Rząd o wielkiej kolejowej awarii z 17 marca: Bez ekstra odszkodowań i kar

Andrzej Bittel z Ministerstwa Infrastruktury odpowiada na interpelację posłanki Agnieszki Hanajczyk w sprawie awarii sieci kolejowej w dniu 17 marca 2022 r.

O pytaniach parlamentarzystki wysłanych do rządu pisaliśmy już w TransInfo.

Resort odpowiada

Z uwagi na podejrzenie cyberataku na systemy obsługi ruchu kolejowego czy przy obecnym poziomie alertu (Charlie-CRP) systemy na kolei są odpowiednio zabezpieczone przed ewentualnym atakiem hakerskim?

Z informacji otrzymanych od producenta systemu, tj. Alstom wynika, że przyczyną awarii w dniu 17 marca 2022 r. nie były ataki hakerskie, tylko błąd systemowy związany z formatowaniem zegara czasu w systemie sterowania ruchem kolejowym, który wpłynął na dostępność sieci kolejowej i w rezultacie na transport kolejowy w Polsce. Należy podkreślić, że bezpieczeństwo pasażerów nie było i nie jest zagrożone. Komputerowe systemy sterowania ruchem kolejowym są systemami zamkniętymi i nie ma do nich dostępu  z poziomu sieci internetowej. Pracują one w sieciach zamkniętych zgodnie z definicją normy PN-EN 50159 (Zastosowania kolejowe – Systemy łączności, sterowania ruchem i przetwarzania danych – Łączność bezpieczna w systemach transmisyjnych).

Sprzęt komputerowy systemu sterowania ruchem kolejowym zainstalowany jest w zamkniętych i zaplombowanych serwerowniach, a dostęp do tych pomieszczeń jest ograniczony do grona uprawnionych osób i obwarowany procedurami kontroli dostępu. Komputery systemów nadrzędnych (pulpitów nastawczych) zainstalowane są na nastawniach i znajdują się pod stałym nadzorem dyżurnych ruchu.

Niezależnie od powyższego PKP Polskie Linie Kolejowe S.A. (dalej: „Spółka:) w zakresie cyberbezpieczeństwa podejmuje następujące działania:

• prowadzi szacowania ryzyka wystąpienia incydentu oraz zarządza tym ryzykiem;
• wdraża odpowiednie i proporcjonalne do oszacowanego ryzyka środki bezpieczeństwa (organizacyjne, techniczne, osobowe, fizyczne, proceduralne), w tym m.in. wdraża środki kontroli bezpieczeństwa (systemy klasy AV/IS, Firewall, IDS/IPS, UTM, DLP, SIEM/SOAR, EDR, PAM, IAM/lDM), WCF, MDM);
• wdraża polityki i procedury związane z zapewnieniem bezpieczeństwa informacji i ciągłości działania;
• monitoruje usługi IT w trybie ciągłym w ramach zawartej umowy na świadczenie usług w zakresie Operacyjnego Centrum Cyberbezpieczeństwa (usługi „SOC” w trybie 24h);
• zbiera informacje o zagrożeniach cyberbezpieczeństwa i podatnościach oraz niezwłocznie podejmuje działania po ich stwierdzeniu;
• zarządza incydentami bezpieczeństwa;
• raportuje incydenty do Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego CSIRT GOV oraz współpracuje z tym podmiotem w zakresie obsługi incydentu;
• przeprowadza audyty i oceny bezpieczeństwa teleinformatycznego.

Czy jest szansa na dodatkowe zabezpieczenia awaryjne, wdrożenie innych procedur, które pozwolą na to, żeby ruch pociągów nie był wstrzymywany w takiej skali?

Zgodnie z przepisami ustawy z dnia 28 marca 2003 r. o transporcie kolejowym (Dz. U. z2021, poz. 1984) oraz rozporządzenia Ministra Infrastruktury i Rozwoju z dnia 13 maja 2014 r. w sprawie dopuszczania  do eksploatacji określonych rodzajów budowli, urządzeń i pojazdów kolejowych (Dz. U. z 2020 r. poz. 1923) komputerowe systemy sterowania ruchem kolejowym mogą być dopuszczone do eksploatacji, gdy posiadają świadectwo dopuszczenia do eksploatacji typu wydane przez Prezesa Urzędu Transportu Kolejowego. Zgodnie z wymaganiami Listy Prezesa Urzędu Transportu Kolejowego systemy i urządzenia sterowania ruchem kolejowym muszą działać bezpieczne w przypadku uszkodzenia, awarii lub nieuprawnionej ingerencji w system. Oznacza to, że każde uszkodzenie lub awaria systemu komputerowego spowoduje stan bezpieczny w działaniu urządzeń, tzn. semafory będą wskazywać sygnał „Stój” i brak będzie możliwości sterowania systemem.

Ponadto, Spółka, jak każdy inny zarządca infrastruktury kolejowej, ma opracowane i wdrożone procedury prowadzenia ruchu kolejowego w sytuacjach awaryjnych. Przejście systemu sterowania ruchem kolejowym na całej stacji lub na jej części w tzw. bezpieczny stan serwisowy jest normalną reakcją na wykrycie błędu w działaniu systemu. Urządzenia przechodzą do zdefiniowanego, bezpiecznego stanu „fail-safe”. Może to być błąd związany z usterką komputera, usterką wykonawczych urządzeń zewnętrznych lub wykrytym błędem systemowym.

Ujawnienie ukrytego błędu w formatowaniu czasu (zegara) jest błędem systemowym, który wystąpił w systemie typu Ebilock 950 R4 nie tylko w Polsce, ale również w kilku innych krajach. Rozmiar i zasięg problemów, które objęły 19 lokalnych centrów sterowania, były bezprecedensowe, a producent systemu Alstom S.A. obecnie intensywnie pracuje nad określeniem szczegółowych przyczyn powstania awarii.

Czy jest szansa na jazdę „na rozkazy” na dłuższych odcinkach, ale np. ze zmniejszoną prędkością?

W przypadkach zakłóceń w ruchu pociągów spowodowanych awariami urządzeń sterowania ruchem kolejowym co do zasady ruch prowadzony jest za pomocą rozkazów pisemnych również ze zmniejszoną prędkością. Sposób prowadzenia ruchu m.in. w sytuacjach awaryjnych regulowany jest w „Instrukcji  o prowadzeniu ruchu Ir-1” dostępnej na stronie internetowej Spółki pod adresem www.plk-sa.pl > Klienci  i kontrahenci > Akty prawne i przepisy > Instrukcje PKP Polskie Linie Kolejowe S.A.

Skoro Alstom S.A. poinformował, że przyczyna awarii leży w błędnym formatowaniu czasu, to czy na etapie administrowania przez Spółkę nikt ze specjalistów nie zareagował na błąd, który może występować w tym systemie?

Oprogramowanie komputerowego systemu sterowania ruchem jest wytworem, do którego prawa autorskie posiada tylko jego producent, w tym przypadku Alstom S.A. Spółka otrzymuje licencję na użytkowanie  ww. oprogramowania na danym obiekcie bez prawa do jego modyfikacji, kopiowania i reinstalacji. Formatowanie zegara czasu jest wewnętrznym parametrem oprogramowania i specjaliści Spółki z poziomu użytkownika nie byli w stanie wykryć tego zagrożenia. Błąd ujawnił się dopiero po jego wystąpieniu w dniu 17 marca 2022 r.

 Jednocześnie zgodnie z postanowieniami dokumentacji techniczno-ruchowej producent – Alstom S.A. dokonywał corocznie obowiązkowych przeglądów urządzeń komputerowych typu Ebilock 950 R4. Wykonywane czynności nie ujawniły żadnych nieprawidłowości w działaniu systemu, a także nie zaobserwowano jakichkolwiek symptomów wystąpienia uszkodzenia w przyszłości.

Czy Alstom S.A. poniesie odpowiedzialność finansową w postaci np. kary umownej, za sytuację, którą dziś wywołała na sieci Spółki?

Spółka prowadzi działania zmierzające do dokładnego ustalenia okoliczności wystąpienia nieprawidłowości w dniu 17 marca 2022 r. Przeprowadzenie tych czynności pozwoli na podjęcie dalszych decyzji w zakresie ewentualnych roszczeń w stosunku do Alstom S.A.

Czy będą odszkodowanie dla pasażerów za zaistniałą sytuację?

Spółka nie świadczy usług przewozu pasażerów oraz nie jest stroną umów na przejazd. Decyzje o ewentualnych odszkodowaniach mogą podejmować poszczególni przewoźnicy kolejowi zgodnie z swoimi wewnętrznymi regulacjami w tym zakresie.