Vloga za priznanje obstoja.

Ime mi je Incident, čeprav polnega imena ne poznam, ker mi ga še niso določili. Sam sem uporabljal Incident 24-09-B, vendar so mi na vložišču pojasnili, da si incident ne more sam izbrati imena, saj bi to lahko povzročilo neskladje med evidencami. Preden lahko dobim uradno oznako, mora nekdo potrditi, da sem se zgodil, za to pa mora obstajati zapis, da sem bil zaznan. Zapis nastane po prijavi, prijave pa ni bilo.
Tako sem nekega deževnega ponedeljka stopil v stavbo Evropskega urada za dogodke, o katerih je treba pravočasno obvestiti druge, in na avtomatu vzel številko 784. Nad okencem je pisalo HITRI POSTOPEK, zato sem se udobno namestil. Po dosedanjih izkušnjah z ljudmi sem sklepal, da se mi ne mudi.
Na vrsto sem prišel v četrtek. Uradnica za steklom je vzela moje papirje, jih nekaj časa obračala in vprašala, ali imam dokazilo o obstoju. Pojasnil sem ji, da sem za nekaj časa ustavil delovanje več sistemov, povzročil precej zmede, nekaj telefonskih konferenc, dve izredni seji in najmanj enega direktorja spravil v stanje, v katerem je prvič po letu 2019 sam poklical informatika. Zdelo se mi je kar solidno dokazno gradivo.
»To so posledice,« je rekla. »Mi potrebujemo dokaz o dogodku.«
Vprašal sem jo, kakšna je razlika. Pogledala me je z izrazom človeka, ki mora nekaj očitnega pojasniti nekomu, ki očitno ni prebral navodil, in povedala, da posledica sicer lahko kaže na dogodek, vendar brez uradne prijave ni mogoče potrditi, da jo je povzročil prav dogodek. Lahko bi jo povzročila okoliščina. Okoliščine so, kot sem izvedel, posebna upravna kategorija in jih obravnavajo v drugem nadstropju.
Poslala me je v Oddelek za velike incidente, kjer je sedel prijazen gospod z očali in mapo, debelo približno toliko kot evropska zakonodaja o poenostavitvi postopkov. Vprašal me je, koliko držav sem prizadel. Povedal sem, da več kot eno, zaradi česar se mu je obraz prvič nekoliko razsvetlil.
»Odlično. Potem bi lahko bili veliki incident. Potrebujem samo prijave prizadetih držav.«
Povedal sem mu, da jih nimam.
Nasmešek je izginil. »Potem ne moremo ugotoviti, koliko držav ste prizadeli.«
Spomnil sem ga, da sem mu ravnokar povedal.
»Vi ste incident.«
»Da.«
»Potem niste neodvisen vir.«
Moram priznati, da me je argument nekoliko prizadel. Vlomil sem v sisteme, zaobšel nekaj varnostnih mehanizmov in spravil infrastrukturo na kolena, po evropskih merilih pa sem bil očitno premalo kvalificiran, da bi pričal o lastnem obstoju.
Poslali so me v čakalnico B. Tam sem prvič ugotovil, da nisem sam. Na plastičnih stolih so sedeli ransomware iz leta 2018, motnja kritične infrastrukture iz leta 2021, neki zelo zagrenjen DDoS in starejši gospod, ki se je predstavil kot »resna motnja z možnim čezmejnim učinkom«.
Vprašal sem ga, koliko časa čaka.
»Od leta 2016.«
»Na kaj?«
»Na razvrstitev.«
Nato je skomignil. »Ne hitimo. To je varnost.«
V kotu je sedela še skupina incidentov, ki sploh niso imeli številke. Eden od njih mi je pojasnil, da čakajo na odločitev, ali sodijo med kibernetske incidente, operativne motnje ali dogodke, ki bodo zaradi pomanjkanja podatkov pozneje navedeni v poročilu kot primer pomanjkanja podatkov. Videti je bil zadovoljen. Končno je našel kategorijo, v kateri je imel nekaj možnosti.
Po nekaj mesecih sem dobil termin pri Komisiji za ugotavljanje dejanskega stanja. Predsedujoči je pregledal dokumentacijo in me vprašal, zakaj nisem bil prijavljen pravočasno. Rekel sem, da vprašanje verjetno ni namenjeno meni, saj se mi zdi nekoliko pretirano pričakovati od kibernetskega napada, da bo po opravljenem delu izpolnil še obrazec za prijavo samega sebe.
V zapisnik so vnesli, da vlagatelj ni pokazal zadostne stopnje sodelovanja.
Do takrat sem sistem že precej dobro poznal. Imel je postopke, koordinacijske skupine, agencije, mreže, mehanizme, protokole, obrazce in presenetljivo veliko diagramov s puščicami. Informacija je bila nekoliko bolj občutljiva zadeva, saj jo je bilo treba pred deljenjem ustrezno razvrstiti, oceniti, potrditi in poslati po pravilni poti. Če poti ni bilo ali še ni bila dogovorjena, je informacija vsaj ostala varno tam, kjer je nastala.
Čez čas sem prejel odločbo. Na šestih straneh je bilo natančno pojasnjeno, da moje vloge za priznanje statusa velikega čezmejnega kibernetskega incidenta ni mogoče obravnavati, ker v evidencah ni mogoče ugotoviti, da sem bil kot tak incident prijavljen. Na zadnji strani je pisalo, da se lahko pritožim v tridesetih dneh, vendar moram pritožbi priložiti dokazilo o statusu incidenta.
Papir sem zložil, ga spravil v mapo in odšel proti izhodu, kjer me je receptor prosil za izhodno dovolilnico. Povedal sem mu, da je nimam, saj sem pravkar dobil uradno odločbo, iz katere izhaja, da pravzaprav ne obstajam.
Nekaj časa je gledal odločbo, nato mene in potem še enkrat odločbo.
»Če ne obstajate, ne morete zapustiti stavbe.«
»Zakaj ne?«
»Ker niste nikoli vstopili.«
Vrnil sem se v čakalnico B. Starejši incident iz leta 2016 me je zagledal, brez vprašanja umaknil plašč s praznega stola poleg sebe in nekoliko prikimal, kot človek, ki je isti postopek videl že dovoljkrat.
Sedel sem poleg njega. Na nasprotni steni je visel velik moder napis EVROPA, PRIPRAVLJENA NA PRIHODNOST, tik pod njim pa precej manjši list papirja, pritrjen z dvema kosoma lepilnega traku.
SISTEM ZA ZGODNJE OPOZARJANJE ŠE NI OPERATIVEN.