„Rekomenduję podmiotom Krajowego Systemu Cyberbezpieczeństwa niestosowanie w systemach informacyjnych oprogramowania, którego producentem jest Kaspersky Lab z siedzibą w Moskwie (Federacja Rosyjska), na które składa się w szczególności oprogramowanie: Kaspersky Internet Security, Kaspersky Anti-Virus, Kaspersky Total Security oraz Kaspersky Safe Kids, ze względu na stwierdzony negatywny wpływ tego oprogramowania na bezpieczeństwo publiczne” – taką rekomendację wydał pełnomocnik rządu ds. cyberbezpieczeństwa, Janusz Cieszyński.

Skąd powinien zniknąć Kaspersky
Rekomendacja oznacza wykluczenie rosyjskiego oprogramowania z całej gamy organizacji. Podmioty krajowego systemu cyberbezpieczeństwa to m.in. operatorzy usług kluczowych (czyli tworzący infrastrukturę krytyczną, m.in. banki, energetyka, paliwa, wodociągi, transport, szpitale, firmy telekomunikacyjne i in.), dostawcy usług cyfrowych (jak hosting, e-commerce i in.), jednostki publiczne, spółki prawa handlowego wykonujące zadania o charakterze użyteczności publicznej (np. od wody, kanalizacji, komunikacji w gminie), instytuty badawcze, NBP, BGK, fundusze ochrony środowiska, a także CSIRT-y, sektorowe zespoły cyberbezpieczeństwa, jak również podmioty świadczące usługi z zakresu bezpieczeństwa cyfrowego.

Odrzucić ofertę w przetargu

Ponadto zaleca się odrzucenie oferty oprogramowania Kaspersky’ego w postępowaniach publicznych oraz wykluczenie wykonawcy z taką ofertą.

CSIRT: Kaspersky stwarza ryzyko dla bezpieczeństwa

W uzasadnieniu rekomendacji poinformowano, że CSIRT (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego) „przeprowadził metodą behawioralną badanie oprogramowania producenta Kaspersky Lab”.

Jak zakomunikowano, badanie to wykazało, iż użytkowanie jednego z produktów, oprogramowania antywirusowego Kaspersky’ego, stwarza znaczne ryzyko dla bezpieczeństwa informacji.

„Ryzyko utraty atrybutów bezpieczeństwa informacji w systemach informacyjnych z których korzystają podmioty Krajowego Systemu Cyberbezpieczeństwa, oznacza negatywny wpływ tego oprogramowania na bezpieczeństwo publiczne” – podsumowano.

Trzeba szybko zakończyć używanie Kaspersky’ego

Pełnomocnik rekomenduje jak najszybsze zaprzestanie korzystania z oprogramowania Kaspersky Lab. Podmioty, które nadal muszą używać tego software’u, powinny maksymalnie ograniczyć wysyłanie danych na serwery zewnętrzne – zalecono.

Ostrzeżono przy tym, że w oprogramowaniu Kaspersky’ego mogą pozostawać nieudokumentowane funkcjonalności, będące drogą do ataku na system.

Jednocześnie według rekomendacji wycofanie ze stosowania produktów Kaspersky’ego należy poprzedzić oszacowaniem ryzyka zaprzestania, jak i dalszego używania tego oprogramowania.

Podmiot Krajowego Systemu Cyberbezpieczeństwa może wnieść do pełnomocnika rządu ds. cyberbezpieczeństwa zastrzeżenia co do wydanej rekomendacji.

Sankcje na Kaspersky’ego w Polsce

W kwietniu br. sankcjami MSWiA objęto korporację Kaspersky Lab z siedzibą w Moskwie, oraz spółki Kaspersky Lab Polska (zakończyła sprzedaż tego oprogramowania), K Dystrybucja (nowy autoryzowany dystrybutor oprogramowania Kaspersky) oraz Kaspersky Store. W przypadku trzech polskich podmiotów (Kaspersky Lab Polska, K Dystrybucja, Kaspersky Store) zastosowano jedynie wykluczenie z postępowań publicznych.