Cyberbezpieczeństwo. Zarys wykładu

WYKAZ SKRÓTÓW | str. 13
WSTĘP | str. 19
CZĘŚĆ I
WPROWADZENIE DO PROBLEMATYKI CYBERBEZPIECZEŃSTWA
ROZDZIAŁ I
PODSTAWOWE POJĘCIA IbPODSTAWYbPRAWNE BEZPIECZEŃSTWA
WbCYBERPRZESTRZENI | str. 25

Pojęcia cyberbezpieczeństwa i cyberprzestrzeni | str. 25

1.1.  Wprowadzenie | str. 25
1.2.  Pojęcie cyberprzestrzeni | str. 27
1.3.  Pojęcie cyberbezpieczeństwa | str. 31

Cyberbezpieczeństwo jako przedmiot badań | str. 37
Podstawy prawne cyberbezpieczeństwa | str. 42

3.1.  Regulacje cyberbezpieczeństwa w działalności ONZ | str. 42
3.2.  Inicjatywy legislacyjne Rady Europy | str. 47
3.3.  Dorobek prawny Unii Europejskiej | str. 49
ROZDZIAŁ II
TECHNOLOGIE TELEINFORMATYCZNEb– PODSTAWY, ROZWÓJ
IbBEZPIECZEŃSTWO SYSTEMÓW TELEINFORMATYCZNYCH | str. 74

Wprowadzenie | str. 74
Podejście usługowe w metodykach COBIT ® i ITIL ® | str.  76
Kilka słów o bezpieczeństwie operacyjnym organizacji | str. 78
Modele sieciowe | str. 84

4.1.  Model ISO OSI | str. 84
4.2.  Porównanie modelu ISO/OSI z modelem TCP/IP | str. 88

Klasyfikacja ataków sieciowych według modelu ISO/OSI | str. 90

5.1.  Ataki w 2. warstwie łącza danych | str. 90
5.2.  Ataki w 3. warstwie sieciowej | str. 94
5.3.  Ataki w 4. warstwie transportowej | str. 97
5.4.  Ataki w 7. warstwie aplikacji | str. 98
5.5.  Podsumowanie klasyfikacji ataków wg warstw ISO/OSI | str. 102

Firewall podstawowym elementem chroniącym sieć komputerową | str. 103
Historia eskalacji zagrożeń w cyberprzestrzeni | str. 109
Dedykowany atak APT/TPT | str. 111
Ataki APT na infrastrukturę krytyczną, szczególnie energetyczną państw | str. 116

9.1.  Czynniki wpływające na podatność infrastruktury energetycznej na cyberataki | str. 117
9.2.  Przykłady ataków APT na sektory energetyczne państw | str. 119
9.2.1.  Ataki na elektrownie w USA, Turcji i Szwajcarii w 2017 r. | str. 119
9.2.2.  Infrastruktura krytyczna wschodniej flanki NATO i Ukrainy w latach 2021/2022 | str. 120
9.3.  Sytuacja w polskiej cyberprzestrzeni po 14.02.2022 r. | str. 123
9.4.  Ataki na instytucje rządowe, dezinformacja społeczeństw i ingerencje
w wybory | str. 125
9.4.1.  Wzrost liczby ataków na sektory rządowe państw | str. 125
9.4.2.  Dezinformacja w sieci | str. 127
9.4.3.  Atak grupy prorosyjskich hakerów Killnet na Włochy | str. 127
9.4.4.  Atak grupy haktywistów Anonymous | str. 128
9.4.5.  Przykład ataku phishingowego w Polsce na Krajową Radę Komorniczą | str. 128

Stopnie alarmowe CRP obowiązujące na terytorium Polski | str. 132
Architektura zerowego zaufania | str. 134
Planowanie architektury korporacyjnej (organizacji) z cyberbezpieczeństwem | str. 134
Ontologia „Siatka Zachmana” | str. 143
Geneza powstania siatki SABSA | str. 160
Podsumowanie | str. 167

CZĘŚĆ II
CYBERBEZPIECZEŃSTWO PAŃSTWA
ROZDZIAŁ III
EUROPEJSKI IbKRAJOWY SYSTEM CYBERBEZPIECZEŃSTWA | str. 175

Podstawy ustrojowe europejskiego cyberbezpieczeństwa | str. 175
Dyrektywa NIS | str. 179
Dyrektywa NIS 2 | str. 185
Organizacja krajowego systemu cyberbezpieczeństwa | str. 191

ROZDZIAŁ IV
OCHRONA INFRASTRUKTURY KRYTYCZNEJ WbCYBERPRZESTRZENI | str. 208

Zagrożenia i ryzyka | str. 208
Cztery kroki analizy i oceny sytuacji | str. 218

2.1.  Hiperboliczna mapa internetu | str. 218
2.2.  Model OSI | str. 220
2.3.  Matryca cyberbezpieczeństwa | str. 222
2.4.  Kompetencje | str. 225
2.5.  Cykl życia systemów | str. 228

Technologie kwantowe a nowe spojrzenie na problematykę cyberbezpieczeństwa | str. 228

3.1.  Komputer kwantowy – zagrożenie dla cyberbezpieczeństwa | str. 230
3.2.  Algorytm asymetryczny | str. 231
3.3.  Algorytmy symetryczne | str. 232
3.4.  Algorytmy hybrydowe | str. 233
3.5.  Kryptografia postkwantowa i kwantowa | str. 235

Podsumowanie | str. 239

ROZDZIAŁ V
CYBERBEZPIECZEŃSTWO WbŁĄCZNOŚCI ELEKTRONICZNEJ | str. 241

Uwagi wprowadzające | str. 241
Wielopłaszczyznowość problematyki ochrony łączności elektronicznej | str. 244
Ochrona łączności elektronicznej w prawie Unii Europejskiej | str. 246

3.1.  Podstawowe regulacje | str. 246
3.2.  Zagadnienia węzłowe prawa łączności elektronicznej | str. 254
3.2.1.  Poufność transmisji | str. 254
3.2.2.  Bezpieczeństwo sieci i usług | str. 257
3.2.3.  Ochrona przed niezamówionymi informacjami handlowymi i spamem | str. 259

Płaszczyzna przepisów krajowych | str. 261
Oczekiwane kierunki zmian w prawodawstwie | str. 266

ROZDZIAŁ VI
CYBERBEZPIECZEŃSTWO IbCYBERAKTYWNOŚĆ MILITARNA | str. 268

Geneza i istota zjawiska | str. 268
Współczesne rozumienie cyberbezpieczeństwa w naukach społecznych | str. 270
Ewolucja wojskowego myślenia o cyberbezpieczeństwie i cyberoperacjach militarnych | str. 275

3.1.  Stany Zjednoczone | str. 275
3.2.  NATO | str. 282

Współczesne koncepcje doktrynalne cyberwalki – wybrane przykłady | str. 284

4.1.  Militarne operacje w cyberprzestrzeni i poprzez cyberprzestrzeń | str. 287
4.2.  Bezpieczeństwo sieci informacyjnych nienależących do Departamentu Obrony | str. 289

Kognitywna sfera cyberzagrożeń | str. 290

5.1.  Rosyjskie poglądy na wojnę informacyjną | str. 290
5.2.  Chińskie poglądy na walkę informacyjną | str. 293
5.3.  Walka w sferze poznawczej (Cognitive Warfare) | str. 297

Przyszłość | str. 299

CZĘŚĆ III
CYBERBEZPIECZEŃSTWO WbPRAWIEbGOSPODARCZYM
ROZDZIAŁ VII
PROWADZENIE DZIAŁALNOŚCI GOSPODARCZEJ WbCYBERPRZESTRZENI | str. 305

Wstęp | str. 305

1.1.  Pojęcie prawa gospodarczego | str. 305
1.2.  Zasady i źródła prawa gospodarczego | str. 307
1.3.  Prawo gospodarcze a cyberprzestrzeń i cyberbezpieczeństwo | str. 308

Prawo gospodarcze a prawo autorskie | str. 309

2.1.  Podstawowe informacje | str. 309
2.2.  Prawo autorskie w internecie | str. 311
2.3.  Odpowiedzialność cywilna za naruszenie praw autorskich | str. 314
2.4.  Uwagi końcowe | str. 316

Zawieranie umów a cyberprzestrzeń | str. 317

3.1.  Zagadnienia ogólne | str. 317
3.2.  Oświadczenia woli | str. 319
3.3.  Formy czynności prawnych | str. 322
3.4.  Sposób i okoliczności zawarcia umowy | str. 328

Wybrane umowy związane z cyberprzestrzenią i cyberbezpieczeństwem | str. 333

4.1.  Wprowadzenie | str. 333
4.2.  Umowa licencyjna | str. 334
4.3.  Umowa o świadczenie usług drogą elektroniczną | str. 341
4.4.  Umowa o rejestrację domeny internetowej | str. 345
4.5.  Umowa sprzedaży przez internet | str. 349
4.6.  Umowa o świadczenie usług telekomunikacyjnych | str. 352
ROZDZIAŁ VIII
CYBERBEZPIECZEŃSTWO ZbPERSPEKTYWY PRZEDSIĘBIORCY | str. 356

Uwagi wprowadzające | str. 356
Źródła wymagań w obszarze cyberbezpieczeństwa | str. 359
Model zarządzania bezpieczeństwem IT według normy ISO/IEC 27001 | str. 362

3.1.  Historia standaryzacji w obszarze systemów zarządzania bezpieczeństwem
informacji | str. 362
3.2.  Rodzina norm ISO/IEC 27000 | str. 363
3.3.  Ramowy model SZBI | str. 364
3.4.  Procesowe zarządzanie bezpieczeństwem (PDCA) | str. 366
3.5.  Katalog zabezpieczeń | str. 368

Model zarządzania cyberbezpieczeństwem według normy ISO/IEC 27032 | str. 369
Inne schematy zarządzania cyberbezpieczeństwem | str. 372

5.1.  Wytyczne i rekomendacje instytucji Unii Europejskiej (ENISA) | str. 373
5.2.  Wytyczne i rekomendacje publikowane w Stanach Zjednoczonych | str. 375

Podsumowanie | str. 378

ROZDZIAŁ IX
ZARZĄDZANIE RYZYKIEM WbCELU ZAGWARANTOWANIA
CYBERBEZPIECZEŃSTWA | str. 379

Wprowadzenie | str. 379
Terminologia i spektrum zarządzania ryzykiem IT | str. 380
Modelowanie zarządzania ryzykiem IT | str. 383

3.1.  Ramowa struktura zarządzania ryzykiem IT | str. 383
3.2.  Rejestr ryzyka | str. 386
3.3.  Kontekst | str. 386
3.4.  Opis modelu Bow-Tie | str. 387
3.5.  Koncepcja oceny ryzyka | str. 387
3.6.  Zdarzenia ryzyka i krajobraz zagrożeń | str. 390
3.7.  Konsekwencje | str. 391
3.8.  Środki kontroli | str. 392
3.9.  Ocena ryzyka wrodzonego i rezydualnego | str. 392
3.10.  Plany postępowania z ryzykiem | str. 393

Podsumowanie | str. 393

ROZDZIAŁ X
CYBERBEZPIECZEŃSTWO WbUSŁUGACHbPŁATNICZYCH | str. 394

Wstęp – znaczenie bezpieczeństwa w świadczeniu usług płatniczych | str. 394
Model odpowiedzialności dostawcy usług płatniczych i użytkownika

za nieautoryzowane transakcje płatnicze | str. 400

Zarządzanie ryzykami operacyjnymi i ryzykami dla bezpieczeństwa

w wytycznych Europejskiego Urzędu Nadzoru Bankowego i rekomendacji
Komisji Nadzoru Finansowego | str. 402

Bezpieczeństwo świadczenia usług płatniczych w ustawie o usługach płatniczych | str. 404
Model zgłaszania incydentów | str. 404
Silne uwierzytelnienie klienta | str. 405

6.1.  Wyłączenia względem stosowania silnego uwierzytelnienia klienta | str. 408
6.2.  Analiza ryzyka transakcji | str. 409
6.3.  Płatności zbliżeniowe | str. 410
6.4.  Opłaty za transport i parking | str. 410
6.5.  Zaufani odbiorcy płatności i transakcje powtarzające się | str. 410
6.6.  Transakcje o niskiej wartości | str. 411
6.7.  Wyłączenia dla usługi dostępu do informacji na rachunku płatniczym | str. 411
6.8.  Monitoring transakcji | str. 411

Poufność i integralność indywidualnych danych uwierzytelniających użytkowników

usług płatniczych | str. 412

Wymogi dotyczące powszechnej i bezpiecznej komunikacji | str. 414
Rozporządzenie DORA – nowe, horyzontalne podejście do cyberbezpieczeństwa

w sektorze finansowym | str. 417
9.1.  Wstęp | str. 417
9.2.  Zakres przedmiotowy i podmiotowy rozporządzenia DORA | str. 419
9.3.  Zarządzanie ryzykiem związanym z ICT | str. 420
9.4.  Strategia operacyjnej odporności cyfrowej | str. 425
9.5.  Zarządzanie incydentami związanymi z ICT, ich klasyfikacja i zgłaszanie | str. 426
9.5.1.  Klasyfikacja incydentów | str. 428
9.5.2.  Zgłaszanie incydentów | str. 428
9.6.  Testowanie operacyjnej odporności cyfrowej | str. 429
9.7.  Zarządzanie ryzykiem ze strony zewnętrznych dostawców usług ICT | str. 431
ROZDZIAŁ XI
CYBERBEZPIECZEŃSTWO WbPRAWIE WŁASNOŚCI INTELEKTUALNEJ | str. 433

Wprowadzenie | str. 433
Pojęcie własności intelektualnej | str. 433
Prawo autorskie i prawa pokrewne | str. 435

3.1.  Prawo autorskie | str. 435
3.1.1.  Programy komputerowe | str. 437
3.2.  Prawa pokrewne | str. 438

Prawo własności przemysłowej | str. 438

4.1.  Prawo patentowe | str. 438
4.2.  Prawo wzorów użytkowych | str. 439
4.3.  Prawo wzorów przemysłowych | str. 439
4.4.  Prawo znaków towarowych | str. 439
4.5.  Ochrona oznaczeń geograficznych | str. 440
4.6.  Ochrona topografii układów scalonych | str. 440
4.7.  Ochrona baz danych | str. 440

Prawo ochrony konkurencji | str. 441
Kwestia cyberbezpieczeństwa w odniesieniu do praw własności intelektualnej | str. 441

6.1.  Cyberbezpieczeństwo na poziomie krajowym | str. 441
6.2.  Cyberbezpieczeństwo w sektorze prywatnym | str. 443
6.3.  Cyberbezpieczeństwo a użytkownik końcowy | str. 445

Wybrane problemy własności intelektualnej w aspekcie cyberbezpieczeństwa | str. 446

7.1.  Cyberbezpieczeństwo programów komputerowych | str. 446
7.2.  Internet rzeczy | str. 447
7.3.  Uczenie maszynowe | str. 449
7.4.  Chmura obliczeniowa | str. 451
CZĘŚĆ IV
CYBERBEZPIECZEŃSTWO AbOBYWATEL
ROZDZIAŁ XII
OCHRONA DANYCH OSOBOWYCH | str. 455

Wprowadzenie | str. 455
Rys historyczny | str. 455
Rozporządzenie ogólne o ochronie danych osobowych (RODO) | str. 457
Zakres przedmiotowy i podmiotowy RODO | str. 458
Zasady dotyczące przetwarzania danych osobowych | str. 466
Podstawy prawne przetwarzania | str. 470
Bezpieczeństwo danych osobowych | str. 477
Przejrzyste informowanie osób, których dane dotyczą | str. 480
Prawa osób, których dane dotyczą | str. 484
Organ nadzorczy | str. 492
Administracyjne kary pieniężne | str. 493
Pozostałe kwestie | str. 494
Przepisy krajowe o ochronie danych osobowych | str. 495
Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/680

(tzw. dyrektywa policyjna) | str. 501
ROZDZIAŁ XIII
PRAWNA OCHRONA DZIECI IbMŁODZIEŻY WbCYBERPRZESTRZENI
ZEbSZCZEGÓLNYM UWZGLĘDNIENIEM OCHRONY
PRZEDbTREŚCIAMIbPORNOGRAFICZNYMI | str. 502

Wstęp | str. 502
Podstawowe zagrożenia | str. 503
Zagrożenie dzieci i młodzieży dostępem do pornografii w cyberprzestrzeni | str. 505
Stan prawny dotyczący zagrożeń dzieci w cyberprzestrzeni w odniesieniu

do innych zagrożeń niż dostęp do treści pornograficznych | str. 507

Prawna ochrona dzieci przed dostępem do pornografii | str. 511
Podsumowanie | str. 515

CZĘŚĆ V
CYBERPRZESTĘPCZOŚĆ
ROZDZIAŁ XIV
KARNOPRAWNE RAMY ODPOWIEDZIALNOŚCI ZA PRZESTĘPSTWA
POPEŁNIANE WbCYBERPRZESTRZENI | str. 519

Uwagi wprowadzające | str. 519
Przestępstwa stricte komputerowe | str. 521

2.1.  Nieautoryzowany dostęp do systemu komputerowego (hacking) | str. 521
2.2.  Nielegalny podsłuch komputerowy (naruszenie tajemnicy komunikacji) | str. 524
2.3.  Naruszenie integralności danych komputerowych | str. 525
2.4.  Naruszenie integralności systemu komputerowego | str. 527

Przestępstwa związane z wykorzystaniem sieci i systemów teleinformatycznych

oraz nowych technologii | str. 529

Przestępstwa popełnione z wykorzystaniem komputera i sieci teleinformatycznych | str. 532
Przestępstwa z wykorzystaniem komputerów skierowane przeciwko wolności

seksualnej popełnione na szkodę małoletniego | str. 535

Przestępstwa przeciwko czci | str. 537

ROZDZIAŁ XV
PRZESTĘPSTWA WbCYBERPRZESTRZENIb– PROBLEMATYKA
KARNA IbŚLEDCZA | str. 540

Uwagi wprowadzające | str. 540
Dowód cyfrowy – pojęcie i klasyfikacja | str. 541
Dowód cyfrowy a prawo dowodowe | str. 544
Miejsce popełnienia przestępstwa w świecie wirtualnym | str. 548
Karnoprocesowa problematyka dowodzenia znamion przestępstw komputerowych | str. 552
Kryminalistyka cyfrowa – płaszczyzny i problemy | str. 555
Dowody z urządzeń mobilnych | str. 556
Kryptowaluty – ocena wpływu na płaszczyzny przestępczej działalności | str. 561

BIBLIOGRAFIA | str. 563
AUTORZY | str. 581