Piotr Ciski: Cyberataki i przestępstwa związane z danymi to poza katastrofami naturalnymi zjawiska klasyfikowane wśród pięciu zagrożeń dla biznesu o najwyższym prawdopodobieństwie wystąpienia

Jakie są najczęstsze błędy w podejściu do problemu cyberbezpieczeństwa w polskich firmach?

Mimo pewnego zapóźnienia cyfrowego polskich przedsiębiorstw względem zachodniej konkurencji, najczęstsze błędy w zabezpieczaniu danych są podobne w różnych krajach. Za przykład można tu podać dane finansowe, oczko w głowie wielu firm, i przytoczyć wnioski, jakie sformułowane zostały w czasie zeszłorocznej konferencji Accountex, jednego z największych wydarzeń poświęconych finansom i rachunkowości w Europie. Eksperci analizujący cyber ataki wskazywali na kilka podstawowych zasad bezpieczeństwa z reguły łamanych w przedsiębiorstwach, które padały ofiarą przestępstw. Są to zarządzanie dostępem do danych i ograniczanie dostępu tam, gdzie tylko jest to możliwe; regularne zmienianie haseł dostępowych zgodnie z obowiązującymi dobrymi praktykami; usuwanie czy archiwizowanie danych, które nie są już potrzebne do bieżącej działalności; w miarę możliwości przenoszenie danych do chmury oraz – co nadal jest ogromnym wyzwaniem dla wielu przedsiębiorców – aktualizacja oprogramowania do najnowszej wersji, w której producenci często wprowadzają nowe zabezpieczenia czy dostosowują funkcjonalności do zmieniającego się prawa.

Czy może pan podać przykłady cyberataków, których ofiarą padły polskie firmy w 2018 r.?

Skupiłbym się na obszarze finansowym. Niemalże codziennością stały się ataki phishingowe na klientów banków, ostatnio coraz częściej słyszymy o atakach z wykorzystaniem kart SIM. Ofiarami nierzadko są przedsiębiorcy korzystający z bankowości elektronicznej. Spójrzmy na tę sytuację właśnie od ich strony. Z badań KPMG wynika, że w 2017 r. 82 proc. przedsiębiorstw zanotowało przynajmniej jeden incydent związany z cyberzagrożeniem, PwC podaje 65 proc. Różnica może wynikać chociażby z samej świadomości zagrożeń – wielu przedsiębiorców nawet nie zdaje sobie sprawy z tego, że padło ofiarą cyberprzestępczości. Dość znamienny jest tu przykład wykorzystania pamięci przenośnej w firmach. Niektóre analizy wskazują, że nawet 87 proc. pracowników choć raz zgubiło pendrive’a z danymi firmowymi. Ilu z nich przyznało się do tego pracodawcy, by mógł on uwzględnić takie ryzyko i przygotować się na ewentualny cyberatak?

Czy cyberbezpieczeństwo należy traktować jak długoterminową inwestycję?

Cyberataki i przestępstwa związane z danymi to poza katastrofami naturalnymi i zmianami pogodowymi zjawiska klasyfikowane wśród pięciu zagrożeń dla biznesu o najwyższym prawdopodobieństwie wystąpienia. Wynika to z analiz World Economic Forum, zawartych w raporcie „The Global Risks Report 2018”. Co to oznacza dla przedsiębiorców? Właśnie zmianę myślenia i traktowanie cyberbezpieczeństwa jako elementu strategii biznesowej. Powinniśmy zacząć mówić o budowaniu swego rodzaju kultury cyberbezpieczeństwa, gdzie nie tylko wyspecjalizowani pracownicy odpowiadają za bezpieczeństwo danych, ale wszyscy, cały zespół ma świadomość przynajmniej podstawowych zagrożeń i wie, co zrobić, gdy dojdzie do cyberprzestępstwa. Punktem odniesienia mogą być zasady działania, jakie wskazuje nam RODO. Wystarczy przełożyć je na ochronę wszystkich zasobów cyfrowych przedsiębiorstwa. To oczywiście ciągła praca nad udoskonalaniem systemu zabezpieczeń zarówno pod kątem technologicznym, jak i przygotowania pracowników. System bezpieczeństwa trzeba bowiem rozwijać równomiernie w różnych obszarach. Zbyt często zawierza się samej technologii, zapominając o ludziach. To tak, jakby zainstalować najlepsze drzwi antywłamaniowe, a klucze do nich zostawiać pod wycieraczką. ©℗