Cyberataki wśród najpoważniejszych zagrożeń dla biznesu. Ściganie hakerów wciąż pozostaje dużym wyzwaniem

Prawie 40 proc. firm uznaje incydenty cybernetyczne za najważniejsze ryzyko biznesowe na świecie – wynika z Barometru Ryzyk Allianz 2020. Globalnie zajmują one pierwsze miejsce, a w Polsce trzecie wśród największych zagrożeń dla przedsiębiorców. Chociaż walka z hakerami jest coraz bardziej zacięta, to wciąż pozostaje dużym wyzwaniem. Ostatnie lata były bardzo aktywne pod względem tworzenia nowych regulacji, zarówno na forum unijnym, jak i krajowym. Jak podkreśla prezes ISSA Polska Tomasz Wodziński, w polskim systemie wciąż brakuje jednak edukacji, która przyczyniłaby się do większej świadomości zagrożeń wśród internautów, a z drugiej – regulacji poprawiających ściganie cyberprzestępstw.

– Potrzebujemy dużego wzmocnienia w obszarze cyber w życiu społecznym, uruchomienia programów uświadamiających obywateli, w jakim stopniu powinni czuć się zagrożeni. Podczas korzystania na co dzień z internetu, portali aukcyjnych czy sklepów internetowych często dotykają ich różnego rodzaju cyberzagrożenia. Dziś w zasadzie nie otrzymują żadnego wsparcia ze strony państwa. Być może dobrym pomysłem byłoby przerzucenie na sklepy i dostawców usług internetowych obowiązku edukowania swoich użytkowników w obszarze cyber – mówi agencji Newseria Biznes Tomasz Wodziński, prezes zarządu ISSA Polska.

Jak podkreśla, w ostatnich latach w systemie prawnym zaszło wiele zmian dotyczących cyberbezpieczeństwa. W 2018 roku zaczęła obowiązywać ustawa wdrażająca RODO. W życie weszła również ustawa o krajowym systemie cyberbezpieczeństwa – pierwszy w Polsce akt prawny dotyczący tego obszaru, wdrażający do polskiego prawa dyrektywę NIS. Stworzyła ona ramy dla całego krajowego ekosystemu cyberbezpieczeństwa i objęła m.in. sektor telekomunikacyjny, finansowy i administrację publiczną, na które zostały nałożone nowe obowiązki raportowania do CSIRT-ów incydentów naruszenia bezpieczeństwa w ciągu 24 godzin.

Trwają natomiast prace nad implementacją Cybersecurity Act – drugiej po dyrektywie NIS regulacji prawnej w zakresie cyberbezpieczeństwa na poziomie europejskim. Jej cel to budowa silnego systemu cyberbezpieczeństwa i wzmocnienie jednolitego rynku cyfrowego. Cybersecurity Act składa się z dwóch części: z jednej strony wzmacnia rolę Europejskiej Agencji ds. Bezpieczeństwa Sieci i Informacji (ENISA), z drugiej – tworzy ramy wspólnego europejskiego systemu certyfikacji cyberbezpieczeństwa dla produktów i usług ICT. Rozporządzenie weszło w życie w czerwcu 2019 roku, a Polska ma czas na jego implementację do 2021 roku.

– Ministerstwo Cyfryzacji realizuje szereg działań, które mają zaimplementować tzw. Cybersecurity Act. Jednak dotyczy to głównie infrastruktury państwa, nie dotyka w żaden sposób obywateli. Ten akt ma za zadanie głównie wesprzeć działania kontrolne i koordynację w ramach państw Unii Europejskiej – mówi Tomasz Wodziński.

Prezes ISSA Polska podkreśla, że w polskim systemie wciąż brakuje z jednej strony działań edukacyjnych, które przyczyniłyby się do większej świadomości zagrożeń, a z drugiej – regulacji wzmacniających bezpieczeństwo konsumentów i poprawiających możliwości wykrywania cyberprzestępstw.

– Policji, prokuraturze i sądom trudno jest dziś ścigać przestępców cyfrowych. Tutaj prawodawstwo powinno w jakiś sposób pomóc. Potrzebna jest też edukacja sądów, prokuratorów, policji, która pomogłaby im lepiej zrozumieć zagrożenia niesione przez cyberprzestrzeń – mówi prezes zarządu ISSA Polska.

Z raportu CERT Polska „Krajobraz bezpieczeństwa polskiego internetu” wynika, że skala cyberzagrożeń rośnie. W 2018 roku CERT wykrył 3739 incydentów naruszenia bezpieczeństwa, co stanowiło wzrost aż o 17,5 proc. r/r, a trzy czwarte z nich dotyczyło osób fizycznych lub podmiotów prywatnych. Trzy najczęściej występujące typy incydentów to phishing, dystrybucja złośliwego oprogramowania i spam, ale CERT odnotował też prawie trzykrotny wzrost incydentów związanych z fałszywymi sklepami internetowymi. Podszywanie się pod pośredników płatności było w 2018 roku najpopularniejszym atakiem na użytkowników bankowości elektronicznej, który powodował znaczące straty finansowe.

Ściganie cyberprzestępstw jest trudne, gdyż mechanizmy stosowane przez hakerów i przestępców są coraz bardziej skomplikowane, a policja dysponuje ograniczonymi zasobami. Na dodatek w wielu przypadkach prawo wciąż nie nadąża za coraz bardziej skomplikowanymi technikami.

– Ustawowo trudno jest nałożyć jakieś wymogi na obywateli. W tej chwili Kodeks karny definiuje przestępstwa cyfrowe i odpowiedzialność atakujących, natomiast policja nie jest w stanie ich ścigać. Być może nowelizacja Prawa telekomunikacyjnego pozwoliłaby w większym stopniu wesprzeć organy rządowe w uzyskiwaniu informacji, ale często większym problemem są np. banki zasłaniające się informacją bankową, które utrudniają prokuraturze i policji szybkie dotarcie do przestępców działających zza adresów IP – mówi Tomasz Wodziński.

W Komendzie Głównej Policji działa Biuro do Walki z Cyberprzestępczością, a liczba koordynowanych przez nie spraw z roku na rok rośnie. W 2017 roku biuro koordynowało 1,6 tys. spraw, natomiast rok później było ich już blisko 2,2 tys. W 2018 roku policjanci biura ustalili 749 podejrzanych, a areszty zastosowano wobec 148.