Zarządzanie bezpieczeństwem infrastruktury krytycznej

Transkrypt

1 ŁUKASIK Zbigniew 1 NOWAKOWSKI Waldemar 2 KUŚMIŃSKA-FIJAŁKOWSKA Aldona 3 Zarządzanie bezpieczeństwem infrastruktury krytycznej WSTĘP W Polsce, podobnie jak i w innych krajach Europy, sprawnie działająca infrastruktura techniczna ma znaczący wpływ nie tylko zapewnienie wymaganego standardu życia obywateli, ale również na ich bezpieczeństwo. Wybrane elementy infrastruktury niezbędne do minimalnego funkcjonowania gospodarki i państwa określa się mianem infrastruktury krytycznej. Ochrona infrastruktury krytycznej jest procesem mającym na celu zachowanie funkcjonalności, ciągłości działania oraz integralności tej infrastruktury. Rozumie się przez to zadania zapobiegające zagrożeniom i redukujące ich skutki, m. in. poprzez zmniejszenie podatności infrastruktury krytycznej na zagrożenia oraz szybkie odtworzenie tej infrastruktury po wystąpieniu uszkodzeń lub zakłóceń w jej funkcjonowaniu. 1. NARODOWY PROGRAM OCHRONY INFRASTRUKTURY KRYTYCZNEJ Infrastruktura krytyczna (IK) pełni kluczową rolę w funkcjonowaniu każdego państwa, a tym samym jej ochrona jest jednym z głównych priorytetów. W czerwcu 2004r. Rada Europejska zleciła Komisji Europejskiej opracowanie strategii dotyczącej ochrony IK. W wyniku tych działań został opracowany Europejski program ochrony infrastruktury krytycznej (EPOIK) (ang. The European Programme for Critical Infrastructure Protection) sformułowany w Komunikacie Komisji Europejskiej [3]. Kolejnym ważnym dokumentem dotyczącym tej problematyki jest Dyrektywa Rady 2008/114/WE ustanawia procedurę rozpoznawania i wyznaczania elementów tej infrastruktury [4]. W Polsce ochrona infrastruktury krytycznej jest koordynowana przez Rządowe Centrum Bezpieczeństwa (RCB) [5] utworzone na mocy ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (Dz. U. Nr 89, poz. 590, z późn. zm.) [1]. Zgodnie z zapisami ustawy, do infrastruktury krytycznej zalicza się systemy oraz wchodzące w ich skład powiązane ze sobą funkcjonalnie obiekty, w tym obiekty budowlane, urządzenia, instalacje, usługi kluczowe dla bezpieczeństwa państwa i jego obywateli oraz służące zapewnieniu sprawnego funkcjonowania organów administracji publicznej, a także instytucji i przedsiębiorców. Infrastruktura krytyczna obejmuje systemy [2]: zaopatrzenia w energię, surowce energetyczne i paliwa, łączności, sieci teleinformatycznych, finansowe, zaopatrzenia w żywność, zaopatrzenia w wodę, ochrony zdrowia, transportowe, ratownicze, zapewniające ciągłość działania administracji publicznej, produkcji, składowania, przechowywania i stosowania substancji chemicznych i promieniotwórczych, w tym rurociągi substancji niebezpiecznych. 1 Uniwersytet Technologiczno-Humanistyczny im. Kazimierza Pułaskiego w Radomiu, Wydział Transportu i Elektrotechniki; Radom; ul. Malczewskiego 29. Tel: , , Fax: , z.lukasik@uthrad.pl 2 Uniwersytet Technologiczno-Humanistyczny im. Kazimierza Pułaskiego w Radomiu, Wydział Transportu i Elektrotechniki; Radom; ul. Malczewskiego 29. Tel: , , Fax: , w.nowakowski@uthrad.pl 3 Uniwersytet Technologiczno-Humanistyczny im. Kazimierza Pułaskiego w Radomiu, Wydział Transportu i Elektrotechniki; Radom; ul. Malczewskiego 29. Tel: , , Fax: , a.kusminska@uthrad.pl 758

2 W dniu 26 marca 2013 Rada Ministrów zatwierdziła Narodowy Program Ochrony Infrastruktury Krytycznej (NPOIK), który został opracowany przez RCB. Celem NPOIK jest stworzenie warunków do poprawy bezpieczeństwa IK, w szczególności w zakresie [5]: zapobiegania zakłóceniom funkcjonowania infrastruktury krytycznej, przygotowania na sytuacje kryzysowe, które mogą niekorzystnie wpłynąć na infrastrukturę krytyczną, reagowania w sytuacjach zniszczenia lub zakłócenia funkcjonowania infrastruktury krytycznej, odtwarzania infrastruktury krytycznej. Ochrona IK w NPOIK jest określana procesem i składa się z następujących etapów [2]: wskazanie celów do osiągnięcia oraz podmiotów w ramach ochrony IK, identyfikacja krytycznych zasobów, funkcji oraz określenia sieci powiązań pomiędzy systemami IK, określenie ról i odpowiedzialności podmiotów uczestniczących w procesie ochrony IK, ocena ryzyka oraz wskazanie priorytetów działania (hierarchizacja) w zależności od wyników oceny ryzyka, rozwój i wdrażanie systemu ochrony infrastruktury krytycznej, w tym opracowania i akceptacji planów ochrony i odtwarzania IK, testowanie (ćwiczenia) i przegląd (audyt i samoocena) systemu ochrony IK, doskonalenie poprzez wprowadzanie modyfikacji i korekt w wyniku testów, przeglądów i pomiarów. 2. IDENTYFIKACJA INFRASTRUKTURY KRYTYCZNEJ Identyfikacja IK, w tym obiektów, urządzeń, instalacji lub usług, których zniszczenie lub zakłócenie funkcjonowania mogłoby spowodować sytuację kryzysową, jest kluczowym zadaniem w jej ochronie. W tym celu stosuje się dwie grupy kryteriów [2]: 1. Systemowe uwzględniające parametry ilościowe lub funkcjonalne infrastruktury. 2. Przekrojowe uwzględniające skalę skutków zniszczenia lub zaprzestania funkcjonowania danej infrastruktury, w tym: ofiar w ludziach, skutków finansowych, konieczności ewakuacji, utraty usługi, czasu odbudowy, efektów międzynarodowych, unikatowości. Zgodnie z przyjętą metodyką należy najpierw przeprowadzić identyfikację z uwzględnieniem kryteriów systemowych, a następnie dokonać oceny wg. kryteriów przekrojowych, przy czym uznaje się, że potencjalna infrastruktura, którą chcemy zaliczyć do IK musi spełniać przynajmniej dwa kryteria przekrojowe. Etap ochrony IK polegający na identyfikacji infrastruktury z uwzględnieniem kryteriów systemowych i przekrojowych należy traktować, jako proces nieustannego doskonalenia, a tym samym wraz ze wzrostem wiedzy i zdobywaniu nowych doświadczeń należy dokonywać korekt w przyjętych wcześniej wyborach. 3. ANALIZA RYZYKA W celu zapewnienia ochrony IK należy przeprowadzić analizę ryzyka, która służy do określenia modelu ochrony IK, ustalenia priorytetów działań oraz planowanych sił i środków. Analiza ryzyka polega na identyfikacji i klasyfikacji zagrożeń oraz określeniu dla każdego z zagrożeń, czy ryzyko jest mniejsze od dopuszczalnego poziomu. Brak spełnienia tego warunku wymusza działania podejmowane w celu obniżenia ryzyka zakłócenia funkcjonowania IK do poziomu akceptowalnego, na przykład poprzez zmniejszenie częstotliwości występowania zagrożeń lub złagodzenie ich skutków. Proces oceny ryzyka można uznać za zakończony, gdy wykazane zostanie, że osiągnięto 759

3 i utrzymany będzie dopuszczalny poziom ryzyka dla wszystkich zidentyfikowanych zagrożeń (patrz rysunek 1). Rys. 1. Poziomy ryzyka W NPOIK do oceny ryzyka przyjęto metodę scenariuszową składającą się z następujących kroków [2]: A. Identyfikacja zagrożeń i budowa scenariuszy Przy ocenie ryzyka należy uwzględniać różne rodzaje zagrożeń [6]: Katastrofy naturalne (powodzie, anomalie pogodowe, silne wiatry, epidemie, plagi zwierzęce, ruchy tektoniczne). Katastrofy techniczne (pożary, awarie gazowe, awarie i wypadki z użyciem środków toksycznych, awarie i wypadki radiacyjne, katastrofy komunikacyjne, katastrofy budowlane, awarie urządzeń infrastruktury technicznej). Akty terroru i inne zagrożenia (destrukcyjne działania grup ludzi - terroryzm, podłożenia ładunków wybuchowych, niewypały). Zagrożenia powinny dotyczyć konkretnego obiektu, urządzenia, instalacji lub systemu IK. Po zdefiniowaniu zagrożeń należy przystąpić do opracowania scenariuszy rozwoju niekorzystnych zdarzeń. Scenariusze mają wskazać obszary niepewności i czynniki, które wpływają na decyzje dotyczące systemu ochrony IK. Powinny się one charakteryzować: wiarygodnością, poprawnością merytoryczną, funkcjonalnością i przejrzystością. B. Określenie prawdopodobieństwa wystąpienia danego scenariusza Istotnym etapem jest określenie prawdopodobieństwa wystąpienia opracowanych scenariuszy i przyjętych w nich zagrożeń. Można w tym celu posłużyć się takimi metodami jak: analiza danych statystycznych i historycznych, szacowanie eksperckie, analiza studiów przypadków lub modelowanie matematyczne. C. Określenie podatności IK oraz środków ochrony Podatność IK oraz środków ochrony jest zbiorem warunków, które mogą umożliwić negatywne oddziaływanie na IK -tworząc zagrożenie, w konsekwencji prowadząc do zakłócenia w funkcjonowaniu infrastruktury. Określenie podatności IK powinno uwzględniać wiele aspektów tj. ochrona fizyczna, czynnik ludzki, techniczne aspekty budowy i eksploatacji infrastruktury oraz występujące ich korelacje. D. Określenie skutków wystąpienia danego scenariusza Scenariusze powinny przewidywać skutki wystąpienia określonych zdarzeń. Istotnym parametrem, który należy uwzględnić przy szacowaniu skutków jest czas trwania zakłócenia. Należy również uwzględniać w scenariuszach skutki krótko i długoterminowe, w tym na przykład liczbę osób poszkodowanych (zabitych, rannych, ewakuowanych), negatywny wpływ na środowisko naturalne, gospodarkę i państwo. E. Ocena ryzyka zakłócenia IK w danym scenariuszu 760

4 Analizę ryzyka wykonujemy w oddzielnych krokach, w których w sposób niezależny określamy prawdopodobieństwo, podatność IK oraz skutki wystąpienia zagrożenia (patrz pkt. A-D). Na tym etapie następuje połączenie tych elementów i zdefiniowanie ryzyka (patrz rysunek 2). Rys. 2. Proces oceny ryzyka wybranego scenariusza [2] Ryzyko należy mierzyć ilościowo i jakościowo, co wynika z faktu, że prawdopodobieństwo i skutki są mierzone ilościowo i jakościowo, a podatność jakościowo. Aby uniknąć błędnej interpretacji niezbędnym jest w ocenie ryzyka zastosowanie skali liczbowej, w której wyrazi się aktualny poziom ryzyka. Jeśli ryzyko jest na niedopuszczalnym poziomie (patrz rysunek 1) należy podjąć działania zapobiegawcze, a następnie ponownie przeprowadzić cały proces oceny ryzyka. 4. ZARZĄDZANIE KRYZYSOWE Celem zarządzania kryzysowego jest zapewnienie właściwego poziomu bezpieczeństwa oraz skuteczne przeciwdziałanie wszelkiego typu zagrożeniom, a w sytuacjach kryzysowych powrót do stanu pierwotnego w jak najkrótszym czasie, przy wykorzystaniu dostępnych sił i środków. Proces zarządzania kryzysowego można podzielić na cztery fazy: A. Zapobieganie Faza zapobiegania obejmuje działania, które eliminują lub zmniejszają prawdopodobieństwo wystąpienia katastrofy, awarii, klęski żywiołowej lub innej przyczyny mogącej spowodować kryzys, albo ograniczają jej skutki. W fazie tej zbierane są informacje na temat potencjalnych źródeł zagrożeń oraz o siłach i środkach możliwych do wykorzystania w przypadku zaistnienia sytuacji kryzysowej. B. Przygotowanie Faza przygotowania polega na opracowaniu procedur postępowania w sytuacjach kryzysowych oraz zapewnieniu specjalizowanych sił i środków reagowania kryzysowego. Niezbędna jest również w tej fazie weryfikacja skuteczności planów reagowania kryzysowego na przykład w wyniku symulacji scenariuszy zdarzeń kryzysowych oraz praktycznych ćwiczeń. C. Reagowanie Faza reagowania polega na podejmowaniu działań ratowniczych w określonej sytuacji kryzysowej. Celem reagowania na zaistniałe zdarzenia jest minimalizacja szkód i strat oraz przeprowadzenie działań ratowniczych, bezpośrednio związanych opanowaniem zaistniałej sytuacji kryzysowej D. Odbudowa Faza odbudowy obejmuje działania zmierzające do przywrócenia funkcjonalności infrastruktury sprzed kryzysu poprzez likwidację jego skutków. W fazie tej można również dążyć do wprowadzenia zmian celem niedopuszczenia do ponownego wystąpienia kryzysu. Ustawa z dnia 26 kwietnia 2007r. o zarządzaniu kryzysowym [1] określa organy właściwe w sprawach zarządzania kryzysowego oraz ich zadania i zasady działania, a także zasady finansowania zadań zarządzania kryzysowego [1, 6]. 761

5 1. Poziom Krajowy Rada Ministrów z Prezesem Rady Ministrów na czele, Rządowy Zespół Zarządzania Kryzysowego - organ opiniodawczo-doradczy właściwy w sprawach inicjowania i koordynowania działań podejmowanych w zakresie zarządzania kryzysowego, Rządowe Centrum Bezpieczeństwa podległe Prezesowi Rady Ministrów - zapewnia obsługę Rady Ministrów, Prezesa Rady Ministrów, Zespołu i Ministra właściwego do spraw wewnętrznych w sprawach zarządzania kryzysowego oraz pełni funkcję Krajowego Centrum Zarządzania Kryzysowego. 2. Poziom Wojewódzki Wojewoda, Wojewódzki Zespół Zarządzania Kryzysowego - organ pomocniczy wojewody powoływany przez wojewodę, który określa jego skład, organizację, siedzibę oraz tryb pracy, Wojewódzkie Centrum Zarządzania Kryzysowego, którego obsługę zapewniają komórki organizacyjne właściwe w sprawach zarządzania kryzysowego w urzędach wojewódzkich. 3. Poziom Powiatowy Starosta, Powiatowy Zespołu Zarządzania Kryzysowego - organ pomocniczy powołany przez Starostę, który określa jego skład, organizację, siedzibę oraz tryb pracy, Powiatowe Centrum Zarządzania Kryzysowego, W miejscowościach będących jednocześnie siedzibami powiatów i miast na prawach powiatu, na podstawie porozumienia zawartego między tymi jednostkami samorządu terytorialnego, może być tworzone wspólne Centrum Zarządzania Kryzysowego obejmujące zasięgiem działania obszar obu jednostek samorządu terytorialnego. 4. Poziom Gminny Wójt, Burmistrz lub Prezydent Miasta, Gminny Zespół Zarządzania Kryzysowego - organ pomocniczy powołany przez Wójta, Burmistrza lub Prezydenta Miasta, który określa jego skład, organizację, siedzibę oraz tryb pracy, Gminne (Miejskie) Centrum Zarządzania Kryzysowego - utworzone przez Wójta, Burmistrza lub Prezydenta Miasta tylko w przypadku, gdy uzna on to za konieczne. WNIOSKI Priorytetowym zadaniem każdego państwa jest zapewnienie bezpieczeństwa swoim obywatelom poprzez ochronę przed potencjalnymi i realnymi zagrożeniami. Istotnym składnikiem podlegającym ochronie powinna być infrastruktura krytyczna, która ma kluczowe znaczenie dla bezpieczeństwa państwa. Niezbędnym jest, więc ocena ryzyka, a następnie przygotowywanie i wdrażanie, stosownie do określonego zagrożenia, planów ochrony infrastruktury krytycznej oraz utrzymywanie systemów rezerwowych zapewniających bezpieczeństwo i podtrzymujących jej funkcjonowanie do czasu pełnego odtworzenia. W artykule przedstawiono problematykę zarządzania bezpieczeństwem infrastruktury krytycznej. Omówiono metodykę identyfikacji tej infrastruktury, a następnie przedstawiono podejście procesowe w metodzie tworzenia systemu zarządzania jej bezpieczeństwem oraz wskazano organy odpowiedzialne za zarządzanie kryzysowe. Streszczenie Sprawnie działająca infrastruktura techniczna ma znaczący wpływ nie tylko zapewnienie wymaganego standardu życia obywateli, ale również na ich bezpieczeństwo. Wybrane elementy infrastruktury niezbędne do minimalnego funkcjonowania gospodarki i państwa określa się mianem infrastruktury krytycznej. Dlatego też niezbędnym jest ocena ryzyka, a następnie przygotowywanie i wdrażanie, stosownie do określonego zagrożenia, planów ochrony infrastruktury krytycznej oraz utrzymywanie systemów rezerwowych zapewniających bezpieczeństwo i podtrzymujących jej funkcjonowanie do czasu pełnego odtworzenia. W artykule przedstawiono problematykę zarządzania bezpieczeństwem infrastruktury krytycznej. Omówiono metodykę identyfikacji tej infrastruktury, a następnie przedstawiono podejście procesowe w metodzie tworzenia systemu zarządzania jej bezpieczeństwem oraz wskazano instytucje odpowiedzialne za zarządzanie kryzysowe. 762

6 Managing the safety of critical infrastructure Abstract An effective technical infrastructure has a significant impact on both the required standard of living of the citizens and their safety. Selected elements of the infrastructure necessary for minimal operation of the economy and the state are referred to as "critical infrastructure". Therefore, it is necessary to assess the risk and then preparation and implementation, as appropriate to the risks, of plans for critical infrastructure protection and maintaining of backup systems to ensure safety and support its functioning to full restoration. The article presents the issues of critical infrastructure safety management. It also discusses the methodology to identify the infrastructure, provides a process approach in the process of creating safety management system and defines the institutions responsible for disaster management. BIBLIOGRAFIA 1. Ustawa z dnia 26 kwietnia 2007r. o zarządzaniu kryzysowym (Dz.U. z 2007, Nr 89, poz. 590 z poź. zmianami) 2. Narodowy Program Ochrony Infrastruktury Krytycznej ( uploads/npoik-dokument-główny.pdf) 3. Komunikat Komisji w sprawie europejskiego programu ochrony infrastruktury krytycznej (COM(2006) 786 final). 4. Dyrektywa Rady 2008/114/WE z dnia 8 grudnia 2008 r. w sprawie rozpoznawania i wyznaczania europejskiej infrastruktury krytycznej oraz oceny potrzeb w zakresie poprawy jej ochrony (Official Journal of the European Union L 345/75, 2008)