Praca

To był atak! Kilka słów o cyberbezpieczeństwie

26 luty 2024

Do biura wchodzi grupka ludzi ubranych w robocze kombinezony. - Sprawdzamy instalację wentylacyjną – mówi jeden z nich. - Proszę na chwilę wyjść. Pracownicy grzecznie wstają i wychodzą. Nie każdy pamięta o tym, by wyłączyć komputer. W gnieździe USB jednego z komputerów zostaje umieszczony mały pendrive... Po chwili pracownicy wracają do biura. Wentylacja działa bez zarzutu. Tak przynajmniej mówili ludzie mijający ich w korytarzu. Można więc wracać do pracy. Problem jedynie w tym, że firma padła właśnie ofiarą cyberataku. Można śmiało powiedzieć, że był to atak bezczelny i w jakiś sposób ordynarny, ale skuteczny. Pewnie też nie wiązał się z ryzykiem dla ludzi przebranych w robocze kombinezony, skoro jego konsekwencje ujawnią się dopiero po kilku miesiącach. Ale prawda jest taka, że większość cyberataków przebiega o wiele bardziej subtelnie. Atakujący siedzi sobie spokojnie w domu, korzystając z internetu, luk w zabezpieczeniach i zwykłej, ludzkiej niefrasobliwości.

Dlaczego firmy muszą dbać o cyberbezpieczeństwo?

Przede wszystkim chodzi o ochronę danych. Cyberataki mogą prowadzić do kradzieży danych osobowych, poufnych informacji biznesowych, danych finansowych i innych wartościowych informacji. Utrata takich danych może mieć negatywny wpływ na reputację firmy. Może też doprowadzić do nałożenia kar finansowych i innych poważnych konsekwencji.

Klienci coraz bardziej dbają o bezpieczeństwo swoich danych i oczekują, że podmioty, którym te dane powierzyli, będą chronić je przed cyberatakami. Dbałość o cyberbezpieczeństwo może pomóc firmie zbudować zaufanie klientów i zwiększyć ich lojalność.

Cyberatak potrafi również uszkodzić lub wyłączyć infrastrukturę IT, co może prowadzić do przestojów w pracy, utraty produktywności i innych strat finansowych. Potencjalnym źródłem zagrożenia może być nieuczciwa konkurencja. Luki w zabezpieczeniach mogą więc być wykorzystywane nie tylko przez zwykłych przestępców, ale też przez inne firmy chcące zyskać przewagę na rynku.

W wielu krajach funkcjonują obecnie przepisy dotyczące ochrony danych i cyberbezpieczeństwa. Podmioty gospodarcze są zobligowane do ich przestrzegania. Niedostosowanie się do tych przepisów może skutkować np. nałożeniem kar finansowych czy innych sankcji.

Jakie dyrektywy dotyczące cyberbezpieczeństwa obowiązują w UE?

Na terenie Unii Europejskiej, a więc również w Polsce, obowiązuje szereg aktów prawnych dotyczących cyberbezpieczeństwa. Oto kilka z nich.

Dyrektywa NIS 2

NIS 2, czyli Dyrektywa w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii, zastąpiła dyrektywę NIS z 2016 r. Obejmuje szeroki zakres podmiotów, w tym operatorów infrastruktury krytycznej, dostawców usług cyfrowych i organy administracji publicznej. Nakłada na nie szereg obowiązków, takich jak:

wdrożenie odpowiednich środków bezpieczeństwa technicznego i organizacyjnego;
zgłaszanie poważnych incydentów cybernetycznych do właściwych organów;
współpraca z organami nadzoru.

Rozporządzenie RODO (Ogólne rozporządzenie o ochronie danych)

Chociaż nie jest to dyrektywa wprost dotycząca cyberbezpieczeństwa, RODO zawiera przepisy mające na celu ochronę danych osobowych przed cyberatakami. Nakłada na organizacje rozmaite obowiązki, m.in.:

wdrożenie odpowiednich środków bezpieczeństwa technicznego i organizacyjnego w celu ochrony danych osobowych;
zgłaszanie naruszeń ochrony danych osobowych do organów nadzoru;
przeprowadzanie oceny skutków dla ochrony danych osobowych w przypadku przetwarzania danych wysokiego ryzyka.

Dyrektywa SIP

Pod tą nazwą kryje się Dyrektywa w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii. Celem tych przepisów jest zapewnienie bezpieczeństwa sieci i systemów informatycznych w sektorze publicznym. Nakładają one na państwa członkowskie obowiązek:

określenia krajowych strategii bezpieczeństwa sieci i systemów informatycznych;
wyznaczenia organów ds. bezpieczeństwa sieci i systemów informatycznych;
wdrożenia środków bezpieczeństwa w sektorze publicznym.

Dyrektywa DORA

Unijna dyrektywa DORA, czyli Rozporządzenie o Operacyjnej Odporności Cyfrowej (ang. Digital Operational Resilience Act) ma na celu zwiększenie odporności sektora finansowego na cyberataki i inne zakłócenia operacyjne. Akt ten został przyjęty w listopadzie 2022 r. i ma zacząć obowiązywać w 2025 r. Do przestrzegania tych przepisów zobowiązane są instytucje kredytowe, firmy inwestycyjne, zakłady ubezpieczeń, dostawcy usług płatniczych, a także inne podmioty świadczące kluczowe usługi dla sektora finansowego.

Instytucje te muszą między innymi:

wdrożyć odpowiednie środki bezpieczeństwa technicznego i organizacyjnego w celu ochrony systemów i danych;
opracować plany reagowania na incydenty cybernetyczne;
przeprowadzać regularne testy i szkolenia w zakresie cyberbezpieczeństwa;
zgłaszać poważne incydenty cybernetyczne do organów nadzoru.

Jak chronić firmę przed atakiem?

Zapewnienie cyberbezpieczeństwa w firmie to wieloaspektowy proces. Wymaga zaangażowania zarówno zarządu, jak i wszystkich pracowników. Oto kilka kluczowych kroków, które można podjąć, by wzmocnić ochronę.

1. Świadomość zagrożeń

Szkolenia dla pracowników: Regularne szkolenia z zakresu cyberbezpieczeństwa są kluczowe dla uświadomienia pracownikom zagrożeń i sposobów ochrony przed nimi. Należy poruszać tematy takie jak phishing, malware, social engineering, tworzenie silnych haseł i bezpieczne korzystanie z Internetu.

Kampanie informacyjne: Wzmacnianie świadomości poprzez kampanie informacyjne, e-maile, plakaty i inne materiały edukacyjne.

2. Ochrona techniczna

Oprogramowanie antywirusowe i antyspamowe: Zainstalowanie i aktualizowanie oprogramowania antywirusowego i antyspamowego na wszystkich urządzeniach firmowych.

Zapora sieciowa: Używanie zapory sieciowej do ochrony sieci firmowej przed nieuprawnionym dostępem.

Szyfrowanie danych: Szyfrowanie danych poufnych, zarówno w spoczynku (np. na dysku), jak i podczas przesyłania.

Aktualizacje oprogramowania: Regularne aktualizowanie systemów operacyjnych i oprogramowania do najnowszych wersji w celu naprawy znanych luk bezpieczeństwa.

Kopie zapasowe: Regularne tworzenie kopii zapasowych danych firmowych, by móc je łatwo odzyskać w przypadku ataku cybernetycznego.

3. Polityki bezpieczeństwa

Polityka haseł: Wdrożenie polityki haseł, która określa wymagania dotyczące siły haseł i ich częstej zmiany.

Polityka dostępu do danych: Określenie, kto ma dostęp do danych poufnych i w jaki sposób.

Polityka korzystania z urządzeń mobilnych: Określenie zasad korzystania z urządzeń mobilnych (np. podczas pracy zdalnej).

Polityka incydentów cybernetycznych: Opracowanie planu postępowania, który określa role i obowiązki poszczególnych osób w przypadku incydentu cybernetycznego.

4. Monitorowanie i kontrola

Monitorowanie sieci i systemów: Monitorowanie sieci i systemów pod kątem podejrzanej aktywności.

Audyty bezpieczeństwa: Regularne przeprowadzanie audytów bezpieczeństwa w celu identyfikacji i napraw luk w zabezpieczeniach.

Testy penetracyjne: Przeprowadzanie testów penetracyjnych, które sprawdzą, jak podatne na ataki są systemy informatyczne firmy.

Co to jest SOC?

W celu zapewnienia skutecznej ochrony można wybrać dwie drogi: stworzyć odpowiednią komórkę w ramach struktury firmy lub skorzystać z usług specjalistów zewnętrznych. Tak naprawdę najlepiej byłoby zrobić obie te rzeczy, a więc zorganizować w firmie zespół odpowiedzialny za ochronę cyfrową, ale od czasu do czasu zamówić audyt lub test penetracyjny u kogoś, kto oferuje takie usługi i ma dobrą opinię.

Firmy specjalizujące się w zagadnieniach cyberbezpieczeństwa określa się często skrótem SOC (ang. security operations center). Pracują w nich eksperci z różnych dziedzin, bo założeniem działania takiej organizacji jest podejście multidyscyplinarne. SOC mogą więc zatrudniać zarówno informatyków, jak i prawników, psychologów czy specjalistów od user experience. Oczywiście wszyscy oni muszą posiadać wiedzę o systemach informatycznych, lecz liczne kursy i bootcampy (dostępne również online) umożliwiają jej zdobycie.

Karierą w cyberbezpieczeństwie może więc być zainteresowane dość szerokie grono kandydatów. Jasne, że praca taka wymaga zdolności analitycznych, znajomości przepisów, pewnego drygu do komputerów oraz chęci ciągłego podnoszenia swoich kwalifikacji. Wymaga też empatii, by łatwo wczuć się w rolę czy to atakującego, czy zwykłego użytkownika systemu. Jednak specjaliści z zakresu cyberbezpieczeństwa są bardzo poszukiwani, a co za tym idzie – opłacani niezwykle hojnie.

Autor: Juliusz Koczaski, Redaktor WERBEO