Wywiady

Bezpieczny cyfrowy świat: jak stawić czoła cyberzagrożeniom?

28 marca 2024

12 min.

W rozmowie z Damianem Wróblewskim, CEO w Security Masters, podejmujemy temat konieczności zwiększenia świadomości dotyczącej cyberzagrożeń i potrzeby zapewnienia środków poprawiających bezpieczeństwo cyfrowe w sferze prywatnej i biznesowej. Czy jesteśmy gotowi na ewoluujące ryzyka w świecie online?

Wiktor Doktór, Pro Progressio: Cyberbezpieczeństwo – to modne ostatnio hasło, ale czy zarówno jako osoby prywatne oraz jako biznes jesteśmy świadomi faktycznych zagrożeń czyhających na nas w sieci?

Damian Wróblewski, Security Masters: Niestety okazuje się, że nadal nie jesteśmy w pełni świadomi cyberzagrożeń. Ten brak świadomości manifestuje się w nieustannie powtarzalnych zachowaniach, które narażają na szwank zarówno prywatność, jak i bezpieczeństwo.

Osoby prywatne często nie zdają sobie sprawy z wartości swoich danych osobowych dla cyberprzestępców. Dane, takie jak numery identyfikacyjne, adresy e-mailowe czy informacje bankowe, mogą być wykorzystywane do kradzieży tożsamości, oszustw finansowych, czy nawet szantażu. Brak stosowania podstawowych zasad bezpieczeństwa, takich jak silne hasła, aktualizacje oprogramowania, czy autoryzacja dwuetapowa, otwiera drzwi dla cyberprzestępców.

Wśród małych i średnich przedsiębiorstw panuje przekonanie, że problem cyberbezpieczeństwa ich nie dotyczy, co jest myśleniem ryzykownym, ponieważ cyberprzestępcy coraz częściej celują właśnie w te mniejsze organizacje. Duże korporacje, mimo lepszych systemów zabezpieczeń, również są narażone na ataki, w tym zaawansowane zagrożenia, które mogą pozostać niezauważone, powodując znaczne szkody. Niedocenianie ryzyka może prowadzić do poważnych konsekwencji, w tym strat finansowych pracowników, które w przypadku umów o pracę mogą sięgać wartości trzech pensji, a w modelu B2B – jeszcze więcej. W skrajnych przypadkach zarząd firmy lub osoby odpowiedzialne za IT mogą nawet ponieść konsekwencje prawne.

Niedoszacowanie zagrożeń w cyberprzestrzeni pokazuje, że zarówno osoby prywatne, jak i biznes, potrzebują większej świadomości i lepszego przygotowania na wyzwania, jakie niesie za sobą cyfrowy świat. Istotne jest zatem nie tylko inwestowanie w zabezpieczenia techniczne, ale również w edukację i rozwijanie świadomości na temat cyberbezpieczeństwa, aby skutecznie chronić zarówno dane osobowe, jak i majątek przed rosnącymi zagrożeniami w sieci.

Skąd płynie zagrożenie dla firm i na co powinniśmy być uczuleni?

Zagrożenia dla firm w cyberprzestrzeni są zróżnicowane i wyrafinowane, a wiele z nich ma swoje źródło w atakach skierowanych bezpośrednio w pracowników, szczególnie tych odpowiedzialnych za finanse, takich jak główni księgowi, dyrektorzy finansowi, członkowie zarządu oraz prezesi firm. Phishing, wykorzystujący techniki spoofingu i socjotechniki, jest obecnie jednym z najpopularniejszych i najskuteczniejszych wektorów ataku. Rozwój sztucznej inteligencji (AI) sprawił, że te ataki stały się bardziej wyrafinowane, z coraz mniej widocznymi błędami językowymi, co było charakterystyczne do listopada 2023 roku.

Najsłabszym ogniwem w każdej organizacji jest człowiek. Brak świadomości, wiedzy i dobrych praktyk w obszarze cyberbezpieczeństwa może mieć tragiczne konsekwencje dla przedsiębiorstwa i osób, które nim zarządzają. Niewłaściwe nawyki w obsłudze komputera i codziennie używanych narzędzi mogą nie tylko wpływać na ergonomię pracy, ale też otwierać drzwi dla cyberataków. Podobnie jak w ruchu drogowym, gdzie wymagana jest wiedza teoretyczna i praktyczna przed zdaniem egzaminu, tak w przypadku korzystania z komputerów i Internetu brak odpowiedniego przeszkolenia może prowadzić do poważnych zagrożeń, od kradzieży danych i pieniędzy, po tragiczne skutki dla ludzkiego życia.

Aby przeciwdziałać tym zagrożeniom, powinniśmy zacząć od siebie, edukując się i rozwijając dobre nawyki w obszarze cyberbezpieczeństwa, a następnie dzielić się tą wiedzą z innymi. Kluczowe jest, by być czujnym na treści wiadomości, czy to e-mail, SMS, czy nawet rozmowy telefoniczne wykorzystujące technologie, takie jak deep voice czy deep fake, które często apelują do ludzkich emocji, jak chciwość czy strach, będących potężnymi narzędziami w rękach cyberprzestępców.

Dodatkowo warto podkreślić, że korzystając z Internetu, należy być świadomym, iż reklamy wyświetlane na stronach informacyjnych czy rozrywkowych mogą być fałszywe, co stanowi kolejne potencjalne zagrożenie. Nie zawsze winę ponoszą witryny, na których się pojawiają, ale organizacje zarządzające reklamami, które niewystraczająco dokładnie weryfikują opłacone treści.

W kontekście cyberbezpieczeństwa istotne jest również zwrócenie uwagi na aktualizację oprogramowania, korzystanie z zaawansowanych narzędzi zabezpieczających, a także na promowanie kultury bezpieczeństwa wśród wszystkich pracowników. Edukacja w zakresie rozpoznawania fałszywych wiadomości, podejrzanych linków i załączników może znacząco zmniejszyć ryzyko udanych ataków na organizację.

A jak to wygląda w liczbach? Czy są znane dane dotyczące ataków oraz strat, jakie firmy ponoszą z uwagi na niską świadomość cyberbezpieczeństwa?

W obliczu rosnących zagrożeń, dane dotyczące strat finansowych i liczby ataków cybernetycznych rysują niepokojący obraz globalnej cyberprzestrzeni. Na całym świecie, firmy tracą miliony dolarów co 60 sekund z powodu działań cyberprzestępców. W Polsce, CERT Polska zarejestrował ponad 322 tys. zgłoszeń w roku 2022, co przekłada się na obsłużenie 39 tys. incydentów – wzrost o ponad 34% w porównaniu z rokiem poprzednim. To świadczy o znaczącym wzroście zagrożeń w polskiej cyberprzestrzeni, podkreślając, że problem cyberprzestępczości jest coraz większym wyzwaniem zarówno dla przedsiębiorstw, jak i użytkowników indywidualnych.

Szacuje się, że w Polsce cyberataki mają miejsce co kilka minut, choć dokładne liczby są trudne do ustalenia z powodu braku zgłoszeń wszystkich incydentów. To zjawisko stale narasta, a przestępcy nieustannie poszukują nowych metod ataku, wykorzystując ludzką ignorancję.

Globalne raporty, takie jak te opublikowane przez Cybersecurity Ventures czy Ponemon Institute, przewidują, że globalne straty związane z cyberprzestępczością mogą wzrosnąć do 10,5 biliona dolarów rocznie do 2025 roku, a średni koszt naruszenia danych dla firm na całym świecie wynosi około 3,86 miliona dolarów. To podkreśla wagę inwestycji w edukację cyberbezpieczeństwa i zaawansowane technologie obronne.

Czym jest cyberhigiena? Jakie proste nawyki mogą ochronić firmy przed niepożądanymi atakami?

Cyberhigiena odnosi się do zestawu praktyk i zasad, które mają na celu utrzymanie bezpieczeństwa danych i systemów informatycznych. Podobnie jak regularne mycie rąk chroni nas przed bakteriami i wirusami, tak odpowiednie nawyki związane z korzystaniem z technologii mogą chronić firmy przed cyberatakami. Oto kilka podstawowych kroków, które mogą znacząco podnieść poziom bezpieczeństwa cyfrowego:

Zmiana haseł: Regularna zmiana haseł do kont pocztowych i innych serwisów internetowych jest podstawą. Hasła powinny być unikalne dla każdego konta, skomplikowane (minimum 14 znaków, zawierające małe i duże litery oraz co najmniej dwa znaki specjalne) i niepowiązane bezpośrednio z naszym życiem prywatnym czy zawodowym.
Uwierzytelnianie wieloskładnikowe (MFA): Aktywacja MFA, najlepiej w formie aplikacji na telefon lub fizycznych kluczy uwierzytelniających (np. Yubico), znacząco utrudnia nieautoryzowany dostęp do kont nawet w przypadku wykradzenia haseł.
Szyfrowanie danych: Zabezpieczanie danych na urządzeniach przenośnych, takich jak komputery czy smartfony, poprzez szyfrowanie dysków to kolejny krok w ochronie wrażliwych informacji przed dostępem nieupoważnionych osób.
Zabezpieczenie sieci domowej: Ochrona sieci domowej, z której łączymy się z zasobami firmowymi, jest równie ważna. Używanie silnych haseł do sieci Wi-Fi, regularne aktualizowanie oprogramowania routera oraz korzystanie z sieci VPN to podstawowe kroki w tym kierunku.
Ostrożność w sieci: Zawsze warto sprawdzać, czy linki, w które klikamy, i e-maile, które otrzymujemy, pochodzą z zaufanych źródeł. W przypadku wątpliwości zaleca się bezpośredni kontakt z nadawcą w celu weryfikacji.

W firmach odpowiedzialność za cyberbezpieczeństwo rozkłada się na wszystkich pracowników, ale kluczową rolę odgrywają specjaliści IT oraz osoby na stanowiskach kierowniczych, które powinny promować kulturę bezpieczeństwa i inwestować w narzędzia oraz szkolenia z zakresu cyberhigieny. To właśnie od podejścia kierownictwa zależy, jak poważnie pracownicy będą traktować zalecenia dotyczące bezpieczeństwa cyfrowego i czy będą stosować się do najlepszych praktyk w codziennej pracy. Cyberbezpieczeństwo to nie tylko technologia, ale również odpowiednie zachowania i świadomość zagrożeń, co czyni edukację i regularne przypominanie o zasadach cyberhigieny niezbędnym elementem strategii bezpieczeństwa każdej organizacji.

Jak rozpoznać oszustwa internetowe? Na czym polegają stosowane najczęściej techniki ataków?

Rozpoznanie oszustw internetowych wymaga czujności i zrozumienia różnych metod, jakimi posługują się cyberprzestępcy. Oszustwa te mogą przyjmować różne formy, od phishingu, przez fałszywe faktury, aż po ataki ransomware. Oto kilka przykładów oszustw:

Phishing: Oszuści wysyłają e-maile lub wiadomości tekstowe, które wyglądają, jakby pochodziły od zaufanych źródeł (np. banków, instytucji rządowych), aby wyłudzić dane osobowe lub finansowe.
Fałszywe faktury: Przestępcy wysyłają do firmy fałszywe faktury za produkty lub usługi, które nigdy nie zostały zamówione ani dostarczone.
Ataki ransomware: Złośliwe oprogramowanie blokuje dostęp do systemów lub danych firmy i żąda okupu za ich odblokowanie.

CEO Fraud (oszustwo na dyrektora): Oszuści podszywają się pod wysokiego rangą menedżera firmy, prosząc o pilne przelewy finansowe.

Spoofing stron internetowych: Tworzenie fałszywych stron internetowych, które naśladują prawdziwe, w celu wyłudzenia danych osobowych lub finansowych.

Porady dla zarządów i osób odpowiedzialnych za IT:

Szkolenia i świadomość: Regularnie przeprowadzaj szkolenia z cyberbezpieczeństwa dla pracowników, aby zwiększyć ich świadomość na temat oszustw internetowych.
Zabezpieczenia techniczne: Zainstaluj i aktualizuj zabezpieczenia, takie jak firewall, oprogramowanie antywirusowe i anty-phishingowe.
Polityka bezpieczeństwa: Wdrożenie i egzekwowanie polityki bezpieczeństwa IT, która zawiera procedury i praktyki dotyczące bezpiecznego korzystania z e-maili i internetu.
Wieloczynnikowa autentykacja (MFA): Używaj MFA do zabezpieczenia dostępu do systemów i danych firmowych.
Backup danych: Regularnie wykonuj kopie zapasowe danych, aby w przypadku ataku ransomware móc przywrócić utracone informacje.

Porady dla pracowników:

Zwracaj uwagę na e-maile: Uważaj na e-maile zawierające nieoczekiwane załączniki lub linki, zwłaszcza jeśli proszą o dane osobowe lub finansowe.
Weryfikuj prośby finansowe: Zawsze weryfikuj prośby o przelewy finansowe, zwłaszcza jeśli są nietypowe lub nieoczekiwane.
Używaj silnych haseł: Twórz silne, unikalne hasła do wszystkich kont i regularnie je zmieniaj.
Aktualizuj oprogramowanie: Regularnie aktualizuj systemy operacyjne, aplikacje i oprogramowanie antywirusowe.
Nie udostępniaj danych osobowych: Bądź ostrożny, udostępniając dane osobowe lub finansowe online, i zawsze upewnij się, że strona jest bezpieczna (https).

Zapobieganie oszustwom internetowym wymaga ciągłego zaangażowania zarówno na poziomie indywidualnym, jak i organizacyjnym. Świadomość i edukacja są kluczowe w ochronie przed cyberprzestępczością

A jak już coś pójdzie nie tak, jak powinno, to co powinniśmy zrobić?

Gdy, mimo wszystkich środków ostrożności, coś pójdzie nie tak, ważne jest szybkie i skuteczne działanie, aby zminimalizować szkody. Oto kroki, które na leży podjąć w przypadku naruszenia cyberbezpieczeństwa:

Natychmiastowe reagowanie: Pierwszym krokiem jest natychmiastowe odcięcie potencjalnie zainfekowanych systemów od reszty sieci, aby zapobiec dalszemu rozprzestrzenianiu się ataku.
Analiza sytuacji: Należy szybko zidentyfikować źródło ataku oraz zakres naruszenia. Zrozumienie, jakie dane zostały skompromitowane i jak doszło do naruszenia, jest kluczowe dla dalszych działań.
Informowanie zainteresowanych stron: W zależności od skali problemu i rodzaju naruszonych danych, może być konieczne poinformowanie odpowiednich organów regulacyjnych, partnerów biznesowych oraz osób, których dane mogły zostać naruszone. Przejrzystość i otwarta komunikacja są kluczowe w zarządzaniu kryzysowym.
Zapewnienie wsparcia ofiarom: Jeśli dane klientów zostały naruszone, firma powinna zapewnić im odpowiednie wsparcie, np. w postaci monitorowania kredytowego, aby pomóc im zabezpieczyć się przed ewentualnymi konsekwencjami kradzieży tożsamości.
Przywrócenie usług: Po zabezpieczeniu systemów i zidentyfikowaniu źródła ataku, można przystąpić do przywracania usług. Ważne jest, aby przed pełnym przywróceniem systemów upewnić się, że wszystkie luki bezpieczeństwa zostały załatane.
Analiza i wnioski: Po rozwiązaniu bezpośredniego kryzysu ważne jest przeprowadzenie dokładnej analizy incydentu. Powinno to obejmować ocenę tego, jak doszło do naruszenia, jakie środki bezpieczeństwa zawiodły, oraz co można zrobić, aby uniknąć podobnych incydentów w przyszłości.
Szkolenie pracowników: Incydent namierzenia/zagrożenia bezpieczeństwa to również okazja do nauki. Przeprowadzenie dodatkowych szkoleń dla pracowników, aby zrozumieli, co się stało i jak mogą przyczynić się do większego bezpieczeństwa, jest kluczowym elementem wzmocnienia cyberhigieny.
Komunikacja po incydencie: Opracowanie szczegółowego planu komunikacji po incydencie, który uwzględnia lekcje wyciągnięte z zaistniałej sytuacji, pomoże w odbudowie zaufania wśród klientów i partnerów.

Pamiętajmy, że żaden system nie jest w 100% odporny na ataki, dlatego tak ważne jest przygotowanie na różne scenariusze i szybkie reagowanie w przypadku naruszenia bezpieczeństwa. Cyberbezpieczeństwo to proces ciągły, wymagający regularnej aktualizacji wiedzy i środków obronnych w obliczu nieustannie ewoluujących zagrożeń.

Dlatego lepiej zapobiegać niż leczyć. Warto współpracować z firmami, które świadczą usługi wsparcia IT w obszarze technologii którą aktualnie wykorzystujemy w organizacji np.: Microsoft 365 oraz cyberbezpieczeństwa. Nawet jeśli mamy zespół IT to on również potrzebuje wsparcia merytorycznego firmy, która specjalizuje się tylko w tym obszarze a pracownik/pracownicy IT muszą działać wszechstronnie przez co nie mogą byś skuteczni na 100% w każdym obszarze działania firmy tak jakby tego firma oczekiwała od nich. Pracownik IT to nie bezpiecznik i powinniśmy nie tylko zapewnić działowi IT odpowiednich narzędzi by mógł skutecznie zabezpieczać organizację ale również wsparcie merytoryczne od firm, które mogą dostarczyć najlepszą jakość usług zwiększających znacznie bezpieczeństwo naszej organizacji.

Czy w Polsce są jakieś regulacje prawne dotyczące cyberbezpieczeństwa? Czym jest NIS2 i kogo dotyczy?

W Polsce, podobnie jak w innych krajach Unii Europejskiej, istnieją regulacje prawne dotyczące cyberbezpieczeństwa, mające na celu ochronę infrastruktury krytycznej oraz danych osobowych obywateli. Jednym z kluczowych aktów prawnych jest ustawa o krajowym systemie cyberbezpieczeństwa, która wdraża dyrektywę NIS (Dyrektywa o bezpieczeństwie sieci i systemów informatycznych). Ustawa ta określa ramy prawne dla bezpieczeństwa systemów informatycznych w kluczowych sektorach gospodarki oraz w administracji publicznej.

NIS2 to zaktualizowana dyrektywa o bezpieczeństwie sieci i systemów informatycznych, która zastąpi pierwotną dyrektywę NIS. Zmiany wprowadzone w NIS2 mają na celu wzmocnienie ogólnounijnych ram cyberbezpieczeństwa poprzez rozszerzenie zakresu dyrektywy na nowe sektory i typy usług. NIS2 wprowadza również bardziej rygorystyczne wymogi dotyczące zarządzania ryzykiem cybernetycznym, zgłaszania incydentów oraz wprowadza surowsze sankcje za niewypełnienie obowiązków.

Dyrektywa NIS2 dotyczy szerokiego spektrum podmiotów w kluczowych sektorach gospodarki, takich jak energia, transport, bankowość, infrastruktura rynku finansowego, zdrowie, dostawa wody pitnej, cyfrowa infrastruktura, administracja publiczna oraz sektory cyfrowe, w tym dostawcy usług cyfrowych, takich jak chmury obliczeniowe, platformy internetowe i centra danych. Dyrektywa ta rozszerza również zasięg na nowe sektory, takie jak dostawcy usług pocztowych, odpadów i zarządzania ściekami, produkcji chemikaliów, produkcji i dystrybucji żywności, oraz sektor kosmiczny, co odzwierciedla zmieniający się krajobraz zagrożeń i znaczenie cyberbezpieczeństwa we współczesnej gospodarce.

Głównym celem dyrektywy NIS2 jest zapewnienie wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej, poprzez wzmocnienie zdolności krajowych do reagowania na cyberataki, poprawę współpracy między państwami członkowskimi oraz zwiększenie odporności sektorów kluczowych i dostawców usług cyfrowych na incydenty cybernetyczne.

Wdrożenie NIS2 w Polsce, podobnie jak w innych państwach UE, będzie wymagało dostosowania krajowych przepisów i praktyk w zakresie cyberbezpieczeństwa do nowych wymogów dyrektywy, co przyczyni się do wzmocnienia ochrony przed cyberzagrożeniami na poziomie krajowym oraz europejskim.

Od 2020 roku powszechna jest praca zdalna i hybrydowa. Jakich wskazówek w odniesieniu do cyberbezpieczeństwa udzieliłbyś rozproszonym zespołom?

Praca zdalna i hybrydowa, która stała się nową normą dla wielu organizacji na całym świecie, niesie za sobą nowe wyzwania w zakresie cyberbezpieczeństwa. Oto wskazówki, które pomogą rozproszonym zespołom zwiększyć ich bezpieczeństwo cyfrowe:

Korzystanie z usług specjalistycznych: Współpracuj z firmami specjalizującymi się w cyberbezpieczeństwie, najlepiej na zasadzie abonamentu miesięcznego, który obejmuje szkolenia dla pracowników biznesowych i IT. Pamiętaj, że cyberbezpieczeństwo to proces ciągły, a nie jednorazowe działanie.
Symulowane ataki cybernetyczne:

Regularnie organizuj kontrolowane ataki na systemy i pracowników, aby w praktyce przetestować ich gotowość. Lepiej, aby takie działania przeprowadzał zaufany partner niż prawdziwi cyberprzestępcy.

Szkolenia i świadomość pracowników: Regularnie organizuj szkolenia z cyberbezpieczeństwa, aby pracownicy byli świadomi potencjalnych zagrożeń, takich jak phishing, malware czy ataki ransomware. Każdy członek zespołu powinien wiedzieć, jak rozpoznawać i reagować na podejrzane aktywności.
Stosowanie VPN: Zachęcaj pracowników do korzystania z sieci VPN (Virtual Private Network), aby zapewnić bezpieczne połączenie między ich urządzeniem a siecią firmową, szczególnie w przypadku korzystania z publicznych sieci Wi-Fi.
Zarządzanie hasłami: Implementuj politykę silnych haseł i promuj używanie menedżerów haseł. Rozważ wdrożenie uwierzytelniania wieloskładnikowego (MFA) jako dodatkowej warstwy ochrony.
Aktualizacje oprogramowania: Zapewnij, że wszystkie urządzenia i oprogramowanie używane przez pracowników są regularnie aktualizowane, aby zawierały najnowsze łatki bezpieczeństwa.
Zabezpieczanie urządzeń: Wprowadź zasady dotyczące zabezpieczeń urządzeń używanych do pracy zdalnej, w tym szyfrowanie dysków, oprogramowanie antywirusowe i firewalle.
Bezpieczne przechowywanie danych:

Używaj bezpiecznych, szyfrowanych metod przechowywania i udostępniania danych. Unikaj przechowywania wrażliwych informacji firmowych na urządzeniach osobistych.

Zasady BYOD (Bring Your Own Device): Jeżeli pracownicy używają własnych urządzeń, określ jasne wymagania dotyczące bezpieczeństwa i ochrony danych.
Plan reagowania na incydenty: Opracuj i wdroż plan reagowania na incydenty cyberbezpieczeństwa, aby móc szybko identyfikować i eliminować zagrożenia.
Regularne audyty & oceny ryzyka bez pieczeństwa: Systematycznie przeprowadzaj audyty & oceny ryzyka bezpieczeństwa w celu oceny skuteczności środków ochronnych i identyfikacji po tencjalnych luk.
Promowanie kultury bezpieczeństwa: Buduj kulturę cyberbezpieczeństwa w organizacji, zachęcając do otwartej komunikacji na temat zagrożeń i najlepszych praktyk.

Dostosowanie strategii bezpieczeństwa do nowych modeli pracy, edukacja pracowników i wdrożenie odpowiednich narzędzi technologicznych to klucz do ochrony naszej organizacji. Wyróżniające się TOP talenty menedżerskie, które jest ciężko znaleźć na rynku pracy, najczęściej świadczą swoje eksperckie usługi dla wielu firm, nie chcąc się wiązać z jedną firmą na stałe – tak wynika z badań przeprowadzonych przez firmy zajmujące się rekrutacją najlepszych managerów. Warto wziąć to pod uwagę przy planowaniu budżetu na koszty i rozwój organizacji w obszarze cyberbezpieczeństwa.

Dziękuję za rozmowę.

Zdjęcie: OHPHOTO Ewelina Szindler.