Bezpieczna firma w sieci? Zacznij od podstaw

Dla wielu z nich cyberbezpieczeństwo nie jest integralnym elementem procesu przenoszenia działalności do sieci lub wdrażania nowych technologii. Chociaż świadomość rośnie, to wciąż człowiek i jego decyzje - lub ich brak - to największy problem.

Jedynie 3 proc. całego budżetu IT przeznaczają średnio polskie firmy na cyberbezpieczeństwo. Jednocześnie aż 65 proc. przedsiębiorstw w kraju deklaruje posiadanie ogólnej strategii bezpieczeństwa, a 54 proc. ma opracowane procesy reagowania na incydenty. Takie wnioski płyną z raportu "Cyberruletka po polsku. Dlaczego firmy w walce z cyberprzestępcami liczą na szczęście", przygotowanego przez PwC.

3 proc. budżetu IT wydawane na inwestycje w bezpieczną działalność w sieci to niewiele. Jest to tym bardziej niepokojąca wielkość, jeśli zauważymy, że - jak wynika z badania Digital IQ 2017 - polskie firmy zaczęły już planować działania w obszarze IoT (60 proc.), AI (53 proc.) czy robotyki (44 proc.). Rodzime przedsiębiorstwa dostrzegają zatem - z jednej strony - potencjał jaki tkwi w 4.0 rewolucji technologicznej, cyfryzacji i digitalizacji biznesu. Chcą być obecne nie tylko w internecie, ale szukają w nowych technologiach szansy na rozwój i rynkowy sukces. Z drugiej jednak bagatelizują kwestie bezpieczeństwa w sieci.

Jak polskie firmy zabezpieczają się przed atakami w cyberprzestrzeni? Najbardziej popularne to WAF, czyli Web Application Firewall i system detekcji włamań (IPS/IDS). Oba, chociaż są obecne w przeszło 50 proc. badanych przez PwC firm, nie odpowiadają w pełni na wyzwania współczesnych cyberataków. Nie chronią ani przed incydentami klasy APT (te najbardziej wyszukane i zaawansowane), ani - popularnego i przyjmującego wciąż coraz bardziej wyrafinowane formy - ataku phisingowego.

W branży cyberbezpieczeństwa często słyszy się, że to ludzie (a nie technologia) są najsłabszym ogniwem w firmie jeśli chodzi o bezpieczeństwo cyfrowe.

- Wciąż głównym czynnikiem ryzyka pozostaje człowiek. Wszystko zaczyna się od ludzi. Jeśli zadbamy o odpowiednią edukację pracowników, to z większością problemów w cyberprzestrzeni będziemy w stanie sobie poradzić - mówi w rozmowie z Interią Mariusz Rybicki, ekspert Exatela.

O co chodzi? Nieświadomi ryzyka pracownicy otwierają załączniki od nieznanych nadawców, instalując tym samym złośliwe oprogramowanie i otwierając wewnętrzne systemy przed złodziejami. Cyberprzestępcy wymyślają coraz to nowsze i bardziej pomysłowe sposoby na przejęcie informacji wrażliwych lub poufnych, kradzież pieniędzy, bazując na naiwności i integracji z użytkownikiem końcowym w firmie. Jak? Sposobów jest wiele. Pilna wiadomość od szefa, z banku lub współpracownika. Spreparowany odpowiednio mail, na pierwszy rzut oka, praktycznie niczym się nie różniący od tych, na które już setki razy pracownik odpowiadał.

- Na maile służbowe przychodzi dużo wiadomości. Również takie od nieznanych nam adresatów albo naturalnie wzbudzające nasze podejrzenia (literówki, błędy). W tym wypadku lepiej w ogóle tego typu wiadomości nie otwierać. Warto sprawdzić, kto jest nadawcą, poszukać w internecie informacji upewniając się, że takowa witryna w ogóle istnieje. Czyli postępujmy tak, jak zwyczajowo robimy odnośnie sprzedawców na portalach aukcyjnych - sprawdzamy ich przed zawarciem transakcji - podkreśla Rybicki.

Skutki otwarcia podejrzanego załącznika niekiedy mogą być opłakane. Zablokowany dostęp do danych i żądanie okupu, zamiana numer rachunku bankowego i kradzież pieniędzy - to tylko wybrane z wielu. Czy można się przed tym chronić?

- Podstawowa rzecz to ustalenie przejrzystych zasad w organizacji, jak powinien zachowywać się pracownik. Jak ma obchodzić się z danymi, jak je chronić i przekazywać - tłumaczy Rybicki, który dodaje, że tak samo ważne jest wdrożenie odpowiednich praktyk użytkowania poczty elektronicznej, jak i korzystanie z zasobów internetu (wysyłanie i ściąganie danych, korzystanie z sieci społecznościowych).

Polityka bezpieczeństwa cyfrowego w firmie dzisiaj to podstawa. - Badania i analizy podnośnie do tego jak ludzie reagują na maile specjalnie wygenerowane z phisingiem, czy otwierają wszystkie wiadomości bez zastanowienia czy raczej analizują adresata i wiele uwagi przykładają do bezpieczeństwa korespondencji, powinny być cyklicznie powtarzane w firmie - ocenia Rybicki.

Odpowiednia edukacja może pomóc, ale bez właściwego podejścia po stronie inwestycji w niezbędne oprogramowanie i technologię trudno być w pełni bezpiecznym w sieci. Zwłaszcza dzisiaj, gdy ataki przybierają na sile, a algorytmy stworzone przez przestępców, atakują każdy komputer, jeśli tylko znajdą dla siebie lukę, np. w oprogramowaniu.

Dlatego firmy poza tymi podstawowymi mechanizmami wdrażają te bardziej wysublimowane, jak filtrowanie ruchu www (web proxy), ochrona przed złośliwym oprogramowaniem (sandboxing/antyAPT), zapory sieciowe nowej generacji. Wciąż niewielka część organizacji inwestuje w rozwiązania agregujące i analizujące informacje z wielu źródeł klasy SIEM (34 proc.) lub tworzy zespoły SOC (14 proc.). Błędnym przeświadczeniem jest oczywiście inwestowanie w skomplikowane, profesjonalne i wielopoziomowe systemy tworzące architekturę bezpieczeństwa, tj. mechanizmy prewencyjne, detekcyjne (wspomniany SIEM) i reakcyjne (wspomniany SOC, czyli Security Operation Center, tj. monitorowanie i reagowanie na zidentyfikowane incydenty) bez ich właściwego skonfigurowania i w oderwaniu realnych potrzeb organizacji. Zawsze zakres ochrony powinien być dopasowany do typu działalności, jego skali i indywidualnych potrzeb. Dlatego - zanim przystąpimy do zakupu konkretnych systemów - dobrze przeprowadzić kompleksową analizę tego, co i jak powinniśmy chronić. Nie tylko po to, aby lepiej zarządzać kosztami takiego systemu. Przede wszystkim, by chronić te obszary, które tego naprawdę potrzebują.

- Trzeba mieć świadomość tego, co dla nas jest ważne w firmie. Powinniśmy określić obszary, które warto chronić. Nie raz już widziałem przypadki rozbudowanych systemów całkowicie nieodpowiadających realnym potrzebom klienta. Cyberbezpieczeństwo jest jak dobrze zaprojektowany i wybudowany dom. Kiedy wszystko działa poprawnie czujemy się komfortowo, spokojnie i bezpiecznie - dodaje ekspert.

Do budowania cyberbezpieczeństwa w firmie można podejść na dwa sposoby: wykorzystując w tym celu zasoby własne, tj. technologię i potencjał pracowników, lub szukać pomocy na zewnątrz. W drugim przypadku z pomocą przychodzą firmy, które specjalizują się w tego typu usługach - posiadają wiedzę, doświadczenie oraz odpowiednich ekspertów. Sama droga do zapewnienia cyberbezpieczeństwa jest już zależna od potrzeb konkretnej organizacji. Każda z nich zaczyna się od swoistego "rachunku sumienia". Zrozumienia, że warto sprawdzić stan gotowości swojej organizacji. A dalej - możliwości jest wiele. Można przeprowadzić audyt infrastruktury, testy bezpieczeństwa i na tej podstawie ustalić plan wdrażania konkretnych rozwiązań. Można też rozpocząć od wdrażania pojedynczych usług, pozwalających zweryfikować, co się dzieje w infrastrukturze firmy i precyzyjnie oszacować dalsze kroki. Poza tym jest jeszcze cała lista usług i narzędzi, które należy lub warto wykorzystywać.

- Z doświadczenia wiem, że liczba możliwości może przyprawić o zawrót głowy. SIEM, DLP, antyDDoS, antymalware. Szczególnie, jeśli przyjdzie dostosować rozwiązania pod konkretną firmę i jej strukturę. Dlatego warto skorzystać z firm, które doradzą i pomogą wyznaczyć właściwy kierunek działań. Praktyka mojej pracy pokazuje, że partnerska współpraca przynosi najlepsze efekty. Bo na końcu klient dostaje dokładnie to, czego realnie potrzebuje - dodaje Rybicki.

Jak to wygląda w praktyce mikro i małych firm, które są obecne w internecie (sprzedają i kupują, kontaktują się z klientami, szukają kontrahentów)? MŚP nie inwestują w tego typu rozwiązania, bo często uważają, że ich ten problem nie dotyczy. Rzecz w tym, że nawet jeśli atak nie jest wymierzony w nich, to nie oznacza, że nie padną ofiarą większego zamieszania w sieci. Jak więc chronić się, jeśli prowadzimy - przykładowo - niewielki sklep internetowy?

- Przede wszystkim musimy pamiętać, że cyberbezpieczeństwo to konieczność. Tak samo jak przygotowanie strony internetowej, mechanizmu do płatności online czy promocja sklepu. Nie musimy jednak od razu zatrudniać eksperta ds. cyberbezpieczeństwa ani inwestować w zaawansowane technologie. Skupmy się na podstawach - wyborze odpowiedniej firmy hostującej, zaufanych podwykonawców, pamiętajmy o silnych hasłach i sukcesywnych aktualizacjach oprogramowania - podpowiada Rybicki. - Nie bójmy się także od czasu do czasu przetestować naszych zabezpieczeń. Bo strata wizerunkowa wywołana cyberatakiem może mieć poważne konsekwencje. Zarówno finansowe, jak i biznesowe - ostrzega ekspert.

wd