Mówi: | Przemysław Wolek, dyrektor Pionu Bezpieczeństwa IT, ING Tech Poland Łukasz Miedziński, dyrektor Departamentu Cyber, ING Tech Poland |
Polskie firmy notują wzrost liczby cyberataków. Największym zagrożeniem pozostają błędy po stronie pracownika
Masowe przejście na pracę zdalną okazało się czynnikiem, który wpłynął na cyberbezpieczeństwo polskich firm. Prawie co piąta z nich odnotowała w ubiegłym roku wzrost liczby ataków hakerskich. Ich celem, będącym zarazem najsłabszym ogniwem całego systemu cyberbezpieczeństwa, najczęściej są pracownicy i ich skrzynki mailowe. W przypadku ataku phishingowego mogą posłużyć hakerom jako punkt wejścia do organizacji. Jednak sami pracownicy też często wykazują się niefrasobliwością, np. przesyłając służbową korespondencję na swoje prywatne, słabo chronione skrzynki mailowe. Dlatego – jak podkreślają eksperci ING Tech Poland – pierwszą linią obrony firm przed cyberatakami jest podnoszenie świadomości pracowników. W drugim kroku potrzebne są zabezpieczenia techniczne.
– Czynnik ludzki pozostaje niezmiennie jednym z głównych zagrożeń dla cyberbezpieczeństwa, który w dodatku najtrudniej jest kontrolować. Mimo tego, że inwestujemy duże środki i wysiłek w to, żeby szkolić, pracować nad odpowiednią świadomością, często wystarczy, że tylko jedna osoba popełni błąd, zamyśli się albo zapomni, a taki błąd może być bardzo brzemienny w skutkach dla całej organizacji – mówi agencji Newseria Biznes Przemysław Wolek, dyrektor Pionu Bezpieczeństwa IT w ING Tech Poland.
Z ostatniego „Barometru Cyberbezpieczeństwa 2021” firmy doradczej KPMG wynika, że w ocenie 55 proc. polskich firm pandemia COVID-19 przyczyniła się do wzrostu ryzyka wystąpienia cyberataków. W ubiegłym roku 19 proc. zaobserwowało nasilenie takich incydentów, a 64 proc. przedsiębiorstw odnotowało przynajmniej jeden taki atak. To wzrost o 10 punktów procentowych r/r.
83 proc. przedsiębiorstw ankietowanych przez KPMG w czasie pandemii COVID-19 wdrożyło pracę zdalną, niemal w pełni w klasycznym modelu – z wykorzystaniem służbowych laptopów i szyfrowanych połączeń (VPN). Jednocześnie 51 proc. firm przyznało, że przejście pracowników na home office okazało się wyzwaniem w kontekście zapewnienia bezpieczeństwa, ponieważ praca w modelu zdalnym zwiększyła ryzyko nieautoryzowanych działań i podatność na cyberataki. Co czwarty przyznaje, że zmniejszyła się skuteczność operacji bezpieczeństwa.
– Możemy zorganizować liczne sesje awarenessowe dla użytkowników. Mimo tego, że oni będą się super zachowywać podczas tych sesji, ostatecznie nie wiemy, jak zareagują przy prawdziwym ataku – mówi Łukasz Miedziński, dyrektor Departamentu Cyber w ING Tech Poland. – Najczęściej popełniane błędy przez pracowników to przede wszystkim niestosowanie się do polityk, które są jasno zdefiniowane w firmie, łamanie zasad, których powinni przestrzegać.
Jak podkreśla, słabym ogniwem często są zwykłe skrzynki mailowe pracowników, które np. w przypadku ataku phishingowego służą hakerom jako punkt wejścia do organizacji. Dane KPMG wskazują, że ataki oparte na socjotechnice wiążą się z dużymi obawami przedsiębiorców.
– Pierwszą fazą takiego ataku jest weryfikacja pracownika i jego zainteresowań. Poprzez social media cyberprzestępca może sprawdzić, czym on się zajmuje na co dzień, czym się interesuje, a następnie stworzyć maila w taki sposób, żeby pracownik bez zastanowienia zainteresował się jego treścią i kliknął w link, który został dla niego przygotowany. Po takiej akcji oczywiście infekcja jest gotowa – mówi Łukasz Miedziński.
Szkolenia pracowników z zakresu cyberbezpieczeństwa obejmują również socjotechnikę. Firmy uczulają swój personel, w jaki sposób przestępcy mogą wykorzystywać dane na jego temat i czym grozi kliknięcie na zainfekowany link. Symulują przykładowe ataki i obserwują reakcję pracowników, szukając słabego ogniwa. Podnoszenie tzw. security awerness wśród pracowników to pierwsza linia obrony firmy przed cyberatakami, ale nigdy nie daje ona 100 proc. gwarancji bezpieczeństwa. Dlatego drugi krok to zabezpieczenia stricte techniczne, które przedsiębiorstwo powinno wdrożyć, żeby zminimalizować ryzyko.
– Zaczynając od tzw. preventive controls, czyli zabezpieczeń, które blokują pewne zachowania pracowników, szyfrowanie czy uwierzytelnianie dwuskładnikowe. Chyba najważniejszy element to ograniczenie dostępu do skrzynek z różnych miejsc. Ważne jest, żeby skrzynki jednak były zawsze obsługiwane z wewnątrz organizacji bądź przez szyfrowane połączenia typu VPN. W dalszej kolejności możemy skoncentrować się na zabezpieczeniach typu detective, czyli monitorujemy pracowników, jak reagują w określonych sytuacjach – wymienia dyrektor Departamentu Cyber w ING Tech Poland.
– Korespondencję służbową możemy zabezpieczać na wiele sposobów. Jednym z nich jest klasyfikacja danych, które funkcjonują w firmie, i dbanie o to, aby dane sklasyfikowane wysoko nie mogły opuszczać organizacji. Innym sposobem jest skanowanie contentu wiadomości w taki sposób, żeby przechwytywać wiadomości, które zawierają treści niepożądane, również przeciwdziałając opuszczeniu organizacji – wyjaśnia Przemysław Wolek.
O tym, jakie mogą być tego konsekwencje, świadczy tzw. afera mailowa na szczytach władzy. Od czerwca w internecie pojawiają się szczegóły korespondencji między najważniejszymi politykami w państwie. Rząd nie komentuje sprawy, kwestionując prawdziwość maili.
– Trudno jest odnosić się do tego bardzo specyficznie, dlatego że nie wiemy, co dokładnie się wydarzyło – mówi dyrektor Pionu Bezpieczeństwa IT w ING Tech Poland. – W naszej firmie nie wyobrażamy sobie, żeby korespondencja służbowa przetwarzana była na kontach prywatnych i w taki sposób wykorzystywana. To nie powinno mieć miejsca.
Przesyłanie służbowych danych na prywatne skrzynki lub noszenie ich na urządzeniach mobilnych, np. pendrive’ach, oznacza, że organizacja traci kontrolę nad danymi i nie jest w stanie ich dłużej kontrolować. Te praktyki – uważane przez firmy i ekspertów za bardzo niebezpieczne – są jednak bardzo powszechne wśród pracowników.
– Firmowe skrzynki mailowe organizacji są chronione poprzez zaawansowane techniki i zabezpieczenia security. Natomiast skrzynki prywatne już tak dobrze chronione nie są, więc w takim przypadku korespondencja może zostać po prostu przejęta – dodaje Łukasz Miedziński.
Czytaj także
- 2024-07-22: Awaria CrowdStrike’a miała podobne skutki jak potencjalny cyberatak. Uzależnienie od technologii to ryzyko wyłączenia całych gałęzi gospodarki
- 2024-07-10: Producenci systemów sterowania ruchem kolejowym przygotowani do ochrony przed cyberatakami. Czekają na uruchomienie nowych inwestycji na kolei
- 2024-06-21: Szkoły nie przygotowują uczniów na wejście w dorosłość. Oceny wciąż ważniejsze od kompetencji przyszłości i kreatywności
- 2024-07-16: Handel odczuwa kryzys demograficzny. Pracownicy zagraniczni i automatyzacja sposobem na niedobór kadr
- 2024-06-13: Brak wiedzy może hamować termomodernizację budynków w Polsce. Co czwarty właściciel nie planuje takich inwestycji
- 2024-06-14: Elektroniczna karta szczepień ułatwiłaby życie pacjentom i pomogła egzekwować obowiązek szczepień. System jest gotowy na takie e-rozwiązanie
- 2024-06-26: Katarzyna Dowbor: Kocham Andaluzję. Z przyjemnością jeżdżę tam na wakacje do domu moich dzieci
- 2024-07-10: Katarzyna Pakosińska: Cieszę się, że miałam odwagę podjąć decyzję o rozstaniu z Kabaretem Moralnego Niepokoju. Rwało mnie już wtedy gdzie indziej
- 2024-06-19: Katarzyna Pakosińska: Bardzo interesujemy się z mężem Dalekim Wschodem. Marzy nam się lot do Korei, by lepiej poznać tamtejszą historię i kulturę
- 2024-06-04: Nowe systemy biletowe muszą lepiej chronić dane osobowe pasażerów. To cenny łup dla cyberprzestępców
Kalendarium
Więcej ważnych informacji
Jedynka Newserii
Jedynka Newserii
Ochrona środowiska
Polska wciąż bez strategii transformacji energetyczno-klimatycznej. Zaktualizowanie dokumentów mogłoby przyspieszyć i uporządkować ten proces
Prace nad nowym Krajowym planem w dziedzinie energii i klimatu powinny, zgodnie z unijnymi zobowiązaniami, zakończyć się w czerwcu br., ale do tej pory nie trafił on do konsultacji społecznych. Trzydzieści organizacji branżowych i społecznych zaapelowało do Ministerstwa Klimatu i Środowiska o przyspieszenie prac nad dokumentem i jego rzetelne konsultacje. Jak podkreśliły, nie powinien on być rozpatrywany tylko jako obowiązek do wypełnienia, lecz również jako szansa na przyspieszenie i uporządkowanie procesu transformacji energetyczno-klimatycznej w kraju. Polska pozostaje jedynym państwem w UE, który nie przedstawił długoterminowej strategii określającej nasz wkład w osiągnięcie neutralności klimatycznej UE do 2050 roku.
Bankowość
Firmy mogą się już ubiegać o fundusze z nowej perspektywy. Opcji finansowania jest wiele, ale nie wszystkie przedsiębiorstwa o tym wiedzą
Dla polskich firm środki UE są jedną z najchętniej wykorzystywanych form finansowania inwestycji i projektów rozwojowych. W bieżącej perspektywie finansowej na lata 2021–2027 Polska pozostanie jednym z największych beneficjentów funduszy z polityki spójności – otrzyma łącznie ok. 170 mld euro, z których duża część trafi właśnie do krajowych przedsiębiorstw. Na to nakładają się również środki z KPO i programów ramowych zarządzanych przez Komisję Europejską. Możliwości finansowania jest wiele, ale nie wszystkie firmy wiedzą, gdzie i jak ich szukać. Tutaj eksperci widzą zadanie dla banków.
Ochrona środowiska
Biznes chętnie inwestuje w OZE. Fotowoltaika na własnym gruncie najchętniej wybieranym rozwiązaniem
Możliwości związanych z inwestowaniem w zieloną energię jest bardzo dużo, jednak to fotowoltaika na własnych gruntach jest najchętniej wybieranym przez biznes rozwiązaniem OZE. Specjaliści zwracają uwagę, że wydłużył się okres zwrotu z takiej inwestycji, mimo tego nadal jest atrakcyjny, szczególnie w modelu PV-as-a-service. Dlatego też firm inwestujących w produkcję energii ze słońca może wciąż przybywać.
Partner serwisu
Szkolenia
Akademia Newserii
Akademia Newserii to projekt, w ramach którego najlepsi polscy dziennikarze biznesowi, giełdowi oraz lifestylowi, a także szkoleniowcy z wieloletnim doświadczeniem dzielą się swoją wiedzą nt. pracy z mediami.