Graffiti, kreska farbą, znak kredą albo taśma przy obiekcie infrastruktury mogą być śladem legalnych robót, oznaczeniem technicznym, wandalizmem, żartem, działalnością artystyczną lub elementem wrogiego rozpoznania. Sam kształt nie rozstrzyga, z którym zjawiskiem mamy do czynienia. Znaczenie powstaje z połączenia miejsca, czasu, nowości, powtarzalności, zachowania ludzi i innych zdarzeń.
Polski rządowy Poradnik bezpieczeństwa zaleca zwracanie uwagi na podejrzane oznaczenia w miejscach, w których nie powinno ich być, wymieniając m.in. symbole na skrzynkach energetycznych i telekomunikacyjnych, murach, drogach i latarniach. Równocześnie nie publikuje „słownika znaków”. To właściwe podejście: obywatel lub pracownik ma zgłosić rozsądnie opisaną anomalię, a jej interpretację pozostawić podmiotowi znającemu obiekt i właściwym służbom.1
Punktem wyjścia dla artykułu jest tekst Kamila Czerniaka o fizycznych oznaczeniach i rozpoznaniu infrastruktury krytycznej. Jego najważniejsza teza — że ochrona cybernetyczna nie zastępuje obserwacji fizycznego otoczenia — jest zasadna. Nie wszystkie przedstawione tam możliwe funkcje oznaczeń są jednak potwierdzone publicznym materiałem. Poniżej hipoteza zostaje przełożona na proces ochronny, który nie wymaga od ochroniarza odgadywania tajnego kodu.2
Streszczenie
Wrogie rozpoznanie jest celową obserwacją służącą przygotowaniu szkodliwego działania wobec określonego celu. Może być prowadzone online, na miejscu albo z pomocą osoby mającej dostęp. Oznaczenie fizyczne może mieć znaczenie w takim procesie, lecz zwykle jest sygnałem słabym i wieloznacznym. Brytyjska National Protective Security Authority zaleca rozpoznawanie aktywności odbiegającej od normalnego użycia miejsca, zainteresowania zabezpieczeniami i powtarzających się prób pozyskania informacji — nie profilowanie człowieka na podstawie wyglądu.3
Skuteczny system opiera się na pięciu funkcjach: znajomości stanu normalnego; łatwym zgłoszeniu; dokumentacji bez niszczenia śladu; korelacji z innymi zdarzeniami; oraz proporcjonalnej eskalacji. Pojedyncze graffiti może pozostać zdarzeniem porządkowym. Nowy znak obok naruszonej obudowy, powtarzających się wizyt i awarii kamery ma inny ciężar.
Nie należy publikować w mediach społecznościowych map, zdjęć zabezpieczeń ani spekulacyjnych „alfabetów sabotażystów”. Takie działania mogą ujawnić operatorowi przeciwnemu reakcję ochrony, wywołać lawinę fałszywych zgłoszeń i narazić niewinne osoby. Materiał powinien trafiać do ustalonego kanału operatora, Policji lub — w sytuacji pilnej — pod numer 112.
Dlaczego analog nie zniknął
Rozwój rozpoznania cyfrowego nie usuwa fizycznej obserwacji. Internet pozwala zobaczyć zdjęcia, rozkłady, personel i relacje organizacyjne, lecz nie zawsze pokazuje aktualną kontrolę dostępu, martwe pole, rytm dostaw, trwający remont albo zmianę patrolu. NPSA wskazuje, że przygotowanie wrogiego działania może zaczynać się online, a następnie przechodzić do obserwacji miejsca lub wykorzystywać wiedzę osoby wewnątrz organizacji.3
Metoda niskotechnologiczna nie jest z definicji prymitywna ani niewykrywalna. Ma inne ślady. Farba wymaga fizycznej obecności, może zostać zauważona, utrwalona przez kamery, powiązana z zakupem lub przemieszczaniem. Jej znaczenie zależy też od wcześniejszego uzgodnienia. Dla osoby spoza tej relacji symbol może pozostać nierozstrzygalny.
Rozsądny model zagrożenia nie zakłada więc „powrotu całego wywiadu do analogu”. Zakłada mieszanie domen: rozpoznanie publicznych danych, komunikację cyfrową, fizyczną obserwację, osobę z dostępem, manipulację zabezpieczeniem oraz dezinformację. Obrona również musi łączyć źródła, ale bez automatycznego traktowania każdego śladu jako części jednej operacji.
Oznaczenie nie jest komunikatem bez kontekstu
Komunikat wymaga nadawcy, odbiorcy i konwencji pozwalającej nadać znakowi znaczenie. Obserwator widzący trójkąt lub kreskę zna jedynie formę. Nie wie, kto ją wykonał, kiedy, w jakim celu ani czy w ogóle miała odbiorcę. Przypisanie znaczenia na podstawie podobieństwa do internetowej grafiki daje pozorną pewność.
To samo miejsce może zawierać legalne oznaczenia geodezyjne, budowlane, drogowe, kolejowe i sieciowe. Operatorzy używają farb, etykiet i kodów do identyfikowania instalacji. Pojawiają się ślady wykonawców, kampanii informacyjnych, imprez, kontroli oraz dawnych prac. Wandale i twórcy graffiti mogą wybierać powierzchnie osłonięte, dostępne albo wizualnie atrakcyjne, również przy obiekcie technicznym.
Dlatego pytanie nie brzmi „co znaczy X?”, lecz „dlaczego ten konkretny X pojawił się tutaj i teraz?”. Odpowiedź wymaga rejestru zmian, wiedzy o legalnych pracach, oględzin, obrazu z monitoringu, rozmowy z właścicielem urządzenia i ewentualnie działań służb.
Sygnał słaby i błąd bazowy
Większość znaków w przestrzeni publicznej nie będzie elementem przygotowania sabotażu. Nawet wskaźnik, który częściej występuje przy wrogiej aktywności, może generować więcej fałszywych alarmów niż trafień, jeżeli samo zagrożenie jest rzadkie. To paradoks częstości bazowej.
Rozwiązaniem nie jest ignorowanie sygnału, lecz jego łączenie. Nowość, miejsce o podwyższonej wrażliwości, próba ukrycia, powtórzenie na kilku obiektach, obecność osoby fotografującej szczegóły ochrony, manipulacja przy obudowie, przerwa w monitoringu i niedawna próba werbunku tworzą mocniejszą konfigurację niż dowolny element osobno.
System powinien zachowywać możliwość zgłoszenia słabego sygnału, a koszt pełnego alarmu ponosić dopiero po triage. Jeżeli każdy wpis uruchamia zamknięcie obiektu, przeciwnik lub żartowniś może łatwo przeciążyć ochronę. Jeżeli żaden nie jest zachowywany, analityk nie zobaczy serii.
Stan normalny
Anomalię można rozpoznać tylko względem stanu odniesienia. Operator powinien wiedzieć, jakie oznakowanie jest autoryzowane, którzy wykonawcy prowadzą prace, gdzie zwykle pojawia się graffiti, jakie powierzchnie są regularnie czyszczone i jak wygląda nienaruszona obudowa.
Stan normalny nie jest pojedynczym zdjęciem. Zmienia się sezonowo i wraz z budową, imprezą, pogodą, zmianą najemcy lub ruchem transportowym. Rejestr powinien zawierać datę oraz właściciela informacji. Nieaktualna fotografia może sama produkować alarmy.
Wrażliwe plany i szczegóły zabezpieczeń nie powinny trafiać do każdej osoby zgłaszającej. Patrol potrzebuje widoku swojej trasy, listy bieżących prac i prostego sposobu porównania. Analityk może mieć szerszy dostęp. Rozdzielenie ról ogranicza ujawnienie danych, zachowując zdolność wykrycia.
Co zwiększa wagę zdarzenia
Pierwszy wymiar to lokalizacja. Znak na dostępnej ścianie daleko od funkcji krytycznej różni się od nowej ingerencji przy zamknięciu, kanale technicznym, urządzeniu łączności albo punkcie, którego naruszenie mogłoby przerwać usługę. Sama bliskość obiektu nie wystarcza; znaczenie ma relacja z jego funkcją.
Drugi to czas. Oznaczenie pojawiające się tuż przed zdarzeniem, podczas podwyższonego stopnia alarmowego, w trakcie transportu o szczególnym znaczeniu lub równolegle z nietypowymi zapytaniami wymaga szybszej oceny. Nie należy jednak dopasowywać każdej starej kreski do wydarzenia znanego dopiero później.
Trzeci to zachowanie i sekwencja. Powtarzające się wizyty, zainteresowanie kamerami lub kontrolą dostępu, testowanie reakcji, wejście w strefę bez uzasadnienia albo pozostawienie przedmiotu może zmienić kwalifikację. NPSA podkreśla wzorce aktywności związane z pozyskiwaniem informacji o zabezpieczeniach i wyborem sposobu działania.3
Czwarty to korelacja przestrzenna. Podobne zdarzenia przy funkcjonalnie połączonych obiektach są ważniejsze niż duża liczba losowych znaków w całym mieście. Piąty to integralność: nacięcie, poluzowanie, ślad otwarcia, dołączony element lub utrata plomby wymaga traktowania jako możliwe naruszenie techniczne, nie tylko graffiti.
Co obniża wagę hipotezy
Legalne zlecenie prac, zgodność z dokumentacją wykonawcy i obecność tego samego oznaczenia w typowych miejscach mogą szybko wyjaśnić zdarzenie. Pomocne jest potwierdzenie przez właściciela instalacji, nie założenie ochrony.
Znak istniejący od dawna, bez zmiany i bez zdarzeń towarzyszących, zwykle ma mniejszy priorytet. Nie znaczy to, że jest legalny ani estetycznie obojętny. Rozdziela jedynie problem utrzymania od pilnego zagrożenia.
Hipotezę osłabia również brak powtarzalnego związku. Mapa ciepła wszystkich graffiti będzie przede wszystkim mapą dostępnych powierzchni, ruchu ludzi i praktyk czyszczenia. Aby wnioskować o rozpoznaniu, trzeba porównać zdarzenia z właściwym tłem i skorygować ekspozycję.
Doświadczenie Ukrainy: ważne, ale szczególne
W pierwszych dniach pełnoskalowej inwazji w 2022 r. ukraińskie władze lokalne i państwowe ostrzegały przed oznaczeniami na drogach, dachach i budynkach, które miały wspierać koordynację agresora. Kijowska administracja informowała również o odpowiedzialności karnej za znaki służące korygowaniu ognia.4
Było to środowisko wojny, aktywności grup dywersyjno-rozpoznawczych, alarmu publicznego i gwałtownej niepewności. Komunikaty miały skłonić ludzi do szybkiego zgłaszania. Nie tworzą uniwersalnego dowodu, że podobny symbol w państwie nieobjętym bezpośrednią inwazją pełni identyczną funkcję.
Lekcja jest podwójna. Prosty ślad fizyczny może zasługiwać na natychmiastową uwagę, gdy kontekst zagrożenia jest wysoki. Jednocześnie masowa mobilizacja obserwatorów wymaga jednego oficjalnego kanału, aktualnych instrukcji i prostowania błędów; inaczej naturalne oznaczenia techniczne, plotki i celowe prowokacje przeciążają system.
Obecne zagrożenie sabotażowe w Europie
Unia Europejska ocenia, że rosyjskie działania hybrydowe obejmują sabotaż, zakłócanie infrastruktury krytycznej, cyberataki i manipulację informacyjną, a ich intensywność wzrosła po rozpoczęciu pełnoskalowej agresji przeciw Ukrainie. W 2024 r. ustanowiono odrębne ramy sankcyjne wobec działań destabilizacyjnych.5
W Polsce postępowania dostarczają publicznie potwierdzonych przykładów rozpoznania infrastruktury. Prokuratura Krajowa podała, że grupa kierowana z terytorium Rosji miała w 2023 r. obserwować pojazdy i statki wojskowe, montować nadajniki GPS, rejestrować obraz oraz instalować urządzenia do transmisji danych z lotnisk, dworców, obiektów wojskowych i terminalu granicznego. Komunikacja i płatności miały przy tym korzystać z narzędzi cyfrowych.6
Ten materiał potwierdza realność fizycznego rozpoznania i używania wykonawców niskiego szczebla. Nie potwierdza automatycznie tezy, że graffiti jest ich standardowym kodem. Dla ochrony różnica jest ważna: należy projektować detekcję szerokiej sekwencji zachowań, a nie polować na jeden efektowny wskaźnik.
Od patrolu do wspólnego obrazu
Patrol powinien otrzymać krótką instrukcję: zauważ zmianę, oceń bezpieczeństwo, nie dotykaj nieznanego elementu, udokumentuj z bezpiecznego miejsca i zgłoś ustalonym kanałem. Nie powinien samodzielnie dekodować symbolu ani prowadzić konfrontacji przekraczającej uprawnienia.
Dyspozytor lub punkt ochrony sprawdza pilność: czy istnieje bezpośrednie zagrożenie ludzi, ślad manipulacji, nieznany przedmiot, osoba nadal działająca albo przerwa usługi. W sytuacji pilnej uruchamia procedurę alarmową. W pozostałych przypadkach tworzy rekord i powiadamia właściciela obiektu lub instalacji.
Analityk łączy rekord z pracami, wcześniejszymi zgłoszeniami, monitoringiem, kontrolą dostępu, incydentami cybernetycznymi i informacją od partnerów. Kierownik ryzyka decyduje o dodatkowych obchodach, oględzinach technicznych, zmianie ochrony lub przekazaniu służbom. Każda rola ma inny poziom informacji i odpowiedzialności.
Minimalny rekord zdarzenia
Rekord powinien zawierać datę i czas zauważenia, możliwy przedział powstania, miejsce określone bez ujawniania go publicznie, opis powierzchni, rozmiar i technikę naniesienia, fotografie kontekstowe oraz zbliżenie, a także informację o osobie sporządzającej zapis.
Należy odnotować stan otoczenia: naruszenie obudowy, przedmiot, awarię, pracę wykonawcy, ślad wejścia, widoczną aktywność osób i pojazdów. Obserwację trzeba oddzielić od interpretacji. „Niebieska kreska długości około 12 cm” jest obserwacją; „sygnał rozpoczęcia sabotażu” — hipotezą.
System powinien rejestrować kolejne działania: potwierdzenie legalnej pracy, zgłoszenie służbie, zabezpieczenie materiału, usunięcie po zgodzie, wynik oględzin i zamknięcie. Brak wyniku także jest informacją. Pozwala oceniać jakość sygnałów i poprawiać progi.
Fotografia i geolokalizacja
Zdjęcie bez szerszego kadru może uniemożliwić ocenę lokalizacji, a szeroki kadr może ujawnić zabezpieczenia. Dlatego materiał powinien pozostawać w kontrolowanym systemie. Publikacja w otwartym komunikatorze albo mediach społecznościowych nie jest substytutem zgłoszenia.
Metadane czasu i położenia mogą pomagać, ale nie są niezawodne. Urządzenie może mieć błędny zegar, pozycja może być niedokładna, a aplikacja usuwać lub modyfikować EXIF. Oryginał należy zachować, a kopię roboczą opisać. Lokalizacja powinna być dodatkowo potwierdzona numerem obiektu lub punktem znanym operatorowi.
Zbieranie materiału musi respektować prawo, prywatność i zasady organizacji. Nie należy fotografować ludzi z bliska tylko dlatego, że znajdują się obok graffiti. Rejestr ma służyć określonemu celowi ochronnemu, z kontrolą dostępu, retencją i rozliczalnością.
Nie niszczyć śladu przed decyzją
Natychmiastowe zamalowanie może uniemożliwić ustalenie techniki, czasu, powiązań i obrazu z kamer. Jeżeli nie ma bezpośredniej potrzeby ochronnej, operator powinien najpierw udokumentować zdarzenie i uzgodnić, czy właściwe służby chcą dokonać oględzin.
Nieznanego przedmiotu, przewodu, urządzenia albo naruszonej obudowy nie należy dotykać. Znak może być niezwiązany z fizycznym zagrożeniem, ale samo otoczenie wymaga odrębnej oceny. Bezpieczeństwo ludzi ma pierwszeństwo przed jakością fotografii.
Po zwolnieniu miejsca do utrzymania usunięcie oznaczenia może przywracać stan normalny i ułatwiać wykrycie kolejnej zmiany. Należy zanotować metodę i czas. Pozostawienie znaku jako „pułapki obserwacyjnej” jest działaniem operacyjnym i nie powinno wynikać z samodzielnej decyzji personelu utrzymania.
Korelacja fizyczna i cybernetyczna
Infrastruktura jest systemem cyberfizycznym, dlatego zespoły ochrony fizycznej, utrzymania, SOC i zarządzania kryzysowego powinny mieć punkty styku. Nowa ingerencja przy obudowie łączności może uzasadniać sprawdzenie integralności, logów administracyjnych, alarmów technicznych i dostępności urządzenia.
Nie oznacza to automatycznego podnoszenia wszystkich progów SIEM po każdym graffiti. Alert musi mieć zdefiniowaną regułę, właściciela i czas obowiązywania. Inaczej powstaje szum, który obniża uwagę analityka. Korelacja powinna odpowiadać na hipotezę: jaka zmiana cyfrowa byłaby zgodna z konkretnym naruszeniem fizycznym?
Również odwrotny kierunek jest ważny. Nietypowe logowanie, utrata telemetrii lub zmiana konfiguracji może wywołać kontrolę fizyczną urządzenia i trasy. Zespół cyfrowy nie musi znać szczegółów patrolu, ale powinien umieć uruchomić tę kontrolę przez całodobowy kanał.
Analiza serii
Serię definiuje się przed jej znalezieniem. Rekordy można łączyć przez podobną technikę, czas, obiekt, funkcję, trasę, zachowanie lub materiał. Sam wygląd symbolu jest słabym kluczem, ponieważ proste formy powtarzają się przypadkowo.
Mapa pomaga zobaczyć skupienie, ale wymaga mianownika. Więcej zgłoszeń może wynikać z większej liczby patroli, kamer, mieszkańców albo czyszczenia. Obiekty o dużej powierzchni mają więcej okazji do graffiti. Analityk powinien porównywać częstość do ekspozycji i zmian w sposobie zbierania danych.
Oś czasu może ujawnić związek z pracami, transportem, kampanią medialną lub innym incydentem. Trzeba jednak zachować dyscyplinę przyczynową. Następstwo nie dowodzi przygotowania, a znane zdarzenie zwiększa skłonność do reinterpretacji wcześniejszych śladów.
Wskaźniki behawioralne, nie profil osoby
Wrogiego rozpoznania nie rozpoznaje się po narodowości, języku, ubiorze ani samym użyciu aparatu. Zachowanie staje się relewantne w relacji do miejsca: długotrwałe zainteresowanie konkretnymi zabezpieczeniami, powrót mimo wyjaśnienia, testowanie reakcji, ukrywanie celu obserwacji lub próba wejścia w strefę ograniczoną.
Legalni użytkownicy, dziennikarze, hobbyści, audytorzy społeczni i turyści mogą fotografować infrastrukturę. Reakcja powinna być spokojna, proporcjonalna i zgodna z prawem. Profesjonalna rozmowa może wyjaśnić zachowanie oraz zadziałać odstraszająco bez tworzenia konfliktu.3
Rejestr powinien opisywać czynność, nie etykietę. „Trzykrotnie fotografował zawias i czytnik, omijając tablicę informacyjną” daje materiał do oceny. „Wyglądał jak szpieg” nie daje nic i zachęca do uprzedzeń.
Ochrona przed celowym szumem
Przeciwnik może wykorzystać nadwrażliwość systemu. Duża liczba losowych znaków może odciągać patrol, testować czas reakcji albo wywoływać społeczną panikę. Fałszywa instrukcja z rzekomym alfabetem może skłonić ludzi do niszczenia legalnego oznakowania i masowego publikowania zdjęć obiektów.
Odporność wymaga triage, weryfikowanych komunikatów i rezerwy. Progi mogą zmieniać się z poziomem zagrożenia, lecz nie powinny być improwizowane po każdym wpisie. Operator musi umieć grupowo zamknąć powtarzalne zdarzenia wyjaśnione jako legalne, zachowując ślad audytowy.
Komunikacja publiczna powinna mówić, co obserwować, gdzie zgłaszać i czego nie robić. Nie powinna obiecywać, że każdy znak ma znaczenie ani publikować szczegółów pozwalających przewidywać reakcję ochrony.
Zgłoszenie obywatelskie
Osoba postronna nie musi ustalać, czy obiekt formalnie znajduje się w wykazie infrastruktury krytycznej. RCB przypomina, że nie każdy strategicznie wyglądający obiekt spełnia niejawne kryteria IK. Zgłoszenie dotyczy obserwacji i ryzyka, nie prawnej klasyfikacji.7
Jeżeli występuje bezpośrednie zagrożenie, nieznany przedmiot, uszkodzenie mogące spowodować katastrofę albo osoba wykonująca niebezpieczną czynność, należy oddalić się i zadzwonić pod 112. W sytuacji niepilnej właściwy może być operator, ochrona, Policja lub lokalny kanał wskazany przez zarządcę.
W zgłoszeniu warto podać miejsce, czas, neutralny opis, kierunek oddalenia osoby lub pojazdu, jeżeli został bezpiecznie zauważony, oraz własne dane kontaktowe zgodnie z procedurą. Nie należy śledzić człowieka, dotykać przedmiotu, blokować ruchu ani transmitować zdarzenia na żywo.
Procedura operatora
Operator powinien mieć jedną procedurę obejmującą graffiti, nieautoryzowaną etykietę, naruszenie plomby i inny nowy ślad. Pierwszy krok to bezpieczeństwo ludzi i usługi. Drugi — zachowanie informacji. Trzeci — sprawdzenie legalnych prac. Czwarty — korelacja i nadanie priorytetu. Piąty — eskalacja albo udokumentowane zamknięcie.
Procedura musi wskazywać dyżurny numer, zastępstwo, czas odpowiedzi i podmiot uprawniony do usunięcia oznaczenia. W obiekcie rozproszonym potrzebna jest relacja z właścicielami terenu, samorządem, zarządcą drogi lub kolei i wykonawcami. Znak może znajdować się poza ogrodzeniem, ale przy funkcji operatora.
Ćwiczenie powinno zawierać zarówno zdarzenie rzeczywiście podejrzane, jak i legalne oznaczenie. Zespół uczy się wtedy nie tylko eskalować, lecz także szybko wyjaśniać. Mierniki obejmują czas rejestracji, kompletność danych, liczbę ponownych wizyt, jakość korelacji i udział fałszywych alarmów.
Granice automatycznej analizy obrazu
Analityka wideo może wykrywać zmianę powierzchni, wejście do strefy albo pozostawienie przedmiotu. Nie odczyta wiarygodnie intencji z kształtu bez kontekstu. Model uczony na arbitralnej bibliotece „podejrzanych symboli” będzie odtwarzał założenia autorów i warunki zbioru.
Skuteczność detektora trzeba mierzyć na rzeczywistym tle obiektu, przy pogodzie, oświetleniu, zabrudzeniu i legalnych pracach. Ważniejsza od samego recall może być liczba fałszywych alertów na zmianę patrolu. Człowiek musi mieć możliwość sprawdzenia źródłowego obrazu oraz przyczyny alarmu.
Automatyzacja może pomagać w porównaniu „przed–po”, wyszukiwaniu podobnej techniki i organizowaniu materiału. Decyzja o podejrzeniu sabotażu wymaga jednak szerszej informacji. System nie powinien automatycznie przypisywać osoby ani grupy na podstawie symbolu.
Odpowiedzialność za informację
Materiały o obiekcie, trasach patroli, awariach i zabezpieczeniach same mogą być wrażliwe. Baza zdarzeń potrzebuje kontroli dostępu, rejestru operacji, kopii zapasowej, retencji i procedury udostępnienia służbom. Łączenie z danymi cybernetycznymi zwiększa wartość obronną i skutki wycieku.
Nazwy pól oraz klasyfikacje powinny być wspólne dla ochrony i utrzymania. Jednocześnie komentarz analityczny musi być oddzielony od surowej obserwacji. Późniejszy użytkownik powinien wiedzieć, kto i na jakiej podstawie podniósł ocenę.
Informacja zwrotna do zgłaszających poprawia system. Nie musi ujawniać postępowania. Wystarczy potwierdzenie odbioru, numer sprawy i — gdy możliwe — komunikat, czy zdarzenie było legalną pracą. Bez tego ludzie mogą ponawiać zgłoszenia lub uznać kanał za martwy.
Czego nie robić
Nie należy tworzyć publicznej taksonomii, w której prostym figurom przypisuje się stałe funkcje operacyjne. Taki słownik będzie jednocześnie niewiarygodny dla obrony i użyteczny do prowokowania alarmów. Nie należy też przyjmować stałego promienia obserwacji dla wszystkich obiektów; zakres powinien wynikać z funkcji, własności, widoczności i oceny ryzyka.
Nie należy automatycznie łączyć graffiti z narodowością sprawcy, rosyjskimi służbami ani terroryzmem. Atrybucja wymaga materiału. Realne rosyjskie działania sabotażowe w Europie nie zmieniają każdej lokalnej ingerencji w operację państwową.
Nie należy ignorować znaku wyłącznie dlatego, że ma prostą formę. Właściwą odpowiedzią na niepewność jest tani zapis i proporcjonalna weryfikacja. System ochrony przegrywa zarówno przez panikę, jak i przez rutynowe kasowanie anomalii.
Lista kontrolna dla kierownika ochrony
Czy istnieje aktualny stan odniesienia i wykaz legalnych oznaczeń? Czy wykonawcy zgłaszają termin i obszar prac? Czy patrol ma jeden formularz i całodobowy kanał? Czy wie, kiedy nie dotykać i dzwonić pod 112? Czy obraz z kamer można zabezpieczyć zanim zostanie nadpisany?
Czy rekord oddziela obserwację od hipotezy? Czy zespół może korelować zdarzenia fizyczne, techniczne i cybernetyczne? Czy reguła podwyższenia monitoringu ma czas wygaśnięcia? Czy osoba zamykająca incydent podaje przyczynę? Czy dane są chronione przed ujawnieniem?
Czy szkolenie obejmuje legalne prace i zachowania nieszkodliwe? Czy mierzy się fałszywe alarmy? Czy komunikacja nie zachęca do konfrontacji, profilowania i publikacji? Czy istnieje relacja robocza z Policją, ABW i właściwymi zarządcami adekwatna do rodzaju obiektu?
Wnioski
Podejrzane oznaczenie jest wartościowym sygnałem wtedy, gdy system potrafi je zachować, umieścić w kontekście i połączyć z innymi zdarzeniami. Nie trzeba znać jego rzekomego znaczenia. Trzeba wiedzieć, co jest normalne, jak wygląda zmiana, kto prowadzi legalne prace i gdzie szybko przekazać informację.
Współczesne działania sabotażowe rzeczywiście łączą domenę fizyczną, cyfrową i informacyjną. Ochrona infrastruktury nie może pozostawać w silosach. Integracja nie polega jednak na automatycznym uznaniu kreski farby za zwiastun cyberataku. Polega na zadawaniu sprawdzalnych pytań i uruchamianiu kontroli odpowiadającej konkretnej hipotezie.
Najlepszy model jest czuły na słabe sygnały, ale odporny na szum. Ułatwia zgłoszenie bez przerzucania śledztwa na obywatela; dokumentuje przed usunięciem; chroni dane; nie profiluje ludzi; i zachowuje zdolność szybkiej eskalacji, gdy oznaczeniu towarzyszy realne naruszenie.