Studium wykonalności na temat projektu „GovNet” – sieć rządowa o
zwiększonej odporności na atak z zewnątrz;
o AES72 - wdrażanie standardów kryptograficznych w administracji;
o Uczelniany „Cyberkorpus”, promujący kursy o tematyce
bezpieczeństwa;
Cyberspace Warning Intelligence Network
Priority Wireless Access
71 National Infrastructure Simulation and Analysis Centem
72 Advanced Encryption Standard
69
70
38
Inne obszary związane z bezpieczeństwem kraju:
o Bezpieczeństwo transportu;
o Federalne służby bezpieczeństwa;
o Korpusy Obywatelskie73;
milicja obywatelska;
medyczne służby rezerwowe;
system informacji o zagrożeniach terrorystycznych TIPS74;
społeczne grupy reagowania w sytuacjach szczególnych
zagrożeń (CERT75);
Program obserwacji sąsiedzkiej76;
Przewodnik Gotowości Obywatelskiej77;
o Departament Obrony i Wspólnota Wywiadowcza;
o Ochrona Infrastruktury Krytycznej.
W czerwcu 2002 roku Prezydent zaprezentował raport podsumowujący stan
prac nad przygotowaniem do powołania DHS [Bush, 2002], w którym przede
wszystkim promowano tezę o konieczności ścisłej koordynacji działań, w zakresie
bezpieczeństwa krajowego rozproszonych w ponad 100 różnych podmiotach
administracji rządowej różnego szczebla, poprzez podporządkowanie ich jednej
wyspecjalizowanej agencji.
Zaplanowano, by we właściwościach DHS znalazły się kwestie:
Bezpieczeństwa granic i transportu;
Przygotowania i reagowania w sytuacjach szczególnych zagrożeń;
Przeciwdziałania zagrożeniom chemicznym, biologicznym radiologicznym i
jądrowym.
Analizy informacji, ze wszelkich źródeł wywiadowczych, operacyjnych i
analitycznych wszystkich innych agencji oraz ochrony amerykańskiej
infrastruktury krytycznej.
Citizen Corps
Terrorist Information and Prevention System
75 Community Emergency Response Team
76 Neighborhood Watch Programs
77 Citizens’ Prepardness Guidebook
73
74
39
Określono również kilka kluczowych zagadnień, wymagających dalszych prac:
Koordynacja współdziałania sektora rządowego/samorządowego i sektora
prywatnego;
Włączenie w strukturę DHS Tajnej Słuzby78;
Zachowanie kompetencji Białego Domu, Biura Bezpieczeństwa Krajowego
oraz Rady Bezpieczeństwa Krajowego w sprawach koordynacji i upraszczania
procesów wymagających współpracy międzyagencyjnej;
Zadania, które znajdą się w kompetencjach DHS, pomimo, że wykraczają poza
ściśle pojmowaną ochronę kraju przed terroryzmem. Dotyczy to na przykład
działań, w których środki podejmowane do zarządzania kryzysem są podobne
lub analogiczne, jak na przykład klęski żywiołowe (działanie poprzez FEMA)
3.11.2 Narodowa Strategia Bezpieczeństwa Krajowego
W lipcu 2002 roku Biuro ds. Bezpieczeństwa Krajowego w imieniu Prezydenta
opublikowało dokument – Narodowa Strategia Bezpieczeństwa Krajowego [OHS
2002], która miała odpowiedzieć na cztery podstawowe pytania:
Co to jest Bezpieczeństwo Krajowe i z realizacją jakiej misji jest związane?
Jakich starania należy podejmować i jakie są najważniejsze cele
bezpieczeństwa krajowego?
Na czym polegają działania podejmowane aktualnie przez odpowiedzialny
dział administracji federalnej i czym się ma on zajmować w przyszłości?
Co powinny robić instytucje samorządowe, sektor prywatny i obywatele by
chronić kraj?
W dokumencie tym nieco inaczej uporządkowano obszary działań w celu
zapewnienia bezpieczeństwa krajowego:
Wywiad i ostrzeganie,
Bezpieczeństwo granic,
Przeciwdziałanie terroryzmowi79 na poziomie lokalnym,
Ochrona infrastruktury krytycznej i kluczowych zasobów,
Obrona przed zagrożeniami katastroficznymi,
Gotowość i reagowanie w sytuacjach zagrożeń.
78
79
Secret Service
counterterrorism
40
W miejscu, gdzie w dokumencie Strategia Bezpieczeństwa Krajowego omawia
się kwestię infrastruktury krytycznej, znalazło się stwierdzenie, że do
amerykańskiej infrastruktury krytycznej należy zaliczyć wiele różnych sektorów,
systemów, zasobów i funkcji istotnych z punktu widzenia bezpieczeństwa
narodowego, możliwości zarządzania państwem, zdrowia i bezpieczeństwa
publicznego, gospodarki i morale społeczeństwa.
W niesprzyjających okolicznościach zaatakowanie jednego lub kilku fragmentów
infrastruktury krytycznej może spowodować uszkodzenie całego systemu i mieć
skutki dla całego kraju. Potraktowane jako priorytetowe, działania mające chronić
infrastrukturę krytyczną przed zagrożeniami o charterze terrorystycznymi, powinny
również zmniejszyć podatność na zagrożenia o innym charakterze, jak klęski
żywiołowe, zorganizowana przestępczość, hackerzy komputerowi [OHS 2002,
s.30]
W strategii określono 8 obszarów działań:
Działanie 1. Zjednoczenie amerykańskich wysiłków w dziedzinie ochrony
infrastruktury w DHS.
Sprowadza się to między innymi do konsolidacji wyspecjalizowanych jednostek
organizacyjnych z różnych urzędów, przede wszystkim:
Urząd ds. Zapewnienia Infrastruktury Krytycznej CIAO, działające w
Departamencie Handlu
Centrum Ochrony Infrastruktury Narodowej – NIPC, z wyłączeniem spraw
związanych z przestępczością komputerową, działające w strukturze FBI
DHS miało powiększać zdolność działania w oparciu o dorobek lub przejęcie
niektórych jednostek organizacyjnych Federalnego Centrum Reagowania na
Incydenty Komputerowe FedCIRC, Dział Bezpieczeństwa Komputerowego
Narodowego Instytutu Standardów i Technologii oraz NCS (Narodowego Systemu
Telekomunikacyjnego).
DHS ma także ujednolicić odpowiedzialność za bezpieczeństwo
teleinformatyczne i fizyczne infrastruktury we wszystkich dziedzinach.
41
Organizacja Rządu Federalnego w obszarze ochrony infrastruktury krytycznej
i kluczowych zasobów
Prezydent
Sekretarz ds. Bezpieczeństwa Krajowego
Koordynacja i integracja sektorów federalnego, stanowych, lokalnych i prywatnych
Całościowy plan ochrony narodowej infrastruktury krytycznej
Określenie mapy zagrożeń i podatności, ogłaszanie ostrzeżeń
Sektor Agencja nadzorująca
Rolnictwo Departament Rolnictwa80
Żywność:
Mięso i drób Departament Rolnictwa
Pozostałe produkty żywnościowe Departament Zdrowia i i Usług dla Ludności81
Woda Agencja Ochrony Środowiska82
Zdrowie Publiczne Departament Zdrowia i i Usług dla Ludności
Służby ratunkowe83 Departament Bezpieczeństwa Krajowego
Rząd
Ciągłość działania rządu Departament Bezpieczeństwa Krajowego
Ciągłość działań Wszystkie departamenty i agencje
Przemysł obronny Departament Obrony
Informatyka i Telekomunikacja Departament Bezpieczeństwa Krajowego
Energia Departament Bezpieczeństwa Krajowego
Transport Departament Bezpieczeństwa Krajowego
Bankowość i Finanse Departament Skarbu
Przemysł chemiczny i materiałów Agencja Ochrony Środowiska
niebezpiecznych
Poczta i spedycja Departament Bezpieczeństwa Krajowego
Narodowe pomniki i pamiątki Departament spraw wewnętrznych84
[OHS, 2002: s.32]
Department of Agriculture
Department of Health & Human Services
82 Environmental Protection Agency
83 Emergency services
84 Department of the Interior
80
81
42
Działanie 2. Budowa i utrzymanie kompletnego i dokładnego oszacowania
amerykańskiej infrastruktury krytycznej i kluczowych zasobów
Zdolność oszacowania infrastruktury krytycznej, oceny podatności i gotowości to
obszar, który był niezagospodarowany w administracji federalnej. Ocena zagrożeń
należy do zadań o charakterze ciągłym i wiąże się z uprawnieniem do ogłaszania
stanów ostrzegawczych i działaniach w zespołach kryzysowych.
Realizacja tego zadania ma znaczenie nie tylko dla bieżących działań. Powinno
to również pomóc w wypracowaniu długofalowej polityki w sprawie lokowania
zasobów i wysiłków, pozwalając na przykład odpowiedzieć, czy w danym
przypadku ważniejsze jest inwestowanie w mocniejszą, fizyczną infrastrukturę i
urządzenia, czy utrzymać rezerwy organizacyjne i sprzętowe dla celów
interwencyjnych, w przypadkach okresowego wzrostu zagrożeń [OHS 2002; s.33].
Działanie 3. Umożliwić skuteczne partnerstwo z władzami stanowymi,
lokalnymi i sektorem prywatnym
Szczególnie istotne jest wypracowanie zasad współpracy z sektorem
prywatnym, który kontroluje około 85 % amerykańskiej infrastruktury. W
większości przypadków, to firmy prywatne, a nie instytucje rządowe dysponują
wiedzę o środkach ochrony kontrolowanej przez siebie infrastruktury. Instytucje
rządowe wszystkich szczebli muszą umożliwiać, a nie powstrzymywać sektor
prywatny przed braniem odpowiedzialności za stosowanie zabezpieczeń.
Jedną z najważniejszych koncepcji utworzenia DHS jest to, by instytucje władz
stanowych i lokalnych oraz sektor prywatny miały z rządem federalnym jeden
punkt kontaktowy w sprawie bezpieczeństwa i ochrony, co ma ułatwiać
przygotowanie planowania strategicznego.
Działanie 4. Opracowanie narodowego planu ochrony infrastruktury
krytycznej
Plan opiera się o założenia budżetowe i jest przygotowywany w cyklu rocznym.
Ma on określać metodologię identyfikacji i określania priorytetów zasobów
krytycznych, systemów, funkcji, a także definiować podział odpowiedzialności,
pomiędzy agencje federalne, władze stanowe, lokalne i sektor prywatny.
Plan określa standardy i wskaźniki dla infrastruktury krytycznej oraz środki
pomiaru stanu wykonania zadań.
Budżet przeznaczony na ochronę infrastruktury krytycznej musi racjonalnie
równoważyć koszty i korzyści, wynikające z poprawy bezpieczeństwa.
43
DHS dysponuje programem grantów, na wdrażanie planu ochrony infrastruktury
krytycznej na poziomie stanowym i lokalnym. Istnieje również możliwość tworzenia
zachęt dla sektora prywatnego, by wprowadzał środki bezpieczeństwa oraz
inwestował w bezpieczne technologie według założeń DHS. Niektóre wymuszone
zasady zachowania bezpieczeństwa, mogą się stawać przedmiotem regulacji
prawnych inicjowanych na podstawie doświadczeń DHS.
Działanie 5. Zabezpieczyć cyberprzestrzeń
Powszechne bezpieczeństwo teleinformatyczne należy do ważnych priorytetów
strategii rządu federalnego. Gromadzeniu doświadczeń ma służyć działanie
prezydenckiej Narodowej Strategii Zabezpieczenia Cyberprzestrzeni, powstającej
na zasadzie partnerstwa publiczno-prywatnego, przy wsparciu prezydenckiej Rady
Ochrony Infrastruktury Krytycznej. Strategia ta ma wspomagać wybory
podejmowane w kwestiach bezpieczeństwa w na wszystkich poziomach:
użytkowników domowych, małych, średnich i dużych przedsiębiorstw, zagadnienia
o zasięgu lokalnym, stanowym, krajowym, globalnym.
Działanie 6. Zabezpieczenie narzędzi służących analityce i modelowaniu dla
wypracowania skutecznych środków ochrony
Zadanie będzie realizowane przy wykorzystaniu zasobów wywiadowczoanalitycznych. Niektóre z opracowanych narzędzi analitycznych będą
udostępniane władzom stanowym, lokalnym oraz sektorowi prywatnemu.
Realizację tego zadania ma wspomagać organizacyjnie wchłonięcie przez DHS
Narodowego Centrum Symulacji i Analiz, znajdującego się przedtem w strukturach
departamentu Energii.
Działanie 7. Ochrona amerykańskiej infrastruktury krytycznej i kluczowych
zasobów przed zagrożeniami wewnętrznymi
Zadanie, częściowo o charakterze kontrwywiadowczym jest ukierunkowane na
potencjalne zagrożenia ze strony osób, zatrudnionych przy utrzymaniu
infrastruktury krytycznej, które z różnych przyczyn mogą sabotować jej
bezpieczeństwo lub z premedytacją prowokować zagrożenia.
Sekretarz DHS wspólnie z Prokuratorem Generalnym organizują panel, z
udziałem właściwych agencji, szczebla federalnego, stanowego i lokalnego oraz
konsultacje z sektorem prywatnym na temat metod zapewnienia bezpieczeństwa
osobowego w infrastrukturze krytycznej, sposobów określania prawnej
44
odpowiedzialności za powierzone zasoby infrastruktury, a także odpowiedzialności
karnej za naruszenia. DHS opracuje również zalecenia dotyczące tworzenia stref
bezpieczeństwa i kontroli dostępu.
Działanie 8. Partnerstwo ze wspólnotą międzynarodową dla ochrony
amerykańskiej infrastruktury o zasięgu ponadnardowym
Partnerstwo oznacza przegląd stosowanych i wypracowanie nowych zasad
współpracy transgranicznej w dziadzninie ochrony infrastruktury krytycznej z
Meksykiem i Kanadą
3.11.3 Departament Bezpieczeństwa Krajowego – rozpoczęcie
działalności
Prezydent George Bush podpisał ustawę o bezpieczeństwie krajowym 25
listopada 2002 roku. Departament Bezpieczeństwa Krajowego rozpoczął
działalność w styczniu 2003 roku, konsolidując w jednym centralnym urzędzie
działania prowadzone przedtem przez 22 agencje. Jest to najpoważniejsza
reforma amerykańskiej administracji od 50 lat [DHS Strategic Plan, 2004: s.53].
Przedtem żadna z agencji federalnych nie określała bezpieczeństwa krajowego
jako swojego pierwszoplanowego celu.
Najważniejsze zadanie nowej agencji to „obrona obywateli amerykańskich i
amerykańskiego stylu życia przed terroryzmem” [DHS Strategic Plan, 2004: s.2
okł.]. Ogólne cele strategiczne DHS są bezpośrednio odpowiadają trzem celom
Narodowej Strategii:
1. Zapobiegać przed atakami terrorystycznymi w Stanach Zjednoczonych;
2. Zredukować podatność Ameryki na terroryzm;
3. Zminimalizować zniszczenia i zapewnić wychodzenie z kryzysu po atakach,
które miały miejsce.
Cele strategii, związane bezpośrednio z infrastrukturą krytyczną to:
Cel strategii 1. Świadomość – identyfikowanie i zrozumienie zagrożeń,
oszacowanie podatności, określenie potencjalnych skutków, okresowe
rozpowszechnianie informacji.
działanie 1.1 – Gromadzenie i łączenie informacji z różnych źródeł,
analizowanie i koordynacja dostępu do informacji związanymi
z terrorystami i innymi zagrożeniami.
45
działanie 1.2 – Identyfikacja i oszacowanie podatności w infrastrukturze
krytycznej i kluczowych zasobach.
działanie 1.3 – Opracowywanie okresowych, aktualizowanych,
wartościowanych biuletynów informacyjnych w oparciu o
analizy wywiadowcze i oszacowania podatności.
działanie 1.4 – Zapewnienie szybkiego i dokładnego rozpowszechniania
odpowiednich informacji wywiadowczych wśród organizacji
współpracujących, w tym udostępnianie informacji publicznej.
Cel strategii 2. Zapobieganie
…
działanie 2.3 – Zaopatrzenie właściwych podmiotów i użytkowników w
technologie i środki do wykrywania i zapobiegania atakom
terrorystycznym, działalności terrorystycznej i innym
nielegalnym działaniom.
Działanie 2.4. – Zapewnienie by krajowa i międzynarodowa polityka,
działania właściwych służb specjalnych i policji w dziedzinie
przygotowania i ochrony przed terroryzmem były
koordynowane.
….
Cel strategii 3. Ochrona
…
Działanie 3.2. – Zmniejszenie podatności infrastruktury na działanie
terroryzmu
….
Działanie 3.5 – Zapewnienie ciągłości działania rządu i jego najistotniejszych
funkcji w przypadku kryzysu lub katastrofy
…
Działanie 3.7 – Wzmacnianie powszechnej gotowości i zdolności do
łagodzenia skutków zaistnienia aktów terroryzmu, klęsk
żywiołowych i innych szczególnych zagrożeń.
….
Strategiczny plan DHS oprócz zdefiniowania szczegółowych, bieżących celów
formułuje także najważniejsze wyzwania [s.52,53]:
46
Wykrywanie i przeciwdziałanie działalności terrorystycznej zależy od
wypracowania metod, które pozwolą uniknąć zaskoczenia, które jest głównym
atutem terrorystów. Wymaga to udoskonalenia i ukierunkowania działań
wywiadowczych oraz wprowadzenia mechanizmów wczesnego ostrzegania o
zagrożeniach.
Zmniejszenie zagrożeń stwarzanych przez terrorystów, wymaga, by
organizacje terrorystyczne nie mogły uzyskać broni chemicznej, biologicznej,
radiologicznej lub atomowej. Międzynarodowe organizacje, o charakterze
terrorystycznym nie powinny mieć możliwości działania na terytorium Stanów
Zjednoczonych, dzięki współdziałaniu administracji federalnej, stanowej i lokalnej.
Organizacje o charakterze terrorystycznym nie powinny mieć również możliwości
pogłębiania wiedzy na temat sposobów ataku.
Wspólny narodowy wysiłek dla bezpieczeństwa kraju, to wyzwanie, które
oznacza organizację i koordynację instytucji federalnych, stanowych i lokalnych,
działających na podstawie ponad 87’000 systemów prawnych, niekiedy
niezależnych, a także sektora prywatnego oraz partnerów międzynarodowych.
Wykorzystanie doświadczeń i wiedzy, a także określanie powinności instytucji i
organizacji federalnych, stanowych, lokalnych, środowiskowych, a także
międzynarodowych wymaga zagwarantowania odpowiednich funduszy. Konieczne
jest przy tym zapewnienie wymiany doświadczeń, wzajemne wspieranie się tymi
doświadczeniami, unikanie dublowania wysiłków.
Skuteczność regulacji prawnych. W ukształtowanych historycznie
amerykańskich systemach prawnych na poziomie federalnym, stanowym i
lokalnym dużo miejsca zajmują kwestie bezpieczeństwa, wolności. W związku z
ewolucją podejścia do bezpieczeństwa krajowego wzrasta zapotrzebowanie na
prawo, pozwalające wyważyć wolność i prawa jednostki z bezpieczeństwem
narodu i obywateli.
Postęp w nauce i technologii, powinien być kluczem do obrony kraju.
Potrzebne jest inwestowanie w rozwój tych dziedzin nauki i nowoczesnych
technologii, które mogą wspomagać zwalczanie terroryzmu oraz wykrywanie
zagrożeń.
Współpraca międzynarodowa, jest konieczna w zwalczaniu terroryzmu. Stany
Zjednoczone będą dążyć do zinstytucjonalizowania współpracy międzynarodowej
47
w dziedzinie zwalczania terroryzmu i wykorzystania właściwych organizacji
międzynarodowych.
3.12. Narodowa Strategia Zabezpieczenia Cyberprzestrzeni
Narodowa Strategia Zabezpiecznenia Cyberprzestrzeni, której ostateczna
wersja została opublikowana w lutym 3003 roku została zapowiedziana w
Narodowej Strategii Bezpieczeństwa Krajowego w lipcu 2002 [OHS, 2002; s.34].
Opublikowano ją po półrocznych konsultacjach wersji wstępnej. Równolegle
wydano drugą uzupełniającą strategię zabezpieczenia fizycznego infrastruktury
krytycznej [Bush-2, 2003].
Ramy prawne dla wprowadzenia strategii dało rozporządzenie Prezydenta nr
13231 z października 2001 roku upoważniające do wprowadzenia programu
ciągłej ochrony systemów informacyjnych infrastruktury krytycznej, włącznie z
systemami służb ratunkowych [EO 13231, 2001]
Dokument jest skierowany do wszystkich, którzy muszą lub powinni być
zainteresowani bezpieczeństwem korzystania z publicznie dostępnych sieci
komputerowych i Internetu, opierając się na założeniu, że bezpieczeństwo jest
strategicznym wyzwaniem w równym stopniu dla władz federalnych, stanowych,
lokalnych, sektora prywatnego, jak i zwykłych obywateli, użytkowników.
„Gospodarka i bezpieczeństwo narodowe (Stanów Zjednoczonych) stały się
całkowicie zależne od technologii informacyjnych i infrastruktury informacyjnej.
Sieć sieci bezpośrednio wspiera działanie wszystkich sektorów gospodarki –
energetyki (energia elektryczna, ropa i gaz), transportu (kolejowego, lotniczego,
żeglugi), finansów i bankowości, teleinformatyki i telekomunikacji, ochrony
zdrowia, służb ratunkowych, przesyłu wody, chemikaliów, przemysłu obronnego,
żywności, rolnictwa, poczty i spedycji. Sieci kontrolują również działanie fizycznych
obiektów, takich jak podstacje transformatorowe, pociągi, gazociągi, pompy,
zbiorniki chemiczne i radary” [Bush-1, 02,2003: s.6]
Trzy ogólne cele strategii odpowiadają celom ogólnych strategii bezpieczeństwa
krajowego i potwierdzonych jako kierunkowe wskazania DHS. W przypadku
strategii zabezpieczenia cyberprzestrzeni są sformułowane następująco:
Zapobiegać przed cyber-atakami na amerykańską cyberprzestrzeń;
Zredukować narodową podatność na cyber-ataki;
48
Zminimalizować zniszczenia i zapewnić wychodzenie z kryzysu po atakach,
które miały miejsce.
Upowszechnienie wysiłków, zmierzających do poprawy bezpieczeństwa
korzystania z cyberprzestrzeni opiera się na założeniu, że „rząd federalny nie jest
w stanie samodzielnie obronić amerykańskiej cyberprzestrzeni. Zgodnie z tradycją
amerykańskiego federalizmu i ograniczonych wymagań rządu, to organizacje
pozarządowe biorą na siebie przywództwo w tego rodzaju wysiłkach. Każdy
Amerykanin, mogący przyczynić się do zabezpieczenia części cyberprzestrzeni
będzie zachęcany, by to robić” [Bush-1, 02,2003: s.xiii].
Zakłada się, że sektor prywatny jest dobrze wyposażony w nowoczesne
urządzenia, które w ewolucyjny sposób dostosowuje do pojawiających się
zagrożeń z cyberprzestrzeni. Istnieją jednak specyficzne okoliczności, które
powodują, że konieczne jest uwzględnienie punktu widzenia lub wymagań rządu,
federalnego, stanowego lub lokalnego. Kluczowym składnikiem strategii
zabezpieczenia cyberprzestrzeni jest zaangażowanie partnerstwa publicznoprywatnego. Partnerstwo publiczno-prywatne może użytecznie konfrontować
problemy koordynacji działań, ułatwiać wymianę informacji i współpracę,
szkolenia, ulepszanie technologii, znajdowanie środków zaradczych na podatności
na zagrożenia, działania naprawcze.
Władze federalne rezerwują sobie prawo działania w sprawach związanych z
kwalifikacją prawną ataków, ochroną sieci i systemów określanych jako krytyczne
dla bezpieczeństwa narodowego, odnotowywaniem ataków i ostrzeganiem,
ochroną przed atakami zorganizowanymi, tworzącymi zagrożenie gospodarcze w
dużej skali.
Działania rządu federalnego służą również inspirowaniu i wspieraniu prac
naukowo-badawczych, które pozwolą systemom infrastruktury krytycznej, będącej
własnością prywatną lepiej zabezpieczać infrastrukturę narodową
Rola władz federalnych ujawnia się z zasady wtedy, kiedy konieczne jest
rozstrzygnięcie kwestii kosztów, w tym zaangażowania budżetu federalnego.
49
Narodowa Strategia Zabezpieczenia Cyberprzestrzeni określa pięć priorytetów:
I. System reagowania na naruszenie bezpieczeństwa cyberprzestrzeni
narodowej85,
II. Narodowy program redukowania zagrożeń i podatności bezpieczeństwa
cyberprzestrzeni,
III. Narodowy Program uświadamiania i szkolenia bezpieczeństwa
cyberprzestrzeni,
IV. Zabezpieczenie rządowej cyberprzestrzeni
V. Bezpieczeństwo narodowe i międzynarodowa współpraca w dziedzinie
bezpieczeństwa cyberprzestrzeni
Rola i odpowiedzialność w Zabezpieczeniu Cyberprzestrzeni
Priorytet I
Priorytet II
Priorytet III
system reagowania na
Narodowy program
Narodowy Program
naruszenie
redukowania zagrożeń
uświadamiania i
Priorytet IV
Priorytet V
Bezpieczeństwo
narodowe i
Zabezpieczenie
międzynarodowa
współpraca w
bezpieczeństwa
i podatności
szkolenia
rządowej
cyberprzestrzeni
bezpieczeństwa
bezpieczeństwa
cyberprzestrzeni
narodowej
cyberprzestrzeni
cyberprzestrzeni
dziedzinie
bezpieczeństwa
cyberprzestrzeni
Poziom
Użytkownicy
2
2
2
2
2
2
2
2
2
2
2
2
2
2
2
2
domowi/mały
biznes
Duże
przedsiębiorstwa
Sektory
infrastruktury
krytycznej
Sprawy
państwowe i
miejsca wrażliwe
Globalny
2
[Bush-1, 02,2003:s.9]
85
national cyberspace security response system
50
Priorytet I – System reagowania na naruszenie bezpieczeństwa
cyberprzestrzeni narodowej
System reagowania na naruszenie bezpieczeństwa cyberprzestrzeni
narodowej, koordynowany przez Departament Bezpieczeństwa Krajowego, jest
strukturalnie oparty o zasadę partnerstwa publiczno-prywatnego. Służy on
analizowaniu i ostrzeganiu, zarządzaniu incydentami o znaczeniu
ogólnokrajowym, wspiera ciągłość działania infrastruktury systemów rządowych
oraz sektora prywatnego, by zapewnić poprawę bezpieczeństwa cyberprzestrzeni
dąży do wzrostu wymiany informacji wewnątrz organizacji oraz pomiędzy różnymi
podmiotami.
System reagowania na naruszenie bezpieczeństwa cyberprzestrzeni
narodowej
analiza
ostrzeganie
Zarządzanie
incydentami
reagowanie
odtwarzanie
składniki
Centrum Analiz DHS
Centrum
Struktura zarządzania
Narodowe
operacyjne
incydentami DHS
awaryjne plany
reagowania86
incydentów DHS
• grupa strategiczna
• grupa taktyczna
• szacowanie podatności
• Cyber alarmy i
sieci informacyjne
• ISAC
• Koordynacja federalna
• Plany federalne
• Koordynacja prywatna,
• Prywatne plany
stanowa, lokalna
koordynacyjne
[Bush-1, 02,2003: s.21]
Umożliwienie tworzenia analiz o znaczeniu taktycznym i strategicznym na
temat ataków w cyberprzestrzeni i szacowania podatności;
Zachęty dla sektora prywatnego, by wykorzystywał swoje zdolności i zasoby do
wymiany prognoz na temat właściwego sposobu korzystania z
cyberprzestrzeni;
86
national response contingency plans
51
Rozbudowa sieci informacyjnych ostrzegania o cyber-alarmach przy
wykorzystaniu DHS, jako koordynatora w zarządzaniu kryzysem;
Poprawa krajowego systemu zarządzania incydentami;
Koordynacja procesu dobrowolnego uczestniczenia w rozwoju publicznoprywatnych planów awaryjnych;
Ćwiczenia planów zachowania ciągłości bezpieczeństwa teleinformatycznego
dla systemów federalnych;
Poprawa i udoskonalanie publiczno-prywatnych zasad wymiany informacji na
temat ataków, zagrożeń i podatności.
Priorytet II - Narodowy program redukowania zagrożeń i podatności
bezpieczeństwa cyberprzestrzeni,
Realizacja zadania przewiduje następujące działania:
Poprawa zdolności służb specjalnych i policji w zapobieganiu i ściganiu
przestępstw związanych z atakami w cyberprzestrzeni
Wdrożenie procesu oszacowania podatności systemów o znaczeniu
narodowym dla lepszego rozumienia potencjalnych konsekwencji zagrożeń i
podatności;
Zabezpieczenie mechanizmu działania Internetu, poprzez udoskonalanie
protokołów i systemu kierowania ruchem;
Poparcie dla użytkowania zaufanych systemów kontroli cyfrowej, zarządzania
kontrolnego i systemów przechowywania danych;
Zredukowanie podatności uzależnionych od oprogramowania;
Zrozumienie współzależności infrastruktury i poprawa bezpieczeństwa
fizycznego systemów teleinformatycznych i telekomunikacyjnych;
Nadawanie priorytetu pracom badawczym i rozwojowym w dziedzinie
bezpieczeństwa teleinformatycznego;
Ocena i zabezpieczenie systemów wykorzystywanych dla celów służb
ratunkowych i w sytuacjach szczególnych zagrożeń.
Priorytet III - Narodowy Program uświadamiania i szkolenia
bezpieczeństwa cyberprzestrzeni,
Realizacja zadania przewiduje następujące działania:
52
Promocja jednolitego narodowego programu uświadamiania potrzeby
zabezpieczenia własnego środowiska cyberprzestrzeni, ukierunkowana na
wszystkich amerykanów, podmioty gospodarcze, środowisko pracowników
najemnych, i ogół ludności;
Rozwijanie programów edukacyjnych i szkoleniowych;
Poprawa jakości dotąd stosowanych programów szkolenia w zakresie
bezpieczeństwa teleinformatycznego dla urzędników federalnych;
Promocja wsparcia sektora prywatnego dla dobrze skoordynowanych, szeroko
dostępnych programów certyfikacji bezpieczeństwa teleinformatycznego.
Priorytet IV - Zabezpieczenie cyberprzestrzeni rządowej
Zabezpieczenie systemów rządowych sprowadza się przede wszystkim do
likwidacji zaniedbań i uszczelnienia licznych słabości.
Realizacja tej części strategii oznacza między innymi podjęcie następujących
działań:
A/R 4-1 Agencje federalne kontynuują wprowadzanie zautomatyzowanych
systemów oceny bezpieczeństwa i wykrywania ataków. Rząd federalny
będzie oceniał na ile potrzebne są tego typu działania w poszczególnych
jednostkach organizacyjnych, ale również promował używanie tego typu
narzędzi.
A/R 4-2 Wprowadzenie powszechnej zasady uwierzytelniania przy uzyskiwaniu
dostępu do publicznie dostępnych informatycznych systemów rządowych
(e-government). Dążenie od wypracowania uniwersalnych narzędzi
kontroli dostępu i uwierzytelniania.
A/R 4-3 Instalowanie systemów stałego sprawdzania nieautoryzowanego dostępu
do sieci rządowych, włącznie z oceną ewentualnego poszerzenia
stosowania mocniejszych narzędzi kryptograficznych.
Priorytet V - Bezpieczeństwo narodowe i międzynarodowa współpraca
w dziedzinie bezpieczeństwa cyberprzestrzeni
Oprócz ogólnych działań i deklaracji warto tu wymienić intencję wspierania
innych krajów w przystępowaniu do europejskiej konwencji na temat
cyberprzestępczości (działanie A/R 5-10).
Realizacja tej części strategii oznacza między innymi podjęcie następujących
działań:
53
A/R 5-1 Wzmocnienie zdolności kontrwywiadowczych FBI
A/R 5-3 Negocjacje z Kanadą i Meksykiem w sprawie stworzenia „bezpiecznej
cyber-strefy Ameryki Północnej zamiarem rozszerzania tej inicjatywy na
kolejne dziedziny infrastruktury krytycznej, która bywa współużytkowana
w rejonach przygranicznych: sieci transportowe, telekomunikacyjne,
energetyczne, bankowe i finansowe, ratunkowe, żywnościowe, ochrony
zdrowia i wodne.
3.13. Narodowa Strategia Fizycznej Ochrony Infrastruktury
Krytycznej i Kluczowych Zasobów
Zaprezentowana w lutym 2003 roku [Bush-3, 2003] równolegle do strategii
zabezpieczenia cyberprzestrzeni, prezydencka strategia fizycznej ochrony
infrastruktury krytycznej jest kolejnym dokumentem programowym dla
Departamentu Bezpieczeństwa Krajowego, jest rozwinięciem poprzednio
prezentowanych strategii i odnosi się do wszystkich rodzajów infrastruktury, które
mogą być obiektem ataków:
bezpośrednich, które niszczą elementy infrastruktury lub uniemożliwiają
korzystanie z nich;
efekty niebezpośrednie, w przypadku których poprzez reakcję na atak; pojawia
się kaskadowy efekt destabilizacji, przerw lub finansowych problemów w
funkcjonowaniu rządu, społeczeństwa, gospodarki;
wykorzystanie niektórych elementów infrastruktury niezgodnie z ich
przeznaczeniem lub intencją właściciela, by unieruchomić lub zniszczyć inny
obiekt.
Najistotniejsze obszary działań wiążą się z identyfikacją współzależności i
priorytetów. Podobnie jak we wcześniej prezentowanych dokumentach
podstawowym wyzwaniem jest znalezienie płaszczyzn współpracy rządu
federalnego, władz stanowych i lokalnych z sektorem prywatnym, który jest
właścicielem większości infrastruktury krytycznej i kontroluje jej działanie.
Wymienione wprost priorytety to:
planowanie i przydział odpowiedzialności za zasoby infrastruktury krytycznej;
wymiana informacji i wskazówek oraz system powiadamiania;
54
budowanie odpowiedzialnych, świadomych zasobów ludzkich i wykorzystanie
istniejącego kapitału wiedzy i ludzi;
badania naukowe i rozwojowe;
Analityka, modelowanie i wykorzystanie narzędzi symulacyjnych;
Rynek usług i sieci telekomunikacyjnych zmienia się bardzo istotnie w związku z
rozwojem konkurencji. Ma to wpływ na politykę rozwoju infrastruktury przez
operatorów telekomunikacyjnych. Konieczne jest uważne dostosowywanie
podejścia do problematyki bezpieczeństwa.
W obszarze infrastruktury telekomunikacyjnej przewiduje się następujące
główne kierunki działań:
Zdefiniowanie progu bezpieczeństwa dla sieci telekomunikacyjnych, by
zlikwidować lukę pomiędzy oczekiwaniami wobec bezpieczeństwa i typowymi
wymaganiami systemów telekomunikacyjnych, które są obecnie
eksploatowane. DHS dąży do porozumienia z przedstawicielami sektora, które
musi uwzględniać różnorodność technologii i rodzajów usług;
Rozbudowa infrastruktury w celu wykorzystania różnorodnych możliwości
komunikowania się dla potrzeb administracji rządowej, by zwiększać
niezawodność i bezpieczeństwo.
Zrozumienie ryzyka związanego z podatnością infrastruktury
telekomunikacyjnej na zagrożenia. DHS, przy współpracy z sektorem
prywatnym prowadzi prace studialne, które pozwolą lepiej identyfikować słabe
punkty i czynniki ryzyka związane z poszczególnymi technologiami, rodzajami
sieci i usług, a także czynnikami fizycznymi. Prace studialne mają w
szczególności pomóc wypracować zasady zachowania bezpieczeństwa w
środowisku, w którym działa wielu operatorów i dostawców usług.
Coraz częściej infrastruktura telekomunikacyjna jest uzależniona od
współpracy z dostawcami infrastruktury, usług i urządzeń z innych krajów. DHS
podejmuje działania zmierzające do zacienienia współpracy globalne z
rządami, przedstawicielami sektora, która zapewni żywotnych interesów w
dziedzinie łączności.
55
4. Specyfika podejścia europejskiego
W europie problematyka infrastruktury krytycznej pozostaje pod wpływem
ogólniejszej debaty na temat bezpieczeństwa. Nawet w przypadku rozważań na
temat bezpieczeństwa sieci usług łączności elektronicznej najczęściej dominuje
czynnik ludzki – świadomość zagrożeń i umiejętność zarządzania ryzykiem. Jako
istotne dla bezpieczeństwa uwydatnia się również czynniki społeczne i polityczne,.
Pojęcie bezpieczeństwa informacji w rozumieniu europejskim obejmuje szeroki
obszar zagadnień poza czynnikami technicznymi, organizacyjnymi i prawnymi.
Bezpieczeństwo dyskutuje się w kontekście prywatności, praw obywatelskich,
przestępczości, zasad działania służb zajmujących się ochroną informacji,
transakcjami zawieranymi na odległość, handlem międzynarodowym,
obronnością. „Europa promuje holistyczne podejście do kwestii ochrony
infrastruktury krytycznej. To oznacza, że skuteczność ochrony infrastruktury
krytycznej zależy od możliwości współpracy uczestniczących w tym
przedsięwzięciu aktorów (publicznych, prywatnych, indywidualnych) oraz
wielowymiarowym podejściu do stosowania środków zaradczych(włączając w to
aspekty techniczne, społeczne i polityczne” [Dunn, 2004, s.206].
Nieco inne od amerykańskiego podejście większości krajów europejskich, a co
za tym idzie również Unii Europejskiej do problematyki ochrony infrastruktury
krytycznej, jest w dużej części uwarunkowane historycznie.
Pewne znaczenie może mieć na przykład to, że Europę charakteryzuje nieco
inne niż amerykańskie doświadczenie w budowaniu doktryn obronnych,
wynikające z odmiennej tradycji działania administracji rządowej, a po części
również z odmiennego doświadczenia historycznego. Nie na miejscu byłoby na
przykład w Europie „panujące przez lata amerykańskie przeświadczenie, że
bezpośredni atak na własne terytorium, nie mówiąc już o naruszeniu integralności
terytorialnej są mało prawdopodobne. Kiedy Stany Zjednoczone gromadzą
obecnie siły, by umocnić obronę swoich najważniejszych zasobów, w Europie
rozważa się tym czasem doktryny obronne oparte o elastyczne reagowanie
operacyjne, zakładające rozproszenie działań wojennych, zamiast obrony granic i
ważnych obiektów „[Clark, 2003, s.3].
56
Jeszcze ważniejsze dla wyróżnienia specyfiki europejskiego podejścia do
zbudowania planu działań ochrony infrastruktury krytycznej, miały mechanizmy
rozwoju sektora telekomunikacji.
Przynajmniej do końca lat osiemdziesiątych, kiedy w Unii Europejskiej zaczęto
wprowadzać zasady konkurencji w usługach telekomunikacyjnych, niemal we
wszystkich krajach operatorzy telekomunikacyjni działali na zasadzie naturalnych
monopoli. Z reguły były to firmy państwowe, niekiedy, podobnie jak w Polsce,
działające jako część administracji, czyli bezpośrednio zarządzane przez
odpowiedniki ministerstwa łączności.
Utrzymanie naturalnych monopoli w telekomunikacji miało przede wszystkim
podłoże gospodarcze, ponieważ przez wiele lat w Europie panował pogląd, że
tylko państwo jest w stanie gwarantować powszechny dostęp do usług i stabilny
rozwój infrastruktury, dla której zwrot nakładów inwestycyjnych, przy stosowanych
wówczas technologiach następował po kilkudziesięciu latach. Tworzenie
wspólnego rynku na towary i usługi stało się dla krajów tworzących przyszłą Unię
Europejskiej jedną z kluczowych zasad, wyrażonych w Traktacie Rzymskim. Nie
było podstaw, by utrzymywać wyłączenie z tej zasady usług i sieci
telekomunikacyjnych.
Innym ze stosowanych przez wiele lat argumentów za utrzymaniem monopolu
była konieczność zapewnienia szczególnych zasobów dla potrzeb obronności,
czemu dodatkowo miał sprzyjać bezpośredni nadzór państwa.
Ponieważ Unia Europejska bardzo długo unikała ustalenia wspólnej polityki
obronnej, to szczególne kwestie obronności i bezpieczeństwa w sektorze
telekomunikacji były i w pewnym sensie nadal są wewnętrzną sprawą polityki
krajów członkowskich. Podobnie zresztą bywało, a niekiedy nadal jest, z polityką w
sprawie dużej części innych zasobów infrastruktury krytycznej – transportem,
sieciami dystrybucji wody, gazu, energetyką, gdzie w wielu krajach europejskich
udział skarbu państwa lub samorządów lokalnych jest nadal znaczący.
Poza wojskową współpracą w ramach NATO ustalenia międzynarodowe w
Europie podejmowano w związku z planowaniem użycia zasobów
infrastrukturalnych i organizacyjnych operatorów telekomunikacyjnych w
sytuacjach szczególnych zagrożeń, ale nie miało to związku z inicjatywami Komisji
57
Europejskiej, ale raczej innych organizacji międzynarodowych, takich jak ONZ,
Międzynarodowy Związek Telekomunikacyjny (ITU87).
Pojawienie się konkurencji w telekomunikacji to splot kilku okoliczności:
Integracja europejska oznacza wypełnianie traktatowej zasady tworzenia
wspólnego rynku europejskiego dla usług i towarów;
Postęp technologiczny spowodował, że w drugiej połowie lat osiemdziesiątych
zaczęto w telekomunikacji powszechnie wprowadzać technologie cyfrowe,
nieporównywalnie tańsze w wytworzeniu i eksploatacji od starych rozwiązań
analogowych, opartych o konstrukcje elektromechaniczne i wcześniejsze
generacje elektroniki;
Pojawił się lobbing ze strony przedsiębiorstw o rozległej strukturze terytorialnej,
które zaczęły dostrzegać, że niezbędne do ich działalności usługi łączności są
oferowane na nierynkowych zasadach;
Pojawił się lobbing ze strony grup biznesu, które w demonopolizacji rynku
ujrzały obszar potencjalnie korzystnych inwestycji kapitałowych;
Upowszechnił się i zadomowił na stałe pogląd, że konkurencja w
telekomunikacji uruchomi naturalne mechanizmy rynkowe – zapewni tańsze
usługi, większy wybór i lepszą jakość (w tym bezpieczeństwo).
Liberalizacja rynku telekomunikacyjnego rozpoczęła się na początku lat
dziewięćdziesiątych. Konkurencję wprowadzano stopniowo, zaczynając od sieci
transmisji danych, międzynarodowych, satelitarnych, komórkowych, aż do
lokalnych sieci dostępnych, których rynek otwarto w Unii Europejskiej od stycznia
1998 roku. Pomimo postępującej liberalizacji kraje członkowskie Unii Europejskiej
utrzymały dużą autonomię w kwestii polityki określania szczególnych zobowiązań
operatorów telekomunikacyjnych wobec państwa. Kraje członkowskie mają
swobodę określania związanych z tym powinności, z tym zastrzeżeniem, że
obecnie mówi się, że powinny być proporcjonalne i nie powinny naruszać zasad
równowagi rynkowej.
Kwestie zobowiązań, ale i szczególnych uprawnień, początkowo kryły się pod
eufemistycznym określeniem „istotnych wymagań88” [Vandenbroucke, 1998],
których nakładanie stanowiło wyjątek od ogólnej zasady liberalizacji i otwierania
87
88
International Telecommunications Union
Essential requirements
58
rynku na swobodną konkurencję, w tym zasady dobrowolnego stosowania norm,
wprowadzonej dyrektywami tzw. „nowego podejścia”.
Polityka unijna nie narzucała również krajom członkowskim jasnych zaleceń, co
do prywatyzacji przedsiębiorstw telekomunikacyjnych. Z drugiej strony było jasne,
że jeden z podstawowych warunków otwarcia rynku i rozwoju zrównoważonej
konkurencji, to rozdzielenie w rządzie funkcji regulacyjnych od właścicielskich, co
nie jest przejrzyste, jeżeli państwo ma znaczące udziały w operatorze, który z
natury rzeczy miał na rynku pozycję dominującą.
Rozluźnienie więzi właścicielskich w procesie prywatyzacji telekomów
przeważnie nie skutkuje ochłodzeniem relacji operatora ze służbami administracji
odpowiedzialnymi za zapewnienie łączności kryzysowej, łączności dla potrzeb
obronności, łączności rządowej i to nie tylko ze względu na wieloletnie umowy i
przygotowanie obiektów o spełniających specjalne wymagania obronne. W
sektorowych systemach regulacyjnych dla sektora telekomunikacji większości
krajów nie jest zbyt łatwo doszukać się przepisów, które dążą do urynkowienia
usług ukierunkowanych na szczególne wymagania bezpieczeństwa i obronności
państwa. Z dzisiejszego punktu widzenia, z trudnych do zaakceptowania powodów
w prawie unijnym usługi telekomunikacyjne zostały wyłączone z ogólnych
przepisów o zamówieniach publicznych.
Liczne regulacyjne problemy rozwijającego się nadzwyczaj dynamicznie rynku
usług sieci łączności elektronicznej dosyć wyraźnie przysłaniały kwestie
bezpieczeństwa, poza bardzo ogólnymi, pochodzącymi jeszcze z tradycji
przepisów pocztowych zasadami tajemnicy korespondencji, które użyto w
Międzynarodowej Konwencji Telekomunikacyjnej ITU. W prawie
telekomunikacyjnym próbowano tylko rozszerzać to pojecie w związku ze
specyfiką telekomunikacji. W polskiej ustawie wprowadzono pojęcie „tajemnica
telekomunikacyjna”). W pierwszym pakiecie dyrektyw telekomunikacyjnych z 1998
roku znalazła się ponadto specjalizowana dyrektywa na temat ochrony danych
osobowych w telekomunikacji 97/66/WE.
Impulsem do prac legislacyjnych nad bezpieczeństwem stał się rozwój koncepcji
tzw. gospodarki elektronicznej i handlu elektronicznego. Pojawiło się szereg
regulacji unijnych, dotyczących bezpieczeństwa handlu elektronicznego,
warunkowego dostępu, zawierania transakcji drogą elektroniczną, elektronicznych
59
instrumentów płatniczych, podpisu elektronicznego, elektronicznego urzędu89 itd.
Dominuje jednak wyraźnie podejście nastawione na ochronę interesów
konsumenta. Inny nurt legislacyjny dotyczy ochrony praw autorskich w sieciach
komunikacji elektronicznej.
Wprowadzone w życie w lipcu 2002 dyrektywy tzw. nowego pakietu
regulacyjnego dążą do harmonizacji przepisów dla wszystkich sieci i usług
łączności elektronicznej, starając się również realizować wyzwanie neutralności
technologicznej. Zakłada się substytucję różnych rodzajów sieci i usług i większą
swobodę prowadzenia działalności gospodarczej. Tworzy to nowe wyzwania
związane z bezpieczeństwem.
Unia Europejska dąży do stworzenia ram prawnych dla bezpiecznej gospodarki
elektronicznej. Odbywa się to równolegle na kilku płaszczyznach:
prawa cywilnego, czyli uregulowania wszelkich czynności prawnych,
związanych z wykorzystaniem sieci i usług komunikacji elektronicznej,
prawa administracyjnego, poprzez wprowadzenie zasad elektronicznego
kontaktu urząd – obywatel oraz urząd – urząd do procedur administracyjnych,
prawa karnego, by unikać zaskakujących sytuacji, w których czynny noszące
ewidentnie znamiona przestępstw nie dawały się zakwalifikować prawnie.
Pierwszym ważnym międzynarodowym narzędziem prawnym w obszarze
naruszeń bezpieczeństwa w usługach społeczeństwa informacyjnego oraz w
usługach i sieciach łączności elektronicznej stała się europejska konwencja w
sprawie cyberprzestępczości przyjęta przez Komitet Ministrów Rady Europy i
zaprezentowana do podpisu 23 listopada 2001 roku w Budapeszcie
[Convension,2001]. Konwencja została podpisana przez prawie 50 krajów, między
innymi również przez Stany Zjednoczone i Kanadę, Japonię i Rosję. Konwencję
podpisała również Polska, tyle, że dotąd nie została ratyfikowana. Pełnej ratyfikacji
dokonało dotąd tylko 6 krajów.
Uzgodnienie konwencji było rezultatem niemal pięcioletnich negocjacji pomiędzy
ekspertami w dziedzinie prawa kryminalnego. Konwencja ustanawia zasady
międzynarodowej współpracy i wspólnego podejścia polityki w dziedzinie
89
e-government
60
zwalczania przestępstw z wykorzystaniem Internetu, sieci komputerowych,
naruszających między innymi prawa autorskie.
Kwestie bezpieczeństwa są również częścią tzw. Strategii Lizbońskiej [Lizbon,
2000], która określa m.in. rolę rozwoju nowych technologii we wzroście
konkurencyjności gospodarki europejskiej. Programowy dokument tej strategii,
który dotyczy stosowania technologii informacyjnych eEuropa 2002 , wymienia
bezpieczeństwo, jako jeden z najważniejszych priorytetów [eEurope, 2000:s.10].
Problematyka ochrony infrastruktury krytycznej jest również przedmiotem
programów badawczych finansowanych z unijnych funduszy strukturalnych. Już w
ramach programu Technologie Społeczeństwa Informacyjnego (IST90), będącego
częścią 5-tego Programu Ramowego realizowanego w latach 1998-2002.
Rozwinięcie strategii rozwoju społeczeństwa informacyjnego przygotowane na
spotkanie Rady Europy w Sewilli w czerwcu 2002 wskazało ponownie
bezpieczeństwo sieci i informacji, jako jeden z priorytetów nowego planu działań
eEurope 2005. Najważniejsze priorytety usług publicznych oferowanych za
pośrednictwem sieci łączności elektronicznej to usługi elektronicznego urzędu,
elektronicznego nauczania i elektronicznych usług ochrony zdrowia, mają być
rozwijane w planach nakreślonych do roku 2010. Techniczną platformę rozwoju
usług mają tworzyć: sieci szerokopasmowe i „bezpieczna infrastruktura
informacyjna”[eEurope 2005, 2002, s.3].
Strategia eEurope przewidywała utworzenie grupy zadaniowej bezpieczeństwa
teleinformatycznego (CSTF91). W wyniku spotkań grupy roboczej powstała
koncepcja Europejskiej Agencji Bezpieczeństwa Sieci i Informacji (ENISA92),
która rozpoczęła działalność 1 stycznia 2004 roku [ENISA,2003]. Agencja, która
jest w stadium organizacji ma służyć koordynacji działań i wymianie informacji,
pomiędzy krajami członkowskimi, w dziedzinie dosyć szeroko pojętej problematyki
bezpieczeństwa sieci i usług łączności elektronicznej.
Strategia eEurope przyjęła też złożenia do programu bezpiecznej wymiany
wrażliwych danych w ramach administracji rządowych TESTA [Ocakoglu, 2004].
Information Socjety Technologies
Cyber security task force
92 European Network and Information Security Agency
90
91
61
W 2002 roku Komisja Europejska opublikowała projekt decyzji decyzji ramowej
na temat ataków na sieci komputerowe [COM(2002)173], która odnosi się
bezpośrednio do ataków na cywilną infrastrukturę krytyczną, definiując między
innymi różne rodzaje ataków. Decyzja ta ma otworzyć pole do ujednolicenia
przepisów na temat cyberprzestępczości w Unii Europejskiej.
62
5. Problematyka infrastruktury krytycznej w Polsce
W Polsce problematyka infrastruktury krytycznej jest raczej wciąż
nieuregulowana lub nienazwana. Większość przepisów, które dotyczą tematyki,
mogącej się kojarzyć się z ochroną infrastruktury krytycznej, jest rozproszonych w
różnych ogólnych ustawach i przepisach wykonawczych, począwszy od
Konstytucji i ustawy o powszechnym obowiązku obrony. Są to jednak z reguły
przepisy ukierunkowane na zagrożenia militarne lub związane klęskami
żywiołowymi.
5.1. Ustawa o powszechnym obowiązku obrony
Na podstawie delegacji art. 4a, ust.1 ustawy o powszechnym obowiązku obrony,
Prezydent RP:
„ 1) zatwierdza, na wniosek Prezesa Rady Ministrów, strategię bezpieczeństwa
narodowego,
2) wydaje, na wniosek Prezesa Rady Ministrów, w drodze postanowienia,
Polityczno-Strategiczną Dyrektywę Obronną Rzeczypospolitej Polskiej, oraz
inne dokumenty wykonawcze do strategii bezpieczeństwa narodowego,
3) zatwierdza, na wniosek Rady Ministrów plany krajowych ćwiczeń systemu
obronnego, oraz kieruje ich przebiegiem,
4) postanawia, na wniosek Prezesa Rady Ministrów, o wprowadzeniu albo
zmianie określonego stanu gotowości obronnej państwa,
5) może zwracać się do wszystkich organów władzy publicznej, administracji
rządowej i samorządowej, przedsiębiorców i kierowników innych jednostek
organizacyjnych oraz organizacji społecznych o informacje mające
znaczenie dla bezpieczeństwa i obronności państwa,
6) inicjuje lub patronuje przedsięwzięciom ukierunkowanym na kształtowanie
postaw patriotycznych i obronnych w społeczeństwie.”
[Sejm, 2.06.2004, art.4a ust.1].
Te uprawnienia Prezydenta dają między innymi możliwość bezpośredniego
wpływu na politykę ochrony infrastruktury krytycznej.
Rada Ministrów na podstawie delegacji art. 6 opracowuje między innymi: projekt
strategii bezpieczeństwa narodowego, planuje i realizuje przygotowania obronne
państwa, system kierowania bezpieczeństwem narodowym, określa obiekty
63
szczególnie ważne dla bezpieczeństwa i obronności, przygotowuje i utrzymuje w
stałej gotowości jednolity system obserwacji, pomiarów, analiz, prognozowania i
powiadamiania, określa zasady wykorzystania infrastruktury technicznej na
potrzeby obronne oraz wydaje rozporządzenia, określające zasady realizacji tych
zadań. Delegacja dotyczy również rozporządzenia w sprawie warunków,
przygotowania i wykorzystania systemów łączności na potrzeby obronne państwa
oraz właściwości organów w tych sprawach [art.6 ust.2 pkt 7]. Rozporządzenie to
jest na etapie uzgodnień, ale nie zostało dotąd wydane.
Art.208, ust.4 pkt 8 wyłącza stosowanie ogólnych przepisów ustawy na temat
świadczeń rzeczowych w czasie pokoju wobec tych sieci i urządzeń operatorów
telekomunikacyjnych, które są objęte świadczeniami nałożonymi na podstawie
prawa telekomunikacyjnego.
5.1.1.Rozporządzenie w sprawie systemu kierowania bezpieczeństwem
narodowym
W rozporządzeniu Rady Ministrów w sprawie przygotowania systemu
kierowania bezpieczeństwem narodowym [Dz.U.2004.98.978: §21] zawarto
delegację dla ministra właściwego ds. łączności do przygotowania koncepcji
organizacji systemu łączności na potrzeby systemu kierowania, wymagań
techniczno-organizacyjnych, połączenia sieci systemu kierowania z sieciami
przedsiębiorców telekomunikacyjnych oraz wykonywania i odbioru robót.
Należy zakładać, że ta koncepcja powstaje w Ministerstwie Infrastruktury w
oparciu o informacje uzyskane od Prezesa Urzędu Regulacji Telekomunikacji,
który i tak ma ustawowe upoważnienie do gromadzenia wszelkich informacji od
operatorów oraz nadzoruje przygotowanie przez operatorów planów działań w
sytuacjach szczególnych zagrożeń.
5.1.2. Rozporządzenie w sprawie obiektów szczególnie obiektów
szczególnie ważnych dla bezpieczeństwa i obronności państwa
Rozporządzenie z 24 czerwca 2003 roku wymienia rodzaje obiektów, które są
poddane specjalnym rygorom „szczególnej ochrony”[Dz.U.2003.116.1090].
Rozporządzenie zawiera wprawdzie uogólniające rozumienie ochrony, w
przepisie, który wymienia „inne rodzaje ochrony”[§5 ust.3 pkt 2], ale odnosi się
właściwie wyłącznie do ochrony fizycznej i przede wszystkim do zagrożeń o
znaczeniu militarnym.
64
Na liście [§2] sklasyfikowano 19 rodzajów obiektów:
1) zakłady produkujące, remontujące i magazynujące uzbrojenie i sprzęt wojskowy oraz
środki bojowe, a także zakłady, w których są prowadzone prace badawczo-rozwojowe
lub konstruktorskie w zakresie produkcji na potrzeby bezpieczeństwa i obronności
państwa;
2) magazyny rezerw państwowych, w tym bazy i składy paliw płynnych, żywności, leków i
artykułów sanitarnych;
3) obiekty jednostek organizacyjnych podległych Ministrowi Obrony Narodowej lub przez
niego nadzorowanych;
4) obiekty infrastruktury transportu samochodowego, kolejowego, lotniczego, morskiego i
wodnego śródlądowego, drogownictwa, kolejnictwa i łączności oraz ośrodki
dokumentacji geodezyjnej i kartograficznej;
5) zapory wodne i inne urządzenia hydrotechniczne;
6) obiekty jednostek organizacyjnych Agencji Wywiadu;
7) obiekty:
a. Narodowego Banku Polskiego oraz Banku Gospodarstwa Krajowego,
b. Polskiej Wytwórni Papierów Wartościowych S.A. oraz Mennicy Państwowej S.A.;
8) obiekty, w których produkuje się, stosuje lub magazynuje materiały jądrowe oraz źródła i
odpady promieniotwórcze;
9) obiekty telekomunikacyjne przeznaczone do nadawania programów radia publicznego i
telewizji publicznej;
10) obiekty organów i jednostek organizacyjnych podległych ministrowi właściwemu do
spraw administracji publicznej lub przez niego nadzorowanych;
11) obiekty organów i jednostek organizacyjnych podległych ministrowi właściwemu do
spraw wewnętrznych lub przez niego nadzorowanych;
12) obiekty jednostek organizacyjnych Agencji Bezpieczeństwa Wewnętrznego;
13) obiekty Policji, Straży Granicznej i Państwowej Straży Pożarnej;
14) obiekty znajdujące się we właściwości Ministra Sprawiedliwości, Służby Więziennej oraz
jednostek organizacyjnych podległych lub nadzorowanych przez Ministra
Sprawiedliwości;
15) zakłady mające bezpośredni związek z wydobywaniem kopalin podstawowych;
16) obiekty, w których produkuje się, stosuje lub magazynuje materiały stwarzające
szczególne zagrożenie wybuchowe lub pożarowe;
17) obiekty, w których prowadzi się działalność, z wykorzystaniem toksycznych związków
chemicznych i ich prekursorów, a także środków biologicznych, mikrobiologicznych,
mikroorganizmów, toksyn i innych substancji wywołujących choroby u ludzi lub zwierząt;
18) elektrownie i inne obiekty elektroenergetyczne;
19) inne obiekty będące we właściwości organów administracji rządowej, organów
jednostek samorządu terytorialnego, formacji, instytucji państwowych oraz
przedsiębiorców i innych jednostek organizacyjnych, których zniszczenie lub
uszkodzenie może stanowić zagrożenie dla życia i zdrowia ludzi, dziedzictwa
narodowego oraz środowiska w znacznych rozmiarach albo spowodować poważne
straty materialne, a także zakłócić funkcjonowanie państwa
[Dz.U.2003.116.1090: §2]
65
Jeżeli traktować tę listę, jako wskazówkę do definiowania infrastruktury
krytycznej, to niestety nie sposób uniknąć spostrzeżenia, że sieci
telekomunikacyjne i teleinformatyczne, ukryte w punkcie 4, inaczej niż w
większości krajów, nie stanowią osobnego rodzaju. Wyróżnione są natomiast w
punkcie 9 obiekty telekomunikacyjne przeznaczone do nadawania programów
radia publicznego i telewizji publicznej.
5.2. Ustawa o organizowaniu zadań na rzecz obronności państwa
realizowanymi przez przedsiębiorców
Ustawa z dnia 23 sierpnia 2003 o organizowaniu zadań [Dz.U.2001.122.1320]
wprowadza pojęcie przedsiębiorstw o szczególnym znaczeniu gospodarczo
obronnym. Ustawa dotyczy zadań obronnych związanych z zagrożeniami
militarnymi. Wymienione w ustawie kategorie przedsiębiorstw o szczególnym
znaczeniu gospodarczo obronnym to:
„1) eksploatacja lotnisk i portów morskich,
2) kolportaż,
3) nadawanie programów radiowych i telewizyjnych,
4) produkcja, magazynowanie i transport produktów naftowych,
5) realizacja obrotu specjalnego,
6) transport,
7) usługi pocztowe,
8) usługi telekomunikacyjne,
9) wytwarzanie, dystrybucja i przesyłanie gazu ziemnego, paliw płynnych oraz
energii elektrycznej”
[Dz.U.2001.122.1320: art.3]
Ustawa zawiera delegację dla Rady Ministrów do wydania rozporządzenia w
sprawie wykazu tego rodzaju przedsiębiorców [Dz.U.2002.13.122]. Na liście
zawierającej 168 przedsiębiorstw. Spośród wielu operatorów telekomunikacyjnych
sektora telekomunikacji wymienia się dwa przedsiębiorstwa: Telekomunikację
Polską S.A. oraz spółkę telekomunikacyjną PKP S.A. (Telekomunikacja Kolejowa
Sp.z o.o.), z tym że nadzór nad TP sprawuje minister właściwy ds. łączności
(Minister Infrastruktury), nadzór ministra właściwy ds. transportu (Minister
66
Infrastruktury). Oprócz tego należałoby wspomnieć Telewizję Polską S.A. i Polskie
Radio S.A.(nadzór Ministra Gospodarki). Biorąc pod uwagę znaczenie
infrastruktury i usług ich brak na liście przedsiębiorstw o szczególnym znaczeniu
wydaje się nieporozumieniem.
5.3. Strategia bezpieczeństwa narodowego
W zatwierdzonej przez Prezydenta we wrześniu 2003 roku strategii
bezpieczeństwa narodowego, sformułowanie „infrastruktura krytyczna” nie zostało
użyte. Jest jednak mowa o pojawieniu się nowego rodzaju zagrożeń:
„Istota zmian w naszym środowisku bezpieczeństwa polega zatem na
przesuwaniu się punktu ciężkości z zagrożeń klasycznych (inwazja zbrojna),
których znaczenie się zmniejsza, na zagrożenia nietypowe, których źródłem stają
się także trudne do zidentyfikowania podmioty pozapaństwowe. Zagrożenia te
mogą dotyczyć bezpieczeństwa naszych obywateli, obiektów oraz służb istotnych
dla sprawnego funkcjonowania państwa. Wymagają one z naszej strony
szczególnej uwagi” [BBN, 2003: s.2]
Jako jedno z tych zagrożeń wymienia się wprost terroryzm – „Najpoważniejsze
niebezpieczeństwo wśród nowych zagrożeń dla systemu międzynarodowego i
bezpieczeństwa poszczególnych państw, w tym Polski, stwarza zorganizowany
terroryzm międzynarodowy…” [s.3].
Wymienia się również wprost zagrożenia związane z atakami z cyberprzestrzeni
– „Coraz bardziej realne stają się dla Polski zagrożenia w sferze
teleinformatycznej. Rośnie zagrożenie operacjami mającymi na celu
dezorganizację kluczowych systemów informacyjnych instytucji rządowych oraz
niektórych sfer sektora prywatnego, oddziałujących na system bezpieczeństwa
państwa, a także operacjami związanymi z penetracją baz danych i prowadzeniem
działań dezinformacyjnych.” [s.3].
W części obejmującej założenia działań o charakterze ogólnym stwierdza się,
że „Z charakteru nowych zagrożeń wynika konieczność rozwoju współpracy sił
zbrojnych ze strukturami cywilnymi w zakresie reagowania na zagrożenia
pozamilitarne oraz podejmowania operacji ratowniczych i antyterrorystycznych w
kraju i poza jego granicami” oraz, że „wzrasta znaczenie sfery bezpieczeństwa
wewnętrznego, którą tworzą wszystkie organy administracji publicznej oraz inne
podmioty społeczne i gospodarcze, realizujące zadania w dziedzinie
67
bezpieczeństwa i obrony.” [s.6]. Jednak zadania z tym związane adresuje się
przede wszystkim do służb państwowych lub nadzorowanych przez państwo.
Dotyczy to także systemu reagowania kryzysowego – „Nowe wyzwania dyktują
potrzebę utworzenia państwowego kompleksowego systemu reagowania
kryzysowego, odpowiadającego na współczesne zagrożenia bezpieczeństwa
zarówno międzynarodowego, jak i wewnętrznego.”[s.6]
Podstawowe wyzwanie w związku z systemem reagowania kryzysowego to
wyjaśnienie kompetencji – „Niezbędne staje się spójne uregulowanie zadań i
kompetencji organów i instytucji państwowych, a także organizacji społecznych
działających na rzecz bezpieczeństwa państwa”[s.6]
W części dotyczącej zagrożeń wewnętrznych [s. 13-16] jest mowa o między
innymi o ochronie „strategicznych elementów infrastruktury gospodarczoopbronnej” w kontekście zdań kontrwywiadowczych.
Znalazł się tam również podrozdział o „ochronie infrastruktury
teleinformatycznej”. Jednak strategia skupia się na sieciach rządowych i
odpowiedzialności służb rządowych - „Zwalczanie zagrożeń dla rządowych
systemów i sieci teleinformatycznych należy do kompetencji wyspecjalizowanych
komórek cywilnych i wojskowych służb państwowych. Ich zadaniem jest
zwalczanie przestępczości komputerowej wymierzonej w rządową i samorządową
infrastrukturę telekomunikacyjną, w tym przeciwdziałanie atakom na jej elementy.”
Zapewnienie ochrony infrastruktury teleinformatycznej „wymaga zdolności do
koordynacji procesów dochodzeniowych w ramach instytucji posiadających
elementy rządowej infrastruktury teleinformatycznej” oraz wspólnych działań z
„producentami i dostawcami urządzeń oraz oprogramowania informatycznego,
krajowymi operatorami telekomunikacyjnymi i dostawcami usług internetowych,
ośrodkami badawczymi i szkoleniowymi”[s.15]
Środkiem zwiększania skuteczności ochrony infrastruktury teleinformatycznej
ma być rozwój i wdrażanie rodzimej kryptografii oraz dostosowanie przepisów
prawa telekomunikacyjnego.[s.16]
Skuteczność reagowania kryzysowego mają wspomóc organizowanie zespołów
reagowania kryzysowego na wszystkich szczeblach administracji rządowej i
samorządowej. Strategia zapowiada również przygotowanie wieloletniego
programu „Bezpieczeństwo Cywilne 2004-2007” [s.16]
68
5.4. Sektor telekomunikacji - prawo telekomunikacyjne
Do 1990 roku usługi telekomunikacyjne w Polsce były świadczona w warunkach
państwowego monopolu. Dyrektor państwowej jednostki organizacyjnej Polska
Poczta Telegraf i Telefon podlegał bezpośrednio ministrowi łączności (w latach
1987-1990 Ministrowi Transportu Żeglugi i Łączności). Państwowy był również
przemysł teletechniczny (Zjednoczenie Telkom). Import urządzeń odbywał się
również za pośrednictwem państwowych central handlu zagranicznego. Monopol
państwa był również zagwarantowany w dziedzinie radiofonii i telewizji. Kwestie
obronności i bezpieczeństwa państwa w tamtych warunkach nie istniały w
oficjalnym obiegu, a przepisy o tajemnicy państwowej obejmowały szeroki bardzo
zakres informacji na temat sieci, przeznaczenia central, urządzeń.
Główną intencją ustawy o łączności z 1990 roku było otwarcie możliwości dla
prywatnych inwestycji w dziedzinie telekomunikacji i stworzenie dostępu do
nowych cyfrowych technologii całkowicie niedostępnych ze względu na
ograniczenia importowe COCOM. Było to bardzo istotne, ze względu na to, że
Polska miała najgorzej rozwiniętą infrastrukturę telekomunikacyjną w Europie, a
środki na nowe inwestycje mogły pochodzić wyłącznie ze źródeł zagranicznych.
W praktyce rynek otwierał się bardzo powoli, czego skutki odczuwamy do
dzisiaj. Jednym z chętnie używanych argumentów była konieczność dbania o
interes narodowego operatora, na którym spoczywał główny obowiązek
zapewnienia łączności na potrzeby obronności i bezpieczeństwa państwa.
Ustawa o łączności dawała Ministrowi Łączności prawo nakładania obowiązków
związanych z obronnością w zezwoleniach (później w koncesjach). Ponieważ
delegacja była sformułowana dosyć ogólnie, to nakładanie szczegółowych
obowiązków w drodze decyzji było utrudnione od strony formalno-prawnej.
Wszystkim podmiotom wpisywano zatem również nie do końca prawidłowy pod
względem prawnym obowiązek zawarcia umów z MON, MSWIA, UOP. W
dzisiejszym stanie taki sposób formułowania powinności byłby niezgodny z
konstytucją. Minister Łączności zachował też prawie do dzisiaj prawo odmawiania
wydania uprawnień do wykonywania działalności w dziedzinie telekomunikacji ze
względu na możliwość zagrożenia obronności lub bezpieczeństwa państwa lub
bezpieczeństwa i porządku publicznego.
Ustawa prawo telekomunikacyjne z 2000 roku wprowadziła kilka przepisów,
dotyczących działania operatorów telekomunikacyjnych w sytuacjach
69
szczególnych zagrożeń i wykonywania powinności wobec obronności i
bezpieczeństwa państwa oraz bezpieczeństwa i porządku publicznego.
Operatorzy zostali zobowiązani do przygotowania planów działań w sytuacjach
szczególnych zagrożeń. Przepis wzorował się na zaleceniach NATO dla łączności
cywilnej. Ustawa określa ogólne założenia dla tego rodzaju działań, odtwarzania
łączności, według określonych priorytetów. W planach powinny się znaleźć między
innymi podsumowania, dotyczące rezerw materiałowych, procedur alarmowych
itp. Kwestią sporną było natomiast finansowanie tego rodzaju przedsięwzięć, które
według prawa telekomunikacyjnego miało obciążać całkowicie operatorów.
Niedawno ukazała się kolejna wersja rozporządzenia do tego fragmentu ustawy,
obejmująca również kwestie podsłuchów. Rozporządzenie zostało zaskarżone
przez grupę operatorów do NSA.
Obecny stan prawny ulega właśnie zmianie. W piątek 16 czerwca sejm przyjął
nowe prawo telekomunikacyjne, które ma przystosować system regulacyjny dla
sektora telekomunikacji do dyrektyw tzw. nowego pakietu regulacyjnego Unii
Europejskiej z 2002 roku. Kwestie obronności i bezpieczeństwa w zasadzie nie są
przedmiotem tych regulacji unijnych, ale przy okazji zdecydowano się na
doprecyzowanie przepisów o zobowiązaniach operatorów wobec bezpieczeństwa i
obronności oraz bezpieczeństwa i porządku publicznego [druk 2933, 2933-A] –
(dział VII ustawy – art. 172- 178 (numeracja może jeszcze ulec zmianie w toku
dalszych prac)). W myśl nowego brzmienia prawa telekomunikacyjnego
„przedsiębiorcy telekomunikacyjni, w celu zapewnienia ciągłości świadczenia
usług telekomunikacyjnych, są obowiązani uwzględniać przy planowaniu,
budowie, rozbudowie, eksploatacji lub łączeniu sieci telekomunikacyjnych
możliwość wystąpienia sytuacji szczególnych zagrożeń, a w szczególności
wprowadzenia stanu nadzwyczajnego [art.172 ust.1].
Ponieważ obowiązek przygotowania planów działań odnosi się do sytuacji
szczególnych zagrożeń, to dotyczy to głównie takich sytuacji, jak klęski żywiołowe,
katastrofy, rozległe awarie, wymagających przede wszystkim fizycznego
zabezpieczenia ciągłości łączności, przygotowania awaryjnych procedur
odtwarzania łączności. Specyfika sytuacji kryzysowych w telekomunikacji karze
jednak zachować w takich sytuacjach gotowość do szczególnych działań
technicznych w dziedzinie zarządzania ruchem, likwidowania zatorów ruchu
telekomunikacyjnego, przygotowywania specjalnych połączeń priorytetowych,
70
sieci wirtualnych, szczególnego sposobu rozliczania ruchu, dostosowania się do
nietypowych interfejsów itd. Redakcja przepisów pozwala na ich rozszerzające
zastosowanie również do sytuacji kryzysowych wywołanych atakami z
cyberprzestrzeni.
5.5. Projekt ustawy o bezpieczeństwie obywatelskim i zarządzniu
kryzysowym
Nieco zaniedbane w ostatnich latach formacje obrony cywilnej zostały niedawno
podsumowane przez posła Bogdana Bujaka, sprawozdawcę projektu ustawy o
bezpieczeństwie obywatelskim i zarządzaniu kryzysowym – „przez całe lata
(formacje obrony cywilnej) zajmowały się głównie ochroną zakładów pracy
przemysłowych przed ewentualnym skutkami użycia broni jądrowej. Każda
większa katastrofa, w tym przytaczana lipcowa powódź, obnażała braki
organizacyjne, słabość dotychczasowych struktur, małą efektywność centralnego
kierowania” [Druk 2953 I czyt., 06, 2004: s.1]
Konstytucja wprowadziła (art.228 ust.1) do polskiego porządku prawnego
pojęcia stanu klęski żywiołowej, stanu nadzwyczajnego, stanu wojny, które można
wprowadzić w sytuacjach szczególnych zagrożeń. Prezydent wniósł odpowiednie
projekty ustaw jeszcze w 1997 roku na początku III kadencji (druki sejmowe nr 7,
8, 9), ale prace nie zostały zakończone do końca kadencji. Nowe projekty
Kancelaria Prezydenta przesłała na początku IV kadencji (druki sejmowe 14, 15,
16). Ustawy uchwalono w kwietniu 2002 roku. Ustawy te jednak raczej
marginalizują znaczenie obiektów infrastruktury krytycznej, w tym systemów
łączności. Na przykład w ustawie o klęsce żywiołowej, uprawnienie dla właściwych
organów administracji ma tylko charakter ogólny, zawierający się w przepisie
(art.19), że „kierujący działaniami, w celu zapobieżenia klęsce żywiołowej lub ich
usunięcia współpracują z … innymi podmiotami działającymi na obszarze ich
właściwości, a na wniosek i za zgodą tych podmiotów kierują ich działalność.”
Przepisy na temat systemów łączności dotyczą tylko ograniczeń w
wykorzystaniu systemów łączności lub sankcji karnych za niestosowanie się do
tych ograniczeń. Nie ma natomiast w tych ustawach przepisów, które by można
interpretować, jako służące ochronie infrastruktury krytycznej.
W dniu 15 czerwca 2004 roku w Sejmie odbyło się pierwsze czytanie projektu
ustawy o bezpieczeństwie obywatelskim i zarządzaniu kryzysowym [druk 2947].
71
Projekt został wniesiony jako poselski, został popisany przez grup posłów SLD,
UP, PSL, PLD, SDPL, ale jest on bezpośrednią kontynuacją prac prowadzonych w
MSWiA [Druk 2953 I czyt., 06, 2004: s.34] nad projektem, który nie zdołał
przebrnąć etapu uzgodnień międzyresortowych. Projekt został skierowany do
Komisji Administracji Spraw Wewnętrznych i Administracji i Komisji Samorządu
Terytorialnego i Polityki Regionalnej. Debata w pierwszym czytaniu odbyła się
wspólnie z projektem ustawy o krajowym systemie ratowniczym (druk nr 2947).
Praktycznym problemem, który może stanąć na przeszkodzie w uchwaleniu
ustawy jest to, że proces legislacyjny rozpoczął się w momencie kryzysu
rządowego, który z dużym prawdopodobieństwem doprowadzi do wcześniejszych
wyborów. Obie ustawy nie są wprawdzie zbyt obszerne, ale skierowanie projektu
do dwóch komisji dodatkowo przedłuża prace legislacyjne, co powoduje, że może
się nie udać zakończyć prac przed końcem skróconej kadencji.
Projekt niestety raczej nie jest on najprawdopodobniej wolny od błędów i wad
prawnych, szczególnie w przepisach ogólnych. Będzie zatem wymagał zmian
podczas prac w komisjach.
Po raz pierwszy w polskiej ustawie znalazła się definicja infrastruktury
krytycznej. Według propozycji autorów projektu infrastruktura krytyczna to,
„urządzenia, instalacje i usługi, powiązane ze sobą więzami funkcjonalnymi,
kluczowe dla bezpieczeństwa państwa i jego obywateli oraz zapewnienia
sprawnego funkcjonowania organów władzy i administracji publicznej, a także
instytucji i przedsiębiorców: Infrastruktura krytyczna obejmuje w szczególności
systemy:
a) zaopatrzenia w energię i paliwa,
b) telekomunikacyjne, gromadzenia i przekazywania informacji,
c) bankowe i finansowe,
d) zaopatrzenia w żywność, wodę oraz opieki zdrowotnej,
e) transportowe i komunikacyjne,
f) ratownicze oraz zapewniającece funkcjonowanie organów władzy publicznej.”
[druk 2947, 2004: art2 pkt 11]
Pojęcie infrastruktury krytycznej jest następnie użyte w dwóch innych
definicjach:
72
ochrona ludności , to „podejmowanie niezbędnych przedsięwzięć
ukierunkowanych na ochronę ludzi, mienia, środowiska i infrastruktury krytycznej
przed skutkami katastrof naturalnych i awarii technicznych, zdarzeń o charakterze
terrorystycznym, a w przypadkach bezpośredniego zewnętrznego zagrożenia
państwa i wojny, zapewnienie warunków koniecznych do przetrwania; ochrona
ludności ma charakter powszechny oraz interdyscyplinarny, wyrażający się w
skoordynowanym użyciu sił i środków, będących w dyspozycji państwa i jego
organów, przedsiębiorców, organizacji społecznych i humanitarnych oraz
poszczególnych obywateli” [druk 2947, 2004: art.2 pkt 2]Proponowana definicja
jest opisowa i w procesie legislacyjnym może ulec modyfikacjom, by nadać jej
bardziej normatywny charakter
Sytuacja kryzysowa to „stan narastającej destabilizacji, niepewności i napięcia
społecznego, charakteryzujący się naruszeniem więzi społecznych, możliwością
utraty kontroli nad przebiegiem wydarzeń oraz eskalacji zagrożenia, a w
szczególności sytuację, stwarzającą zagrożenie dla życia, zdrowia mienia,
dziedzictwa kulturowego i infrastruktury krytycznej, w tym spowodowaną
zdarzeniem o charakterze terrorystycznym” [druk 2947, 2004: art.2 pkt 2].
73
6. Podsumowanie – prawdopodobny wpływ zmian
technologicznych i rynkowych
Najważniejsze dwa wyróżniki koncepcji ochrony infrastruktury krytycznej to:
rosnąca współzależność różnych sektorów, wymagająca elastyczności
reagowania i ciągłego przeglądu elementów podatnych na ataki lub
przypadkowe zdarzenia oraz
własność prywatna większości obiektów infrastruktury krytycznej, wymagająca
radykalnej zmiany sposobu podejścia do zagadnień obronny interesu państwa
przez służby państwowe tradycyjnie odpowiedzialne za wdrażanie strategii
obronnej.
Szczególnie dynamicznie zmienia się rynek sieci i usług łączności elektronicznej i
on będzie miał największy wpływ na zmiany sektorów infrastruktury krytycznej.
Promowana obecnie filozofia systemu regulacyjnego dla rynku sieci i usług
łączności elektronicznej zakłada stopniowe odchodzenie od administracyjnej
regulacji, w miarę osłabiania zdolności byłych monopoli i nowszych oligopoli do
działań dyskryminujących nowych graczy rynkowych. To oznacza również
stopniową utratę możliwości wpływania na zachowanie przedsiębiorców
telekomunikacyjnych w sprawach obronności i bezpieczeństwa przy pomocy
narzędzi regulacyjnych prawa telekomunikacyjnego, tak jak to bywało w
przeszłości, kiedy kwestie obronności były pretekstem do reglamentacji rynku.
Oczekiwaniem uczestników rynku jest uogólnienie i uszczegółowienie
zobowiązań prawnych wobec państwa, zapewnienie że będą one proporcjonalne i
że nie zostaną użyte, by naruszać równowagę konkurencji.
Nie do utrzymania są na dłuższą metę mechanizmy działania prawa, które
pozwalają na arbitralnie określanie przez urzędników szczegółowych sposobów
wykonania obowiązków przedsiębiorców wobec państwa, kiedy większość wiedzy
na temat możliwości technologicznych ma operator lub dostawca rozwiązań
technologicznych lub aplikacyjnych.
Konkurencyjny rynek wymusza przyśpieszenie postępu technologicznego, w tym
wprowadzanie nowych bardziej wydajnych rozwiązań, tańszych, bardziej
uniwersalnych, elastycznych, ułatwiających współpracę z innymi sieciami.
74
Przykładem może być choćby szerokie pasmo i mobilność, gdzie o wiele łatwiej
będzie można zapewnić trwałe bezpieczeństwo fizyczne i kryptograficzne.
Walka o jakość to także dbałość o bezpieczeństwo, warunkujące możliwości
rozwoju gospodarki elektronicznej, która jest obecnie motorem wszelkich nowych
inwestycji w sieci i usługi łączności elektronicznej.
Oceniając możliwości nadzoru administracyjnego nad rynkiem sieci usług
trzeba brać pod uwagę, że rynek zmienia się bardzo szybko, a niektóre zmiany są
bardzo radykalne. Podobne usługi mogą być oferowane przez różne alternatywne
rozwiązania. Ta wymienność, konwergencja różnych technologii będzie
zjawiskiem postępującym. Zmienia się również struktura rynku, będą się pojawiać
nowe specjalności w dziedzinie przedsiębiorców oferujących różne elementy sieci,
usług hurtowych i detalicznych.
Jedną z metod zapewnienia infrastruktury krytycznej jest zwiększenie
redundancji sieci, czemu sprzyja konkurencja i neutralny technologicznie system
regulacyjny.
Zmiana kulturowa, której należy oczekiwać w związku koniecznością ochrony
infrastruktury krytycznej przed zagrożeniami terrorystycznymi, w tym
specyficznymi zagrożeniami z cyberprzestrzeni, to świadome zwiększenie udziału
sektora prywatnego, operatorów sieci, dostawców usług i producentów urządzeń.
To sektor prywatny musi tworzyć centra kompetencji, które będą wypracowywać
metody ochrony, wspierać finansowo badania w tej dziedzinie, organizować
systemy obserwacji i ostrzegania i proponować rządowi optymalne rozwiązania,
służące również poprawie rozwiązań prawnych i instytucjonalnych.
75
7. Skróty użyte w tekście
DPA
-
Defense Production Act
CoCom
-
Coordinating Committee for Multilateral Export Controls
MEI
-
minimum essential infrastructure
GAO
-
General Accounting Office
PDD 63
-
Presidential Decision Directive 63
PCCIP
-
President Commission on Critical Infrastructure Protection
CIAO
-
Critical Infrastructure Assurance Office
NIPC
-
National Infrastructure Protection Center
NIAC
-
National Assurance Council
NSC
-
National Security Council
PCIS
-
Partnership for Critical Infrastructure Security
CISG
-
Cyber Incident Steering Group
CIWG
-
Cyber Incident Working Group
Rada CIO
-
Chief Information Officers Council
JTRB
-
Joint Telecommunications Resources Board
NCS
-
National Communications System
NCC
-
National Communications Center
NSTISSC
-
National Security Telecommunications and Information Systems
Security Committee
NIAP
-
National Information Assurance Partnership
NIST
-
National Institute of Standards and Technology
NSA
-
National Security Agency
FCS
-
Federal Cyber Service
ISAC
-
Information Sharing and Analysis Center
CERT/CC
-
Computer Emergency Response Team Coordination Center
IPTF
-
Infrastructure Protection Task Force
NII
-
National Information Infrastructure
NSTAC
-
National Security Telecommunications Advisory Committee
DHS
-
Department of Homeland Security
CWIN
-
Cyberspace Warning Intelligence Newtork
76
CIAO
-
Critical Infrastructure Assurance Office
NIPC
-
National Infrastructure Protection Center
FCIRC
-
Federal Computer Incident Response Center
ENISA
-
European Network and Information Security Agency
77
8. Bibliografia
Academic workshop on public confidence proceedings, Report of President’s
Commission on Critical Infrastructure Protection, Washington 1997.
Aduskevicz P.J.: AT&T Response terrorist attack of September 11, 2001;
Presentation to NRIC V; AT&T, 30 October 2001.
Aggressive defense, Infrastructure consequence control; INEEL, 3 October 2002.
Albers Raymond F.: Outage reporting and customer notification team, Technical
paper; Bell Atlantic, Arlington, 18 January 1996.
Anderson Robert H., Bozek Thomas, Longstaff Tom, Meitzler Wayne, Skroch
Michael, Wyk Ken Wan: Research on mitigating the insider threat to information
systems; RAND, 2000.
Anderson Robert H., Brackney Richard, Bozek Thomas: Advanced network
defense research, Proceedings of a workshop; RAND, August 2000.
Anderson Robert H., Feldman Phillip M, Gerwehr Scott, Houghton Brian K., Mesic
Richard, Pinder John, Rothenberg Jeff, Chiesa James R.: Securing the U.S.
defense information infrastructure: a proposed approach; RAND, 1999.
Anderson Robert H.: Research and development initiatives focused on:
preventing, detecting and responding to insider misuse of critical defense
information systems: RAND; 1999.
Anselmo Joseph C.: We're watching you, A software spinoff in Maryland targets
security breaches from the inside out; Washington Techway; 25 April 2002.
Anthon Philip S., Silberglitt Richard, Schneider James: The global technology
revolution, bio/nano/materials trends and their synergies with information
technology by 2015; RAND, 2001.
Are you ready? A guide to citizen preparedness; Federal Emergency Management
Agency, Washington D.C.; 23 May 2003.
Arquilla John, Ronfeldt David F.: In Athena’s Camp: preparing for conflict in the
information age; RAND; 1997.
Arquilla John, Ronfeldt David F.: Networks and netwars: the future of terror, crime
and militancy; RAND, 2001.
Arquilla John, Ronfeldt David F.: The advent of netwar; RAND, 1996.
Bain Greg: Standards for protection of telecommunications links, Technical notes;
Office of the manager, National communications system; Technology and
standards division, Volume 6, No 3; August, 1999.
Baker Arnold B., Eagan Robert J., Falcone Patricia K., Harris Joe M.: A scalable
system approach for critical infrastructure security; SANDIA; April 2002.
Baker Arnold B.: Energy and critical infrastructure business overview (A
presentation for Phillipp Stegger - Science and Technology Counselor – Embassy
of Austria); SANDIA; February 2001.
78
Baker John C., Lachman Beth E., Frelinger David R., O’Connell Kevin M., Hou
Alexander C., Tseng Michael S., Orletsky David, Yost Charles: Mapping the risks
assessing the homeland security implications of publicly available geospatial
information; RAND; 2004.
Banking and finance sector compendium of supporting documents to the national
strategy of critical infrastructure assurance: defending America’s cyberspace;
Version 1.0.; 13 May 2003.
Banking and finance sector the national strategy of critical infrastructure
assurance: defending America’s cyberspace; Version 1.0.; 13 May 2003.
Barker William C.: Information security, Guideline for identifying an information
system as a national security system; Computer Security Division Information
Technology Laboratory NIST; Gaithersburg; August 2003.
Barker William W.: Information security, Volume I: Guide for mapping types of
information and information systems to security categories; Computer Security
Division Information Technology Laboratory, NIST; Gaithersburg; December 2003.
Barr Dale: Ultra- wideband technology, Technical Notes; Office of the Manager
National Communications System; Technology and program division, Volume 8,
No 1; February 2001.
Barr Dale: Ultra- wideband technology, Technical Notes; Office of the Manager
National Communications System; Technology and program division, Volume 8,
No 1; February 2001.
BBN, Strategia bezpieczeństwa narodowego przyjęta przez Radę Ministrów 22
lipca 2003, zatwierdzona przez Prezydenta RP 8 września 2003; www.bbn.gov.pl.
Be prepared, not scared, Emergency preparedness starts with you, Self-help
advice; Government of Canada; 12 December 2002.
Bendrath Ralf: The cyberwar debate: Perception and politics in US critical
infrastructure protection; Information & Security, Volume 7, 2001, pages 80-103.
Bennet Phil: Emerging threats; SANDIA, March 2003.
Bennet, Robert f., „Security in the information Age: We’re Not in Kansas Anymore”
w „Security in the Information Age”, Joint Economic Committee United State
Congress, 05-2002
Bernstein Debra D., Winer Jonathan: Business implications of the U.S. antiterrorism law; Gigalaw.com; November 2001.
Best practices for wireless fidelity (802.11b), Network vulnerabilities: National
Infrastructure Protection Center; 17 May 2002.
Blue cascades table top exercise Pacific North – west economic region: National
Infrastructure Protection Center, 7 August 2002.
Bosch Olivia: Cyber terrorism and private sector efforts for information
infrastructure protection; International Institute for Strategic Studies; ITU Workshop
on creating trust in critical network infrastructures; Seoul- Republic of Korea; 21
May 2002.
79
Botterman Marteen, Bickson Tora K., Cave Jonathan, Bosman Sandy, Frinking
Eric, de Pous Victor: Public information provision in the digital age, Implementation
and effects of US freedom and information act; RAND, May 2000.
Brian Krebs: Senate panel OKs more cybercrime dollars;
Washtech.com, 17 May 2002.
Brutt Lee Ann: NS/EP implication of GPS timing, Technical notes; Office of the
Manager, National Communications System; Technology and Standards Division,
Volume 6, No 2; August 1999.
Bryen D. Stephen: A collective security approach to protecting the global critical
infrastructure; ITU workshop on creating trust in critical network infrastructures;
Seoul- Republic of Korea; 20-22 May 2002.
Bryen D. Stephen: A global approach to protecting the global critical infrastructure;
ITU workshop on creating trust in critical network infrastructures; Seoul- Republic
of Korea; 22 May 2002.
Building peace and stability in crisis regions; EU- NATO cooperation; NATO
briefing; October 2003.
Bush George W.: President discusses nation’s critical infrastructure; Meeting
President US in Oak Park High School; Kansas City, Missouri.
Bush George W.: The Department of Homeland Security; June 2002.
Bush W George, Securing the Homeland Strengthen the Nations, White House,
02.2002
Bush-1, The national strategy to secure cyberspace; The White House document,
February 2003.
Bush-2, The national strategy for the Physical Protection of Critical Infrastructure
and Key assets”, The White House document, February 2003.
Bush-3, National strategy for the physical protection of critical infrastructures and
key assets; The White House document; Washington, February 2003.
Capabilities of Sandia National Laboratories to support recommendations of the
PCCIP: Sandia National Laboratories.
Caren Michael D.: Telecommuting as a back-up in emergencies; Pacific Bell; San
Ramon, 17 April 1996.
Carter Ashton B., Deutch John M., Zelikow Philip D.: Catastrophic terrorism:
elements of a national policy, A report of visions of governance for the twenty-first
century; John F. Kennedy School of Government Harvard University; 1998.
Chae Kijoon: Introduction to critical network infrastructures; EWHA Woman’s
University, Seoul; ITU Workshop on creating trust in critical network
infrastructures; Seoul- Republic of Korea; 20 May 2002.
Chairman’s report; ITU Workshop on creating trust in critical network
infrastructures; Seoul- Republic of Korea; 21-22 May 2002.
Chalk Peter: Terrorism, infrastructure, protection and the U.S. food and agricultural
sector; RAND, October 2001.
80
Charney Scott “ Transition Between Law Enforcement and National Defense” ” w
„Security in the Information Age”, Joint Economic Committee United State
Congress, 05-2002
Charny Ben : FCC mandates "911-only phone" changes: CNET News.com; April
30, 2002.
Chen Angeline “The definition and Integration of Law Enforcement and National
Defense Efforts with Regard to Critical Infrastructure Protection ” w „Security in the
Information Age”, Joint Economic Committee United State Congress, 05-2002
Clark A.: Organizing for homeland security; RAND; March 2002.
Clarke John L.: Securing the European homeland; Marshall Center, September
2003.
COM(2002)173, Proposal for a Council Framework Decision on attacks against
information systems, Commission of the European Communities, 19.04.2002
Comments of the United States government on the European Commission
communication on combating computer crime; European Commission Directorate
General on Information Society; 29 July 2002.
Commission on National Interests, America’s National Interests, July 1996
Commission on National Interests, America’s National Interests, July 2000
Commission recommendation of 25 July 2003 on the processing of caller location
information in electronic communication networks for purpose of location
enhanced emergency call services (notified under the document number C(2003)
2657) (2003/558/EEC); Official Journal of the European Union, 29.7.2003.
Computer security pervasive, serious weaknesses jeopardize State Department
operations; Report to the Committee on Governmental Affairs, U.S. Senate; GAO,
May 1998.
Constructing the e-emergency database, Project document, Version 2; European
Emergency Number Association; Brussels, 24 February 2004.
Convention on Cybercrime, Council of Europe CETS No.185, 23.09.2001
Cordesmann Anthony H.: The uncertain cost of homeland defense, the cost and
justification FY 2003 budget submission; CSIS; May 2002.
Council resolution of 18 February 2003 on a European approach towards a culture
of network and information security (2003/C 48/01).
Crawford Daniel E.: Fiber optic cable dig-ups: causes and cures; MCI
Telecommunications Corporation; Pennsylvania, October 1998.
Creating trust in critical network infrastructures, Netherlands case study; ITU
workshop on creating trust in critical network infrastructures; Seol- Republic of
Korea; 20-22 May 2002.
Creating trust in critical network infrastructures, the Brazil case, draft version 1.2;
ITU workshop on creating trust in critical network infrastructures; Seoul- Republic
of Korea; 20-22 May 2002.
Crisis communication handbook, SEMA’s educational series 2003:1; Swedish
Emergency Management Agency; 28 May 2003.
81
Critical infrastructure protection and the endangerment of civil liberties, an
assessment of the president's commission on critical infrastructure protection
(PCCIP); Electronic Privacy Information Center; Washington DC, 1998.
Critical infrastructure protection in the Netherlands: Ministry of the Interior and
Kingdom Relations; The Netherlands, April 2003.
Critical infrastructure protection plan: emergency law enforcement services sector
(ELES), February 2001.
Critical infrastructure protection series: best practices and innovations for a new
age; CSIS.
Critical infrastructure protection, Efforts of the financial services sector to address
cyber threats; Report to the Subcommittee on Domestic Monetary Policy,
Technology, and Economic Growth, Committee on Financial Services, House of
Representatives; GAO; January 2003.
Critical infrastructure protection, Federal efforts require a more coordinated and
comprehensive approach for protecting information systems; Report to the
Committee on Governmental Affairs, U.S. Senate; GAO, July 2002.
Critical infrastructure protection, Challenges for selected agencies and industry
sectors, Report to the Committee on Energy and Commerce, House of
Representatives; GAO, February 2003.
Critical infrastructure protection, Commercial satellite security should be more fully
addressed; Report to the Ranking Minority Member, Permanent Subcommittee on
Investigations, Committee on Governmental Affairs, U.S. Senate; GAO, August
2002.
Critical infrastructure protection, significant challenges in developing national
capabilities; United States General Accounting Office (GAO); April 2001.
Critical infrastructure protection; Homeland Security Office; NEI Web site; 2002.
Critical infrastructure: how organizations can protect themselves; Institute of
Internal Auditors Australia; South Pacific and Asia Conference (SOPAC); 25
March 2003.
CRN-workshop report, Risk and crime communication, creating a research agenda
from a security-policy perspective: Directorate for Civil Protection and Emergency
Planning, Norway (DSB) in cooperation with Comprehensive Risk Analysis and the
Management Network (CRN); Oslo, Norway 2003.
Crowe James Q.: The future of our nation’s communications infrastructure, A
report to the nation; Network Reliability and Interoperability Council V; NRIC V, 4
January 2002.
Cyber protest: the threat to the U.S. information infrastructure; National
Infrastructure Protection Center; October 2001.
Cyber threat and computer intrusion incident reporting guidelines: National
Infrastructure Protection Center; 14 June 2000.
Dacey Robert F.: Information security; progress made, but challenges remain to
protect federal systems and the nation’s critical infrastructures, Testimony before
the Subcommittee on Technology, Information Policy, Intergovernmental Relations
82
and the Census, Committee on Government Reform, House of Representatives;
GAO, 8 April 2003.
Darilek Richard E., Perry Walt R., Bracken Jerome, Gordon John, Nichiporuk
Brian: Measures of effectiveness for the information age army; RAND, 2001.
Data reporting and analysis, Final report; Network Reliability and Interoperability
Council V, Focus Group 2 Subcommittee 2.B1; 6 January 2004.
Davis Lynn E., Treverton Gregory F., Byman Daniel, Daly Sara, Rosenau William:
Coordinating the War on Terrorism; RAND, March 2004.
De Vries Henk: NATO Civil Communications Planning Committee (CCPC)
Presentation; NATO, 2 February 2003.
Decision 496 (approved at the eleventh plenary meeting ITU), Guidelines for
strategic planning workshops; Document C2000/90-E; Session of the Council ITU;
Geneva,19 - 28 July 2000.
Decision No 2256/2003/EU of the European Parliament and of the Council of 17
November 2003 on adopting multiannual programme (2003-2005) for the
monitoring of the eEurope 2005 action plan, dissemination of good practices and
the improvement of network and information security (MEDINIs); Official Journal of
the European Union 23.12.2003.
DeCorla-Souza Kevin F., The Department of Homeland Security, The Challenge of
Organizing and Implementing Change, The Congressional Institute Inc.,
Alexandria VA, 2002
Deklaracja w sprawie terroryzmu (wydana na posiedzeniu Rady
Północnoatlantyckiej NATO) na szczeblu ministrów spraw zagranicznych w
Brukseli, (tłumaczenie robocze BBN); 2 kwietnia 2004 roku.
Denning Dorothy E., “Wojna informacyjna I bezpieczeństwo informacji”,
Wydawnictwa Naukowo Techniczne, 2002
Department of Defense Directive on information assurance, number 8500.1; USA,
24 October 2002.
DHS Strategic Plan, “Securing our homeland, Vision, Mission, Core Values &
Guiding Principles”; U.S. Department of Homeland Security - Strategic Plan;
Homeland Security of USA, 2004.
Dick Ronald L. : Press statement on signing a memorandum of understanding
establishing a partnership between the NIPC and the Financial Services
Information Sharing and Analysis Center, LLC (FS/ISAC); National Infrastructure
Protection Center (NIPC); 25 June 2002.
Dick Ronald L.: The legal aspects of infrastructure protection; Infowarcon 2001,
Washington, d c; 5 September 2001.
Digital subscriber line technology, office of the manager national communications
system, technical notes; Technology and program division, Volume 7, No 5;
August 2000.
Digital subscriber line technology; Office of the manager national communications
system, Technical notes; Technology and program division, Volume 7, No 5;
August 2000.
83
Dong Nelson G., Lopatkiewicz Stefan M.: U.S. legal developments in
telecommunications and export control law on the aftermath of 11 September
2001; Dorsey and Whithney LLP; November 2003.
Draft minutes of the 14th WGET plenary meeting; Working Group on Emergency
Telecommunications /Inter-Agency Standing Committee, Reference Group ICT; 11
April 2003.
Draft white paper, Partnership for critical infrastructure security public policy
working group, A policy framework for critical infrastructure assurance; PCIS,
Revised 3 April 2002.
Druk 2933, 2933-A, Sprawozdanie Komisji Infrastruktury o rządowym projekcie
ustawy prawo telekomunikacyjne (druk 2937), wraz z dodatkowym
sprawozdaniem poprawek (druk 2933-A), (19.05.2004) 15.06.2004
Druk 2947, Projekt ustawy o krajowym systemie ratowniczym, druk sejmowy 2947,
Kancelaria Sejmu, 30.04.2004
Druk 2953 I czyt., Pierwsze czytanie poselskiego projektu ustawy o
bezpieczeństwie obywateli i zarządzaniu kryzysowym (druk nr 2953),
sprawozdanie stenograficzne, Kancelaria Sejmu, 15.06.2004
Druk 2953, Projekt ustawy o bezpieczeństwie obywateli i zarządzaniu
kryzysowym, druk sejmowy 2953, Kancelaria Sejmu, 30.04.2004
Duggan David P.: Common vulnerabilities in critical infrastructure control systems;
SANDIA, November 2003.
Dunn Myriam, Wiggert Isabelle: International CIIP handbook 2004, an inventory of
protection policies in fourteen countries, Critical information infrastructure
protection; ETH (Swiss Federal Institute of Technology Zurich); Zurich, 12
February 2004.
Dunn Myriam: Information age conflicts, a study of the information revolution and a
changing operating environment; ETH, Zurich, 9 September 2002.
Dz.U.2001.122.1320, Ustawa z dnia 23 sierpnia 2001 o organizowaniu zadań na
rzecz obronności państwa na rzecz przedsiębiorców, Dz.U. z 2001 r. nr 122
poz.1320
Dz.U.2002.13.122, Rozporządzenie Rady Ministrów z dnia 1 lutego 2002 w
sprawie wykazu przedsiębiorców o szczególnym znaczeniu gospodarczoobronnym, Dz.U. z 2002 r. nr 13 poz.122
Dz.U.2003.116.1090, Rozporządzenie z dnia 24 czerwca 2003 w sprawie
obiektów szczególnie obiektów szczególnie ważnych dla bezpieczeństwa i
obronności państwa oraz ich szczególnej ochrony, Dz.U.116 z 2003 r. nr 166
poz.1090
Dz.U.2004.98.978, Rozporządzanie Rady Ministrów z dnia 27 kwietnia 2004 w
sprawie przygotowania systemu kierowania bezpieczeństwem narodowym, Dz.U.
z 2004 r. nr 98 poz.978.
E-911 delays could cost AT&T Wireless $2.2M; The New York Times, November
2003
Eagan Robert J.: Critical infrastructure protection from the manufacturing
perspective; SANDIA, May 2002.
84
Eagan Robert J.: Energy and critical infrastructure strategic business unit;
SANDIA, March 2002.
Edwards Neill: Critical infrastructures: working together in a new world, lessons
learned from September 11; 4 February 2002.
E-economy consultation synthesis final revised 3 July 2002, Results on the open –
consultation on the e-economy; European Commission, DG Enterprise, Unit D.4;
April 2002.
eEurope 2002, An Information Society for All, Action Plan, prepared by the Council
and European Commission for Feira European Council, 19-20,06.2000
eEurope 2005, Communication from the Commission to the Council, The
European Parliament, The Economic and Social Committee and the Committee of
the Regions, eEurope 2005, An Information Society for All, An Action Plan to be
presented in view of the Sevilla European Council, 21/22 June 2002,
COM(2002)263, 28.5.2002
Egan Timothy: Computer student on trial for aid to Muslim web sites; The
Washington Post; 27 April 2004.
Eggletton Art: New approach to disaster management in Canada: The 11th World
Conference on Disaster Management held in Hamilton; Ontario, 26 June 2001.
Electricity requirements for a digital society, report; RAND ( www.rand.org/scitech),
8 October 2002.
Electricity sector response to the critical infrastructure protection challenge: North
American Electric Reliability Council; Princeton, New Jersey, May 2002.
Electronic intrusion threat to national security and emergency preparedness
(NS/EP) internet communications, An awareness document; National
Communications System, December 2000.
Emergency responders' views on their protection needs; RAND, www.rand.org,
2003.
Engi Dennis: International / vital issues processes, Critical infrastructure surety;
SANDIA, April 1999.
ENISA, Regulation of the European Parliament and of the Council Establishing the
Europan Network and Information Security Agency, Commission of the European
Communities, COM(2003)63 – C50058/2003-2001/0032(COD), 2003
EO 12382, Executive order (EO) 12382 – President’s National Security
Telecommunications Advisory Committee; Presidential document; 10 August
2000.
EO 12472, Executive Order (EO) 12472- Assignment of national security and
emergency preparedness telecommunications functions: Presidential document; 3
April 1984.
EO 12656, Executive Order (EO) 12656 - Assignment of emergency preparedness
responsibilities: Presidential document; 18 November 1988.
EO 13010 Executive Order (EO) 13010 – Critical infrastructure protection:
Presidential document; 15 July 1996.
85
EO 13215, Executive Order (EO) 13215 –Presidents information Technology
Advisory Committee - further amendment to EO 13035: Presidential document; 31
May 2001.
EO 13225, Executive Order (EO) 13225, Continuance of certain Federal Advisory
Committees: Presidential document; 28 September 2001.
EO 13228, Executive Order (EO) 13228, Establishing the Office of Homeland
Security and Homeland Security Council: Presidential document; 8 October 2001.
EO 13231, Executive Order (EO) 13231, Critical infrastructure protection in the
information age: Presidential document; 16 October 2001.
EO 13260Executive Order (EO) 13260, Establishing the President's Homeland
Security Advisory Council and Senior Advisory Committees for Homeland
Security; Presidential document; 19 March 2002.
EO12010, Executive Order (EO) 12010 – Critical infrastructure protection:
Presidential document; 15 July 1996.
ERC decision of 12 March 2001 on the harmonized frequency bands to be
designated for the Direct Mode Operation (DMO) of the Digital Land Mode
Systems for the Emergency Systems (ERC/DEC/ 01(19)); European
Radiocommunications Committee, European Conference of Postal and
Telecommunications Administrations, 16 March 2001.
ERC decision of 12 March 2001 on the harmonized frequency bands to be
designated for Air-Ground-Air (AGA) of Digital Land Mobile Systems for the
Emergency Services (ERC/DEC/ 01(20)); European Radiocommunications
Committee, European Conference of Postal and Telecommunications
Administrations, 16 March 2001.
ERC decision of 7 March 1996 on the harmonized frequency bands to be
designated for the introduction of the Digital Land Mode Systems for the
Emergency Systems (ERC/DEC/ 96(01)); European Radiocommunications
Committee, European Conference of Postal and Telecommunications
Administrations, March 2001.
Essenberg Ivo: New initiatives workshop: Creating trust in the critical network
infrastructures; ITU, 20 May 2002.
Executive order of homeland security and the Homeland Security Council: Critical
Infrastructure Assurance Office; Office of the Press Secretary the White House, 8
October 2001.
Executive order, Critical infrastructure protection; The White House document, The
Electronic Privacy Information Center; Washington, 15 July 1996.
FCC establishes office of homeland security; James Dailey named director; News
Media, FCC; Washington, 10 July 2003.
Federal computer security grades 2000-2003; Federal Information Security
Management Act (FISMA).
Federal Computer Security Report Card 2003, Statement of the chairman federal
computer security report card; Washington, 9 December 2003.
86
Federal register: part IV, 6 CFR part 29, Procedures for handling critical
infrastructure information, Interim rule; Department of Homeland Security, Office of
the Secretary, 20 February 2004.
Fenichel Robert: Direct broadcast satellite radio; Office of the manager, National
communications system, Technical notes; Technology and standards division,
Volume 7, No 2; July 2000.
Floods, What to do before and after, Self-help advice; Government of Canada, 12
December 2002.
Forlano Laura: Damage and restoration to electricity, phones, tv; Gotham Gazette
- http://www.gothamgazette.com/article/tech/20010901/19/703; 09 September
2001.
Fourth report card on computer security at federal departments and agencies,
overall grade: D; Subcommittee on Technology, Information Policy
Intergovernmental Relations And the Census, House Government Reform
Committee, 9 December 2003.
Frinking Eric J., Ligtvoet Andreas, Van de Linde Eric J.G.: Risicoanlyse van het
zero- base project, eindrapport: RAND Europe, Jannuari 2001.
Genesis of the National Communications System (NCS) ; http://gets.ncs.gov.
Geomagnetic storms - reducing the threat to critical infrastructure in Canada; Office
of critical infrastructure protection and emergency prepardness, Government of
Canada, 29 April 2002.
Goldsmith S. Y.: Workshop on concepts for self-healing critical infrastructures:
SANDIA, June 2003.
Goodman Seymour E., Hassebroek Pamela B., King Davis, Ozment Andy:
International coordination to increase the security of critical network
infrastructures; Georgia Institute of Technology Atlanta; ITU Workshop on creating
trust in critical network infrastructures; Seoul- Republic of Korea; 21-22 May 2002.
Gordon Sarah; Ford Richard: Cyberterrorism?; Symantec Security Response; 19
March 2003.
Government Emergency Telecommunications Service; http://gets.ncs.gov;
January 2002.
Grance Tim, Hash Joan, Peck Steven, Smith Jonathan, Korow-Diks Karen:
Security guide for interconnecting information technology systems,
Recommendations of the National Institute of Standards and Technology; NIST,
August 2002.
Grance Tim, Hash Joan: Security considerations in the information system
development life cycle; Recommendations of the National Institute of Standards
and Technology; NIST, Gaithersburg, October 2003.
Grance Timothy, Stevens Marc, Myers Marissa: Guide to selecting information
technology security products, Recommendations of the National Institute of
Standards and Technology, Special Publication; NIST, Gaithersburg, October
2003.
87
Gravell William, National Security in Transformation: Outlining a Comrehensive
Approach to National Information Power ” w „Security in the Information Age”,
Joint Economic Committee United State Congress, 05-2002
Grossman Mark: Trade secrets in a dot-com world; Gigalaw.com, May 2000.
Gugliotta Guy: Report: U.S. vulnerable to attack
scientists urge new terrorism research; Washingtonpost.com, 25 June 2002.
Guidance for radio amateur civil emergency service, Civil preparedness guide:
Federal Emergency Management Agency; Washington, D.C. 20472, CPG 1-15, 18
March 1991.
Hammar Patricia: IT security: risks and problem-solving tactics; National Security
Research's; 23 April 2002.
Hancock Bill: National infrastructure protection issues, Exodus a cable and
wireless service [presentation]; 22 May 2002.
Handbook of the legislative procedures of computer and network misuse in EU
countries: Study for the European Commission Directorate General Information
Society; 2002.
Harmonization of frequencies for police and security services in Europe; European
Radiocommunications Committee (ERC) within the European Conference of
Postal and Telecommunications Administration (CEPT); Oslo, December 1991.
Harmonized radio frequency channel agreements for the emergency services
operating in the band 380-400 MHz , Recommendation T/R 02/02 E; European
Radiocommunications Committee (ERC), Bonn 1993, revised at Odense 1997.
Harrison Rick: Network reliability performance committee, Best practice team,
Technical paper; Alliance for Telecommunication Industry Solutions Network
Operations Forum; Bellcore, 18 January 1996.
Harrop Michael: Creating trust in the critical network infrastructure, Canadian case
study; ITU workshop on creating trust in critical network infrastructures; SeoulRepublic of Korea; 21 May 2002.
Harrop Mike: Outline of a possible “straw-man” model for international coordination
on the protection of critical infrastructures; ITU workshop on creating trust in
critical network infrastructures; Seoul- Republic of Korea, 21 May 2002.
Hart-Rudman, New World Coming, American Security in the 21st Century, Major
Themes and Implications, Phase I Report on a U.S. National Startegy for 21st
Century, US Commission on National Security/21 Century, 15.09.1999
Hart-Rudman, Road Map for National Security: Addendum on Implementation, US
Commission on National Security/21 Century, National Security Study Group,
15.04.2001
Hart-Rudman, Road Map for National Security: Imperative for Change, The phase
III Report on a U.S. National Startegy for 21st Century, US Commission on
National Security/21 Century, 15.02.2001
Hart-Rudman, Seeking National Strategy, A concept for Preserving Security and
Promoting Freedom, The phase II Report on a U.S. National Startegy for 21st
Century, US Commission on National Security/21 Century, 15.04.2000
88
Harvey James A.: An early look at the national strategy to secure cyberspace;
Gigalaw.com, April 2003.
Hennessey Bobbi: Airfone dramatically drops pricing as special outreach to its
airline partners, Per-minute calling rates for domestic calls drop to 99 cents for
limited time; Verizon press release, 27 September 2001.
Hephner R.: Analysis for the homeland security act of 2002; 18 June 2002.
Hess Stephen: The CNN effect: how 24-hour news coverage affects government
decisions and public opinion; A Brookings/Harvard Forum: Press Coverage and
the War on Terrorism, 23 January 2002.
History of National Security Council, Office of the Historian, U.S. Department of
State, 1997
Hoffman Bruce, Oblicza terroryzmu, Politea, 1999
Homeland security – presidential directive – 1, Organization and operation for the
Homeland Security Council; 29 October 2001.
Homeland security at FCC; FCC; Washington, 10 July 2003.
Homeland security: communications industry considers measures to ensure it
meets the needs of public safety community during times of crisis; News FCC;
Washington D.C., 14 March 2003.
Homeland security: network reliability and interoperability council to hold meeting
to consider recommendations for service continuity and disaster recovery; Public
Notice Federal Communications Commission (FCC); Washington, D.C., 6 March
2003.
Homeland security: protecting the nation’s communications network against attack
tops agenda for upcoming national reliability and interoperability council Meeting
December 6, 2002; News FCC; Washington D.C., 26 November 2002.
Houser Ari N., Jackson Brian A., Bartis James T., Peterson D.J.: Emergency
responder injuries and fatalities, An analysis of surveillance data (TR-100-NIOSH);
RAND, March 2004.
How grades were assigned; FISMA, December 2000.
Hunt David, Seshadri Raj, Carins Alastair: Impact of attack on New York financial
services; McKinsey & Company's Banking & Securities Practice, November 2001.
Increasing capabilities and security for automation, SCADA test bed; INEEL, 26
March 2003.
Information assurance and critical infrastructure protection: a federal perspective;
Government Electronics and Information Technology Association; 2001.
Information note number: IN02-005, Securing publicly available information; Public Safety
and Emergency Preparedness Canada, 31 May 2002.
Information security, Computer attacks at department of defense pose increasing
risks, Report to congressional requesters; GAO, May 1996.
Information sharing agreements; Trusting Information Sharing Network for Critical
Infrastructure Protection; http://www.cript.gov.au/, 28 March 2003.
89
Information sharing for critical infrastructure protection task force report: NSTAC,
June 2001.
Information sharing program, emergency fire services ISAC; Department of
Homeland Security Infrastructure Monitoring, Analysis and Coordination Branch
(IMAC / IAIP) & US Fire Administration; Emmitsburg, Maryland, 14 August 2003.
Informationstechnische bedrohungenfur kritische infastructuren in Deutschland,
Kurzbericht der ressortarbeitsgruppe KRITIS (Entwurfversion 7.95), Dezember
1999.
Interim report on critical infrastructure protection activities for the information and
communications (I&C) sector (1998 - 2000); NTIA, 21 September 2000.
Interim Report: causes of August 14th blackout in the United States and Canada;
U.S. Canada Power System Outage Task Force, November 2003.
Internet security/architecture task force report, First steps in identifying and
remediating vulnerabilities pervasive software and protocols: NSTAC, 4 April 2003.
IT security reports; Washingtonpost.com, 22 April 2002.
ITU plenipotentiary conference (PP-98); Minneapolis,12 October - 6 November
1998.
Jackson Brian A., Peterson D.J., Bartis James T.: Protecting emergency
responders, Lessons learned form terrorists attacks; RAND, 2002.
Joint Publication 3-13.1, “Joint Doctrine for Command and Control Warfare, Joint
Staff, 1996
Joint Staff: “Information Warfare – A strategy for Peace – The Decisive Edge for
War, Joint Staff, 1996
JSC, Joint Security Commission, Redefining Security: A Report to the Secretary of
Defense and the Director of Central Intelligence, 1994
Juster Kenneth I, Tritak John S. “Critical Infrastructure Assurance: A Coceptual
Overview” ” w „Security in the Information Age”, Joint Economic Committee United
State Congress, 05-2002
Juster Kenneth I.: Homeland security and critical infrastructure assurance, the
importance of community action; Conference on critical infrastructures: working
together in a new world; Austin, 13 February 2002.
Karty Steve L.: E-mail over high frequency (HF) radio, Filling the communications
gap during unexpected telephone outages; Office of the manager national
communications system, Technical Notes; Technology and program division,
Volume 7, No 6, August 2000.
Karty Steve: Bluetooth personal area network technology, Technical notes; Office
of the Manager, National Communications System; Technology and standards
division, Volume 7, No 3; July 2000.
Keating Dan: Pentagon's online voting program deemed too risky;
Washington Post; 22 January 2004.
Key Responsibilities in the Protection of Critical Infrastructure: Trusting Information
Sharing Network for critical infrastructure protection; http://www.cript.gov.au/.
90
Keys David, “Cyber Early Warning: Implications for Business Productivity and
Economic Security” ” w „Security in the Information Age”, Joint Economic
Committee United State Congress, 05-2002
Khalilzad Zalmay, White John P., Marshall Andrew W.: Strategic appraisal: the
changing role of information in warfare; RAND, 1999.
Knight John C., Elder Matthew C., Flinn James, Marx Patrick: Analysis of four
critical infrastructure applications, Computer science report no. CS-97-27;
University of Virginia, Department of Computer Science, 19 September 1998.
Knight John C., Elder Matthew C., Flinn James, Marx Patrick: Summaries of three
critical infrastructure applications, Computer science report no. CS-97-27;
University of Virginia, Department of Computer Science; 14 November 1997
(Revised December 10, 1997).
Koblentz Gregory D.: Overview of federal programs to enhance state and local
preparedness for terrorism with weapons of mass destruction; ESDP, BCSIA, April
2001.
Kośla Robert: Ochrona infrastruktury krytycznej w Polsce - aktualny stan prac;
Departament Bezpieczeństwa Teleinformatycznego Agencji Bezpieczeństwa
Wewnętrznego; Warszawa, 3 Grudnia 2002.
Krebs Brian, McGuire David: FTC: ID theft remains top complaint;
Washingtonpost.com, 22 January 2004.
Krebs Brian: Two Virginia Universities to join forces against cybercrime;
Washtech.com, 13 May 2002.
Krebs Brian: FCC OKs VoiceStream waiver for emergency wireless system;
Newsbytes; Washington, D.C, 3 April 2002.
Krebs Brian: Gov't computer security lagging – report; Washingtonpost.com, 9
December 2003.
Krim Jonathan: Think tank urges information sharing, Network could help combat
terrorism; Washingtonpost.com, 3 December 2003.
Lachman Beth E., Wong Anny, Knopman Debra, Gavin Kim: Lessons for the
global spatial data infrastructure; International Case Study Analysis, prepared for
the GSDI Secretariat; RAND, 2002.
Larson Eric V., Peters John E.: Preparing the U.S. Army for homeland security:
concepts, issues and options; RAND, 2001.
Last mile bandwidth availability task force report: NSTAC, March 2002.
LaTourrette Tom, Peterson D.J., Bartis James T., Jackson Brian A., Houser Ari:
Protecting emergency responders, Community views of safety and health risks
and personal protection needs – Volume II; Rand, 2003.
Lawor Maryann: Keeping the lines of communication open collaboration,
Cooperation secure emergency response capability; Signal Magazine 2002, April
2002.
Legislative and regulatory, penalties for Internet and cyber crime: NSTAC,
February 2003.
91
Leland Joe, Feldman Philip M.: Fundamental research policy for the digital
battlefield: RAND, 1998.
Liddel Hart Basil H, “Strategy, Meridian Books, 1954
Lim Chaeho: Creating trust in critical network infrastructures, Korean case study;
KAIST/ITU, 24 May 2002.
Lippmann, Walter, U.S. Foreign Policy, Liittle Brown and Company, Boston, 1943
s. 51,
Lisbon Strategy, Presidency Conclusion of the Lisbon European Council of 23 and
24 March 2000,
Livesey Tomas F.: Towards critical infrastructure protection, Realistic alternatives
to Version 1.0.; 5 May 2000.
Lounsbury David: Securing distributed controls: A systems perspective open group
advanced research; http;//www.opengroup.org/[email protected]
Low Eva: Performance metrics team, Final report; Pacific Bell, San Ramon, 15
January 1996.
Luiijf Eric A.M, Burger Helen H., Klaver Marieke H.A.: Critical infrastructure
protection in the Netherlands: a quick-scan; EICAR Conference Best Paper
Proceedings, 2003.
Luiijf Eric A.M, Klaver Marieke H.A., Huizenga J., Till van J., de Boer R., van de
Sandt C.H.C., Maclaine Pont C.: The vulnerable Internet, a study of critical
infrastructure (of the Netherlands section) of Internet; TNO & STRATIX Consulting
Group, 6 June 2001.
Luiijf Eric A.M, Klaver Marieke H.A.: In bits and pieces, Vulnerability of the
Netherlands ICT infrastructure and consequences for the information society;
Infodrome, March 2000.
Luiijf Eric A.M.: ICT in bits and pieces, Critical infrastructures; TNO Physics and
Electronic Laboratory, 30 November 2001.
Luiijf Eric A.M.: The vulnerable Internet, A CIP study by the Netherlands; TNO
Physics and Electronic Laboratory and STRATIX, 26 November 2001.
MacGriffin John “Counterintelligence and Infrastructure Protection” ” w „Security in
the Information Age”, Joint Economic Committee United State Congress, 05-2002
Mann Brett W.: Cross-border co-operation speeds up emergency telecommunications
repairs; October-December 1997.
Martinez Gabriel: Signaling system 7 Internet protocol interconnection, Technical
Notes; Office of the Manager National Communications System, Technology and
program division, Volume 8, No 2; March 2001.
McCullagh Declan: Bush signs homeland security bill; CNET News.com, 25
November 2002.
Mell Peter, Grance Tim: Use of the common vulnerabilities and exposures (CVE)
vulnerability naming scheme recommendations of the National Institute of
Standards and Technology; NIST, September 2002.
92
Microsoft SQL Server 2000 “Slammer” worm – impact paper; Office of Critical
Infrastructure Protection and Emergency Prepardness, Government of Canada;
Incident analysis, No. IA003-001, 12 March 2003.
Miller Bill: Worries of cyberattacks on U.S. are aired, Chinese military is looking
for ways, Students seen gearing up for disruptions; Washington Post, 26 April
2002.
Miller Jason: Panel: proposed IT security bill needs revisions; Government
Computer News; 2 May 2002.
Miller Paul, Irland Kevin W.: Local business, government leaders learn about
disaster recovery, business continuity from Verizon; Verizon press release; 18
April 2002.
Molander Roger C., Riddle Andrew S., Wilson Peter. A. Strategic Information
Warfare: A New face of War, RAND, 1996
MOP 30, Memorandum on Policy 30, “Command and Control Warfare”, Połączone
Kolegium Szefów Sztabów, 1993
Moteff John D., Copeland Claudia, Fisher John: Critical infrastructures: what
makes an infrastructure critical? Report for Congress; Congressional Research
Service - The Library of Congress; 29 January 2003.
Moteff John D.: Critical infrastructures: background, policy, and implementation,
Report for Congress; Congressional Research Service - The Library of Congress;
10 February 2003.
Mussington David: Concepts for enhancing critical infrastructure protection,
Relating Y2K to CIP research and development; Rand Corporation, 2002.
Nacchio Joseph P.: Critical infrastructure protection: who is in charge?; Qwest
Communications International, Inc., 4 October 2001.
Narrow band frequencies for inter-agency coordination and safety and security
communications in international humanitarian assistance, as adopted by the fifth
WGET Plenary Meeting, Geneva, 20/21 May 1997, and revised by the eight
WGET Plenary Meeting, Washington DC, 7-8 June 1999.
National Communications System; http://gets.ncs.gov, January 2002.
National Coordinating Service for Telecommunications;
http://www.ncs.gov/ncc/htm, February 2002.
National Counter Terrorism-Committee, Critical infrastructure protection in
Australia: Trusting information sharing network for critical infrastructure protection;
http://www.cript.gov.au/, 27 March 2003.
National Infrastructure Protection Center, 9 May 2002.
National plan for critical infrastructure protection rail section: Association of
American Railroads, June 2002.
National plan for information’s system protection Version 1.0. An invitation to
dialogue: Defending America’s cyberspace; The White House, 2000.
National research priorities: Trusting Information Sharing Network for critical
infrastructure protection; http://www.cript.gov.au/, March 2003.
93
National security telecommunications policy, Directive number 97; The White
House, 13 June 1983.
National security to secure cyberspace, The Presidential Critical Infrastructure
Board, Established Under US Presidential Executive Order 13231, 20 March 2002.
Nelson Jennifer E.: Critical infrastructure surety at Sandia National Laboratories;
SANDIA.
Network reliability best practices packet switching circuit switching, Final report;
Network Reliability and Interoperability Council V; Focus Group 2 Subcommittee
2.A; NRIC, January 2002.
Network Reliability Council Focus Group IV, Essential communications during
emergencies, Team report findings and recommendations, pertaining to
emergency service network reliability; NRC, 12 January 1996.
Network security/vulnerability assessments task force report: NSTAC, March
2002.
Neu C. Richard, Anderson Robert H., Bikson Tora K.: Government and citizens,
security, policy issues and next steps; RAND, 1998.
NRC, Internet under crisis conditions, Lessons from Setember 11; Computer
Science and Telecommunications Board, Division on Engineering and Physical
Sciences; National Research Council of National Academy of Sciences;
Washington D.C. 2003.
NSTAC at 20: providing national security telecommunications policy expertise for
two decades; Arlington, 1 May 2003.
NSTAC’s response to the national plan: NSTAC, April 2001.
NYSE, New York Stock Exchange September 11, 2001, NYSE Press Room,
Information and Resouces, 2001
Ocakoglu Gzim, IDA Secure Communications Platforms TESTA and PKI,
European Commission – DG Enterprise, 2004
Ohno Hiroyuki: Security study activities in ITU-T, Q10 / SG17 rapporteur; SeoulRepublic of Korea, 21 May 2002.
OHS, National strategy for homeland security: President of the United States,
Office of Homeland Security, July 2002.
O'Neil Michael J., Dempsey James X.: Critical infrastructure protection: threats to
privacy and other civil liberties and concerns with government mandates on
industry; Depaul Business Law Journal, Vol 12, p. 97, (1999/2000).
Opening remarks of the secretary-general: ITU workshop on creating trust in
critical network infrastructures; Seoul- Republic of Korea; 20 May 2002.
Orszag Peter R., Pechman Joseph A.: Critical infrastructure protection and the
private sector: the crucial role of incentives, Testimony before the Subcommittee
on Cybersecurity, Science, and Research & Developmentand the Subcommittee
on Infrastructure and Border Security House Select Committee on Homeland
Security; The Brookings Institution, 4 September 2003.
Oslund Jack “National Security: The Definitions Landscape” ” w „Security in the
Information Age”, Joint Economic Committee United State Congress, 05-2002
94
Parachini John V., Davis Lynn E., Liston Timothy: Homeland security, a
compendium of private and public organisations’ policy recommendations; Rand
Corporation, 2003.
PCCIP Report “Critical Foundations-Protecting America’s Infrastructures” The
Report of of the President’s Commission on Critical Infsratructure, 1997
PDD 29, Presidential Decision Directive 29, “Security Policy Coordination”, White
House, 16.09.1994
PDD 39, Presidential Decision Directive, “US Policy on Counterterrorism”, White
House, 06.1995
Perrow Charles: 2YK as a normal accident; International Conference on Disaster
Management and Medical Relief; Amsterdam 14-16, June 1999.
Powell Michael: Attachment assessment of the readiness of emergency
communications FCC Y2K task force; FCC, 13 July 1999.
Prepare to survive a major earthquake, Self-help advice; Government of Canada,
12 December 2002.
Prepared for the woods, Self-help advice; Government of Canada, 12 December
2002.
Preparing for the unexpected, Self-Help Advice; Government of Canada, 12
December 2002.
President NSC-63, Presidential decision directive NSC-63, Critical infrastructure
protection; The White House document; Washington, 22 May 1998.
Progress report on the global war on terrorism: The White House; Washington,
September 2003.
Proposal for a Council framework decision on attacks against information systems
2002/0086 (CNS); Commission of the European Communities; Brussels, 19 April
2002.
Proposal for a regulation of the European Parliament and of the Council,
Establishing the European Network and Information Security Agency (Com 2000);
19 February 2004.
Protecting America's critical infrastructures; The White House, Office of the Press
Secretary, 22 May 1998.
Protecting and securing the nation, critical infrastructure test range; INEEL (Idaho
National Engineering and Environmental Laboratory), 3 October 2002.
Protecting critical infrastructures and key assets; The National Strategy For
Homeland Security, 15 July 2002.
Protecting the Homeland, Report of the Defence Science Board Task Force on
defensive information operations 2000; Summer study, volume 2; Department of
Defense, March 2001.
Protection plan for mission critical infrastructure assets; VID CAD/ ESP, 3 July
2003.
Public switched network security assessment guidelines; The Office of the
Manager National Security Communications Systems; December, 2000.
95
Quarantelli E.L.: Disaster planning, emergency management, and civil protection:
the historical development and current characteristics of organized efforts to
prevent and respond to disasters; 18 June 1999.
Rahman Bistamam Siru Abdul: Malaysia’s approach to network security; ITU
workshop on creating trust in critical network infrastructures; Seoul- Republic of
Korea, 21 May 2002.
Rasmussen Michael “information Protection: Assuring Stakeholder Value in a
Digital Age” ” w „Security in the Information Age”, Joint Economic Committee
United State Congress, 05-2002
Rattray Gregory J., Wojna Strategiczna w Cyberprzestrzeni, Wydawnictwa
Naukowo Techniczne, 2004
Recommendation 12; ITU, Geneva, http://www.reliefweb.int/.
Reliability issues - Changing Technologies Focus Group New Wireline Access
Technologies, Subteam Final Report; Network Reliability Council (NRC), 22
February 1996.
Reliability Issues - Changing Technologies Focus Group Satellite Communications
Networks Subteam Final Report; Network Reliability Council (NRC), 22 February
1996.
Reliability issues - Changing Technologies Focus Group Synchronous Optical
Network/Asynchronous Transfer Mode (SONET/ATM), Subteam Final Report;
Network Reliability Council (NRC), 22 February 1996.
Reliability Issues - Changing Technologies Focus Group Wireless/PCS Subteam
Final Report; Network Reliability Council (NRC), 22 February 1996.
Reliability issues - Changing Technologies Focus Group, Advanced Intelligent
Network Subteam Final Report; Network Reliability Council (NRC), 22 February
1996.
Reliability issues - Changing Technologies Focus Group, Focus group overview;
Network Reliability Council (NRC), 22 February 1996.
Report of the defence science board task force on information warfare - defence
(IW-D); Office of the Under Secretary of Defense for Acquisition & Technology;
Washington, D.C.; November 1996.
Report of the President of the United States on the status of federal critical
infrastructure protection activities; The White House document; Washington,
January 2001.
Report on implementation issues related to access to location information by
emergency services (E112) in European Union, Final report; Coordination Group
on Access to Location Information for Emergency Services (CGALIES), 19
February 2002.
Research and development exchange proceedings: transparent security in a
converged and distributed network environment: A symposium sponsored by the
President’s NSTAC in the conjunctions with the Telecommunications and
Information Security workshop; University of Tulsa, Oklahoma, 28-29 September
2000.
96
Resolution 19 - ITU, Telecommunication resources for disaster mitigation
and relief operations; The World Telecommunication Development Conference;
Valletta, 1998.
Resolution 34, Telecommunication resources in the service of humanitarian
assistance - ITU; The World Telecommunication Development Conference
(Istanbul 2002).
Resolution 645 - ITU, Global harmonization of spectrum for public protection and
disaster relief ; Geneva (WRC-2000), http://www.reliefweb.int/.
Rice James B.: Supply chain response to terrorism: creating resilient and recure
supply chains; Interim report of progress and learnings; Massachusetts Institute of
Technology, 8 August 2003.
Ridge Tom: Remarks of secretary Tom Ridge to the American Enterprise Institute:
Securing America in a post 9/11 world; Office of Homeland Security USA.
Rinaldi Steven M.: Critical infrastructure independencies; SANDIA, June 2003.
Rinaldi Steven M.: The role of modeling and simulation in critical infrastructure
protection; SANDIA, May 2003.
Risk assessment in Europe, part 2; lectures presented at the EU workshop on
Risk Rssessment; Oslo 25-26 November 1999.
Risk management, An essential guide to protection critical asset: National
Infrastructure Protection Center, November 2002.
Robinson C.P., Woodward J.B., Varando S.G.: How vulnerable is our interlinked
infrastructure?; Issues in science and technology – online; Fall 1998.
Ronfeldt David F., Arquilla John, Fuller Graham E., Fuller Melissa: The Zapatista
social netwar in Mexico; RAND Corporation, 1998.
Ross Ron, Swanson: Information security, Guide for the security certification and
accreditation of federal information systems, Second public draft; Computer
Security Division Information Technology Laboratory NIST; Gaithersburg, June
2003.
Ross Ron; Stoneburner Gary, Katzke Stuart, Johnson Arnold, Swanson Marianne:
Information security, Initial public draft; Computer Security Division Information
Technology Laboratory, NIST; Gaithersburg, December 2003.
SANDIA Lab News; Vol. 53, no 19; 21 September 2001.
Sands Jeffery I.: PCIS common reference glossary, Version 2001-09; Information
Sharing Task Force; PCIS, 14 September 2001.
Sauners David: Westin - solutions through technology; 13 June 2002.
Schmidt Howard: Cybersecurity and homeland defense; The Washington Post, 2
May 2002.
Securing oil and natural gas infrastructures in the new economy: National
Petroleum Council, Committee on Critical Infrastructure Protection; June 2003.
Securing publicly available information, Information note number: IN02-005; Public safety
and emergency preparedness Canada, 31 May 2002.
97
Securing VoIP; Information note number: IN03-001, Securing publicly available
information: Public safety and emergency preparedness Canada, 13 June 2003.
Security guidelines for the electricity sector, Emergency plans; Version: 1.0; North
American Electric Reliability Council: 14 June 2002.
Security guidelines for the electricity sector: Communications, Version: 1.0; North
American Electric Reliability Council, 14 June 2002.
Security guidelines for the electricity sector: Cyber IT firewalls; Version: 1.0; North
American Electric Reliability Council, 14 June 2002.
Security guidelines for the electricity sector: Cyber access controls, Version: 1.0;
North American Electric Reliability Council, 14 June 2002.
Security guidelines for the electricity sector: Cyber intrusion detection; Version:
1.0; North American Electric Reliability Council, 14 June 2002.
Security guidelines for the electricity sector: Cyber risk management; Version: 1.0;
North American Electric Reliability Council: 14 June 2002.
Security guidelines for the electricity sector: Protecting potentially sensitive
information; Version: 1.0; North American Electric Reliability Council, 14 June
2002.
Security guidelines for the electricity sector: Securing remote access to electronic
control and protection systems, Version: 1.0: North American Electric Reliability
Council, 10 June 2003.
Security guidelines for the electricity sector: Vulnerability and risk assessment;
Version: 1.0; North American Electric Reliability Council, 14 June 2002.
Security in the information age, new challenges, new strategies: Joint Economic
Committee United States Congress; May 2002.
Security research: EU action to improve protection of citizens IP/04/145; Brussels,
3 February 2004.
Sejm, Ustawa z dnia 21 listopada 1967 roku o powszechnym obowiązku obrony
Rzeczypospolitej Polskiej, DZ.U. z 2002 r. nr 21 poz.205 z późn. zmianami,
Kancelaria Sejmu, 2.06.2004
Self-help advice for businesses and institutions, A guide to business continuity planning:
the office of critical infrastructure protection and emergency preparedness,
Minister of Public Works and Government Services of Canada;
http://www.drie.org.
September 11, 2001 Terrorist Attacks - Critical Infrastructure Protection Lessons
Learned Information; Note number: IN02-001, Securing publicly available information:
Public safety and emergency preparedness Canada, 27 September 2002.
Seven simple computer security tips for small business and home computer users:
National Infrastructure Protection Center; 9 May 2002.
Severe storms, self-help advice; Government of Canada, 12 December 2002.
Shaw Robert: Country case studies: the case of Brazil; ITU workshop on creating
trust in critical network infrastructures; Seoul- Republic of Korea, 20-22 May 2002.
98
Shea Dana A.: Critical infrastructure: control systems and the terrorist threat,
Report for Congress; Congressional Research Service - The Library of Congress;
21 February 2003.
Shinn J. James: The "data gap" and national security; Washingtonpost.com, 21
May 2002.
Silicki Krzysztof: Ochrona krytycznej infrastruktury państwa; NASK archiwum,
Sierpień 2002.
Single European emergency call number 1-1-2; Coordination Group on Access to
Location Information for Emergency Services (CGALIES);
http://www.telematica.de/cgalies/index.html.
Skroch Michael J.: An adversarial view on cyber defense and US critical
infrastructure; SANDIA, June 2003.
Smith Jim, Yeatts Lacy: Verizon offers new Yorkers free local calling to and from
payphones on Manhattan streets; 4,000 payphones can make and receive free
local calls for duration of city emergency; Verizon press realase, 11 September
2001.
Smith Jim: Temporary listings in Verizon's directory assistance computers can
help displaced New Yorkers connect; Listings let Verizon's 411 operators direct
callers to wireless phones, Alternate numbers; Verizon press realase; 27
September 2001.
Smith Jim: Verizon's free payphones help disaster area residents connect 80,000
times a day, callers reach out to families, jobs; Verizon press realase; 21
September 2001.
Spiegel Peter: DT takeover of Voice Stream passes FBI hurdle; Washington, 17
January 2001.
Stacking the network against hackers, Cyber security, Protecting computers and
communications and the systems they link; INEEL, 18 September 2002.
State and local actions for homeland security; Executive office of the President of
the United States, Office of Homeland Security, July 2002.
Stoneburner Gary, Goguen Alice, Feringa Alexis: Risk management guide for
information technology systems; Recommendations of the National Institute of
Standards and Technology; U.S. Department of Commerce, 20 January 2004.
Stoneburner Gary, Hayden Clark, Feringa Alexis: Computer security, engineering
principles for information technology security (a baseline for achieving security),
Public review draft; Computer Security Division Information Technology
Laboratory, NIST; Gaithersburg, 21 January 2004.
Storm surges, Self-help advice; Government of Canada, 12 December 2002.
Structure of the network: trusting information sharing network for critical
infrastructure protection; http://www.cript.gov.au/, 31 March 2003.
Summary report of the 12th WGET plenary meeting, 17 may 2002.
Survey on Implementation of 112 Subject: Pan European emergency call number
112: European Commission, Directorate-General XIII, Telecommunications,
Information Market and Exploitation of Research, Telecommunications, trans-
99
European networks and services and postal services, Telecommunications
legislation; Brussels, 6 January 1999.
Swanson Marianne, Bartol Nadya, Sabato John, Hash Joan, Graffo Laurie:
Computer security, security metrics guide for information technology systems;
Computer Security Division Information Technology Laboratory; NIST:
Gaithersburg, July 2003.
Tamashiro Reynold, Pollock Robert D.: Indications and warnings system to protect
critical US infrastructures, Critical infrastructure surety; SANDIA, May 1999.
Tamashiro Reynold: The need for improved SCADA security; SANDIA, 25 March
2002.
Tampere Convention on Emergency Telecommunications (ICET-98); 1998.
Tampere Convention on the Provision of Telecommunication Resources
for Disaster Mitigation and Relief Operation; the Intergovernmental Conference on
Emergency Telecommunications (ICET-98), NATO 1999.
Telecom News - National security and emergency preparedness, Issue 1; 2003.
Telecom News - National security and emergency preparedness, Issue 1; 2004.
Telecom News - National security and emergency preparedness; NSTAC (Special
edition 2003).
Telecommunication resources for disaster mitigation and relief operations1997
ITU; World Radiocommunication Conference Resolution 644 (WRC-97); Geneva,
1997.
Telecommunications service priority system; http://gets.ncs.gov, February 2002.
Terms of reference for the Working Group on Emergency Telecommunications
(WGET); ITU; 14th Plenary Meeting in Geneva 20-21 February 2003.
Terrorism and the media, Council of Foreign Relations.
Thompson Tracy: Your family disaster plan; FEMA (The Federal Emergency
Management Agency’s Community and Family Preparedness Program and the
American Red Cross Community Disaster Education Program), September 1991.
Thonis Peter, Rabe Eric: Verizon begins work to restore service at network center
damaged in southern Manhattan; network in New York City and D.C. continues to
handle heavy volumes; Verizon press realase, 12 September 2001.
Thonis Peter, Rabe Eric: Verizon makes steady progress to restore phone service
in lower Manhattan, Verizon provides solutions for two-thirds of voice lines served
out of damaged switching center within two weeks of terrorist attacks; Verizon
press realase, 24 September 2001.
Thonis Peter, Rabe Eric: Verizon reports cellular, Landline calls double during
peak of today's tragedy; Verizon press realase, 11 September 2001.
Threat analysis, Al-Qaida cyber capability, key judgements; Office of Critical
Infrastructure Protection and Emergency Prepardness, Government of Canada,
December 2002.
Threats to Canada’s critical infrastructure note number: TA03-001, Securing publicly
available information: Public safety and emergency preparedness; Canada, 12 March
2003.
100
Tomko John S. Jr.: Critical infrastructure protection; USAWC strategy research
project, Department of the Army Civilian, 6 December 2002.
Tritak John S.: Before the House Committee On Science; Critical Infrastructure
Assurance Office Bureau of Industry and Security U.S. Department of Commerce,
27 June 2002.
Tritak John S.: Critical infrastructure protection: Who’s in charge; Senate
Committee on Governmental Affairs, 4 October 2001.
Trust but verify, a guide to using e-mail correspondence; National Infrastructure
Protection Center, December, 2001.
Twenty most critical Internet security vulnerabilities (Updated), The experts’
consensus, Version 2.504; SANS Institute, 2 May 2002.
U.S. chemical sector cyber security strategy, Reducing risk to our society and
economy by leveraging technology, processes and people to protect chemical
sector cyber security; The chemical sector information sharing forum, Cyber
Security Strategy Task Team, June 2002.
UN Emergency relief items, compendium of generic specification; Volume 1,
Telecommunications, Shelter & Housing, Water Supply, Food, Sanitation &
Hygiene, Materials Handling, Power Supply; United Nations, October 1998.
Ustawa o bezpieczeństwie obywatelskim; Sejm RP, (projekt) 21 Sierpnia 2003.
Vademecum, handbook; NATO/OTAN, 26 November 2003.
Vaida Bara: Federal critical infrastructure reaches out to States;
Nationaljournal.com.
Van De Hei Diane: Critical infrastructure protection national plan input water
sector; Water Sector Liaison & Lead Federal Agency, 23 July 2003.
Van de Linde, O’Brien Kevin, Lindstrom Gustaw, de Spiegeleire Stephan,
Vayrynen Mikko, de Vries Han: Quick scan of post 9/11 national counter-national
policymaking and implementation of selected European countries; Research
project for Netherlands Ministry of Justice, Rand Corporation, May 2002.
Vandenbroucke Ann: Final report of harmonizing essential requirements; ETO for
European Commission, 12 March 1998.
Vasishtha Preeti: HHS awards contract to iDefense for cyber threat protection; The
Washington Post, 25 April 2002.
Wack John, Cutler Ken, Pole Jamie: Guidelines on firewalls and firewall policy
recommendations of the National Institute of Standards and Technology; NIST,
January 2002.
War gaming for the real world, Critical infrastructure modeling systems protecting
and recovering from attack; INEEL (Idaho National Engineering and Environmental
Laboratory), 26 March 2003.
Ware Willis H.: The cyber – posture of the national information infrastructure;
RAND Corporation, 1998.
Warner Peter: Should GPS Be Classified As "Critical Infrastructure"?.
Water industry process control & SCADA systems; SCADA, 13 June 2002.
101
Watson Kenneth C.: Critical infrastructure protection: who’s in charge?; PCIS, 4
October 2001.
Watson Kenneth C.: House Energy and Commerce Committee Subcommittee on
Oversight and Investigation Hearing on Creating the Department of Homeland
Security: Consideration of the administration’s proposal; PCIS; 9 July 2002.
Watson Kenneth: Critical infrastructure assurance: The US experience; PCIS, 10
October 2002.
Wenger Anderas, Metzger Jan, Dunn Myriam: International CIIP handbook, an
inventory of protection policies in eight countries, critical information infrastructure
protection; ETH (Swiss Federal Institute of Technology Zurich), Zurich, 2002.
Westrin Peter: Critical information infrastructure protection (CIIP); Information &
Security. Volume 7, 2001, pages 67-79, 2001.
WGET / IASC-RGT, Report from the 11th WGET plenary meeting to the XIV
meeting of the IASC-WG; Geneva, 10-11 May 2001.
WGET Resolution on MInimum Security Telecommunications Standards (MISTS);
11th Plenary Meeting in Rome, Italy on May 3-4,2000.
White paper, the Clinton administration’s policy on critical infrastructure protection:
Presidential decision Directive 63, 22 May 1998.
Whitehead Jay: Perspective: why IT will love homeland; CNET News.com,
13 November 2002.
Williams Darryl, Alston Richard: Joint news release, protecting Australia's critical
infrastructure, 29 November 2002.
Wilson Mark, Hash Joan: Computer security, building an information technology
security awareness and training program; NIST, Gaithersburg, October 2003.
Winter driving: you, your car and winter storms, Self-help advice; Government of
Canada, 12 December 2002.
Winter power failures, Self-help advice; Government of Canada, 12 December
2002.
Wireless emergency response team (WERT), Final Report from the September
11, 2001 New York City, World Trade Center Terrorists Attack; October 2001.
Wireless task force report, wireless priority service: NSTAC, August 2002.
Wireless task force report, wireless security: NSTAC, January 2003.
Wireline network spectral integrity, final report and recommendations; NRIC V
Network Reliability and Interoperability Council, Focus Group 3; 4 January 2002.
Wolfer Arnold „National Security” As an Ambiguous Symbol”, Political Science
Quaterly LXVII. (Dec.1952) str. 484
Wong Nancy “Critical Infrastructure and Information Assurance: A working Context
and Framework” ” w „Security in the Information Age”, Joint Economic Committee
United State Congress, 05-2002
Wood Mark (G4HLZ): Disaster communications, Part 1 (Gobal); Disaster Relief
Communications Foundation, First edition, June 1996.
102
Woodward John D.: Privacy vs. security: electronic surveillance in the nation’s
capital; RAND, March 2002.
Working Group on Emergency Telecommunications / Inter-Agency Standing
Committee, Reference Group of Telecommunications; 13th Plenary Meeting;
Rome, Italy, 17 - 18 June 2002.
Working paper EAPC (CCPC), WP (2002)03 Civil Communications Planning
Committee CEP consequences of the Tampere convention; NATO, 5 March 2002.
Wynegar Don: Communications and information infrastructure assurance program
(CIIAP) FY 2000, Presentation to Communications and Information Sector
Working Group National Telecommunications and Information Agency; NTIA, 30
May 2000.
Yake Terry J., Ireland Ross K.: Increased interconnection, Task group II report,
Network Reliability Council; Sprint Corporation; Metcalf, 14 January 1996.
Yang Seung Taik: Welcoming address ITU new initiatives workshop - on creating
trust in critical network infrastructures; Seoul -Korea, 20 May 2002.
Yang-Shin Cha, Ministry of Information and Communication: Korea’s approach to
network security; ITU workshop on creating trust in critical network infrastructures;
Seoul- Republic of Korea, 21 May 2002.
Yoran Amit: Homeland security's cybersecurity chief homeland security's
cybersecurity efforts; Washingtonpost.com, 11 February 2004.
Young Ray: Channel reservation vs. PACA, queuing: a comparison of priority call
handling techniques; Office of the manager, National communications system;
Technology and standards division, Volume 6, No 1; January 1999.
Young Ray: Differentiate services – one solution for priority over the Internet;
Office of the manager, National communications system; Technology and
standards division, Volume 7, No 1; April 2000.
Young Ray: Wireless IP – internet without wires; Office of the manager national
communications system; Technology and program division, Volume 7, No 4;
August 2000.
Yu Peter K.: What business should know about cyberterrorism; Gigalaw.com,
October 2001.
Zeichner Lee M., “Use of the Defense Production Act of 1950 for Critical
Infrastructure Protection ” w „Security in the Information Age”, Joint Economic
Committee United State Congress, 05-2002
.
103
104

Podobne dokumenty