Do obrony trzeba być przygotowanym

Niemal 70 proc. firm doświadczyło w ubiegłym roku ataków cyberprzestępców. To o 5 proc. więcej niż w 2022 r. – wynika z raportu „Cyberbezpieczeństwo w polskich firmach 2023”, spółki Vecto. Zapewnienie odpowiedniego poziomu cyberbezpieczeństwa jest jednym z największych wyzwań, z którymi muszą się obecnie zmierzyć przedsiębiorcy i instytucje. Bez względu na wielkość firmy czy branżę. Posiadane i przetwarzane informacje, także dane osobowe, są dobrem luksusowym, o które trzeba zadbać.

Zdaniem ekspertów działania podejmowane w tym zakresie będą determinowane przez dwa czynniki. Pierwszy to konieczność wdrożenia rozwiązań w odpowiedzi na nowe wymogi prawa unijnego i polskiego. Drugi – dostosowanie środków bezpieczeństwa teleinformatycznego do coraz bardziej zaawansowanych metod i narzędzi wykorzystywanych przez cyberprzestępców.

Nie daj się zaskoczyć

U podstaw wszystkich działań w zakresie cybersecurity, zarówno w zakresie wdrożenia rozwiązań technologicznych, jak i tych formalno-prawnych, czy nawet czysto biznesowych, np. personalnych, powinna leżeć spójna strategia.

– Uważam, że przedsiębiorcy powinni dysponować przygotowaną, wdrożoną i „przećwiczoną” procedurą na wypadek ataku hakerskiego. Powinni także zrozumieć, że zaplanowane działania są skuteczniejsze niż reagowanie ad hoc, gdy już dojdzie do incydentu naruszenia bezpieczeństwa, dane wyciekły, a czas nie działa na naszą korzyść. W obszarze cyberbezpieczeństwa nie ma miejsca na partyzantkę – tłumaczy Paweł Markiewicz, ekspert ds. cyberbezpieczeństwa i założyciel firmy M3M odpowiadającej za bezpieczeństwo danych w największych przedsiębiorstwach w Polsce.

I podkreśla, że ścieżka postępowania każdej organizacji powinna opierać się na co najmniej trzech krokach.

Pierwszym jest określenie kluczowych procesów operacyjnych i skupieniu się na ich zabezpieczeniu, np. procesu sprzedaży online czy logistycznego. Żadna organizacja nie jest w stanie zapewnić wysokiego poziomu bezpieczeństwa wszystkim realizowanym procesom.

– Należy przyjąć, że ataki hakerskie są więcej niż prawdopodobne i w związku z tym należy wiedzieć, co jest naszym „miękkim podbrzuszem”, w co hakerzy mogą celować i które aspekty naszej działalności należy chronić najdokładniej – mówi Paweł Markiewicz.

Drugim jest odpowiedź na pytanie, jak organizacja chce chronić kluczowe procesy operacyjne? Pomocne będą wnioski z dotychczasowych działań budujących świadomość wśród pracowników w obszarze cyberbezpieczeństwa, wyniki badań audytowych i kontrolnych sprawdzających podatność na ataki infrastruktury IT, wnioski i obserwacje z realizowanych procesów wspierających cyberbezpieczeństwo.

– Mowa na przykład o takich procesach minimalizujących przetwarzane danych w organizacji, jak usunięcie danych nadmiarowych, zbędnych w realizacji celów biznesowych lub danych powtarzających się – wyjaśnia Paweł Markiewicz.

Trzecim jest przydzielenie odpowiedzialności i realizacji zaplanowanych w obszarze cyberbezpieczeństwa działań wyspecjalizowanemu pracownikowi lub ekspertowi zewnętrznemu. Outsourcing to nie tylko niższe koszty utrzymania, lecz także brak konieczności szkolenia wewnętrznego eksperta, ograniczenie nakładów na stanowisko pracy, oszczędność czasu i elastyczność.

Wrażliwe branże

• Po inwazji Rosji na Ukrainę w 2022 r. Polska stała się jednym z krajów najbardziej narażonych na ataki cybernetyczne ukierunkowane na infrastrukturę krytyczną. Dlatego największą czujność powinny wykazywać przedsiębiorstwa z sektora gazowego, energetycznego, transportu publicznego i opieki zdrowotnej. Można oczekiwać bowiem, że w tych obszarach liczba ataków będzie wzrastać lawinowo. Na zagrożenie szczególną uwagą powinny zwrócić branże: finansowa, technologiczna i przemysłowa.

– Inwestowanie nie tylko w zaawansowane technologie, lecz także w edukację pracowników i rozwijanie kultury bezpieczeństwa, to kluczowe elementy skutecznego zarządzania cyberbezpieczeństwem. W obliczu dynamicznie zmieniającego się krajobrazu cyberzagrożeń xciągłe monitorowanie, aktualizacje i dostosowywanie strategii są kluczowe dla minimalizacji ryzyka związanego z atakami, zapewniając ciągłość działania firmy. Efektywne i bezpieczne środowisko cyfrowe jest nieodzowne dla utrzymania konkurencyjności i zdolności do innowacji każdej współczesnej organizacji – wymienia Paweł Markiewicz.

Zwróć uwagę na nowe regulacje

Duże znaczenie dla bezpieczeństwa ma prawidłowe wdrożenie działań zmierzających do spełnienia wymagań nałożonych przez przepisy, np. DORA (Digital Operational Resilience Act), DSA (Digital Services Act) czy NIS2 (Directive on Security of Network and Information Systems). Wspomniane regulacje i przepisy wykonawcze do nich, które właśnie są wprowadzanie, służą poprawie poziomu bezpieczeństwa cyfrowego oraz operacyjnej odporności organizacji na przyszłe zagrożenia, co także wpływa korzystanie na spokój i bezpieczeństwo biznesu.

– Przedsiębiorcom prowadzącym działania biznesowe w obszarze „pieniądza” polecam uwadze np. zapisy wspomnianego rozporządzenia DORA, koncentrujące się na pięciu obszarach mających skutkować zwiększeniem odporności cyfrowej w sektorze finansowym – mówi Grzegorz Leśniewski, ekspert ds. prawa i compliance oraz inspektor ochrony danych osobowych. Jak dodaje, chodzi o:

• zarządzanie ryzykiem wspomaganym w szczególności przez: strategie i polityki bezpieczeństwa informacji, mechanizmy wykrywania nieprawidłowości, plany ciągłości działania, strategie backupów oraz plany komunikacyjne (wewnętrzne i zewnętrzne) dotyczące zaistniałych incydentów cybernetycznych.

• zarządzanie incydentami,

• testowanie cyfrowej odporności operacyjnej kluczowych systemów i aplikacji, czyli prowadzenie oceny bezpieczeństwa oraz testów penetracyjnych kluczowych systemów IT wspierających procesy biznesowe,

• zarządzanie ryzykiem stron trzecich obejmującym cenę dostawców, opracowanie i wdrożenie strategii wyjścia i planów przejścia oraz określenie kluczowych dostawców usług teleinformatycznych,

• wymianę informacji o zagrożeniach cybernetycznych oraz wynikach analizy tych zagrożeń.

Mówiąc o nowych regulacjach, nie można zapominać, że w zapisach przygotowywanej ustawy o ochronie sygnalistów, czyli osób zgłaszających naruszenia prawa, mają zostać ujęte zagadnienia dotyczące bezpieczeństwa sieci i systemów teleinformatycznych. Zgodnie z jej zapisami naruszeniem prawa określono działanie lub zaniechanie, mające na celu obejście przepisów zobowiązujących przedsiębiorców do określonej aktywności w obszarze cyberbezpieczeństwa.

Bądź krok przed przestępcami

„Tylko w 2022 r. przeciętny okup za odszyfrowanie danych kosztował polskie przedsiębiorstwa średnio 670 tys. zł, co często stanowi kwotę wielokrotnie wyższą niż inwestycje w skuteczne rozwiązania chroniące firmową infrastrukturę IT” – zauważają eksperci Vecto, podkreślając, że mowa o uśrednionych kosztach, bo są przypadki strat liczonych w dziesiątkach milionów złotych. Jak wynika z raportu firmy, 72,2 proc. badanych przedsiębiorstw rozważa zapłacenie okupu w przypadku wystąpienia incydentu ransomware. Analitycy wskazują, że 60 proc. naruszeń systemów ma w sobie element inżynierii społecznej i wpływu oraz manipulacji wywieranych wprost na ludzi. To właśnie na błędach użytkowników przestępcy najczęściej opierają swoje działania i są w tym brutalnie skuteczni.

– W mojej ocenie w 2024 r. przedsiębiorcy powinni się przygotować na znaczący wzrost częstotliwości cyberataków opartych na sztucznej inteligencji, a w szczególności zagrożeń ransomware, co umożliwia prowadzenie bardziej zaawansowanych operacji dostępu i gromadzenia przez cyberprzestępców danych – mówi Paweł Markiewicz, i dodaje, że działania pozorowane nie wystarczają, niezbędne są wdrożone adekwatne i skuteczne narzędzia monitorujące, np. oprogramowanie antywirusowe, polityka tworzenia kopii zapasowych, programy edukacyjne budujące świadomość pracowników, a także profesjonaliści zarządzający obszarem cyberbezpieczeństwa.

Pomocne w walce ze złośliwym oprogramowaniem mogą być algorytmy uczenia maszynowego. Pozwalają na szybszy i efektywniejszy monitoring ruchu sieciowego, triage incydentów oraz zautomatyzowaną reakcję w razie wystąpienia zagrożenia.

Ogranicz przechowanie danych

Nie da się jednak w pełni zabezpieczyć przed cyberprzestępcami.

– Planując działania minimalizujące skutki przyszłych potencjalnych cyberataków, organizacje powinny rozważyć migrację danych do chmury, np. Microsoft Azure, Amazon Web Services (AWS), Google Cloud Platform (GCP), co w krótkiej perspektywie przyniesie wiele korzyści, np. elastyczność i skalowalność, oszczędność kosztów, wysoką dostępność i niezawodność, uproszczoną administrację, ale także wsparcie prawne i technologiczne oraz bezpieczeństwo – uważa Paweł Markiewicz.

Obowiązuje zasada: im mniej danych przechowuje się w organizacji, tym mniejsza ekspozycja na ryzyko nieuprawnionego dostępu do danych, ich kradzieży lub utraty.

– Najlepsze efekty w zakresie przeprowadzenia procesu minimalizacji danych dają działania manualne wsparte specjalistycznymi narzędzi IT, które w sposób zautomatyzowany lokalizują i identyfikują dane w środowisku IT, a następnie je klasyfikują, co pozwala skutecznie nimi zarządzać. Dzięki temu przedsiębiorstwo jest w stanie zidentyfikować np. dane zduplikowane oraz te, które już nie przydadzą się w dalszej działalności biznesowej – tłumaczy Paweł Markiewicz.

Zadbaj o pracowników

Eksperci z Eset podkreślają, że bezpieczeństwo zasobów jest też w rękach samych pracowników. Dlatego trzeba ich uczulić, by pamiętali o przestrzeganiu zasad. Wśród nich jest korzystanie z zaufanych źródeł, sprawdzanie stron, linków, z których się korzysta, zwracanie uwagi na treści, gdzie wymagane jest logowanie lub wykonanie przelewu, nieprzekazywanie ważnych informacji przez telefon, jeśli nie ma się pewności co do rozmówcy, weryfikowanie nadawcy wiadomości, nieudostępnianie dostępu do komputera nieznajomym osobom. Ważną zasadą jest też stosowanie silnych haseł zabezpieczających i regularne ich zmienianie. Elementem zabezpieczenia będzie poza tym uwierzytelnienie dwuskładnikowe (2FA) przy logowaniu do wewnętrznej sieci.

Paweł Markiewicz, M3M

Co z cyberbezpieczeństwem w małych i średnich firmach

O sytuacji mniejszych przedsiębiorstw opowiada Paweł Markiewicz, założyciel firmy M3M – więcej na:

cyfrowa-gospodarka.gazetaprawna.pl