Jacek Grzechowiak

W styczniu tego roku w mediach pojawiły się informacje dotyczące interwencji Morskiej Służby Poszukiwania i Ratownictwa prowadzonej u ujścia Martwej Wisły w Gdańsku. Do zdarzenia doszło w sąsiedztwie bardzo ważnych obiektów, będących zapewne obiektami infrastruktury krytycznej, czyli trzech terminali: kontenerowego, węglowego oraz paliwowego. Co się tam stało?

Według pierwszych medialnych doniesień interwencja dotyczyła udzielenia pomocy barce lub motorówce, która tonęła. Na jej pokładzie znajdowało się trzech obywateli Hiszpanii, którzy mieli nurkować co najmniej 6 godzin w rejonie, gdzie ich odnaleziono.

Potem pojawiły się szczegółowe informacje. Według nich łódź poszkodowanych nie tonęła, a jedynie uległ awarii układ sterowania. Hiszpanie (?) zostali przetransportowani na ląd, a tam przekazano ich funkcjonariuszom policji. Później mieliśmy okazję dowiedzieć się, że cudzoziemcy nurkowali podobno w bezpośrednim sąsiedztwie Naftoportu, gdzie ponoć poszukiwali bursztynu. Po przesłuchaniu zostali zwolnieni, pozostawiając swoje numery telefonów. Dwa okazały się nieaktywne, trzeci za długi. Niestety nie sprawdzono numerów telefonów, Hiszpanie zaś szybko opuścili Polskę.

Co wiemy o nocnych poszukiwaniach bursztynu?

Po tym zdarzeniu przez Polskę przetoczyła się medialna burza. Pojawiły się teorie spiskowe, utrudniając prowadzenie rzeczowej dyskusji, jaką należy podjąć po tym, co wydarzyło się na Bałtyku.

Zdarzenie to bardzo szybko zostało powiązane z wybuchem gazociągu Nord Stream, w którego przypadku szwedzka prokuratura podejrzewa zamach terrorystyczny, a także z wybuchem gazociągu łączącego Litwę i Łotwę oraz z awarią przewodu energetycznego zasilającego Bornholm i innego podobnego zdarzenia w odniesieniu do przewodu łączącego Polskę i Szwecję.

Niezależnie od tego, jakie są fakty, „hiszpański” incydent powinien skłonić do refleksji wszystkich zarządzających bezpieczeństwem, nie tylko tych sprawujących kontrolę nad obiektami stanowiącymi infrastrukturę krytyczną.

Zdarzenie to po rozłożeniu na części wskazuje na kilka ciekawych elementów:

• używanie łodzi bez oświetlenia – czy po to, by uzyskać ochronę przed obserwacją, połączoną jednocześnie z możliwością wyśledzenie tego, jakimi środkami dysponują służby;
• brak środków łączności radiowej, by uniknąć namierzenia nie tylko przez służby prowadzące stały nasłuch radiowy, ale także przez radioamatorów cywilnych. Prawda jest taka, że zarówno złodzieje, jak i organizacje terrorystyczne, a także służby specjalne ostrożnie stosują środki łączności radiowej podczas realizowanych przedsięwzięć.

Hipotezy vs wątpliwości

Mając na względzie te elementy, można rozważyć kilka hipotez dotyczących tego, co „hiszpańscy nurkowie” robili u polskiego brzegu. Każda z nich może okazać się błędna, gdyż zasób posiadanych informacji jest niewielki.

Hipoteza nr 1 – działanie pozoracyjne

Prowadzone w celu odwrócenia uwagi od działania zasadniczego realizowanego w tym samym czasie w innym miejscu. Przykładem takiego działania może być lokalizacja ładunków wybuchowych na dnie morskim, by dokonać ich zdalnej eksplozji w dogodnym czasie.

Za tą hipotezą przemawia relatywnie wiele śladów, jakie zostawili sprawcy, jakby wręcz chcieli rzucać się w oczy. Do tego dochodzi sprzęt niskiej jakości i pogoda, które stanowią wręcz podręcznikowe alibi. Jeśli weźmiemy pod uwagę „teorię nieprzypadkowych przypadków”, to mamy naturalną sytuację angażującą wiele służb, odwracając uwagę od pozostałej części akwenu i infrastruktury. A uszkodzenie napędu można bardzo łatwo upozorować.

Są również argumenty przeciw, np. nieuwzględnienie zmiany warunków pogodowych. Gdyby robili to terroryści lub służby specjalne, ten aspekt raczej zostałby uwzględniony, choć historia wojen uczy, że warunki atmosferyczne potrafiły przeszkodzić nawet w poważnych operacjach zbrojnych, mimo że ich przygotowanie uwzględniało pogodę.

Hipoteza nr 2 – penetracja przestępcza

Za tą hipotezą przemawia wykorzystanie sprzętu pozbawionego cech identyfikacyjnych, nigdzie niezarejestrowanego, z niskim echem radiolokacyjnym i elektromagnetycznym, fałszywe dane „Hiszpanów” i ponownie pogoda oraz awaria napędu. Wszystko to daje idealny pretekst do przetestowania systemu reagowania wraz z rozpoznaniem osób, miejsc, procedur, komunikatów, sygnałów, a nawet kryptonimów i oznaczeń stosowanych przez służby (jeśli „Hiszpanie” mieli kamerki czy dyktafony, mogli uzyskać o wiele więcej).

Przeciw przemawia akcja ratownicza. Penetracja przestępcza jest dokonywana albo przez specjalistów od tego działania, albo przez późniejszych sprawców. W obu przypadkach osoby te za wszelką cenę ukrywają swój pobyt w miejscu penetracji, a tutaj powiadomiły SAR, co jest dość irracjonalne, rozważając ten incydent z tej perspektywy.

Hipoteza nr 3 – realizacja działania sabotażowego

Nie mamy danych przemawiających za prawdziwością tej hipotezy, wszak nic nie eksplodowało, przynajmniej na razie. Gdybyśmy patrzyli na argumenty przeciw, z pewnością spojrzelibyśmy na amatorskie działanie sprawców, ale należy zauważyć, że i w przypadku wsi Vrbětice, i zamachu na Skripala rosyjskie służby zostawiły wiele śladów.

Niezależnie od tego, która hipoteza jest najbliższa prawdy, to każda z nich każe nieco inaczej spojrzeć na bezpieczeństwo obiektów, skłaniając do zastanowienia się, czy bezpieczeństwo obiektu powinno zaczynać się na linii ogrodzenia. I do zadania sobie pytania, czy tak mocno podkreślane w polskim prawodawstwie „granice chronionego obiektu i obszaru” faktycznie powinny stanowić koniec działań prewencyjnych. Czy ochrona obiektów, zwłaszcza obiektów infrastruktury krytyczniej, nie powinna obejmować uregulowanej formalnie prewencyjnej aktywności w strefie przyległej do tych obiektów? Czy agencje ochrony nie powinny spojrzeć nieco poza horyzont i tam poszukać wyzwań, które jeszcze niedawno byłyby ciekawym teoretycznym studium przypadku, a dziś zdecydowanie są zagrożeniami, które agencje ochrony muszą rozpatrywać w kategorii rzeczywistych wyzwań.

Zmiana krajobrazu zagrożeń

Pomocne mogą się okazać regulacje Rady Europy w sprawie odporności infrastruktury krytycznej, gdzie potrzeba wzmocnienia odporności fizycznej jest wymieniona wprost, a jednocześnie jednoznacznie stwierdzono, że pojęcie odporności należy rozumieć jako odnoszące się do zdolności infrastruktury krytycznej do zapobiegania zdarzeniom, które w istotny sposób zakłócają lub mogą w istotny sposób zakłócić świadczenie usług kluczowych (…), a także do zdolności tej infrastruktury do ochrony przed takimi zdarzeniami, reagowania na nie, przeciwstawiania się im, łagodzenia lub amortyzowania ich skutków, przystosowywania się do nich lub przywracania poprzedniego stanu.

Pojęcie odporności należy rozumieć jako odnoszące się do zdolności infrastruktury krytycznej do zapobiegania zdarzeniom, które w istotny sposób zakłócają lub mogą w istotny sposób zakłócić świadczenie usług kluczowych.

W dalszej części tego dokumentu napisano, że należy dalej rozwijać możliwości przeprowadzania na szczeblu krajowym testów warunków skrajnych dotyczących infrastruktury krytycznej, ponieważ testy takie mogłyby być przydatne do zwiększenia odporności infrastruktury krytycznej i wreszcie, że ze względu na rosnącą współzależność infrastruktury fizycznej i cyfrowej szkodliwe działania w cyberprzestrzeni ukierunkowane na obszary krytyczne mogą powodować zakłócenia lub szkody w infrastrukturze fizycznej, a sabotaż infrastruktury fizycznej może sprawić, że niedostępne staną się usługi cyfrowe.

To wszystko zdaje się zachęcać do analizy incydentów oraz wykorzystywania ich do tworzenia scenariuszy testowych dla chronionych obiektów, aby doświadczenia z tych testów wzmacniały zdolności ochronne oraz budowały odporność organizacji na zagrożenia wydawałoby się z minionej epoki, które jednak przyszły do nas i powinny być traktowane jako zagrożenia współczesne, rzeczywiste i możliwe do wystąpienia.

Testy penetracyjne ochrony fizycznej są więc rozwiązaniem nie tylko przydatnym, ale w obecnej sytuacji wręcz niezbędnym. I nie mam tu na myśli pomysłów rodem z filmu Mission: Impossible, ale dobrze przemyślany projekt audytowy, zbudowany na precyzyjnym scenariuszu, aby test dawał jak najbardziej wiarygodny wynik, podobnie jak efektywne rozpoznanie najbliższego sąsiedztwa chronionych obiektów oraz jego włączenie do katalogu standardowych działań realizowanych w ramach całego systemu bezpieczeństwa, no i oczywiście zapewnienie ciągłości i wysokiej stałej efektywności tego procesu.

Pamiętajmy, że nie ma absurdalnych scenariuszy, jedynie nasza wyobraźnia jest zbyt uboga… w przeciwieństwie do wyobraźni hiszpańskich „nurków” poszukujących nocą bursztynu w Bałtyku.

Kontekst bezpieczeństwa obiektów IK

Obiekty infrastruktury krytycznej są przedmiotem zainteresowania obcych służb, zwłaszcza w obecnej sytuacji geopolitycznej. Na podstawie analizy różnego rodzaju incydentów można stwierdzić, że to one budują obecny kontekst bezpieczeństwa obiektów w naszym kraju. Przypomnijmy je: Zniszczenie składów broni w czeskiej miejscowości Vrbětice – ustalenia dziennikarzy i wolontariuszy z Belingcat wskazują, iż za zamachem stały rosyjskie służby specjalne. I choć formalnych dowodów na to nie ma, powinniśmy brać pod uwagę to, że możliwe jest dokonanie zamachu także poza strefą działań wojennych w Ukrainie. Choć w obecnej sytuacji geostrategicznej oraz w kontekście obecnych zastosowań zagrożeń informatycznych, które już oficjalnie są nazywane rodzajem wojsk, pojęcie strefy działań wojennych wydaje się już ana- chronizmem. Obecnie incydenty kinetyczne są poprzedzane incydentami informatycznymi. Patrząc z tej perspektywy, nie sposób nie wziąć pod uwagę ostrzeżenia Microsoftu, a następnie oficjalnego potwierdzenia masowego ataku na polskie firmy z branży TSL (Transport, Spedycja, Logistyka), ze wskazaniem, iż ataku dokonała powiązana z Rosją grupa Iridium. Należy przy tym podkreślić, iż atak ten został potwierdzony przez przedstawicieli Rządowego Centrum Bezpieczeństwa podczas konferencji Normalizacja w bezpieczeństwie informacji, cyberbezpieczeństwie i bezpieczeństwie powszechnym zorganizowanej przez Polski Komitet Normalizacyjny. Skoro doszło do tych ataków, to nie można wykluczyć przejścia Rosji do fazy kinetycznej. Incydenty kinetyczne w odniesieniu do infrastruktury transportowej zostały już odnotowane, np. sabotaż Deutsche Bahn. Pojawiają się komentarze, że był to odwet za atak na most Krymski. Nie jest to oczywiście niemożliwe, jednak biorąc pod uwagę niewielką różnicę czasową pomiędzy tymi incydentami, wydaje się to mało prawdopodobne. Tym niemniej Federalny Urząd Kryminalny (Bundeskriminalamt – BKA) ostrzegł przed ryzykiem ponownych ataków na infrastrukturę krytyczną.

Jacek Grzechowiak Menedżer ryzyka i bezpieczeństwa. Absolwent WAT, studiów podyplomowych w SGH i Akademii L. Koźmińskiego. Gościnnie wykłada na uczelniach wyższych. W przeszłości związany z grupami Securitas, Avon i Celsa, w których zarządzał bezpieczeństwem i ryzykiem. Obecnie pełni funkcję pełnomocnika Zarządu ds. Ryzyka i Bezpieczeństwa w TAURUS OCHRONA. Dyrektor Centrum Kompetencji „a&s Polska”.

Zobacz inne artykuły tego autora:
O dobrej i złej synergii dotyczącej systemów zabezpieczeń
Wyzwania ochrony obiektów przemysłowych
Infrastruktura krytyczna w czasach turbulencji
Logistyka – ciągłość działania oczami praktyka
Wyzwania ochrony obiektów rozproszonych