Nowe technologie otwierają drogę do rozwoju gospodarki, ale też do popełniania wyrafinowanych przestępstw. To, co jest źródłem innowacyjności dla firm, stało się też dla nich jednym z głównych zagrożeń. Dlatego działalność gospodarcza staje się dziś ciągłym balansowaniem pomiędzy rozwojem a cyberzagrożeniem. Czy polskie firmy, zarówno małe, jak i duże, mają tego świadomość? Czy rozumieją to ich klienci? Jaka jest skala zagrożeń, z którymi mogą się zetknąć? Gdzie są słabe punkty polskich firm i co można zrobić, by uniknąć strat spowodowanych cyberatakiem lub innym naruszeniem bezpieczeństwa teleinformatycznej infrastruktury przedsiębiorstwa?

W tym dodatku chcemy odpowiedzieć na kilka kluczowych pytań i udzielić praktycznych porad, jak radzić z sobie z zagrożeniem, które według raportu SIM Trends plasuje się już na drugim miejscu wśród dziesięciu największych wyzwań dekady.

Cyfrowa mafia

Każda nowa technologia stwarza nowe możliwości popełniania przestępstw, ale żadna kryminalna branża nie rozwinęła się tak szybko i nie przybrała tylu form, co cyberprzestępczość. Jeszcze kilkanaście lat temu haker był kojarzony z nastolatkiem, tworzącym i rozsyłającym dla zabawy wirusy, które kasowały dane z komputerów. Dziś za cyberatakami stoją potężne przestępcze organizacje.

„Gdzieś pod koniec 2007 roku zauważyliśmy, że rozproszony dotąd świat cyberprzestępców zaczął organizować się w struktury przypominające mafię” – oceniał Yuval Ben-Itzak z zajmującej się bezpieczeństwem sieci kalifornijskiej firmy Finjan. 10 lat temu skończyły się ataki, których celem było jedynie wyrządzenie szkód. Hakerzy zrozumieli, że złośliwe programy i zainfekowane komputery lepiej wykorzystać do innego celu – wyłudzania i kradzieży danych oraz pieniędzy.

W efekcie cyberprzestępczy biznes, którego wartość jeszcze siedem lat temu Departament Stanu USA oceniał na 100 mld dol. rocznie, dziś, według szacunków Interpolu, wart jest pięć razy tyle. Jednak niektórzy eksperci szacują spodziewane dochody z cyberprzestępczości w 2018 roku nawet na 1,5 bln dol. To więcej niż zarabiają grupy przestępcze na sprzedaży narkotyków, broni czy na handlu żywym towarem. Sprzyja temu ciągły rozwój technologii, która przy innych rodzajach przestępczości wyczerpała już dawno swoje możliwości. Amerykańscy kryminolodzy oceniają, że klasyczny napad z bronią w ręku kosztuje bank średnio 8 tys. dol., a jedno udane oszustwo komputerowe – pół miliona dolarów. Niektóre z takich przestępstw dokonywane są w ciągu zaledwie 3 milisekund.

Rozwój internetu oraz technologii mobilnych sprawił, że dziś ofiarą cyberataku może paść praktycznie każda osoba i firma na świecie. Pytanie nie brzmi więc, czy taki atak nastąpi, tylko kiedy to się stanie i jaką formę przybierze. Oraz – jak będziemy na niego przygotowani.

Zagrożenie niezdefiniowane

Może się to wydawać dziwne, ale mimo takiej skali zagrożeń cyberbezpieczeństwo nie zostało dotąd jednoznacznie zdefiniowane. Nie znajdziemy wyjaśnienia tego terminu w Wikipedii ani podręcznikach. Wynika to z niesłychanie szybkich zmian technologicznych. Systemy bezpieczeństwa sprzed kilku lat i obecne dzieli przepaść. Podłączanie każdego roku do sieci kolejnych miliardów urządzeń tworzy zupełnie nową skalę zagrożeń. Skazani jesteśmy więc na ciągłe poszukiwania coraz to skuteczniejszych sposobów obrony przed zagrożeniami. To wyścig, który nigdy się nie skończy.

Cyberbezpieczeństwo można więc zdefiniować dziś jako ciągły proces, którego zadaniem jest wprowadzanie standardów bezpieczeństwa, mogących ochronić środowisko cybernetyczne użytkownika oraz organizacji, w której działa. Na standardy te składa się wiedza samych użytkowników na temat zagrożeń, procedury i praktyki, według których działają, bezpieczeństwo oprogramowania i aplikacji, zabezpieczenia sieci, urządzeń i baz danych, a także umiejętność oceny ryzyka cyberataku oraz strat, które może on wywołać.

Dopiero takie całościowe podejście może przynieść spodziewane efekty i spowodować, że cyberprzestępcy, po wstępnym rozpoznaniu, uznają atak na firmę za nieopłacalny. Lub, gdy już do niego dojdzie, uda się powstrzymać go na początkowym etapie i zminimalizować szkody. A te bywają naprawdę poważne. Według Ponemon Institute Cost of Cyber Crime Study średnie roczne koszty naruszeń bezpieczeństwa jednej firmy na świecie, spowodowane cyberatakiem, wzrosły między 2015 a 2016 rokiem z 7,7 do 9,5 mln dol. Według tego samego źródła usuwanie wszystkich szkód po ataku trwało średnio 46 dni. Dla małych i średnich firm, które muszą działać bez przerw, to sytuacja zagrażająca egzystencji.

Zadanie dla wszystkich

W sytuacji, gdy ataki za pomocą komputerów stały się drugim najczęściej zgłaszanym rodzajem przestępstw na świecie, a w krajach takich jak Wielka Brytania stanowią one już ponad połowę wszystkich raportowanych naruszeń prawa, cyberbezpieczeństwo przestało być już wyłącznie problemem specjalistów informatyków i działów IT. Używanie urządzeń mobilnych do celów służbowych, praca zdalna, usługi w chmurze oraz internet rzeczy – wyposażanie w moduły Wi-Fi coraz to nowych urządzeń codziennego użytku powodują, że bezpieczeństwo firmy zależy od wiedzy i przeszkolenia praktycznie każdego pracownika.

Według danych firmy Microsoft aż 63 proc. wtargnięć do służbowych lub prywatnych sieci było możliwe dzięki bardzo słabym hasłom logowania użytkowników i zbyt oczywistym loginom. Już w 2013 r. reporter portalu Ars Technica, który nie był nigdy hakerem, złamał w ramach eksperymentu połowę z 16 tys. zaszyfrowanych haseł dostępu w ciągu jednego dnia. Wśród najpopularniejszych były m.in. „12345678”, „qwerty”, „password”, „login”, „master”, „football”, „dragon”, „solo” i „princess”.

I chociaż od tamtej pory minęło pięć lat, w wielu przedsiębiorstwach i organizacjach nic się w tej kwestii nie zmieniło. Tymczasem z badań firmy PricewaterhouseCoopers (PwC) wynika, że 85 proc. klientów nie chce współpracować z firmą, która słabo chroni swoje dane. To ostatni dzwonek, by zmienić podejście do cyberbezpieczeństwa. W ciągu najbliższych lat ta właśnie sprawa będzie często decydowała o być albo nie być polskich firm. ©℗