Recenzent: dr hab. inż. Jerzy Kosiński, profesor uczelniMorskie Centrum Cyberbezpieczeństwa / Akademia Marynarki Wojennej

Projekt okładki i stron tytułowych Anna Kulikowska

Ilustracja na okładce Stevanovicigor/iStock

Wydawca Adam Filutowski

Koordynator ds. redakcji Adam Kowalski

Redaktor Małgorzata Dąbkowska-Kowalik

Produkcja Mariola Grzywacka

Dział reklamy Magdalena Bystrzycka ([email protected])

Dział marketingu [email protected]

Skład wersji elektronicznej na zlecenie Wydawnictwo Naukowe PWN S.A.: Michał Latusek

Książka, którą nabyłeś, jest dziełem twórcy i wydawcy. Prosimy, abyś przestrzegał praw, jakie im przysługują. Jej zawartość możesz udostępnić nieodpłatnie osobom bliskim lub osobiście znanym. Ale nie publikuj jej w internecie. Jeśli cytujesz jej fragmenty, nie zmieniaj ich treści i koniecznie zaznacz, czyje to dzieło. A kopiując jej część, rób to jedynie na użytek osobisty. Szanujmy cudzą własność i prawo.

Szanujmy cudzą własność i prawo.

Więcej na www.legalnakultura.pl Polska Izba Książki

Copyright ? by Wydawnictwo Naukowe PWN SA

Warszawa 2026

DOI https://doi.org/10.53271/2026.056

ISBN 978-83-01-25041-6

eBook został przygotowany na podstawie wydania papierowego z 2026 r. (Wydanie I)

Warszawa 2026

Wydawnictwo Naukowe PWN SA

02-460 Warszawa, ul. Gottlieba Daimlera 2

tel. 22 69 54 321; faks 22 69 54 288

infolinia 801 33 33 88

e-mail: [email protected]; [email protected]

www.pwn.pl

Wykaz skrótów

Akronimy i skróty

ACL

Access Control List

C2

Command and Control

CAG

Consensus Audit Gudelines

CCE

Common Configuration Enumeration

CER

Critical Entities Resilience (Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2557 z dnia 14 grudnia 2022 r. w sprawie odporności podmiotów krytycznych i uchylająca dyrektywę Rady 2008/114/WE)

CERT

Computer Emergency Response Team

CIA

Confidentiality, Integrity, and Availability

CIS

Center for Internet Security

COTS

Commercial off-the-Shelf

CPE

Common Platform Enumeration

CSA

Cloud Security Alliance

CSoA

Cyber Solidarity Act

CSIRT

Cyber Security Incident Response Team

CSP

Cloud Service Provider

CVE

Common Vulnerabilities and Exposures

CVSS

Common Vulnerability Scoring System

DCS

Distributed Control Systems

DARPA

Defense Advanced Research Projects Agency

DHCP

Dynamic Host Configuration Protocol

DLP

Data Loss Prevention

DORA

Digital Operational Resilience Act (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011)

DMS

Database Management System

DNS

Domain Name System

DPI

Deep Packet Inspection

EDR

Endpoint Detection and Response

ENISA

European Network and Information Security (od 2019 roku: European Union Agency for Cybersecurity)

ETA

Event Tree Analysis

FIRST

Forum of Incident Response and Security Teams, Inc.

FMEA

Failure Mode and Effects Analysis

FSA

Functional Safety Assessment

FTA

Fault Tree Analysis

GRC

Governance Risk and Compliance

HAZOP

Hazard and Operability Studies

HIPAA

Health Insurance Portability and Accountability Act

HTTP

Hypertext Transfer Protocol

HTTPS

Hypertext Transfer Protocol Secure

IaaS

Infrastructure as a Service

IACS

Industrial Automation and Control Systems

IaC

Infrastructure as Code

IAM

Identity and Access Management

IDS

Intrusion Detection System

IICB

The Interinstitutional Cybersecurity Board

IoCs

Indicators of Compromise

IoT

Internet of Things

IP

Internet Protocol

IPL

Independent Protection Layer

IPS

Intrusion Prevention System

ISAC

Information Sharing and Analysis Center

ISO

International Organization for Standardization

IT

Information Technology

KRI

Krajowe Ramy Interoperacyjności (Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych. Dz.U. z dn. 22.05.2024 r. poz. 773)

KSC

Krajowy System Cyberbezpieczeństwa

LOPA

Layer of Protection Analysis

MC

Ministerstwo Cyfryzacji

MDM

Mobile Device Management

MF

Ministerstwo Finansów

MFA

Multi-Factor Authentication

MITRE ATT&CK

MITRE Adversarial Tactics, Techniques, and Common Knowledge?

MS-ISAC

Multi-State Information Sharing and Analysis Center

NaaS

Network as a Service

NCSA

National Cyber Security Alliance

NIDS

Network Intrusion Detection System

NIS

Network and Information Systems Directive (Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii)

NIS2

Network and Information Systems Directive2 (Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148)

NIST

National Institute of Standards and Technology

OS

Operating System

OSS

Open Source Software

OVAL

Open Vulnerability and Assessment Language

OWASP

Open Web Application Security Project

PaaS

Platform as a Service

PAM

Privileged Access Management

PCI

Payment Card Industry

PFD

Probability of Failure on Demand

PHA

Process Hazard Analysis

PKN

Polski Komitet Normalizacyjny

PLC

Programmable Logic Controllers

PrHA

Preliminary Hazard Analysis

RBI

Risk Based Inspection

RODO

Rozporządzenie o Ochronie Danych Osobowych

RRF

Risk Reduction Factor

RTCA

Radio Technical Commission for Aeronautics

QRA

Quantitative Risk Analysis

SaaS

Software as a Service

SCADA

Supervisory Control and Data Acquisition

SIEM

Security Information and Event Management

SIP

System Integrity Protection

SMS

Short Messaging Service

SIF

Safety Instrumented Function

SIL

Safety Integrity Level

SIS

Safety Instrumented System

SOC

Security Operations Center

SQL

Structured Query Language

SSDF

Secure Software Development Framework

SSH

Secure Shell

SSO

Single Sign-On

Telnet

Teletype Network

THR

Tolerable Hazard Rate

TLS

Transport Layer Security

TTPs

Tactics, Techniques, and Procedures

UDT

Urząd Dozoru Technicznego

UKSC

Ustawa o KSC (ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. z 2024 r. poz. 1077 i 1222)

URL

Uniform Resource Locator

USB

Universal Serial Bus

VPN

Virtual Private Network

WPA2

Wi-Fi Protected Access 2

Wprowadzenie

Inspirację do napisania tej książki stanowiły obserwacje przekazów medialnych, publikacji (mniej i bardziej naukowych) oraz dyskusji na forach takich jak LinkedIn dotyczących zagadnień "cyberbezpieczeństwa". Z obserwacji tych wynika istotny wniosek -używane tam pojęcia, jak np. cyberprzestrzeń czy cyberbezpieczeństwo, generujące kolejne terminy takie jak "ataki cybernetyczne" czy "cyberhigiena" są różnie rozumiane i interpretowane w zależności od tego, jakie grupy lub poszczególne osoby tych pojęć używają, a tzw. "legalne" wykładnie tych pojęć tylko zaciemniają sprawę. Drugi powód to wzmożony przez różne regulacje prawne (NIS2, KRI, RODO, DORA itp.) nacisk na "ogląd" rzeczywistości przez pryzmat wyników szacowania ryzyka. Paradygmat postrzegania działalności biznesowej poprzez ryzyko związane z tą działalnością nie jest nowy - obowiązuje co najmniej od początku tego stulecia. Ostatnio jednak pojęcie ryzyka zostało przypisane do zdolności świadczenia usług przez organizacje nie tylko wchodzące w skład infrastruktury krytycznej, ale także przez podmioty publiczne, co jest dość istotną zmianą w stosunku do wcześniejszego postrzegania ryzyka i działalności biznesowej w skali państwa. W efekcie słowo ryzyko obok cyberbezpieczeństwa stało się słowem chyba najczęściej używanym w dyskusjach polityczno-militarno-gospodarczych i podstawą wielu przedsięwzięć na szczeblu poszczególnych organizacji biznesowych oraz organizacji takiej jak państwo. Dlatego zasadniczą część tej książki stanowią odniesienia do ryzyka jako podstawy podejmowania decyzji oraz sposobów jego szacowania.

Książkę Cyberprzestrzeń, cyberbezpieczeństwo, cyberryzyko można zaliczyć do grupy podręczników wspomagających kształcenie specjalistów w dziedzinie cyberbezpieczeństwa. Może ona być przydatna także dla studentów, a także kadry zarządzającej podmiotami publicznymi oraz zakładami przemysłowymi, która musi się mierzyć z problemami cyberbezpieczeństwa zarówno z powodów praktycznych, jak i wprowadzonych uregulowań prawnych. Podstawową trudnością przy pisaniu tej książki był wynikający z ww. przyjętych założeń dobór tematów oraz sposób ich opisu. Mam nadzieję, że udało mi się to zrobić dobrze, chociaż zawsze istnieje obawa, że wybór i opis był nietrafiony - nie-technicy uznają go za zbyt techniczny, a technicy za zbyt powierzchowny. Uważam jednak, że książka ta może być przydatna dla specjalistów zajmujących się, z racji wykonywanej profesji, bezpieczeństwem informacyjnym oraz studentów szkół wyższych na specjalnościach mających w nazwach takie określenia, jak "cyberbezpieczeństwo", "cyberobrona", "bezpieczeństwo sieci i systemów", "inżynieria bezpieczeństwa" itp., które to można znaleźć na kierunkach studiów nie tylko informatycznych, ale również na kierunkach takich jak "Bezpieczeństwo Narodowe" czy "Bezpieczeństwo Wewnętrzne"[1].

Na książkę składa się siedem głównych rozdziałów. Rozdział pierwszy nosi tytuł "Cyberprzestrzeń i pojęcia pochodne". Pojęcie cyberprzestrzeni, szeroko używane w przekazach medialnych i ogólnie w dyskursie publicznym, traktowane jest - co wskazano już we wstępie - jako coś zrozumialego samo przez się. Niestety prawda jest inna - wystarczy zapytać rozmówcę szermującego w dyskusji pojęciami cyberprzestrzeni czy cyberbezpieczeństwa, co te słowa znaczą i co opisują, a okaże się, że jest z tym kłopot. A przecież cyberprzestrzeń stanowi podstawę innych pojęć, mających przyrostki "cyber". Proponowany, wraz z uzasadnieniem, sposób interpretacji tych pojęć to podstawowa treść rozdziału pierwszego. Wymienione w tytule rozdziału "pojęcia pochodne" to zagrożenie, podatność i incydent jako elementy składowe złożonych pojęć takich jak bezpieczeństwo i cyberbezpieczeństwo. Sposób ich rozumienia i praktyczne konsekwencje związane z takim, a nie innym rozumieniem (przykładem może być tutaj rygorystyczne rozróżnianie zagrożenia od sposobu jego realizacji) stanowi treść drugiej części rozdziału pierwszego. Zestawienie pojęć stanowiących, w opinii piszącego te słowa, zrozumiały i spójny zbiór definicji z zakresu "cyber" jest zamieszczone w ramce na końcu rozdziału pierwszego. Kryterium przydatności i trafności tych definicji i ich interpretacji powinno być to, czy mogą być podstawą merytorycznego, rzeczowego, precyzyjnego i niesprzecznego dyskursu o współczesnej rzeczywistości nasyconej techniką i technologią informatyczną. Mam nadzieję, że Czytelnicy uznają, że wprowadzony zestaw definicji, choć nie zawsze zgodny z powszechnie używanymi, spełnia to kryterium.

W rozdziale drugim są przedstawione różne poglądy na to, co oznacza słowo "pomiar". Podstawą wszelkiej dzialalności technicznej powinna być znajomość mierzalnych i weryfikowalnych faktów dotyczących zarówno prowadzonych działań, jak i środowiska tej działalności. Jak głosi cytat zamieszczony na początku rozdziału drugiego: Jeśli potrafisz zmierzyć to, o czym mówisz, i wyrazić za pomocą liczb, to znaczy, że wiesz coś o tym. Ale jeśli nie potrafisz tego zmierzyć, jeśli nie potrafisz wyrazić tego za pomocą liczb, twoja wiedza jest niewystarczająca. Kłopot polega na tym, że słowa "pomiar" używa się zarówno w odniesieniu do czynności technicznej mierzenia wielkości fizycznych, jak i do bliżej niesprecyzowanych działań mających na celu "mierzenie" wytworów pojęciowych takich jak "bezpieczeństwo" czy "miłość". A "pomiar ryzyka" czy "pomiar bezpieczeństwa" to frazy, które coraz częściej spotyka się w treści różnych formalnych uregulowań z zakresu cyberbezpieczeństwa oraz w dyskusjach specjalistów. Zatem na pewno warto im się bliżej przyjrzeć i przyjąć do dalszych rozważań ich jednoznaczną interpretację.

Rozdział trzeci jest skoncentrowany na pojęciu ryzyka i jego węższym wariancie - cyberryzyku. Przedstawiono w nim obszerną dyskusję pojęcia "ryzyko" zarówno w ujęciu potocznym, jak i formalnym. Opisano także szczegółowo proces zarządzania przez organizację ryzykiem związanym z przetwarzaniem informacji. Ryzyka związanego z przetwarzaniem informacji w systemach informacyjnych nie da się całkowicie wyeliminować. Dlatego kwestią kluczową dla zarządzania ryzykiem jest utrzymanie równowagi między łatwością użytkowania systemu informacyjnego a zabezpieczeniami implementowanymi w ramach funduszy przeznaczonych na "bezpieczeństwo". Celem zarządzania ryzykiem jest zatem wdrażanie zabezpieczeń "tyle, ile potrzeba". Rozdział kończy autorska koncepcja realizacji zadania zarządzania ryzykiem przez jednostki samorządu terytorialnego, który to problem z perspektywy bezpieczeństwa państwa (przynajmniej jeszcze na początku roku 2026) jest niezmiernie istotny i czeka na sensowne rozwiązanie.

W rozdziale czwartym opisano sposoby szacowania ryzyka przy zapewnianiu cyberbezpieczeństwa systemów informacyjnych. Implementacja niepotrzebnych zabezpieczeń oznacza marnowanie zasobów (w tym funduszy) oraz sprawia, że użytkowanie i utrzymywanie systemu staje się trudniejsze. Trzeba jednak zwrócić uwagę, że zapewnianie bezpieczeństwa przemysłowego (patrz rozdział piąty) wymaga zwykle redundancji zabezpieczeń, co na pierwszy rzut oka można uznać za niepotrzebne. Z kolei niezaimplementowanie wymaganych zabezpieczeń oznacza narażenie zasobów informacyjnych na utratę tajności, integralności lub dostępności, co może negatywnie wpłynąć (i zwykle wpływa) na działalność biznesową organizacji. W przypadku systemów przemysłowych brak odpowiednich zabezpieczeń zwykle oznacza katastrofę z niejednokrotnie bardzo dotkliwymi skutkami dla ludzi i środowiska pracy takich systemów. W części pierwszej rozdziału czwartego podano algorytm szacowania ryzyka według metodyki APR. W części drugiej omawiane są problemy występujące przy jakościowym szacowaniu ryzyka, takie jak "Czarne łabędzie" i niedoskonałości map ryzyka. Trzecia część rozdziału to trzy obszerne przykłady pokazujące zastosowanie metodyki APR.

Rozdział piąty nosi tytuł "Cyberbezpieczeństwo sieci i systemów przemysłowych". Szeroko rozumianym bezpieczeństwem wspomnianych w tytule systemów zajmowali się i nadal się zajmują automatycy i elektronicy. Od czasu podłączenia tego typu systemów do sieci rozległych takich jak Internet specjaliści ci muszą uczyć się współdziałania z informatykami, co w praktyce oznacza także uzgodnienie i przyjęcie jednakowo interpretowanej i zrozumiałej dla obu grup specjalistów terminologii. Te dwa światy - bezpieczeństwa przemysłowego i bezpieczeństwa informacyjnego - już dawno zostały sprzężone, ale często nadal postrzega się je jako światy odmienne, rządzące się różnymi regułami, standardami i uregulowaniami prawnymi. Przykładem mogą być chociażby publikacje z zakresu cyberbezpieczeństwa - bardzo rzadko znajdują się w nich techniczne analizy zagadnień bezpieczeństwa sieci przemysłowych[2]. Rodzi to trudności w określaniu np. zakresu cyberbezpieczeństwa w obszarze sieci i systemów przemysłowych, co przekłada się m.in. na pytanie, kto (tj. specjaliści z jakich i jak zorganizowanych komórek organizacyjnych zakładów przemysłowych) powinni się zajmować pacyfikacją jakich incydentów. A jest to zagadnienie istotne, o czym świadczą chociażby doświadczenia z wojny na Ukrainie. Zdaniem piszącego te słowa, już czas, aby na zagadnienia cyberbezpieczeństwa spojrzeć nie oddzielnie, przez pryzmat świata informacyjnego i świata przemysłowego, lecz łącznie, bo powiązania między nimi stają się coraz silniejsze i coraz bardziej skomplikowane, wprowadzając istotny element synergii w dziedzinie podatności na realizacje różnych zagrożeń. Pierwsza część rozdziału piątego to wprowadzenie do zagadnienia cyberbezpieczństwa sieci i systemów przemysłowych, uzupełnione o krótko zaprezentowane istotne normy i standardy z tego obszaru. Są to: seria norm IEC 62443, zalecenia organizacyjne SANS oraz Kompendium niemieckiego urzędu ds. bezpieczeństwa informacyjnego. Druga część druga rozdziału piątego dotyczy szacowanie ryzyka w zapewnianiu cyberbezpieczeństwa systemów przemysłowych. W tej części są przedstawione trzy metody (wybór autorski) analiz zagrożeń i szacowania ryzyka stosowane do systemów IACS (Industrial Automation and Control Systems). Są to metody LOPA, HAZOP i FTA, z których dwie ostatnie można, praktycznie bez istotnych zmian, zastosować także do systemów informacyjnych. Trzecia część tego rozdziału dotyczy diagnostyki technicznej w zapewnianiu cyberbezpieczeństwa systemów przemysłowych. Ta część jest swoistym uzupełnieniem treści rozdziału drugiego o pomiarach.

Rozdział szósty to "Metodyki ochrony zasobów informacyjnych przed cyberatakami". Zostały w nim opisane modele Diamentu i Kill Chain oraz framework MITRE ATT&CK. Te elementy składają się w sumie na organizacyjną i techniczną podstawę najnowszych trendów zapewniania cyberbezpieczeństwa, a ich znajomość przez specjalistów od tego przedsięwzięcia jest sine qua non.

Ostatni, siódmy rozdział książki, nosi tytuł "Cyberbezpieczeństwo łańcuchów dostaw". Ostatnie lata to czas wojny, pandemii, przyspieszającej globalizacji i nasilającej się rywalizacji głównych mocarstw o zasoby i rynki. Elementem szczególnie wrażliwym na działania związane z ww. czynnikami są łańcuchy dostaw (ang. supply chain), od których zależy zarówno płynność działania gospodarki państwa powiązanych takimi łańcuchami, jak i sukcesy na polu walki. Łańcuchy dostaw są wrażliwe także na działania z wykorzystaniem cyberprzestrzeni, szczególnie w przypadku cyfrowych łańcuchów dostaw (ang. digital supply chain). Dostrzeżenie tego faktu zaowocowało szeregiem nowych regulacji prawnych, zapisanych w takich dokumentach jak NIS2 czy CER w obszarze europejskim, a także zmianami w istniejących normach i standardach technicznych, i wydaniem nowych standardów ukierunkowanych bezpośrednio na łańcuchy dostaw (jak np. ISO 28001 i NIST SP 800-161). W wydanej przez ENISA prognozie[3], na pierwszym miejscu na liście "Top Ten Cybersecurity Threats" znajduje się Supply Chain Compromise of Software Dependencies. Wydaje się, że są to wystarczające powody, aby temu zagadnieniu poświęcić nieco więcej uwagi.

W zakończeniu wskazano i krótko opisano te zagadnienia, których Czytelnik mógł się spodziewać w tej książce, a które zostały pominięte. Główne z nich to sztuczna inteligencja (AI) oraz cyberprzestępczość.

W książce jest używane ogólne określenie wrogi podmiot. Może nim być podmiot indywidualny (jakaś osoba) lub grupowy (grupa przestępcza, służby obcego państwa itp.), który celowo wykonuje działania przynoszące szkody podmiotowi, przeciwko któremu są one skierowane. To określenie porządkuje dyskurs, ponieważ znaczeniowo obejmuje wszystkie popularne określenia, takie jak adwersarz, intruz, haker, atakujący, cyberprzestępca itp., eliminując rozmaitość nazw i jednocześnie nie blokując, w razie potrzeby, przypisania określonej roli wrogiemu podmiotowi.

W książce zamieszczono wiele przykładów i definicji. Koniec każdego przykładu jest oznaczony znakami * * * *, a każdej definicji - znakami - - - -. Przyjęto zasadę, że definicje, tabele, przykłady i rysunki są numerowane za pomocą dwóch cyfr rozdzielonych kropką. Pierwsza cyfra jest numerem rozdziału głównego, w którym jest zamieszczona definicja, przykład lub rysunek, druga zaś jest cyfrą oznaczającą kolejność definicji, tabeli, przykładu lub rysunku w ramach rozdziału.

ROZDZIAŁ 1Cyberprzestrzeń i pojęcia pochodne

Nie ma większej przeszkody w rozwoju wiedzy niż wieloznaczność słów.

Thomas Reid

Coraz większa złożoność "świata informacyjnego" sprawia, że osoby odpowiedzialne za szeroko rozumiane przetwarzanie informacji oraz właściciele tych informacji szukają sposobów upewnienia się, że ich informacje są "bezpieczne". To m.in. powoduje wzrost zleceń na wykonywanie "testów bezpieczeństwa" i "audytów bezpieczeństwa" mających, w rozumieniu zamawiających, dać obiektywną odpowiedź na temat "bezpieczeństwa informacji", czy też - ujmując problem nieco inaczej - obiektywną ocenę stanu zabezpieczeń informacji. Niestety, podstawowy kłopot polega na tym, że samo pojęcie "bezpieczeństwo" jest rozmyte.

Socjolog zdefiniuje je zapewne jako "podstawową potrzebę człowieka, którą należy zaspokoić", ale jest to definicja zupełnie nieprzydatna dla inżyniera. Gestor informacji zwykle rozumie pod tym określeniem niedopuszczenie do nieuprawnionego dostępu do niej ("wycieku" informacji) lub manipulacji na niej wykonanej w ramach "ataków hakerskich". Z kolei osoba odpowiedzialna za poprawne działanie systemów sterowania (często będą to tzw. systemy czasu rzeczywistego) pod określeniem "bezpieczeństwa informacji" najczęściej będzie rozumiała dotrzymanie odpowiednich reżimów czasowych w jej odbieraniu i dostarczaniu do odpowiednich układów wykonawczych. Na to wszystko nakłada się dodatkowo medialno-prawnicza nowomowa o "bezpieczeństwie cyberprzestrzeni" czy (sic!) "bezpieczeństwie cyberprzestrzeni RP".

Dlatego w tym rozdziale wprowadza się podstawowe pojęcia związane z problematyką ochrony informacji i zasobów teleinformatycznych, takie jak bezpieczeństwo, cyberbezpieczeństwo, zagrożenie, podatność oraz incydent. Wymienione terminy (i inne, których definicje są w treści niniejszej książki) będą stosowane w podanej interpretacji, aby uzyskać spójność treści. Pierwsza definicja dotyczy pojęcia "cyberprzestrzeń", podstawowego dla tematyki tej książki.

1.1. Cyberprzestrzeń

Znany filozof mówił[4], że słowa stwarzają świat i że za ich pomocą można czynić dobro lub zło. Ja dodałbym, że za ich pomocą możemy też znacznie utrudnić sobie i innym życie. Ten rozdział dotyczy właśnie takiego słowa, a jest nim słowo "cyberprzestrzeń" (ang. cyberspace). Termin "cyberprzestrzeń" i terminy pokrewne, takie jak "cyberbezpieczeństwo" na stałe zagościły w porządku prawnym różnych krajów, w normach, standardach i opracowaniach zarówno naukowych, jak i popularnych, oraz w mass mediach. Terminy te wyznaczają obiecujące (sukcesami naukowymi) pola badań socjologicznych i nauk wojskowych - powstały już dzieła na temat teorii walki w cyberprzestrzeni [7] oraz trwają prace nad adaptacją znaków taktycznych nanoszonych na mapy wojskowe do zobrazowania na takich mapach działań w cyberprzestrzeni [31], zostały też napisane podręczniki (i na pewno jeszcze wiele takich zostanie napisanych) mające w tytule słowa z przedrostkiem "cyber". Jednocześnie terminy takie jak cyberprzestrzeń czy cyberbezpieczeństwo są cały czas redefiniowane i interpretowane z różnych perspektyw: zwalczania przestępczości komputerowej, zwalczania terroryzmu, zwalczania działań ukierunkowanych na bezpieczeństwo państwa realizowanych przez bliżej niezidentyfikowane wrogie podmioty itp. Co więcej (kto wie, czy nie jest to najważniejszy element tej układanki), na "cyber" są przeznaczane olbrzymie pieniądze [38], chociażby w ramach programów Unii Europejskiej[5].

Ponieważ nie chcę być uważany za malkontenta, który kontestuje nowomowę (nowomowa - patrz [27] i rozdział 4) i to, co inni dawno uznali za oczywiste i zrozumiałe, w tym rozdziale przedstawiam swój pogląd na to, co określa się nazwą cyberspace (a po polsku cyberprzestrzeń) i tym samym dokładam swoją interpretację tego terminu do już istniejących. Ale, zgodnie z regułami sztuki, najpierw przedstawię - mocno okrojoną ze względu na ramy książki - dyskusję innych uznanych definicji tego terminu.

1.1.1. Definicje cyberprzestrzeni

Na wstępie przetoczę jedną z wcześniejszych definicji, z połowy lat 90. XX wieku, która zawładnęła wyobraźnią nie tylko wyznawców "New Age", ale także przedstawicieli kultury i mass mediów. Jest to definicja amerykańskiego poety Johna Perry'ego Barlowa, zamieszczona w jego A Declaration of the Independence of Cyberspace [2]:

Cyberprzestrzeń składa się z sieci transakcji, relacji oraz myśli, ułożonych w kształt stojącej fali w sieci naszej komunikacji. Nasz świat jest zarazem wszędzie i nigdzie, ale na pewno nie tam, gdzie żyją ciała.

Ta definicja (i sam manifest) na pewno spodoba się wszystkim kontestatorom istniejącego ładu społeczno-technologicznego, wszystkim niepokornym duchem oraz wyznawcom nieograniczonej wolności (cokolwiek miałoby to znaczyć). Niestety dla inżyniera, który otrzymał zadanie np. zabezpieczenia cyberprzestrzeni RP[6], jest ona nieprzydatna. Zwykle w takich okolicznościach inżynier będzie próbował dotrzeć do tzw. legalnych definicji konkretnych pojęć, podanych w różnych ustawach i/lub rozporządzeniach, które trzeba bezkrytycznie przyjąć i stosować. Taka polska definicja będącego tematem tego rozdziału terminu jest zamieszczona w [55] na str. 6 (definicja ta jest powielana też w później opublikowanych dokumentach):

cyberprzestrzeń - przestrzeń przetwarzania i wymiany informacji tworzona przez systemy teleinformatyczne określone w art. 3 pkt 3 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz.U. nr 64. poz. 565 z późn. zm.) wraz z powiązaniami pomiędzy nimi oraz relacjami z użytkownikami; zgodnie z art. 2 ust. 1b ustawy z dnia 29 sierpnia 2002 r. o stanie wojennym oraz o kompetencjach Naczelnego Dowódcy Sil Zbrojnych i zasadach jego podległości konstytucyjnym organom Rzeczypospolitej Polskiej (Dz.U. nr 156, poz. 1301 z późn. zm.), art. 2 ust. dla ustawy z dnia 21 czerwca 2002 r. o stanie wyjątkowym (Dz.U. nr 113, poz. 985 z późn. zm.) oraz art. 3 ust. 1 pkt 4 ustawy z dnia 18 kwietnia 2002 r. o stanie klęski żywiołowej (Dz.U. nr 62, poz. 558 z późn. zm.).

Na pewno wadą tej definicji jest jej nieczytelność - jej zrozumienie wymaga sięgania do innych aktów prawnych, a w jednym przypadku są głębsze odwołania. Po usunięciu odnośników otrzymuje się taką definicję cyberprzestrzeni (kursywą jest zaznaczony fragment tekstu wstawiony do definicji z innych aktów prawnych):

cyberprzestrzeń - przestrzeń przetwarzania i wymiany informacji tworzona przez zespoły współpracujących ze sobą urządzeń informatycznych i oprogramowania, zapewniających przetwarzanie i przechowywanie, a także wysyłanie i odbieranie danych poprzez sieci telekomunikacyjne za pomocą właściwego dla danego rodzaju sieci urządzenia telekomunikacyjnego przeznaczonego do podłączenia bezpośrednio lub pośrednio do zakończeń sieci wraz z powiązaniami pomiędzy nimi oraz relacjami z użytkownikami.

Jak można zauważyć, jest to typowa definicja enumeracyjna, będąca wyliczanką obiektów o określonych cechach, w wyniku której otrzymujemy zbiór obiektów i zbiór powiązań/relacji. Pytanie, które się tutaj natychmiast nasuwa, to pytanie, jak elementy tych zbiorów TWORZĄ PRZESTRZEŃ?

Do wyjaśnienia są także następujące wątpliwości:

1. W którym ze znaczeń jest użyte słowo przestrzeń w definicji cyberprzestrzeni?

2. W definicji mamy najpierw informację potem dane - czy są one używane zamiennie?

3. Czym się różnią relacje od powiązań? W jakim znaczeniu użyto słowa "relacja"? Potocznym?

4. Jak należy rozumieć sformułowanie "urządzenie informatyczne"? Czy np. smartfon, który obecnie jest urządzeniem dostępowym do Internetu, zalicza się do takich urządzeń? Czy jest to tylko (...) właściwe dla danego rodzaju sieci urządzenie telekomunikacyjne przeznaczone do podłączenia bezpośrednio lub pośrednio do zakończeń sieci?

Ale najistotniejszym pytaniem dotyczącym podanej definicji jest pytanie pierwsze - w jakim znaczeniu użyto słowa "przestrzeń"? Słownik języka polskiego podaje następujące znaczenia rzeczownika "przestrzeń":

przestrzeń

1. "nieograniczony obszar trójwymiarowy, w którym zachodzą wszystkie zjawiska fizyczne"

2. "część takiego obszaru objęta jakimiś granicami; też: miejsce zajmowane przez jakiś przedmiot"

3. "rozległa, pusta powierzchnia bez wyraźnie oznaczonych, widocznych granic"

4. "odległość między czymś a czymś"

5. "ogół zjawisk społecznych, politycznych itp."

Z kolei z Encyklopedii Powszechnej [49] można się dowiedzieć, że termin "przestrzeń" jest używany w filozofii, fizyce i matematyce. Dla filozofa przestrzeń jest jedną z podstawowych form istnienia materii i najczęściej jest charakteryzowana jako ogół relacji zachodzących pomiędzy obiektami bądź zbiorami obiektów. W dziejach filozofii "przestrzeń" była różnie definiowana i postrzegana: jako próżnia (Demokryt), jako byt samoistny, niezależny od materii (koncepcja przestrzeni absolutnej Newtona), jako przestrzeń relacyjna (Leibnitz), jako przestrzeń logiczna ("możliwych stanów rzeczy", Wittgenstein) lub jako część złożonego tworu o geometrii zależnej od rozkładu i ruchu mas (czasoprzestrzeń w ogólnej teorii względności Einsteina).

Na rozumienie idei przestrzeni przez filozofów istotnie wpływała inna z nauk - fizyka. Pojęcie przestrzeni w fizyce zmieniało się z biegiem lat, w miarę rozwoju tej dziedziny wiedzy. Obecnie przyjmuje się, że najbliższe rzeczywistości jest pojęcie przestrzeni (dokładniej: czasoprzestrzeni) w ogólnej teorii względności. Natomiast matematyka, zajmująca się zagadnieniami formalnymi przestrzeni, dostarcza przede wszystkim aparatu matematycznego do opisu przestrzeni fizycznej.

Powszechnie przyjmuje się także, że rozumienie terminu "przestrzeń" zależy od kultury, względem której go odnosimy, z racji na różne sposoby wykorzystania, dzielenia i nazywania przedmiotu. Międzykulturowe podobieństwo w pojmowaniu przestrzeni wynika z określania jej za pomocą ciała ludzkiego [44], które wyznacza kategorie: wysoko-nisko, przód-tył, lewa-prawa, centrum-dalsze otoczenie. Ciało ludzkie wyznacza także kierunki, położenie i odległość.

Sytuacja się komplikuje, jeżeli termin "przestrzeń" obciążymy dodatkowym określeniem, budując takie złożenie jak np. cyberprzestrzeń. Większość rozważań (patrz np. [6]) obraca się wokół tego, jak się ma desygnat metaforycznego terminu "cyberprzestrzeń" do przestrzeni realnej[7]. Czy jest to osobny (oddzielny) byt czy też są to przestrzenie odmienne, ale połączone, gdzie działania wykonane w jednej z nich mogą mieć swe konsekwencje w drugiej. Zauważono, biorąc pod uwagę głośny swojego czasu manifest Barlowa [2], z którego zaczerpnięta jest podana na początku tego rozdziału definicja cyberprzestrzeni, że w kulturze popularnej lat 90. XX wieku termin cyberspace (cyberprzestrzeń) był używany jako określenie "lokacji", w której ludzie mogli wchodzić we wzajemne relacje przy użyciu Internetu. Twierdzono również, że (...) jest możliwym do przyjęcia założeniem, że cyberprzestrzeń jest "prawie jak" przestrzeń rzeczywista, jeżeli tylko zignoruje się to, że cyberprzestrzeń jest zaludniona przez rzeczywistych użytkowników, którzy doświadczają cyberprzestrzeni i przestrzeni rzeczywistej jako odmiennych, ale połączonych, gdzie działania wykonane w jednej z nich, mogą mieć swe konsekwencje w drugiej [8].

Interesująca dyskusja dotycząca definicji cyberprzestrzeni wprowadzonych do porządku prawnego wybranych państw Unii Europejskiej jest przedstawiona w [45]. Jako pozytywny przykład nieuleganiu owczemu pędowi bezkrytycznego adaptowania do prawa krajowego terminów wymyślonych przez Wielkiego Brata można wskazać Holandię. W wydanej w tym kraju w 2011 roku strategii cyberbezpieczeństwa pojęcia cyberprzestrzeni się nie używa. Obszar, którego bezpieczeństwo stało się celem wprowadzenia holenderskiej strategii, określony został skrótem ICT (ang. Information and Communications Technology - Technologia Informacyjna oraz Komunikacyjna), zdefiniowanym w dokumencie jako: ogół cyfrowych informacji, informacyjnej infrastruktury, komputerów, systemów, oraz oprogramowania, a także interakcje zachodzące pomiędzy technologią informacyjną, a światem fizycznym, w odniesieniu do których następuje proces komunikacji oraz wymiany informacji [9].

Inna z szeroko uznawanych za punkt wyjścia oraz powszechnie cytowanych dziś definicji cyberprzestrzeni została sformułowana w ramach prac amerykańskiego Departamentu Obrony (US Department of Defense, DoD), mających na celu stworzenie jednolitego słownika terminologii wojskowej oraz powiązanej [54]. W zawartej w nim definicji możemy przeczytać, że cyberprzestrzeń to:

"Globalna domena środowiska informacyjnego składająca się ze współzależnych sieci tworzonych przez infrastrukturę technologii informacyjnej (IT), włączając Internet, sieci telekomunikacyjne, systemy komputerowe a także osadzone w nich procesory oraz kontrolery"[10].

Przypisy

[1] Uzupełnieniem treści zawartych w tej książce może być zawartość książki: Liderman K., Bezpieczeństwo informacyjne. Nowe wyzwania [28], w której można znaleźć m.in. informacje na temat formalnych modeli bezpieczeństwa, dokumentowania systemu (cyber)bezpieczeństwa oraz oceny stanu ochrony zasobów informacyjnych i systemów teleinformatycznych, na które zabrakło już miejsca w niniejszej książce.

[2] Analizy bezpieczeństwa działania sieci i systemów przemysłowych można jednak znaleźć w publikacjach z zakresu automatyki i elektroniki lub instytucji kontroli i nadzoru, takich jak Urząd Dozoru Technicznego, który prowadzi także działalność edukacyjną poprzez organizowanie konferencji tematycznych, wydawanie biuletynu branżowego i bardzo dobrze opracowanych publikacji, w tym z zakresu bezpieczeństwa IACS.

[3] ENISA, Foresight Cybersecurity Threats for 2030 - UPDATE. Executive Summary. March 2024.

[4] Abraham Heschel (1907-1972).

[5] https://cyberpolicy.nask.pl/strategia-bezpieczenstwa-cybernetycznego-unii-europejskiej-otwarta-bezpieczna-i-chroniona-cyberprzestrzen/.

[6] O tym, że nie jest to zadanie wydumane, świadczy np. raport NIK: Informacja o wynikach kontroli realizacji przez podmioty państwowe zadań w zakresie ochrony cyberprzestrzeni RP. KPB-4101-002-00/2014, nr ewid. 42/2015/p/14/043/KPB.

[7] Obszerne i rzetelne rozważania nt. różnych definicji cyberprzestrzeni są zawarte w [45] w rozdziale II pt. Cyberprzestrzeń oraz przestępczość w cyberprzestrzeni - zagadnienia definicyjne.

[8] W oryginale: (...) it is possible to assert that cyberspace is "just like" real space only if one ignores that cyberspace is peopled by real users who experience cyberspace and real space as different but connected, with acts taken in one having consequences in the other ([6], str. 212).

[9] W oryginale: (...) ICT is the entirety of digital information, information infrastructures, computers, systems, applications and the interaction between information technology and the physical world regarding which there is communication and information exchange. Krajowa Strategia Cyberbezpieczeństwa. Sukces poprzez współpracę. str. 2.

[10] W oryginale [54]: cyberspace - a global domain within the information environment consisting of the interdependent network of information technology infrastructures, including the Internet, telecommunications networks, computer systems, and embedded processors and controllers.