Trend cyfryzacji wielu obszarów działania w polskich przedsiębiorstwach znacząco wzrósł w czasie pandemii COVID-19. W miarę jak przedsiębiorstwa przenoszą kolejne obszary swojej aktywności do internetu, otwierają cyberprzestępcom kolejne furtki do swoich zasobów: danych, know-how czy pieniędzy.
Ten artykuł czytasz w ramach bezpłatnego limitu

Jednocześnie przestępcy zdobywają coraz lepsze i bardziej zaawansowane narzędzia, które pomagają przeprowadzać skuteczne i wyrafinowane ataki. Jak więc należy podejść do tematu kompleksowego zabezpieczenia firmy w obecnych, trudnych dla bezpieczeństwa IT, czasach?

Przede wszystkim trzeba pamiętać, że każda firma może stać się ofiarą cyberprzestępców. Nie tylko największe korporacje, które obracają milionami złotych i gromadzą niepoliczalne ilości danych. Mniejsze przedsiębiorstwa dysponują zasobami o podobnym charakterze co giganci, ale na mniejszą skalę. Niestety, z reguły są one słabiej zabezpieczone – czy to z powodów niewystarczających środków, czy braku specjalistów (o których obecnie jest bardzo trudno), czy też z powodu braku wiedzy po stronie zarządów firm, jak powinien wyglądać proces wdrażania zabezpieczeń środowiska IT.

Wdrażanie zabezpieczeń – krok po kroku

  1. Zidentyfikowanie wrażliwych obszarów – Pierwsze pytanie, jakie należy zadać, brzmi: co będziemy chronić? Trzeba zidentyfikować najważniejsze zasoby firmy, które mogą się różnić, w zależności od jej charakteru. Dla firmy farmaceutycznej będą to patenty i receptury. Dla producenta gier czy aplikacji – kody źródłowe. Dla instytucji finansowej – dane osobowe, dane rachunków i kart płatniczych.
  2. Audyt – Kolejny krok to audyt istniejących już zabezpieczeń. Co ważne, najlepiej, gdyby byli to specjaliści, którzy posiadają certyfikat zgodny z normą ISO 27001. Ich zadaniem miałoby być zidentyfikowanie wszystkich potencjalnych luk w zabezpieczeniach, zaniedbań, obszarów o znaczeniu krytycznym, które nie zostały do tej pory optymalnie zabezpieczone. Warte polecenia jest też przeprowadzenie tzw. testów penetracyjnych, które pomagają zidentyfikować słabe punkty w środowisku IT. Dzięki nim można sprawdzić np. stan wiedzy pracowników, czy przestrzegają oni procedur, czy zachowują zasady cyberhigieny, np. czy nie podłączą do firmowego komputera znaleziony „przypadkowo" pendrive.
  3. Szkolenia personelu – Najpoważniejsze problemy z utratą danych często biorą się z nieuważnego kliknięcia w prowadzący do złośliwej zawartości link w phishingowej wiadomości. Dlatego bardzo ważnym elementem każdej polityki bezpieczeństwa są szkolenia skierowane dla personelu – zarówno technicznego, jak i nietechnicznego. Ważne jest, aby przekazywana wiedza i sposób, w jaki się to odbywa, było dostosowane do zaawansowania odbiorcy. Przeszkolony pracownik powinien wiedzieć m.in. jak tworzyć odpowiednio silne hasła i je przechowywać, jak bezpiecznie połączyć się z internetem, rozpoznawać zmanipulowane za pomocą socjotechniki wiadomości, instalować aktualizacje oraz łatki bezpieczeństwa w swoich urządzeniach. Musi też wiedzieć, jakie są firmowe procedury w razie zaistnienia przypadku naruszenia bezpieczeństwa: z kim, jaką drogą i w jakim czasie powinien się skontaktować.
  4. Wybór rozwiązań ochronnych – To, jakie rozwiązania będą optymalne, zależy oczywiście od profilu przedsiębiorstwa: branży w jakiej działa, obszarów wymagających ochrony, liczby zatrudnianych pracowników czy trybu pracy, np. całkowicie zdalnego lub hybrydowego. Inne potrzeby będzie miała niewielka firma usługowa, która często komunikuje się z klientami za pomocą poczty elektronicznej, inne bank, a jeszcze inne firma produkcyjna.

Niezależnie od tego, warto zadbać, aby podejście do narzędzi ochronnych miało charakter platformowy. Łatwiej jest zarządzać jednym, scentralizowanym system niż dziesiątkami rozproszonych i pochodzących najczęściej od różnych dostawców rozwiązań. Pozwala to również uzyskać lepszą widzialność całego systemu ochronnego oraz zasobów, które pod niego podlegają. Podstawowymi dwoma rozwiązaniami, które powinny być wdrożone w firmach, są firewall (blokuje niepożądany ruch przesyłany przez sieć) i sandbox (odizolowane środowisko, w którym uruchamiane są podejrzane aplikacje w celu ich analizy). Wdrażając rozwiązania ochronne trzeba też pamiętać, że kiedy już dojdzie do naruszenia bezpieczeństwa, konsekwencje mogą być poważne: finansowe, wizerunkowe i prawne. Dlatego analitycy podkreślają, jak bardzo ważne jest odpowiednio wczesne wykrywanie incydentów. Pomocą w tym wypadku są rozwiązania XDR, które jednocześnie zabezpieczają urządzenia końcowe użytkowników oraz zbierają i analizują informacje o zagrożeniach napływające z wielu źródeł.

W poszukiwaniu specjalistów

Tak jak człowiek jest najsłabszym ogniwem łańcucha zabezpieczeń, tak jednak automatyzacja nie jest cudownym panaceum na potrzeby przedsiębiorstw. Ostatecznie, co przyjdzie firmie z nawet najbardziej zaawansowanych rozwiązań ochronnych, kiedy nie będzie miał ich kto obsłużyć? Wyzwaniem jest tutaj fakt, że na rynku istnieje luka kompetencyjna wśród specjalistów ds. bezpieczeństwa. Trudno jest pozyskać fachowców, także ze względów finansowych – małym firmom jest trudno o nich konkurować, nie wspominając już o jednostkach administracji publicznej.  Konieczne jest więc albo inwestowanie w rozwój własnych pracowników IT, albo skorzystanie z usług firm specjalizujących się w cyberbezpieczeństwie. Z kolei te podmioty, które mogą sobie pozwolić na zatrudnienie wykwalifikowanych specjalistów, powinny zainwestować też w utworzenie jednostek NOC (Network Operation Center) i SOC (Security Operation Center), których zadaniem będzie zarządzanie incydentami bezpieczeństwa, reagowanie na zdarzenia czy łagodzenie ich skutków.

Na koniec warto podkreślić, że firma powinna posiadać dokument polityki bezpieczeństwa, w którym szczegółowo należy opisać procedury, zasady i kompetencje poszczególnych osób w odniesieniu do ochrony informacji. Należy też jednak mieć na uwadze, że kluczowy dla funkcjonowania każdego systemu jest czynnik ludzki. I to właśnie inwestycje w ludzi – ich kwalifikacje, wiedzę czy świadomość zagrożeń czyhających w cyberprzestrzeni – są decydujące dla każdej firmy.

Czytaj ten tekst i setki innych dzięki prenumeracie
Wybierz prenumeratę, by czytać to, co Cię ciekawi 
Wyborcza.pl to zawsze sprawdzone informacje, szczere wywiady, zaskakujące reportaże i porady ekspertów w sprawach, którymi żyjemy na co dzień. Do tego magazyny o książkach, historii i teksty z mediów europejskich.