7 grzechów głównych w budowaniu odporności obiektów kluczowych dla bezpieczeństwa państwa

Ostatnie zdarzenia dotyczące obiektów istotnych z punktu widzenia bezpieczeństwa państwa, w tym pożar w zakładzie w Skarżysku Kamiennej, powinny więc skłaniać nas nie tylko do analizy zabezpieczeń pojedynczego przedsiębiorstwa, ale przede wszystkim do znacznie szerszej refleksji nad tym, jak w Polsce budujemy odporność infrastruktury, zakładów produkcyjnych, przedsiębiorstw i innych obiektów, których utrata lub zakłócenie funkcjonowania może mieć skutki wykraczające daleko poza granice jednej organizacji.

Nie przesądzając przyczyn konkretnych zdarzeń i pozostawiając ich ocenę adekwatnym służbom, warto postawić pytanie zasadnicze: czy system ochrony najważniejszych obiektów w Polsce rzeczywiście odpowiada współczesnemu środowisku zagrożeń?

Od kilku lat funkcjonujemy przecież w rzeczywistości zwiększonego ryzyka działań hybrydowych, sabotażowych i dywersyjnych, nasilonego rozpoznania infrastruktury oraz prób oddziaływania na systemy mające znaczenie dla bezpieczeństwa państwa. Jednocześnie obowiązują podwyższone stopnie alarmowe, a nowelizacja ustawy o zarządzaniu kryzysowym wprowadza nowe podejście do infrastruktury krytycznej, podmiotów krytycznych i ich odporności.

Mamy zatem zarówno sygnały wskazujące na wzrost zagrożeń, jak i coraz bardziej rozbudowane instrumentarium prawne służące ochronie najważniejszych obiektów.

Problem pojawia się dopiero wtedy, gdy próbujemy odpowiedzieć na pytanie, w jakim stopniu przekłada się to na praktykę.

W mojej ocenie istnieje dziś co najmniej siedem systemowych problemów, które ograniczają odporność obiektów kluczowych dla bezpieczeństwa państwa.

Strategiczne znaczenie bez strategicznego statusu i strategiczny status bez odpowiedniej ochrony

Polski system prawny dysponuje kilkoma mechanizmami pozwalającymi objąć szczególnie ważne obiekty podwyższonym reżimem bezpieczeństwa. Mamy obszary, obiekty i urządzenia podlegające obowiązkowej ochronie na podstawie ustawy o ochronie osób i mienia, mamy infrastrukturę krytyczną identyfikowaną w ramach ustawy o zarządzaniu kryzysowym oraz mamy obiekty podlegające szczególnej ochronie w systemie prawnym związanym z obronnością państwa.

Problem polega jednak na tym, iż mechanizmy te nie zawsze są wykorzystywane w odniesieniu do wszystkich obiektów, których rzeczywiste znaczenie dla bezpieczeństwa państwa uzasadniałoby zastosowanie szczególnego reżimu ochronnego. W mojej ocenie istnieje znacząca grupa zakładów produkcyjnych, elementów łańcuchów dostaw, obiektów energetycznych, wodociągowych, logistycznych, technologicznych czy przemysłowych, których znaczenie strategiczne jest większe niż wynikałoby to z ich formalnego statusu.

Jeżeli obiekt mający realne znaczenie dla bezpieczeństwa państwa pozostaje poza odpowiednim systemem ochrony w wyniku opieszałości, zbyt zachowawczej kwalifikacji albo bezczynności organu odpowiedzialnego za jego wyznaczenie, nie mamy już do czynienia wyłącznie z problemem administracyjnym. Powstaje realna luka w systemie bezpieczeństwa państwa.

Na tym jednak problem się nie kończy, ponieważ samo objęcie obiektu określonym reżimem prawnym również nie gwarantuje jeszcze odpowiedniego poziomu bezpieczeństwa. W praktyce obiekty podlegające obowiązkowej ochronie, infrastruktura krytyczna czy obiekty podlegające szczególnej ochronie bardzo często realizują jedynie minimalny zakres wymagań wynikających z przepisów, planów i dokumentacji, podczas gdy rzeczywisty poziom zabezpieczenia pozostaje niewspółmierny do wartości chronionych procesów i konsekwencji ich utraty.

Przyczyny są dobrze znane: ograniczone środki finansowe, brak odpowiedniej liczby specjalistów, niewystarczające kompetencje, presja na ograniczanie kosztów oraz przekonanie, iż skoro formalne wymagania zostały spełnione, system można uznać za bezpieczny.

Tymczasem formalne przypisanie obiektu do adekwatnej kategorii powinno być początkiem budowy systemu bezpieczeństwa, a nie jej końcem.

Stopień alarmowy, który nie przekłada się na realną zmianę poziomu ochrony

Stopnie alarmowe ALFA, BRAVO, CHARLIE i DELTA są racjonalnym mechanizmem stopniowego podnoszenia poziomu gotowości państwa w zależności od charakteru i skali zagrożenia terrorystycznego. Problem polega jednak na tym, iż ich praktyczne oddziaływanie pozostaje w dużym stopniu skoncentrowane na administracji publicznej, instytucjach realizujących zadania związane z bezpieczeństwem i zarządzaniem kryzysowym oraz podmiotach objętych określonymi obowiązkami wynikającymi z przepisów.

Powstaje przez to sytuacja, w której państwo podnosi poziom alarmowy dla całego terytorium kraju, informując tym samym o zwiększonym prawdopodobieństwie określonych zagrożeń, a bardzo duża część przedsiębiorstw i obiektów istotnych z punktu widzenia bezpieczeństwa funkcjonuje dokładnie w taki sam sposób jak wcześniej.

Tymczasem logika stopni alarmowych powinna prowadzić do czegoś więcej niż zmiany statusu formalnego. Podwyższenie poziomu zagrożenia powinno oznaczać rzeczywiste zwiększenie kontroli dostępu, obserwacji otoczenia obiektu, kontroli osób i pojazdów, sprawności systemów zabezpieczeń technicznych, ochrony stref szczególnie wrażliwych, gotowości personelu oraz umiejętności szybkiego reagowania na zachowania nietypowe i symptomy przygotowania działań sabotażowych czy dywersyjnych.

Drugim problemem jest samo wykonywanie zadań wynikających z poszczególnych stopni alarmowych. choćby tam, gdzie przepisy i procedury przewidują konkretne przedsięwzięcia, pozostają one niekiedy elementem dokumentacji, podczas gdy codzienny sposób funkcjonowania ochrony zmienia się w niewielkim stopniu albo nie zmienia się wcale.

Jeżeli wprowadzenie BRAVO nie powoduje w praktyce zauważalnego wzrostu poziomu zabezpieczenia obiektu, należy zadać pytanie, czy mechanizm ten osiąga swój podstawowy cel.

Bezpieczeństwo jako koszt, którego efektów nie widać

Jednym z najbardziej charakterystycznych paradoksów zarządzania bezpieczeństwem jest to, iż skutecznie funkcjonującego systemu bezpieczeństwa na co dzień praktycznie nie widać. o ile jest adekwatnie zaprojektowany i zarządzany, nie dochodzi do włamań, aktów sabotażu, poważnych incydentów, utraty ciągłości działania czy zakłócenia kluczowych procesów.

Dla zarządu oznacza to jednak, iż nakłady na bezpieczeństwo nie przynoszą szybkiego i łatwo mierzalnego rezultatu biznesowego. Nie zwiększają bezpośrednio sprzedaży, nie podnoszą produkcji, nie tworzą nowego produktu i nie generują przychodu, który można jednoznacznie przypisać do wydatków ponoszonych na ochronę.

W konsekwencji bezpieczeństwo bardzo łatwo zaczyna być traktowane jako koszt administracyjny, który można redukować, optymalizować albo odkładać na później, szczególnie wtedy, gdy przepisy nie wymuszają określonych inwestycji.

W obiekcie istotnym dla bezpieczeństwa państwa jest to podejście zasadniczo błędne, ponieważ ekonomiczny sens bezpieczeństwa nie polega na generowaniu przychodu, ale na ochronie zdolności organizacji do realizowania swojej podstawowej funkcji. Prawidłowe pytanie nie powinno więc ograniczać się do tego, ile kosztuje ochrona, ale powinno obejmować również ocenę kosztów zatrzymania produkcji, utraty infrastruktury, długotrwałego wyłączenia procesu, sabotażu, utraty kluczowych zasobów czy przerwania świadczenia usługi mającej znaczenie dla państwa.

Bezpieczeństwo staje się wówczas nie kosztem administracyjnym, ale jednym z podstawowych instrumentów zarządzania ryzykiem i odpornością organizacji.

Człowiek jako niedoceniony element systemu bezpieczeństwa

Współczesne systemy bezpieczeństwa coraz silniej opierają się na technologii, jednak choćby najbardziej zaawansowana analityka obrazu, kontrola dostępu czy system alarmowy pozostają tylko narzędziami, o ile za nimi nie stoi człowiek zdolny do adekwatnej interpretacji informacji, rozpoznania anomalii i podjęcia odpowiedniej decyzji.

W tym obszarze mamy co najmniej kilka problemów. W wielu organizacjach brakuje odpowiednio umocowanych osób odpowiedzialnych za bezpieczeństwo fizyczne, które dysponowałyby realną wiedzą o zagrożeniach, potrafiły prowadzić analizę ryzyka, projektować rozwiązania ochronne, współpracować z zarządem i integrować bezpieczeństwo fizyczne z ciągłością działania, cyberbezpieczeństwem czy bezpieczeństwem osobowym.

Drugą kwestią pozostaje jakość usług ochrony fizycznej. Rynek przez wiele lat był kształtowany przede wszystkim przez kryterium najniższej ceny, czego konsekwencją są problemy kadrowe, niewystarczające przygotowanie pracowników, ograniczona liczba szkoleń praktycznych oraz zbyt częste sprowadzanie pracownika ochrony do funkcji recepcyjno porządkowej.

Tymczasem w obiekcie o znaczeniu strategicznym pracownik ochrony powinien być elementem systemu wykrywania zagrożeń, zdolnym do obserwowania otoczenia, identyfikowania zachowań nietypowych, adekwatnego reagowania oraz współpracy z innymi elementami systemu bezpieczeństwa.

Człowiek może być najsłabszym ogniwem systemu, ale adekwatnie przygotowany człowiek może być również jego najważniejszym sensorem.

Brak systemowego podejścia do bezpieczeństwa

Jednym z najpoważniejszych problemów organizacyjnych pozostaje funkcjonowanie poszczególnych obszarów bezpieczeństwa w odrębnych strukturach, które posiadają własne procedury, systemy, odpowiedzialności i sposoby raportowania, ale nie zawsze tworzą jeden spójny mechanizm zarządzania ryzykiem.

Ochrona fizyczna jest często zarządzana niezależnie od zabezpieczeń technicznych, cyberbezpieczeństwo pozostaje domeną IT, bezpieczeństwo osobowe funkcjonuje w HR albo w pionach ochrony informacji, ciągłość działania jest przedmiotem odrębnych planów, natomiast kwestie prawne, komunikacyjne i kryzysowe pozostają jeszcze w innych strukturach organizacyjnych.

Problem polega na tym, iż rzeczywiste zagrożenia nie respektują takiego podziału.

Incydent fizyczny może być poprzedzony rozpoznaniem prowadzonym w cyberprzestrzeni, informacja uzyskana od pracownika może umożliwić obejście systemu ochrony, awaria kontroli dostępu może stworzyć podatność fizyczną, a skuteczny sabotaż może jednocześnie uruchomić problem techniczny, operacyjny, prawny, cybernetyczny i komunikacyjny.

Dlatego odporność nie może być sumą kilku niezależnych systemów bezpieczeństwa. Musi być rezultatem ich integracji w jeden model zarządzania, w którym działania fizyczne, techniczne, osobowe, cybernetyczne, prawne, organizacyjne i ciągłościowe wzajemnie się uzupełniają.

To właśnie tutaj dostrzegam jeden z największych potencjałów nowego podejścia do infrastruktury krytycznej i odporności podmiotów krytycznych.

Ćwiczenia, które nie są traktowane jako rzeczywista metoda weryfikacji systemu

Nawet najlepiej przygotowana dokumentacja nie daje odpowiedzi na pytanie, czy system bezpieczeństwa rzeczywiście zadziała w warunkach presji, niepełnej informacji, ograniczonego czasu oraz jednoczesnego wystąpienia kilku problemów.

Taką odpowiedź mogą dać dopiero odpowiednio przygotowane ćwiczenia.

Ich rolą powinno być nie tylko sprawdzenie procedury, ale również zweryfikowanie przepływu informacji, sposobu podejmowania decyzji, działania pracowników ochrony, funkcjonowania systemów technicznych, współpracy między komórkami organizacji oraz umiejętności utrzymania kluczowych procesów mimo poważnego zakłócenia.

Dobre ćwiczenie powinno być projektowane w taki sposób, aby ujawniało słabości systemu, ponieważ właśnie wtedy staje się rzeczywistym narzędziem podnoszenia odporności. Ćwiczenie, którego celem jest wyłącznie potwierdzenie, iż wszystko działa prawidłowo, może poprawić samopoczucie organizacji, ale nie musi zwiększać jej bezpieczeństwa.

Błąd ujawniony podczas ćwiczenia można przeanalizować, usunąć i przetestować ponownie. Ten sam błąd ujawniony podczas realnego zdarzenia może prowadzić do utraty zdrowia i życia ludzi, zniszczenia infrastruktury, zatrzymania działalności albo długotrwałej utraty umiejętności realizowania funkcji ważnych dla bezpieczeństwa państwa.

Szkolenia, które nie budują realnej świadomości bezpieczeństwa

Bezpieczeństwo organizacji nie może być wyłącznie kompetencją specjalistów zatrudnionych w pionach ochrony czy zarządzania kryzysowego, ponieważ pierwsze sygnały zagrożenia bardzo często pojawiają się poza tymi strukturami.

Nietypowy pojazd może zauważyć pracownik magazynu, osobę prowadzącą rozpoznanie obiektu recepcjonista, niepokojącą zmianę w procesie technologicznym operator urządzenia, próbę uzyskania dostępu administrator systemu, a nietypowe zachowanie osoby z zewnątrz pracownik produkcji.

Budowanie odporności wymaga więc systemowego podejścia do szkolenia całej organizacji. Osoby odpowiedzialne za bezpieczeństwo powinny przechodzić szkolenia praktyczne, scenariuszowe i specjalistyczne, natomiast wszyscy pozostali pracownicy powinni być regularnie przygotowywani do rozpoznawania zagrożeń, adekwatnego raportowania nieprawidłowości i reagowania na sytuacje odbiegające od normy.

Można w tym celu wykorzystywać szkolenia stacjonarne, krótkie moduły online, komunikację wewnętrzną i regularne przypominanie o aktualnych zagrożeniach, ale najważniejszy pozostaje jeden element: bezpieczeństwo musi przestać być jednorazowym obowiązkiem realizowanym podczas szkolenia wstępnego i stać się trwałym składnikiem kultury organizacyjnej.

Czy można te problemy rozwiązać?

Nowelizacja ustawy o zarządzaniu kryzysowym nie powinna być traktowana wyłącznie jako kolejne źródło obowiązków formalnych. adekwatnie wykorzystana może stać się podstawą do uporządkowania sposobu identyfikowania infrastruktury krytycznej, oceny ryzyka, budowania odporności, integrowania poszczególnych obszarów bezpieczeństwa oraz przygotowania organizacji do działania w warunkach realnego zakłócenia.

Jeżeli wykorzystamy nowe regulacje jedynie do stworzenia kolejnych dokumentów, procedur i tabel, zmarnujemy ich największy potencjał. o ile natomiast potraktujemy je jako impuls do rzeczywistego przeglądu systemów bezpieczeństwa, możemy znacząco podnieść odporność obiektów i organizacji mających najważniejsze znaczenie dla funkcjonowania państwa, gospodarki oraz lokalnych społeczności.

Właśnie z takiego założenia powstał projekt Safety Project „Odporność 6.0”, którego celem jest kompleksowe przygotowanie organizacji, obiektu lub przedsiębiorstwa do zapobiegania zamachom i innym poważnym zagrożeniom, ich wczesnego wykrywania, skutecznego reagowania oraz ograniczania skutków ewentualnego zdarzenia.

Projekt rozpoczynamy od bezpłatnej oceny odporności na zamachy, obejmującej analizę dziesięciu konkretnych czynników wpływających na poziom bezpieczeństwa organizacji. Następnie przeprowadzamy audyt bezpieczeństwa w formie wizji lokalnej, opracowujemy niezbędne procedury i instrukcje bezpieczeństwa, organizujemy ćwiczenie weryfikujące przyjęte rozwiązania, prowadzimy szkolenia dla pracowników, a o ile organizacja potrzebuje stałego wsparcia, możemy również przejąć zarządzanie bezpieczeństwem fizycznym w formule abonamentowej.

Nie proponujemy jednego, uniwersalnego modelu ochrony dla wszystkich. Każdy system bezpieczeństwa projektujemy adekwatnie do charakteru organizacji, funkcji obiektu, realizowanych procesów, wartości chronionych zasobów oraz specyfiki występujących zagrożeń.

Jeżeli chcecie rzeczywiście zbudować odporność swojej organizacji, obiektu lub biznesu, zapraszamy do projektu „Odporność 6.0”. Przeprowadzimy Was przez sześć kolejnych etapów — od wstępnej diagnozy, przez zaprojektowanie i wdrożenie rozwiązań, aż po ich praktyczną weryfikację oraz stałe doskonalenie systemu bezpieczeństwa.

Bo odporność nie powstaje przez samo przyjęcie procedury ani zakup kolejnego systemu technicznego. Powstaje wtedy, gdy zagrożenia, ludzie, zabezpieczenia, procedury i sposób reagowania zostają połączone w jeden spójny system, przygotowany do działania również wtedy, gdy organizacja zostanie poddana rzeczywistej presji.

Zacznijcie od bezpłatnej oceny odporności na zamachy i sprawdźcie, które elementy systemu bezpieczeństwa Waszej organizacji wymagają wzmocnienia.