NATO Cyber Defence

Vážení čtenáři OWOP, rád bych se podělil s výsledky malé ankety, kterou jsem provedl v průběhu cvičení kybernetické obrany NATO 2010 v ústředí řídícího týmu cvičení, kde bylo zastoupeno víc než 16 účastníků cvičení.

V té době jsem společně s týmem, se kterým jsem vypracovával koncepci kybernetické obrany Ministerstva obrany, řešil otázku organizačního členění této problematiky v rámci rezortu, kde je v současnosti gestorem této problematiky bezpečnostní ředitel ministerstva, zatímco kontrolní orgány zajišťující tuto činnost jsou v podřízenosti ředitelství sekce komunikačních a informačních systémů, resp. 34 základny KIS, která zajišťuje provoz většiny rezortních informačních a komunikačních systémů.

Organizační otázky vždy naráží na různé zájmy týkající se budoucnosti personálu zmíněných orgánů a jejich rozpočtu a dobře míněné teoretické úvahy o správnosti toho či jiného řešení nemusí vždy uspět v konfrontaci s realitou. Proto jsem se rozhodl využít v rámci možností empirického přístupu a zjistit od našich aliančních kolegů zastoupených na cvičení, zda jako v ČR jsou jejich kontrolní orgány kybernetické obrany podřízené provozu, resp. jaký je vztah bezpečnostního manažera a řízení provozu informačních systémů.

Anketa byla provedena v průběhu cvičení a odpovědi zmíněných kolegů ne nutně odpovídají oficiální linii jejich rezortů, jedná se však bez výjimek o výpovědi lidí, kteří v této oblasti pracují a v dané chvíli odpovídali soukromně na otázku kolegy.

Otázka: Jakým způsobem je kybernetická obrana v ozbrojených silách zařazena do organizační struktury Vaší instituce? Je součástí řízení IT či jiné organizační složky? Jakou zkušenost máte s tímto řešením?

Německý národní zástupce: Kybernetická obrana je řešena v rámci sekce odpovědné za řízení a plánování IT. Ta je však důrazně oddělena od provozu těchto technologií, který je součástí příslušné sekce v rámci generálního štábu. Bezpečnostní politika je tedy vytvářená v rámci ministerstva obrany.

Italský národní zástupce: V současnosti je kybernetická obrana součástí řízení IT, nicméně působí to potíže související s někdy protichůdnými potřebami těchto problematik. Proto v současnosti usiluji přesunutí této problematiky pod bezpečnostního manažera.

Národní zástupce Spojeného království: Tuto otázku nelze takto zjednodušit. Information Assurance (informační zajištění) je v podřízenosti bezpečnostního manažera, kybernetická obrana v podřízenosti řízení IT. Obě složky nicméně sídlí ve stejné budově a těsně spolupracují.

Národní zástupce Estonska: Kybernetická obrana je v podřízenosti bezpečnostního manažera.

Litevský národní zástupce: Počítačová bezpečnost je podřízená bezpečnostnímu manažerovi, avšak problematika jako taková má úzkou vazbu na litevský ekvivalent Národního bezpečnostního úřadu.

Národní zástupce Slovenka: středisko reakce na počítačové incidenty je v současné době podřízené ozbrojeným silám, nicméně je tu snaha jej přesunout pod vojenským bezpečnostním úřadem.

Národní zástupce Norska: Vojenský i národní CERT jsou v podrizenosti narodniho bezpecnostniho uradu.

Národní zástupce Belgie : Kybernetická obrana je v podřízenosti bezpečnostního manažera v rámci zpravodajských složek zabezpečující tuto činnost pro armádu.

Národní zástupce Rakouska: Kybernetická obrana v podřízenosti bezpečnostního ředitele ministerstva obrany

Národní zástupce Dánska: Kybernetická obrana je v podřízenosti bezpečnostního manažera v rámci zpravodajských složek zabezpečující tuto činnost pro armádu.

Národní zástupce Řecka: Kybernetická obrana má samostatné oddělení spadající přímo do podřízenosti generálního štábu. Toto oddělení je v jiné organizační větvi než oddělení výstavby a provozu IT.

Národní zástupce Nizozemska: V současnosti je kybernetická obrana v podřízenosti řízení IT, v příštím roce se však plánuje její přesun do jiné složky ministerstva.

Pozn. V této době Nizozemsko bylo v procesu výstavby národního střediska kybernetické obrany a požádalo ČR o možnost vyslání pozorovatele do ČR. V současné době na rozdíl od ČR Nizozemí má schválenou vládní strategii kybernetické obrany a funkční národní středisko kybernetické obrany. USA jsem záměrně nezařadil do této ankety vzhledem k tomu, že tamější situaci nelze srovnat s ČR.

Shrnutí:

• 9 států vede kybernetickou obranu odděleně od provozu IT, 7 z nich v podřízenosti ekvivalentu Bezpečnostního ředitele a 2 ve zvláštní oddělené struktuře;
• 3 státy vedou kybernetickou obranu v rámci řízení a provozu IT a VŠECHNY uvažují o vyčlenění kybernetické obrany z této organizační složky;
• 0 států vede kybernetickou obranu v rámci provozu IT a jsou s tímto stavem spokojeny.