U kritičnim infrastrukturama drugačije nije uopće pogrešno

[Nataša Gajski Kovačić]

Isabella Palla, Ivana Cesarec i Katri Liekkilä tri su mlade stručnjakinje u zaštiti kritičnih infrastruktura, čija su imena u zemljama iz kojih dolaze - Austriji, Hrvatskoj i Finskoj već uvelike prepoznata. Isabella Palla je ekspert za sigurnosne politike u Austrijskom ministarstvu unutarnjih poslova, Ivana Cesarec je viša stručna savjetnica u prevencijskim aktivnostima Državne uprave za zaštitu i spašavanje dok je Katri Liekkilä specijalna savjetnica u Finskoj nacionalnoj agenciji za hitne intervencije. Sve tri održale su predavanja na nedavno održanoj konferenciji o javno-privatnom partnerstvu u zaštiti kritične infrastrukture u Zagrebu u organizaciji časopisa Zaštita i RACVIAC-a. Bila je to prigoda da napravimo intervju s njima i usporedimo odgovore na jednaka pitanja koja smo im postavili kako bismo dobili uvid na koji način se o kritičnoj infrastrukturi promišlja u tri različite europske zemlje – Austriji, Hrvatskoj i Finskoj.

Za početak, navedite nam na kojim točno poslovima vezanim uz kritične infrastrukture radite.
Ivana: Iako unutar Državne uprave za zaštitu i spašavanje (kao koordinatora sustava zaštite kritične infrastrukture u Republici Hrvatskoj), nije formalno uspostavljena ustrojstvena jedinica za poslove KI, unutar Sektora za civilnu zaštitu koji se bavi predmetnim poslovima radim na uspostavi okvira za provođenje procesa vezanih za kritične infrastrukture na nacionalnom nivou, ali i zadaćama koje se odnose na zahtjeve Europske unije prema svim zemljama članicama.

Katri: Radim za Nacionalnu agenciju za hitne intervencije koja je povezana s Ministarstvom ekonomskih poslova i zapošljavanjem Finske. Naša agencija je odgovorna za zaštitu kritične infrastrukture (CIP), koja u Finskoj pripada pod segment Sigurnosti opskrbe.
U praksi se sigurnost opskrbe i CIP provode putem PPP organizacije, nazvane Nacionalna organizacija za hitne intervencije. Tu imamo više od 1000 kritičnih tvrtki iz različitih sektora koji surađuju s nama, kao i predstavnike javnog sektora iz ministarstava i obrambenih snaga. Moja je uloga razviti tu organizaciju zajedno s predstavnicima svih industrija te se pobrinuti da postoji dovoljno razmjene informacija i suradnje.
Osim toga, predstavljam našu Agenciju u EPCIP i ERNCIP programima Europske komisije.

Isabella: U okviru Odjela za sigurnosnu politiku zadužena sam za koordinaciju i razvoj austrijskog programa za zaštitu kritične infrastrukture (APCIP) na strateškoj razini zajedno s Austrijskim federalnim kancelarijama. Operativna provedba odvija se u uskoj suradnji s Odjelom za CIP u Federalnoj agenciji za državnu zaštitu i protuterorizam, koji je dio Ministarstva unutarnjih poslova. Osim toga, radim i na temi cyber sigurnosti i u upravi Ministarstva za vlastite strategije upravljanja.

S obzirom da područje kritičnih infrastruktura nema specifično područje školovanja, na koji način ste se educirale i usavršavale za poslove koje radite u području kritičnih infrastruktura te što još smatrate da vam je potrebno u nadogradnji vaših osobnih kompetencija?
Ivana: Tijekom dodiplomskog studija na Veleučilištu Velika Gorica za vrijeme stjecanja diplome kriznog menadžmenta, kroz nekoliko kolegija, ponuđena je i “Kritična infrastruktura” na kojem se stječu bazična znanja o značaju KI i prijetnji po sustav, no samo kao dio kompleksnog područja kojeg kritične infrastrukture predstavljaju. Imala sam priliku da mi tijekom školovanja dio znanja prenese Damir Čemerin koji je u Republici Hrvatskoj dao veliki obol za normativnu uspostavu okvira zaštite kritičnih infrastruktura, na samim počecima. Na magisteriju iz međunarodnih odnosa i diplomacije Sveučilišta Libertas magistarski rad mi je bio na temu kritičnih infrastruktura, čime je zapravo kroz trajanje mog visokoškolskog obrazovanja KI uvijek bila prisutna. Razvoj osobnih kompetencija je bitan, a uslijed nepostojanja nacionalnih prilika moguće je okrenuti se i internacionalnim mogućnostima što svakako razmatram, pogotovo u segmentu kibernetičke sigurnosti.

Katri: Studirala sam i ekonomske i vojne znanosti. Stvarno vjerujem da je ova kombinacija za moje specifične zadatke idealna, jer kombinira razumijevanje poslovanja koje stiže s mojim ekonomskim studijama a koje kritična poduzeća zahtijevaju i razumijevanje nacionalne sigurnosti i društvene sigurnosti od vojnih znanosti za koju je država odgovorna.
Ono što bih htjela naučiti u budućnosti odnosi se na razumijevanje kritične infrastrukture kao sustava i svih njegovih međuzavisnosti. To zahtijeva produbljivanje znanja o svakom kritičnom sektoru, tako da identificiramo veze, lance opskrbe i područja koja zahtijevaju razvoj.
Tko radi na zaštiti kritične infrastrukture, mora razumjeti važnost infrastrukture za građane kao i usluge o kojima oni ovise. Također je važno razumjeti međuzavisnost između različitih sektora. Što se tiče obrazovanja i osposobljavanja, mislim da je dobra kombinacija imati stručnost u jednom kritičnom sektoru s industrijske strane i povrh toga neki od treninga iz perspektive nacionalne ili društvene sigurnosti.

Isabella: Zahvaljujući svojo prethodnoj karijeri, a bila sam vojnikinja u Austrijskim oružanim snagama te policijska službenica, a osim toga studirala sam i pravo, već sam dobila osnovno razumijevanje za CIP i jačanje otpornosti države. Na početku sam bila opsežno upućena od strane nadređenih i drugih kolega i proučila sam sve relevantne dokumente u vezi s ovom tematikom. Ali veliki dio svojih kompetencija postigla sam upravo zahvaljujući svom radu u ovom sektoru. Neophodno je nastaviti obrazovanje pohađanjem relevantnih tečajeva, konferencija, razmjenom ideja s drugim stručnjacima i biti u bliskoj suradnji s istraživačkim institucijama i akademskim znanjem o ovoj tematici.

Kako ocjenjujete razvoj sustava kritičnih infrastruktura u vašoj zemlji i koje su sljedeće aktivnosti koje su planirane u nastavku razvoja sustava jer navedeni razvoj nije nikad završena priča?
Ivana: U Republici Hrvatskoj zbog nedovoljne razine svijesti o tome što vezani rizici predstavljaju po kritične infrastrukture i niskog interesa dionika (središnjih tijela državne uprave) u ispunjavanju zadaća koje su pred njih stavljene Zakonom o kritičnim infrastrukturama (2013.), cijeli proces je nedovoljno “živ”. Još uvijek je glavni motiv imati konačan (potvrđeni) popis identificiranih kritičnih infrastruktura u RH na čemu se intenzivno radi i nakon dugog perioda imamo konkretnije rezultate. U svrhu što boljeg ispunjavanja zacrtanih ciljeva odlučili smo se za prilagodbu normativnog okvira nakon što je zamijećeno da postojeći u pet godina nije bio u potpunosti funkcionalan. Započeli smo s “Pravilnikom o metodologiji za izradu analize poslovanja kritičnih infrastruktura” koji je 2016. revidiran, a isto nastavljamo sa Zakonom o kritičnim infrastrukturama.

Katri: Riječ je o vrlo važnom pitanju jer je zaista istinito da je zaštita kritične infrastrukture kontinuirana priča. Sveukupni cilj naše Agencije za hitne intervencije je razvoj nacionalne organizacije za hitne intervencije, koja će ići ukorak s promjenama u finskom društvu. Trenutno imamo sedam ključnih sektora pod kojima imamo 21 pool kritičnih tvrtki. Možda će se u budućnosti svijet promijeniti i postojat će potreba za novim poolom ili će se dva poola trebati spojiti zbog promjena u globalnim strukturama tržišta. Uz praćenje finskog društva i globalnih tržišnih uvjeta moramo povećati našu sposobnost praćenja velikih promjena u svijetu, tako da razvijamo svoje vještine predviđanja. Razvili smo šest alternativnih scenarija za budućnost i načine kako bi se sigurnost opskrbe mogla promijeniti u vezi s njima. Sad ćemo početi pratiti globalno okruženje kako bismo razumjeli postaju li ti scenariji istiniti ili ne. Taj proces praćenja pomaže nam razviti Nacionalnu organizaciju za hitne intervencije.

Isabella: U okviru APCIP-a imamo jasno definiran radni plan, kojeg redovito ocjenjuje “CIP Core Team”. Taj se tim u prosjeku sastaje jednom mjesečno i raspravlja o svim relevantnim temama vezanim uz CIP. Jednom godišnje ocjena godišnjeg plana rada i plana rada za nadolazeću godinu dostavlja se “Savjetodavnom odboru CIP-a” i odobrava od strane “Upravnog odbora CIP-a”. Naše glavne aktivnosti su provođenje analize rizika na sektorskoj razini, dovršavanje revizije Vodiča “Sigurnost u tvrtkama od strateškog značaja” (alat za samoprocjenu za CI), daljnje širenje APCIP-a u Saveznim provincijama i usklađivanje s predstojećim austrijskim Zakonom o mrežnoj sigurnosti mreže i sigurnosti informacijskih sustava (NIS).

U kratkim crtama opišite modele javno-privatnog partnerstva u jačanju otpornosti i zaštiti kritičnih infrastruktura u vašoj zemlji?
Ivana: Javno privatno partnerstvo se u RH dugo vremena usko vezalo uz projekte i provedbe izgradnje i održavanja javne građevine u svrhu pružanja javnih usluga, perspektiva se postupno proširila na pružanje usluge privatne zaštite, no tek nova Strategija nacionalne sigurnosti (2017.) ističe koordiniranu sveobuhvatnu suradnju javnog i privatnog sektora u povećanju otpornosti nacionalne kritične infrastrukture. U oba zakona (Zakon o kritičnim infrastrukturama i Zakon o javno-privatnom partnerstvu) trebala bi biti naglašena odrednica JPP u kontekstu zaštite kritičnih infrastruktura kako bi se taj odnos mogao regulirati, a samim time i stekla dodatna razina povjerenja i “otvorenosti” za takvu suradnju.

Katri: Finski PPP model je zapravo Nacionalna organizacija za hitne intervencije. Najranije aktivnosti ove organizacije vraćaju se u 1950-te, pa je to ustvari vrlo star koncept. To je i razlog zašto u Finskoj ne govorimo o CIP i CIP programima toliko, jer CIP je koncept koji je došao nakon naše sigurnosti opskrbe. Za nas sigurnost opskrbe uključuje CIP.

Mislim da je također vrlo važno za države da shvate da su nacionalni pristupi CIP-u potrebni, jer su zemlje toliko različite. Ne postoji način da jedan model odgovara svim zemljama. Ključ je razumjeti odnos nacionalnog pristupa i, primjerice, pristup EU i zašto su različiti. U ovom slučaju drugačije nije uopće pogrešno.

Isabella: Kao nadležni u državi, uspjeli smo izgraditi vrlo dobru kao i dobrovoljnu suradnju s operaterima CI-a koja je karakterizirana međusobnim povjerenjem. Na primjer, naši stručnjaci daju savjete o fizičkoj zaštiti, upravljanju rizicima, upravljanju krizama i cyber sigurnosti razgovarajući s glavnim sigurnosnim operaterima odgovornim za CI. Osim toga, operatori se pozivaju na posebne događaje javno-privatnog partnerstva poput godišnje konferencije “Procjene rizika” ili upravljanja specifičnim za pojedine sektore. Kao opće načelo, APCIP potiče suradnju svih dionika; to znači da operatori, javna uprava i regulatori, ali i istraživačke i normizacijske institucije imaju odgovarajući doprinos daljnjem razvoju i provedbi APCIP-a.

Koje su ključne bilateralne i regionalne okosnice suradnje vaše zemlje u području kritičnih infrastruktura?
Ivana: Republika Hrvatska je do sada prema uputama Direktive 2008/114/EZ o utvrđivanju i označivanju Europske kritične infrastrukture (kao infrastrukture koja se nalazi u državama članicama, a čiji bi poremećaj u radu ili uništenje imalo znatan učinak na najmanje dvije države članice) i procjene potrebe njihove zaštite, navedeno provela sa Slovenijom i Mađarskom. Sa zemljama koje nisu članice Europske unije i koje se na tom nivou smatraju “susjednim zemljama” (Zapadnog Balkana), Srbijom i Bosnom i Hercegovinom surađujemo kroz razmjenu znanja, imamo iskustvo provedbe EU projekta sa Srbijom i angažmanom stručnjaka iz navedenih zemalja na međunarodnim konferencijama koje su organizirane u RH, poput konferencija časopisa Zaštite.

Katri: Surađujemo puno s nordijskim susjedima, Švedskom i Norveškom. Isto tako, Estonija je dobar partner za nas. Švedska i Norveška važne su zbog Baltičkog mora i sjevernih dijelova naših zemalja gdje imamo mnogo zajedničkih interesa. Estonija je bila dobar partner za istraživanje ICT i Cyber-teme gdje oboje imamo visoku stručnu spremu.

Isabella: Na operativnoj razini održavamo suradnju sa susjednim zemljama, ovisno o određenoj prilici vezanoj za sigurnost. Ta je suradnja naravno povjerljiva.
Na strateškoj razini imamo dobru trilateralnu suradnju s Njemačkom i Švicarskom. Ali radujemo se uspostavi suradnje i s drugim (susjednim) zemljama. Tijekom aktualnog austrijskog predsjedanja Vijećem Europske unije usredotočili smo se na promicanje snažnog odnosa, osobito na zemlje Zapadnog Balkana i Istočne Europe.

Na koji način vaša zemlja sudjeluje na razini Europske unije u suradnji i razmjeni informacija u vezi zaštite kritičnih infrastruktura?
Ivana: Suradnja i razmjena informacija na razini Europske unije primarno se odvija kroz sastanke nacionalnih kontakt točaka za kritičnu infrastrukturu (koje svaka zemlja članica dodjeljuje) i koje organizira Europska komisija, isto kao i radionice za “susjedne zemlje” i sastanke za razmjenu znanja i iskustava s Kanadom i Sjedinjenim Američkim Državama. Tu je i suradnja kroz Europsku referentnu mrežu za zaštitu kritične infrastrukture (ERNCIP).

Katri: Sudjelujemo u EPCIP i ERNCIP programima i naravno primjenjujemo i NIS direktivu.

Isabella: Kolega iz Austrijske federalne kancelarije i ja imenovani smo kao kontaktne točke za zaštitu kritičnih infrastruktura u Europskoj komisiji (DG HOME). Polažemo veliku važnost daljnjem razvoju Europskog programa za zaštitu kritičnih infrastruktura (EPCIP) i zato aktivno sudjelujemo na svakom sastanku. Na naš prijedlog smo organizirali “EU-vanjske sastanke partnera o CIP-u” zajedno s Europskom komisijom tijekom našeg predsjedanja Europskom unijom u Beču ovog ljeta.

Navedite jednu ključnu aktivnosti, platformu, projekt ili postignuće koje je ostvareno u vašoj zemlji, a za koju mislite da bi se kao najbolja praksa mogla primijeniti u drugim državama.
Ivana: Tijekom 2015./2016. godine proveden je EU projekt “RECIPE” koji je za cilj imao uspostaviti platformu za razmjenu iskustava i najboljih praksi između stručnjaka i država koje se nalaze na različitim razinama u zaštiti kritičnih infrastruktura (Hrvatska, Švedska, Srbija). Projekt je producirao i “Priručnik (upute) za učinkovitije upravljanje rizicima kritične infrastrukture” koji je javno dostupan svim državama članicama na korištenje, a i sama Europska komisija je projekt prepoznala i proglasila za tu godinu kao projekt s najboljim omjerom rezultata u odnosu na uložen novac Europske unije. Navedeno je motivator za slične projekte i u drugim zemljama.

Katri: Mislim da je naša PPP organizacija sa svojim kritičnim sektorima i bazama kritičkih tvrtki nešto vrlo interesantno za spomenuti. Budući da je povijest organizacije toliko duga, poolovi su vrlo dobro uspostavljeni i imamo istinsko povjerenje između uključenih tvrtki. Brojni razvojni projekti i vježbe dobar su dokaz ambicije tvrtki da zajedno rade kako bi infrastruktura bila sigurna.
Drugi primjer mogao bi biti Ekstranet portal kojim Agencija osigurava da nacionalna organizacija za hitne intervencije i sve njezine kritične tvrtke koriste razmjenu informacija vezanih uz CIP. Mi to financiramo jer želimo osigurati da tvrtke imaju neutralan, ali siguran kanal za razmjenu informacija i planiranje suradnje među sektorima.

Isabella: Ove smo godine počeli sa šifriranom komunikacijom i sigurnom razmjenom informacija i predali smo digitalne radio uređaje najrelevantnijim operaterima kritične infrastrukture. Ove radio uređaje koriste austrijska savezna policija, služba spašavanja i vatrogasci, a radio mrežom upravlja Federalni ministar unutarnjih poslova. Ti digitalni radijski uređaji omogućuju tvrtkama da komuniciraju s vlastima i međusobno u slučaju nestanka struje ili ako normalna telekomunikacijska mreža ne radi ispravno. Također nam omogućuje šifrirano komuniciranje u slučaju slanja ili primanja osjetljivih podataka. Još jedan primjer najbolje prakse, koji želim podijeliti s čitateljima “Zaštite”, jest austrijski program za istraživanje sigurnosti (KIRAS) koji traje od 2005. do 2020. godine. Podržava nacionalne istraživačke projekte čiji rezultati pridonose sigurnosti ključnih infrastruktura.

Kako sveukupno ocjenjujete konferenciju o kritičnim infrastrukturama u Zagrebu 28./29. rujna 2018. i koji su vaši prijedlozi za naredne konferencije ovog tipa?
Ivana: Konferencija je bila izvrsna prilika za uvid u najbolje nacionalne prakse i osigurala objedinjeno međunarodno iskustvo, a ponudila je i mogućnosti za daljnju (proširenu) suradnju među sudionicima. Dodatan značaj konferencije je u obuhvaćanju komponente kibernetičke sigurnosti koja je u današnje doba visoke tehnologije i međuovisnosti svih sustava kritične infrastrukture u mnogim razmatranjima postala primarni sigurnosni izazov. Buduće konferencije bi trebale održavati razinu ekspertize s predavanjima koja idu ukorak sa svim promjenama i dodatnim izazovima po funkcionalnost kritičnih infrastruktura.

Katri: Toliko sam bila sretna što sam došla u Zagreb, jer sam mogla vidjeti koliko je došlo do razvoja u protekle tri godine. U 2015. godini posjetila sam Hrvatsku kako bih saznala više o zaštiti kritične infrastrukture, a tada je zakon koji se odnosi na CIP bio još uvijek nov i rasprava je uglavnom bila u pokušaju pronalaženja pravih načina za njegovo provođenje. Sada postoje već dodatni zakoni i dokumenti, osobito oni povezani sa cyber zaštitom, a sve kako bi se pojačao izvorni zakon. Za mene to pokazuje da ste promišljali o ovoj temi i napredovali u vašem razmišljanju. To odaje dojam da je ova tematika za vas važna.
Također sam impresionirana i razinom prisutnosti privatnog sektora na konferenciji. Teško je dobiti tvrtke da dođu i sjednu za stol i započnu pregovore o tome kako zajedno zaštititi kritičnu infrastrukturu. Obje strane moraju donijeti nešto, osobito javni sektor, jer privatni sektor već donosi infrastrukturu koju posjeduje.
Zakon je dobra polazna točka za stvaranje zajedničkog razumijevanja ciljeva, ali o načinima na koje se oni ostvaruju mora se postići suradnja. I suradnja treba dobru motivaciju. Motivacija javnog sektora je u tome da održe društvo i građane sigurno kroz dobro zaštićenu kritičnu infrastrukturu, a za javni sektor to je ispunjenje obećanja dano kupcima i pružanje pouzdane i cjenovno učinkovite usluge kupcima. To zahtijeva dobro funkcioniranje i zaštićenu kritičnu infrastrukturu.

Moj prijedlog za budućnost je nastavak takvih događaja, jer se čini da se svake godine razvijaju. To znači da sve ovo ima učinka. Nadamo se da u nekom trenutku možete dodati konkretnije ideje PPP-a na konferenciju; možda ćete imati zajedničku vježbu CIP-a i zatim neko vrijeme na konferenciji razgovarati o tome što je dobro i što treba razviti.
Još jedna ideja bila bi tražiti nekoga iz privatnog sektora da prikaže što CIP znači za njih, a ne mislim pritom na prezentaciju tvrtke, nego zašto bi oni htjeli sudjelovati u JPP-u, što očekuju ili su već stekli iz njega i kako treba razviti suradnju.

Isabella: Još jednom želim čestitati organizatorima za uređenje ove velike konferencije. To je svim sudionicima omogućilo odgovarajuću priliku za razmjenu dobre prakse i razmjenu ideja na području CIP-a. Ova razmjena sudionika neophodna je za razvoj novih strategija koje se odnose na poboljšanje otpornosti KI. Potrebno je svakako nastaviti s ovakvom suradnjom. Pristup, odnosno prijedlog za sljedeći put mogao bi biti da sudionici trebaju unaprijed odrediti koje izazove u vezi s CIP-om njihove zemlje trenutno suočavaju, kako bi zajednički pronašli moguća rješenja tijekom konferencije.

Za kraj recite nam nešto o sebi, svojim hobijima i planovima za budućnost.
Ivana: Aktivni život kroz sportske aktivnosti mi je jedan od glavnih načina kako provodim slobodno vrijeme, a uskoro mi je u planu i tečaj dodatnog stranog jezika. U bližoj budućnosti tu je i nastavak obrazovanja i upis na doktorski studij.

Katri: Putovanja su moj omiljeni hobi. Netko je mudro rekao da je putovanje jedino na što trošite novac, a čini vas bogatijim. Balkan je tako zanimljivo područje za putovanje i priroda je nevjerojatna! Bila sam u Hrvatskoj, Srbiji i Crnoj Gori. Možda ću na svojim idućim putovanjima istraživati Bosnu i Hercegovinu, Albaniju ili Makedoniju.

Isabella: Razmjena ideja i emocija s nadahnutim ljudima, ali i tjelesna vježba, osobito u prirodi, osim naravno vremena provedenog s mojom obitelji, bitni su čimbenici za ravnotežu mog rada. Želim produbiti svoje znanje i stalno širiti svoje horizonte te doprinijeti sigurnosti našeg društva i u budućnosti. Živjeti u sigurnom okruženju nije nešto što se samo po sebi podrazumijeva i stoga postizanje tog cilja zahtijeva napor svih nas.