Czy polskie przedsiębiorstwa są gotowe na ataki hakerskie?

 

Niemalże wszystkie statystki świadczą o rosnącym zagrożeniu dla polskiej gospodarki wynikającym już nie tylko z przestępczej działalności hakerskiej, ale również z braku przygotowania przedsiębiorców na ewentualny atak.



Raport Instytutu Kościuszki pt.: „Wyzwania w cyberprzestrzeni. Przykłady rozwiązań, zagrożenia, regulacje” wskazuje zagrożenia czyhające na chwilę słabości systemu bezpieczeństwa firmy czy instytucji państwowej - malware, phishing, DDoS i APT (Advanced Persistent Threat). Już co 13 e-mail zawiera złośliwe oprogramowanie, którego celem jest zainfekowanie komputera, systemów komputerowych, sieci czy urządzeń mobilnych. Ponad 25 proc. internautów w Polsce padło w 2018 r. ofiarą phishingu polegającego na podstępnym wyłudzeniu od użytkowników ich danych osobistych, takich jak hasła, numery kart kredytowych czy dane kont bankowych. Mimo że ataki DDoS w większym stopniu dotykają USA i Chiny niż Polskę, to tendencja ich występowania na rodzimym rynku, podobnie jak na rynku światowym, jest cały czas wzrostowa. Najbardziej zaawansowanym atakiem jest jednak APT. Najczęściej jest to starannie zaplanowany, często wyrafinowany i wymierzony w konkretny cel atak sieciowy na daną organizację, którego celem jest cyberszpiegostwo. Jednym z najsłynniejszych ataków APT jest odkryta w 2009 roku operacja GhostNet, która zdążyła zinfiltrować sieci w 103 krajach, przy czym najdłuższa infekcja utrzymywała się przez 660 dni. Podobne ataki oznaczają realne straty finansowe nie tylko dla przedsiębiorców, ale i całych gospodarek. Według danych McAfee i CSIS, tylko w 2017 r. gospodarka światowa straciła ponad 600 miliardów dolarów, natomiast Zurich Insurance przewiduje, że w 2030 r. straty mogą sięgnąć nawet 1,2 biliona dolarów, co będzie się równać 0,9 proc. światowego PKB.



Firmy technologiczne odpowiedziały na zagrożenia m.in. poprzez podejmowanie działań samoregulacyjnych, takich jak Global Internet Forum to Counter Terrorism (GIFCT), którego celem jest przeciwdziałanie szerzeniu się w sieci propagandy produkowanej przez terrorystów czy inicjatywa The Cybersecurity Tech Accord (Tech Accord) – publiczne zobowiązanie, podpisane przez ponad 80 firm, w ramach którego sygnatariusze deklarują podejmowanie działań zwiększających bezpieczeństwo i stabilność w cyberprzestrzeni. Takie inicjatywy stanowią wyrażenie potrzeby rozwijania tak zwanych norm odpowiedzialnego zachowania w cyberprzestrzeni. Do tego dochodzą regulacje prawne podejmowane przez Unię Europejską i państwa członkowskie, których głównym przykładem jest Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. (Dyrektywa NIS). Wspomniany akt prawny nakłada na wszystkie państwa członkowskie obowiązek przyjęcia krajowej strategii w zakresie bezpieczeństwa sieci i systemów informatycznych, ustanawia wymogi dotyczące bezpieczeństwa i zgłaszania incydentów dla operatorów usług kluczowych i dostawców usług cyfrowych, a ponadto tworzy grupę współpracy służącą rozpowszechnianiu dobrych praktyk i doświadczeń w obszarze cyberbezpieczeństwa oraz sieć zespołów reagowania na incydenty bezpieczeństwa komputerowego (sieć CSIRT). Polska ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (UKSC) wdrażająca unijną dyrektywę, wskazuje trzy zespoły reagowania na incydenty bezpieczeństwa komputerowego – CSIRT GOV prowadzony przez Szefa Agencji Bezpieczeństwa Wewnętrznego, CSIRT MON prowadzony przez Ministra Obrony Narodowej oraz CSRIT NASK prowadzony przez Naukową i Akademicką Sieć Komputerową – Państwowy Instytut Badawczy. Ustawa ta określa również organy właściwe do wyznaczenia operatorów usług kluczowych, zasady ich wyznaczania, a także szczegółowe obowiązki operatorów, do których należą m.in.:

• Systematyczne szacowanie ryzyka wystąpienia incydentu i zarządzanie ryzykiem,
• Wdrożenie odpowiednich i proporcjonalnych środków technicznych i organizacyjnych,
• Zbieranie informacji o zagrożeniach i podatności na incydenty systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej,
• Zarządzanie incydentami,
• Stosowanie środków zapobiegających i ograniczających wpływ incydentów na bezpieczeństwo systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej,
• Stosowanie środków łączności umożliwiających prawidłową i bezpieczną komunikację w ramach krajowego systemu cyberbezpieczeństwa.

UKSC nakłada na operatorów usług kluczowych obowiązek prowadzenia dokumentacji dotyczącej bezpieczeństwa systemu informacyjnego oraz powołania wewnętrznej struktury odpowiedzialnej za cyberbezpieczeństwo lub zlecenia takich usług podmiotom trzecim. Dodatkowo, operatorzy muszą co najmniej raz na dwa lata przeprowadzać audyt bezpieczeństwa cybernetycznego.

Z całą pewnością powyższe rozwiązania przyczyniają się do zwiększenia poziomu bezpieczeństwa cyberprzestrzeni. Jednak niezbędne jest podejmowanie dalszych inicjatyw, a także dbanie o bezpieczeństwo rozwiązań już na etapie ich projektowania w myśl zasady security by design i privacy by design.