Jacek Grzechowiak

Teza, że infrastruktura krytyczna jest miejscem mającym bezpośredni wpływ na życie całego społeczeństwa, a jednocześnie ogniskuje się w nim wiele zagrożeń, w obliczu wydarzeń z ostatnich tygodni wydaje się płaska, by nie rzec banalna. Świat zmienił się diametralnie – to także już truizm. Lecz to już jest za nami. Co więc nas czeka? Jak podejść do nowych (i czy na pewno nowych) wyzwań? To są pytania, z którymi mierzymy się codziennie.

Kto, co jest naszym przeciwnikiem, a kto lub co zasobem krytycznym?

Dotychczasowe spojrzenie na zagrożenia infrastruktury krytycznej koncentrowało się na incydentach i ich konsekwencjach dla obiektu lub procesów w nim zachodzących, a tym samym na skutkach zaburzenia tych procesów dla ludności. Podejście takie pomijało (bądź uwzględniało w niewielkim stopniu) oddziaływanie incydentu, jaki wydarzył się w obiekcie niebędącym infrastrukturą krytyczną, na procesy zachodzące w obiektach IK. Brzmi to trochę zawile, więc warto przedstawić na przykładach.

Kiedy w październiku 2017 r. w galerii handlowej w Stalowej Woli doszło do ataku nożownika, słowo „krytyczny” odnosiło się praktycznie wyłącznie do stanu zdrowia ofiar tego zamachu. Niewiele osób zwróciło uwagę na to, że do zabezpieczenia tego incydentu skierowano wszystkie karetki pogotowia z dwóch powiatów (sic!). Tym samym w dwóch powiatach osiągnięto krytyczny stan w elemencie infrastruktury krytycznej, jakim bez wątpienia jest system ratownictwa medycznego. Każdy zawał serca, każdy udar, każde inne schorzenie wymagające szybkiej interwencji zespołu medycznego stały się problemem poważniejszym. A przecież incydent miał miejsce w obiekcie nienależącym do IK…

Incydent jednak wcale nie musi być tak drastyczny, jak w Stalowej Woli, aby oddziaływać destrukcyjnie na „usługę krytyczną”, jaką jest bezpieczeństwo publiczne. Przykładem jest bójka wielu osób w jednej z poznańskich galerii handlowych, która spowodowała konieczność skierowania tam aż 11 radiowozów, przez co znaczna część Poznania została pozbawiona patroli policji. Złodzieje z pewnością mieli lżej…

Na szczęście ani w jednym, ani w drugim przypadku nic drastycznego się nie wydarzyło.
Ale jeśli przypomnimy sobie, że Ustawa o zarządzaniu kryzysowym pod pojęciem infrastruktury krytycznej rozumie m.in. usługi kluczowe dla obywateli oraz służące zapewnieniu sprawnego funkcjonowania przedsiębiorców, zdamy sobie sprawę, że każdy z tych przykładów był tak naprawdę ingerencją w infrastrukturę krytyczną. To zaś prowadzi do wniosku, że incydent wcale nie musi dotyczyć obiektu IK, aby jego skutki oddziaływały negatywnie na infrastrukturę krytyczną.

Czas pandemii pokazał drugie oblicze tego problemu, przyniósł bowiem potrzebę szybkiej reakcji, w dodatku reakcji na zagrożenia praktycznie wcześniej nieznane, bo …pojawił się wróg niewidzialny, niewyczuwalny i bardzo często niedający żadnych ostrzeżeń wstępnych. Wróg znany w wąskiej dziedzinie medycyny, ale praktycznie niemal nieznany w komercyjnej ochronie. Wróg nietolerujący bylejakości. Wymagający zmiany sposobu postrzegania rzeczywistości…¹. Nasze postrzeganie rzeczywistości musiało się zmienić w trybie nagłym – i to się stało. Pracownicy ochrony podjęli działania w zakresie prewencji pandemicznej niemal „z marszu”. Były potknięcia i problemy, ale per saldo udało się rozwijać nie tylko konkretne działania na różnym, najczęściej wysokim poziomie efektywności. Zyskano przy tym także doświadczenie w szybkim i rozsądnym, a nade wszystko efektywnym rozwiązywaniu problemów wcześniej nieznanych, a tym samym niezdiagnozowanych.

To cenna lekcja, bo dziś ochrona musi się zmierzyć z kolejnymi zagrożeniami, które wcale nie muszą być wymierzone w obiekty IK, aby przynieść konsekwencje w postaci zaburzenia usług krytycznych. Podstawy do reagowania w skrajnych sytuacjach są, działają i wygląda na to, że jest to efektywne.

(Re)definicja IK, czyli naszego pola walki

Życie niesie niestety nowe wyzwania, które najczęściej wymagają nieszablonowego spojrzenia zarówno na spectrum zagrożeń, jak i kierunki oraz sposoby ich oddziaływania. Musimy więc kolejny raz przeanalizować, skąd, kiedy i w jaki sposób mogą się one pojawić oraz co, gdzie i jak mamy wtedy robić. Powszechnie wiadomo, że mamy w naszym kraju obiekty podlegające obowiązkowej ochronie, co nie oznacza automatycznie, że muszą stanowić część infrastruktury krytycznej. Obiekt nie musi nawet należeć do tej kategorii, aby incydent, do którego w nim dojdzie, dotyczył usług krytycznych. To zaś wymaga dużo szerszego spojrzenia na bezpieczeństwo usług krytycznych i wzięcia pod uwagę zagrożeń dla nawet niewielkich obiektów, z pozoru nienarażonych na żadne szczególne zagrożenia, które w określonych uwarunkowaniach mogą stać się ważnym celem działań organizacji przestępczych, a nawet służb obcych państw.

Siłą rzeczy – a dziś, jak nigdy wcześniej – musimy uwzględnić aktualną sytuację geopolityczną, w jakiej znaleźliśmy się wraz z rozpoczęciem agresji Rosji na Ukrainę. Groźna sytuacja powinna skłaniać nas do analizy zagrożeń wynikających z agresywnej polityki Rosji, wymagając od wszystkich bardziej wnikliwego spojrzenia na bezpieczeństwo obiektów nie tylko ponadprzeciętnie narażonych na zagrożenia wynikające ze „standardowych” uwarunkowań politycznych. Uwarunkowania polityczne mogą bowiem sprawić, że obiekt zaliczany do kategorii „zwykłych” stanie się całkiem „niezwykły” ze względu na jego profil produkcji, która obecnie jest wysyłana masowo do Ukrainy.
Czy to musi być od razu broń i amunicja? To oczywiście z pewnością będzie asortyment szczególnie ryzykowny, ale po pierwsze obiekty te już obecnie podlegają szczególnej ochronie, po drugie jest przecież cała gama wyrobów o niskim zdawałoby się profilu ryzyka.

„Standardowe” konserwy mięsne nagle stały się żywnością MRE (Meal, Ready-to-Eat). Czy wcześniej nie były tą kategorią żywności? Oczywiście że były, ale… Standardowe okulary ochronne obecne w każdym zakładzie przemysłowym i z tego powodu traktowane jak coś prozaicznego, nagle stały się towarem pierwszej potrzeby walczącej armii. Jeśli mają jeszcze powłokę chroniącą przed promieniowaniem laserowym, są już zasobem wysoce pożądanym, dającym żołnierzom je posiadającym odpowiednią przewagę. A skoro tak, takie okulary z łatwością mogą stać się celem agresywnych działań, jakich dotychczas nie doświadczali ich producenci.

Kamizelki kuloodporne to oczywistość, ale już cordura (rodzaj tkanin wysoce odpornych na przetarcia), stazy (opaski) taktyczne czy baterie nie są tak traktowane, a przecież produkuje się je w obiektach niepodlegających szczególnej ochronie – jednak dziś są masowo dostarczane armii ukraińskiej. Zmiana ich przeznaczenia i gwałtowny wzrost zapotrzebowania, wreszcie potencjalne skutki braku tego asortymentu sprawiają, że zaczyna się on stawać zasobem jak najbardziej krytycznym. Jego brak może prowadzić do zaburzeń funkcjonowania całego społeczeństwa lub dużej jego części, do turbulencji w funkcjonowaniu systemu ratownictwa, czyli wchodzimy ewidentnie na pole zarządzania kryzysowego, a więc i infrastruktury krytycznej.

Przykładem incydentu, który powinien skłaniać do refleksji, jest przypadek składu amunicji w czeskiej wiosce Vrbětice. Ta mała miejscowość położona na pograniczu czesko-słowackim, zamieszkana przez 300–400 osób, w roku 2014 stała się miejscem jednego z najbardziej tajemniczych incydentów ostatnich lat. W obiekcie należącym do prywatnej firmy handlującej bronią i chronionym przez prywatną agencję ochrony doszło do sporej liczby incydentów, w tym dwu potężnych eksplozji rozrzucających odłamki w promieniu kilku kilometrów. Jak donoszą media, ślady prowadzą do rosyjskich wojskowych służb specjalnych. Podłożem tych incydentów miały być właśnie broń i środki pola walki, które z tego miejsca miały zostać przetransportowane do Ukrainy².

Jak więc widać, jest sporo argumentów, by spojrzeć na swój obiekt przez pryzmat jego krytycznego znaczenia. I to nie tylko w aspekcie bezpieczeństwa i obronności Polski, ale także w kontekście wsparcia obronności Ukrainy. Ten czynnik dziś może być szczególnie ważny. Bardzo szybko może się okazać, że nasz obiekt, który nie należy do infrastruktury krytycznej, a nawet nie podlega obowiązkowej ochronie, ma wszelkie atrybuty do uznania go za jej część. Dlatego też celowe jest ponowne przeprowadzenie analizy zagrożeń w chronionych obiektach z wykorzystaniem narzędzi, które z pozoru nie są przeznaczone do „zwykłych” obiektów.

Przykładem takiego narzędzia jest metodyka Evil Done³, powszechnie uważana za narzędzie dedykowane zagrożeniom terrorystycznym i obiektom szczególnie na nie podatnym. Ma ona wiele walorów pozwalających na wielowskaźnikowe zbadanie podatności obiektu i kontekstu, w jakim on funkcjonuje, a tym samym umożliwia bardziej wnikliwe spojrzenie na nasz obiekt i zagrożenia, jakim on podlega. Akty sabotażu nawet w obiektach niepowodujących zagrożeń wynikających z poważnej awarii przemysłowej (seveso) są w stanie wygenerować ryzyko innego rodzaju, jak choćby blokada drogi czy linii kolejowej, bezpośrednie czy pośrednie uszkodzenia sieci elektro-energetycznej, gazowej, wodociągowej. Konieczność odcięcia dostaw energii, gazu czy wody może mieć negatywne konsekwencje dla obiektów sąsiadujących, prowadząc do konieczności awaryjnego wstrzymania operacji (szczególnie produkcyjnych). Dlatego dotychczasowe postrzeganie bezpieczeństwa ukierunkowane na bezpieczeństwo zasobów chronionych, a zwłaszcza krytycznych w tradycyjnym rozumieniu, musi zostać zmienione. Trzeba zacząć myśleć w kategoriach obiektów i zasobów krytycznych w kontekście konkretnej sytuacji, która będzie zmieniała priorytety. Obecne sztywne podejście i nieco „zamknięty” katalog obiektów stanowiących infrastrukturę krytyczną zdaje się właśnie odchodzić do lamusa.

Wśród tych obiektów i procesów – podobnie jak w czasie pandemii – ważną rolę odgrywa logistyka. Obserwowany obecnie proces wsparcia Ukrainy przybrał wręcz niesamowite rozmiary. Liczba zaangażowanych w pomoc osób, wolumeny żywności, odzieży, środków medycznych są tak duże, że jeszcze niedawno były trudne do wyobrażenia. Bez logistyki więc ani rusz. A skoro jest to miejsce tak ważne dla nas i dla Ukrainy, to… dla przeciwników jest ważne dokładnie tak samo. W ten sposób logistyka staje się ewidentnie infrastrukturą krytyczną.

Włączmy elastyczność myślenia

Nasze regulacje prawne opisują rodzaje obiektów IK, ale dynamicznie pojawiły się całe branże, których rola co do meritum nie zmieniła się, natomiast znaczenie – na razie jedynie dla Ukrainy – zmieniło się radykalnie. To musi skłaniać do refleksji, do poważnego rozważania, czy „sztywny” katalog ma wciąż rację bytu. Historia pokazuje, że każdy kryzys (a konflikt zbrojny jest niewątpliwie kryzysem) przynosi nowe rozwiązania oraz przewartościowuje dotychczasowe procedury i modele postępowania.

Jedną z potencjalnych tego konsekwencji wydaje się większa elastyczność w definiowaniu IK. Przyporządkowanie obiektu do tej kategorii nie powinno być sztywne, ale uzależnione od kontekstu, sytuacji, w jakiej znajduje się zarówno państwo, jak i obiekt. Unikalna produkcja może bowiem być w polu zainteresowań organizacji terrorystycznych czy służb specjalnych w kontekście dostaw tych produktów do nawet odległego państwa. I wtedy zagrożenie, mające korzenie gdzieś daleko, zmaterializuje się u nas, choć nasze wskaźniki bezpieczeństwa niczego takiego nie sygnalizowałyby. Przypadek składu amunicji we Vrběticach jest właśnie tego przykładem. A jako że obecne wsparcie Ukrainy jest ekstremalnie szerokie, jeśli chodzi o asortyment, to zagrożenia również znacznie się rozszerzyły, obejmując dużą część naszej gospodarki.

Nasza armia, czyli szukamy uzbrojenia

Dużą część zjawisk mogących skutkować incydentem w bezpieczeństwie mogą ujawniać pracownicy ochrony. I w praktyce tak się dzieje. Jednak dziś wchodzimy na zupełnie inny poziom – poziom infiltracji i sabotażu jako zagrożeń realnych. Co więcej, zagrożeń o rosnącym ryzyku wystąpienia. Tak jak w przypadku pandemii, niezbędna jest aktywna odpowiedź na wszystkich etapach zarządzania bezpieczeństwem i przy dużym skupieniu uwagi na zdolnościach personelu ochronnego, jego potencjale intelektualnym, wreszcie na jego świadomości. Dzisiaj np. wyciekający olej silnikowy czy jazda z niezabezpieczonym lub źle zabezpieczonym ładunkiem nie muszą świadczyć jedynie o lekceważeniu przepisów BHP. A zaobserwowany osobnik wyposażony w butle gazowe, palniki oraz inne akcesoria potrzebne do demontażu rurociągu⁴ wcale nie musi być złodziejem złomu. Jeszcze kilka tygodni temu tak byśmy go postrzegali, dziś należy poszukać także innych możliwych znaczeń takiego symptomu, każdy może bowiem wskazywać na przygotowania lub dokonywanie sabotażu.

Czy wcześniej nie były ich symptomami? Oczywiście mogły być, tyle że dzisiaj zagrożenie sabotażem jest już na zupełnie innym poziomie. Podobnie jak infrastruktura krytyczna obejmująca znacznie szersze obszary, niż określa to definicja ustawowa.
Obecnie rozmowa z nieznajomym o naszych obowiązkach w zakresie wykonywanej usługi ochrony powinna włączać czerwone światło ostrzegawcze. Zresztą tak jak wcześniej, jednak teraz wypytywanie jest prowadzone w sposób bardziej wyrafinowany. Pracownik słabo przeszkolony nie tylko nie ochroni informacji wrażliwych, ale nawet nie zauważy, że był poddany indagacji. Być może tak właśnie było we Vrběticach.

Przypomina mi się jedna z konferencji w Akademii Leona Koźmińskiego, podczas której trzy studentki prawa przedstawiły wyniki badań: Ochrona pod lupą. Czego nie wiedzą klienci centrów handlowych – taśmy z wideokamer, zarys kompetencji pracownika ochrony obiektu, szefowie agencji⁵, referując uczestnikom konferencji, do jakich informacji dotarły, i to bez nadmiernego wysiłku. A były to informacje naprawdę wrażliwe. Jesteśmy 7 lat po tej konferencji. I powiem wprost: branża te siedem lat zmarnowała.

Literatura
1 J. Grzechowiak „IK w czasie pandemii, czyli stara atmosfera w nowym klimacie…”
2 https://cs.wikipedia.org/wiki/V%C3%BDbuchy_muni%C4%8Dn%C3%ADch_sklad%C5%AF_ve_Vrb%C4%9Btic%C3%ADch
3 A. Tomalska „Ewaluacja celów ataku terrorystycznego w przestrzeni publicznej przy zastosowaniu modelu EVIL DONE”, www.abw.gov.pl [dostęp 16.08.2021].
4 https://tychy.policja.gov.pl/k27/informacje/wiadomosci/65404,Rurociag-na-zlom.html
[dostęp 05.03.2021]
5 https://docplayer.pl/17796734-Sprawozdanie-z-ogolnopolskiej-konferencji-naukowej-prywatna-ochrona-bezpieczenstwa.html

Jacek Grzechowiak Menedżer ryzyka i bezpieczeństwa. Absolwent WAT, studiów podyplomowych w SGH i Akademii L. Koźmińskiego. Gościnnie wykłada na uczelniach wyższych. W przeszłości związany z grupami Securitas, Avon i Celsa, w których zarządzał bezpieczeństwem i ryzykiem. Obecnie pełni funkcję pełnomocnika Zarządu ds. Ryzyka i Bezpieczeństwa w TAURUS OCHRONA.

Zobacz inne artykuły tego autora:
Logistyka – ciągłość działania oczami praktyka
Wyzwania ochrony obiektów rozproszonych
Jakie lekcje z wycieków danych powinien wyciągnąć biznes
Różne oblicza bezpieczeństwa infrastruktury krytycznej