Czy polskie przedsiębiorstwa są gotowe na ataki hakerskie? Jakie są zagrożenia, regulacje i podejmowane rozwiązania.

Raport Instytutu Kościuszki pt.: „Wyzwania w cyberprzestrzeni. Przykłady rozwiązań, zagrożenia, regulacje” wskazuje zagrożenia czyhające na chwilę słabości systemu bezpieczeństwa firmy czy instytucji państwowej - malware, phishing, DDoS i APT (Advanced Persistent Threat). Już co 13 e-mail zawiera złośliwe oprogramowanie, którego celem jest zainfekowanie komputera, systemów komputerowych, sieci czy urządzeń mobilnych. Ponad 25 proc. internautów w Polsce padło w 2018 r. ofiarą phishingu polegającego na podstępnym wyłudzeniu od użytkowników ich danych osobistych, takich jak hasła, numery kart kredytowych czy dane kont bankowych. Mimo że ataki DDoS w większym stopniu dotykają USA i Chiny niż Polskę, to tendencja ich występowania na rodzimym rynku, podobnie jak na rynku światowym, jest cały czas wzrostowa. Najbardziej zaawansowanym atakiem jest jednak APT. Najczęściej jest to starannie zaplanowany, często wyrafinowany i wymierzony w konkretny cel atak sieciowy na daną organizację, którego celem jest cyberszpiegostwo. Jednym z najsłynniejszych ataków APT jest odkryta w 2009 roku operacja GhostNet, która zdążyła zinfiltrować sieci w 103 krajach, przy czym najdłuższa infekcja utrzymywała się przez 660 dni. Podobne ataki oznaczają realne straty finansowe nie tylko dla przedsiębiorców, ale i całych gospodarek. Według danych McAfee i CSIS, tylko w 2017 r. gospodarka światowa straciła ponad 600 miliardów dolarów, natomiast Zurich Insurance przewiduje, że w 2030 r. straty mogą sięgnąć nawet 1,2 biliona dolarów, co będzie się równać 0,9 proc. światowego PKB. W kontekście tych alarmujących danych, wyraźnie widać, że sektor prywatny musi stać się bardziej istotnym elementem budowania cyberbezpieczeństwa, także poprzez tworzenie rozwiązań na coraz to nowe typy ataków wykorzystujących nowe technologie, jak np. uczenie maszynowe czy sztuczną inteligencję – komentuje Izabela Albrycht.

Firmy technologiczne odpowiedziały na zagrożenia m.in. poprzez podejmowanie działań samoregulacyjnych, takich jak Global Internet Forum to Counter Terrorism (GIFCT), którego celem jest przeciwdziałanie szerzeniu się w sieci propagandy produkowanej przez terrorystów czy inicjatywa The Cybersecurity Tech Accord (Tech Accord) – publiczne zobowiązanie, podpisane przez ponad 80 firm, w ramach którego sygnatariusze deklarują podejmowanie działań zwiększających bezpieczeństwo i stabilność w cyberprzestrzeni. Takie inicjatywy stanowią wyrażenie potrzeby rozwijania tak zwanych norm odpowiedzialnego zachowania w cyberprzestrzeni. Do tego dochodzą regulacje prawne podejmowane przez Unię Europejską i państwa członkowskie, których głównym przykładem jest Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. (Dyrektywa NIS). Wspomniany akt prawny nakłada na wszystkie państwa członkowskie obowiązek przyjęcia krajowej strategii w zakresie bezpieczeństwa sieci i systemów informatycznych, ustanawia wymogi dotyczące bezpieczeństwa i zgłaszania incydentów dla operatorów usług kluczowych i dostawców usług cyfrowych, a ponadto tworzy grupę współpracy służącą rozpowszechnianiu dobrych praktyk i doświadczeń w obszarze cyberbezpieczeństwa oraz sieć zespołów reagowania na incydenty bezpieczeństwa komputerowego (sieć CSIRT). Polska ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (UKSC) wdrażająca unijną dyrektywę, wskazuje trzy zespoły reagowania na incydenty bezpieczeństwa komputerowego – CSIRT GOV prowadzony przez Szefa Agencji Bezpieczeństwa Wewnętrznego, CSIRT MON prowadzony przez Ministra Obrony Narodowej oraz CSRIT NASK prowadzony przez Naukową i Akademicką Sieć Komputerową – Państwowy Instytut Badawczy. Ustawa ta określa również organy właściwe do wyznaczenia operatorów usług kluczowych, zasady ich wyznaczania, a także szczegółowe obowiązki operatorów, do których należą m.in.: 

• Systematyczne szacowanie ryzyka wystąpienia incydentu i zarządzanie ryzykiem,
• Wdrożenie odpowiednich i proporcjonalnych środków technicznych i organizacyjnych,
• Zbieranie informacji o zagrożeniach i podatności na incydenty systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej,
• Zarządzanie incydentami,
• Stosowanie środków zapobiegających i ograniczających wpływ incydentów na bezpieczeństwo systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej,
• Stosowanie środków łączności umożliwiających prawidłową i bezpieczną komunikację w ramach krajowego systemu cyberbezpieczeństwa.

UKSC nakłada na operatorów usług kluczowych obowiązek prowadzenia dokumentacji dotyczącej bezpieczeństwa systemu informacyjnego oraz powołania wewnętrznej struktury odpowiedzialnej za cyberbezpieczeństwo lub zlecenia takich usług podmiotom trzecim. Dodatkowo, operatorzy muszą co najmniej raz na dwa lata przeprowadzać audyt bezpieczeństwa cybernetycznego.

Z całą pewnością powyższe rozwiązania przyczyniają się do zwiększenia poziomu bezpieczeństwa cyberprzestrzeni. Jednak niezbędne jest podejmowanie dalszych inicjatyw, a także dbanie o bezpieczeństwo rozwiązań już na etapie ich projektowania w myśl zasady security by design i privacy by design. Jedną z inicjatyw, która od przeszło pięciu lat buduje świadomość w zakresie cyberzagrożeń dla firm i instytucji publicznych jest Europejskie Forum Cyberbezpieczeństwa CYBERSEC, podczas którego już w październiku światowi eksperci zaproponują kolejny zestaw rekomendacji służących wzmocnieniu bezpieczeństwa zarówno sektora prywatnego, jak i publicznego, obrazowo rzecz ujmując: cyfrowego DNA świata. W tym roku odbędą się też praktyczne sesje warsztatowe dla firm, które przybliżą dobre praktyki wdrażania zapisów ustawy o KSC – konkluduje Izabela Albrycht, prezes Instytutu Kościuszki.

Dokument “Wyzwania w cyberprzestrzeni. Przykłady rozwiązań, zagrożenia, regulacje” dostępny jest pod adresem: https://ik.org.pl/publikacje/wyzwania-w-cyberprzestrzeni-przyklady-rozwiazan-zagrozenia-regulacje/