Blog

Nieuprawniony dostęp do komputera w istocie niczym nie różni się od zwykłego włamania i tak samo jest traktowany przez prawo. Dlatego bezpieczeństwo cyfrowe jest w firmie równie ważne jak tradycyjne środki ochrony, a niekiedy nawet ważniejsze. Jak zapewnić bezpieczeństwo danych? Jakie metody są dostępne? I jak ostatecznie zapobiec nieuprawnionemu dostępowi do komputera? Zapraszamy do przyjrzenia się temu tematowi razem z analitykami Anexet.

Czym grozi lekceważenie bezpieczeństwa informacji?

Przede wszystkim dla własnego bezpieczeństwa cyfrowego musisz jasno rozumieć, że dane są dziś towarem, a chętnych na nie zawsze będzie kolejka. Dostawcy złośliwego oprogramowania, konkurenci, nabywcy informacji do ataków ukierunkowanych – wszyscy oni potrzebują przynajmniej danych osobowych Twoich i Twoich pracowników. Jednocześnie poważne ryzyko wiąże się z wyciekiem informacji krytycznych dla biznesu (dane klientów i dostawców, tajemnice technologiczne i know-how, raporty finansowe i księgowe itp.), co może negatywnie odbić się na firmie i jej rozwoju.

Rozważmy przykład: kilka lat temu światowy handel znalazł się na krawędzi załamania — nieznany wirus komputerowy w ciągu kilku godzin sparaliżował całą finansową i logistyczną infrastrukturę planety. Giganci IT porównali atak NotPetya do jednoczesnego zbombardowania atomowego wszystkich stolic światowego handlu. Punktem wyjścia był nieuprawniony dostęp do sieci niewielkiej ukraińskiej firmy M.E.Doc, po którym wirus NotPetya rozprzestrzenił się po całym świecie. Czy zatem mały, mało znany biznes stał się źródłem globalnej katastrofy informacyjnej?

Jak widać, nie ma znaczenia, czy Twoja firma to legendarne przedsiębiorstwo z dziesiątkami tysięcy pracowników, czy niewielkie, ale dumne biuro — celem ataku i dotkliwych strat może stać się każdy.

Przyczyny nieuprawnionego dostępu

Zakrojony na szeroką skalę cyberatak może zdarzyć się w każdej chwili, a jego źródłem może być dowolny komputer, również Twój. Dlatego proponujemy zacząć od przypomnienia podstawowych zasad – pierwszej linii obrony bezpieczeństwa informacji.

Instaluj wszystkie poprawki bezpieczeństwa

Według statystyk Nomusica za styczeń 2025 roku ponad 65% użytkowników Windows 10 pozostaje bez aktualizacji zabezpieczeń i jest narażonych na zagrożenia po zakończeniu oficjalnego wsparcia, choć każda kolejna aktualizacja wzmacnia bezpieczeństwo i ochronę Twoich poufnych danych. Powiadomienia zwykle pojawiają się w trakcie pracy, więc użytkownicy często je ignorują, zwiększając tym samym ryzyko infekcji i przejęcia urządzenia. Ponadto komputer podłączony do internetu jest z natury podatny na ataki i żaden program antywirusowy nie zagwarantuje dziś 100% ochrony. Hakerzy zawsze znajdą lukę. Terminowe aktualizacje systemu pomagają jednak ograniczyć ryzyko włamania. Zalecamy włączenie automatycznych aktualizacji od Microsoftu. 

Kontroluj udostępnianie plików w swojej sieci

Ma to krytyczne znaczenie, jeśli korzystasz z internetu w sieci lokalnej, w której udostępnianie plików jest otwarte dla nieograniczonej liczby osób. Podłączając się do sieci LAN, w praktyce zostawiasz drzwi do domu szeroko otwarte, informujesz o tym całą okolicę i wyjeżdżasz na kilka tygodni na urlop. Aby chronić swoje dane, nie zgadzaj się na podłączanie prywatnego komputera do sieci lokalnej, a jeśli musisz to zrobić, udostępniaj pliki i foldery wyłącznie znanym Ci użytkownikom i systemom.

Nie wyłączaj zapory sieciowej

Zapora sieciowa działa jak ochronny mur między Tobą a internetem. Jej głównym zadaniem jest monitorowanie i uważna analiza wszystkich danych wymienianych między Twoim komputerem a serwerem. W razie wykrycia zagrożenia "obrońca" Cię o tym powiadomi. 

Ostrożniej korzystaj z poczty elektronicznej

Uważnie czytaj wszystkie wiadomości i zwracaj uwagę na nadawców. Większość użytkowników komputerów lekceważy bezpieczeństwo poczty, choć doskonale zdaje sobie sprawę z podatności takich rozwiązań. Zasadniczo nie warto otwierać wiadomości otrzymanych z nieznanych źródeł. Zwłaszcza pobierać załączonych plików i klikać w linki. 

Sprawdź jeszcze raz bezpieczeństwo routera

Eksperci Check Point wykryli ponad 12 milionów routerów (w tym modeli z najwyższej półki), które można zhakować z powodu podatności w mechanizmie pobierania automatycznych ustawień. Wykorzystując CWMP, atakujący może podmienić adresy DNS w ustawieniach urządzenia na serwery kontrolowane przez hakera. Serwery te filtrują zapytania sieciowe i przekierowują je do fałszywych serwisów bankowych (Visa, MasterCard). Ponieważ większość osób rzadko sprawdza ustawienia routera (albo nie robi tego wcale), problem długo pozostaje niezauważony. Zwykle dowiadują się o nim dopiero wtedy, gdy z kont zniknęły już pieniądze, a sprawdzenie komputera niczego nie wykazało. Zalecamy częstsze sprawdzanie ustawień routera i natychmiastowe wpisanie alternatywnych adresów serwerów DNS.

Nie zaniedbuj kopii zapasowych

Najważniejsze, czego należy unikać, to przeglądanie ważnych danych na zainfekowanym komputerze. Może to dać atakującym bezpośredni dostęp do Twoich cennych i poufnych informacji. Zaleca się regularne tworzenie kopii zapasowych i przechowywanie duplikatów wszystkich plików w chmurze. Na niezawodności chmury możesz polegać – w razie potrzeby uratuje Twój komputer. Nawiasem mówiąc, znaleziona w porę kopia zapasowa pojedynczego serwera duńskiej firmy logistycznej Maersk pomogła pokonać wirus NotPetya.

Używaj silnych haseł

Aby zapobiec nieuprawnionemu dostępowi do informacji poufnych, do każdego konta używaj osobnego hasła. Jest to szczególnie ważne, gdy łączysz się z internetem przez sieć współdzieloną.

Nie lekceważ środków ograniczających fizyczny dostęp do komputerów.

Możesz korzystać nie tylko z rozwiązań programowych. Skuteczna bywa też stara, dobra metoda ograniczania fizycznego dostępu do komputera. Zamki elektroniczne będą pierwszą fizyczną barierą dla potencjalnego oszusta.

Z pomocą przychodzą wirtualne sieci prywatne

Skuteczną metodą ochrony jest korzystanie z wirtualnych sieci prywatnych (VPN). Przyjrzyjmy się im bliżej.

To sposób na zachowanie integralności i poufności danych przesyłanych przez internet. Głównym elementem jest agent VPN w postaci oprogramowania lub zestawu sprzętowo-programowego instalowanego na komputerze, który maskuje prawdziwy adres IP użytkownika i szyfruje przesyłane dane.

W praktyce VPN podmienia Twój adres na własny, nawet jeśli znajduje się tysiące kilometrów od nadawcy, a także chroni informacje "w drodze" za pomocą szyfrowania.

Włącz uwierzytelnianie dwuskładnikowe

Uwierzytelnianie dwuskładnikowe (2FA) to dodatkowy poziom ochrony dostępu do danych, który weryfikuje autentyczność połączenia i potwierdza poziom uprawnień konkretnej osoby. Jak uwierzytelnianie dwuskładnikowe chroni komputer przed nieuprawnionym dostępem? Rozwiązanie jest proste, a przy tym eleganckie: nawet jeśli oszust zdobędzie hasło do logowania, będzie potrzebował drugiego hasła, które stale się zmienia i jest wydawane wyłącznie zidentyfikowanej, rozpoznanej osobie w momencie nawiązywania połączenia.

Istnieją różne warianty uwierzytelniania dwuskładnikowego (2FA):

• połączenie hasła oraz SMS-a lub powiadomienia push (podobnie jak przy logowaniu i płatnościach w aplikacji bankowej);

• połączenie hasła i certyfikatu dostępu;

• hasło, kod PIN oraz dane biometryczne (odcisk palca, biometria twarzy, skan siatkówki) i inne.

Istnieje wiele gotowych rozwiązań do wdrożenia 2FA. Należą do nich Google Authenticator, Microsoft Authenticator, WinAuth, Twilio Authy i inne.

Podsumowanie

Nieuprawniony dostęp do komputera to sytuacja nieprzyjemna i niepożądana. Możemy jednak zadbać o ochronę informacji na komputerach, korzystając nawet z popularnych, ale skutecznych narzędzi. Już same opisane wyżej kroki znacząco ostudzą zapał oszustów i pozwolą zachować bezpieczeństwo Twoich danych.

 

W ciągu ostatniego stulecia społeczeństwo doświadczyło najbardziej intensywnego skoku w ewolucji technologicznej w historii. O ile dawniej słowo "bezpieczeństwo" odnosiło się głównie do fizycznych przejawów przemocy i zagrożeń, o tyle wraz z rozwojem technologii zmieniło się także to podstawowe pojęcie. Informacja stała się bronią, cennymi danymi poufnymi, które potrafią wyrządzić szkodę nie mniejszą niż najostrzejszy nóż. Tak narodziło się kolejne pojęcie: "bezpieczeństwo informacji". Czym jest, jakie pełni funkcje i jak się je stosuje: najważniejsze pytania omawiamy dziś w artykule Anexet.

Czym jest bezpieczeństwo informacji (InfoSec)

Takie informacje mogą obejmować dane o ochronie firmy przed zagrożeniami ze strony konkurencji lub nieuczciwymi działaniami pracowników, tajne technologie produkcji, tajemnice państwowe, a nawet dane osobowe. Wszystko to może zostać wykorzystane w interesownych celach. Aby do tego nie dopuścić, prowadzi się działania takie jak zapewnianie bezpieczeństwa informacji.

Trzy główne zasady bezpieczeństwa informacji

Bezpieczeństwo informacji opiera się na trzech kluczowych zasadach, które pozwalają podejść do jego wdrożenia kompleksowo. Są to poufność systemu, integralność środków ochrony oraz dostępność.

Poufność systemu

Bezpieczeństwo informacji jest bezpośrednio związane z przetwarzaniem wrażliwych informacji poufnych i danych osobowych. Uważnie trzeba traktować cały zbiór danych na każdym etapie łańcucha analizy. Analizowane informacje mogą być udostępniane wyłącznie osobom uprawnionym po weryfikacji, a dla wszystkich pozostałych muszą pozostać poufne.

Integralność środków bezpieczeństwa informacji

Zasada ta nakazuje traktować bezpieczeństwo informacji jako jeden, spójny proces, bez wyjątków i ustępstw, o ile nie zostały one określone z wyprzedzeniem. To właśnie takie podejście pozwala bezstronnie ocenić stan rzeczy i daje realistyczny obraz sytuacji.

Dostępność

To zdolność uprawnionych podmiotów do sięgnięcia po dowolną część informacji oraz gotowość służb bezpieczeństwa do obsługi zgłoszeń.

Po co potrzebne jest bezpieczeństwo informacji?

Oczywiście głównym celem bezpieczeństwa informacji jest zapewnienie ochrony poufnych danych o firmach, osobach i państwie oraz neutralizowanie negatywnego wpływu i szkód dla przedsiębiorstw lub osób prywatnych. Nie oznacza to jednak, że każde potencjalne zagrożenie dla bezpieczeństwa informacji ma wyłącznie negatywny cel – zniszczenie obiektu zainteresowania. Nie zawsze tak jest. Informacje bywają potrzebne do celów analitycznych: aby porównać produkty konkurencji z własnymi, przeanalizować skuteczność strategii biznesowych czy zmodyfikować produkcję i wewnętrzne procesy firmy. Do zdobycia takich informacji można wykorzystać różne źródła: zasoby ludzkie firmy, dokumentację, własność intelektualną (wynalazki, wzory użytkowe, wzory przemysłowe, patenty itp.), techniczne nośniki danych, oprogramowanie i inne.  Wybór źródła zależy od dostępnych narzędzi, celów i potencjalnej przydatności uzyskanych danych.

Zagrożenia i ryzyka dla bezpieczeństwa informacji

Zagrożenie to potencjalne lub rzeczywiste działanie zmierzające do wyrządzenia firmie albo osobie szkody materialnej lub moralnej. Aby zbudować możliwie skuteczny proces ochrony danych, trzeba oczywiście rozumieć ryzyka i potencjalne zagrożenia, z jakimi zmierzy się firma. Przyjęło się wyróżniać trzy główne grupy zagrożeń.

Technogeniczne (związane z awarią sprzętu lub technologii chronionego systemu, a także z użyciem specjalistycznych środków technicznych i oprogramowania). Należą do nich następujące ryzyka:

• korzystanie z pirackiego oprogramowania i obchodzenie licencji;

• wprowadzenie złośliwego oprogramowania (wirusy, programy szyfrujące, backdoory, blokery, koparki kryptowalut itp.);

• ataki DDoS;

• phishing;

• sprzętowe i programowe środki podsłuchu oraz nadzoru wideo itp.

Przyjrzyjmy się przykładowi zagrożenia bezpieczeństwa informacji spowodowanego błędem człowieka. Chodzi o atak ransomware Play na szwajcarską firmę IT Xplain, który dotknął lokalną sieć kolejową i wiele instytucji państwowych. Hakerzy uzyskali dostęp do ponad 1,3 miliona plików, w tym 65 000 dokumentów należących do szwajcarskiego rządu federalnego. Grupie Play udało się zrealizować to zagrożenie za pomocą wiadomości phishingowej ze złośliwym oprogramowaniem.

Kolejny przykład, z 2010 roku. Rozprzestrzenił się wtedy robak sieciowy Win32/Stuxnet, który zaatakował dużą liczbę prywatnych i państwowych systemów komputerowych. Wirus wykorzystywał podatności w Microsoft Windows (lukę zero-day), przechwytując i modyfikując przepływ informacji między sterownikami programowalnymi Simatic S7 a stacjami roboczymi systemu SCADA SimaticWinCC (Siemens). Win32/Stuxnet mógł służyć do szpiegostwa przemysłowego i sabotażu (taki był jego pierwotny cel). Przeszedł do historii jako pierwsze złośliwe oprogramowanie, które nie tylko uszkadzało dane cyfrowe, ale też wyrządzało realne szkody fizyczne w sprzęcie. Głównym źródłem jego rozprzestrzeniania były zainfekowane nośniki USB.

Antropogeniczne (związane z celowym lub przypadkowym ujawnieniem poufnych informacji handlowych):

• wycieki spowodowane przez insiderów;

• błędy w wykonywaniu obowiązków służbowych;

• działania nielojalnych pracowników.

Przykładem antropogenicznego zagrożenia dla bezpieczeństwa firmy jest Colonial Pipeline. To największy system rurociągów w Stanach Zjednoczonych i główny dostawca benzyny oraz produktów naftowych znad Zatoki Meksykańskiej na całe Wschodnie Wybrzeże. 7 maja 2020 roku system Colonial Pipeline został zainfekowany oprogramowaniem ransomware. Jak się później okazało, atak przeprowadziła grupa hakerska DarkSide. Ich celem było uzyskanie okupu w wysokości 5 milionów dolarów. Jednak nawet po przekazaniu środków szantażystom firma nie zdołała szybko przywrócić swoich procesów biznesowych. Doprowadziło to do zakrojonego na szeroką skalę kryzysu w kilku stanach i do ówczesnych niedoborów paliwa.

Osobą odpowiedzialną po stronie Colonial Pipeline okazał się jeden z pracowników, którego hasła użyto w ataku. Wykorzystując to hasło do usługi VPN, hakerzy zdołali uzyskać dostęp do systemu korporacyjnego. Pracownik posłużył się wcześniej tym samym hasłem przy rejestracji innego konta, którego dane były już dostępne w darknecie.

Inny przykład: włamanie na konta znanych osób w serwisie Twitter w lipcu 2020 roku. Hakerom udało się wtedy opublikować odnośnik do wiadomości z prośbą o wpłaty w kryptowalucie, w stylu: "Wyślij mi 1 BTC, a otrzymasz 2 z powrotem". Zhakowano konta prezesa Tesli i SpaceX Elona Muska, założyciela Amazona Jeffa Bezosa, jednego z największych prywatnych inwestorów i szefa Berkshire Hathaway Warrena Buffetta, byłego prezydenta USA Baracka Obamy, a także konta Google, Apple i wiele innych.

W wyniku ataku poszkodowanych zostało około 300 osób, które przesłały na wskazane adresy kryptowalutowe nieco ponad 110 000 dolarów. Sytuacja odbiła się negatywnie także na samym Twitterze: jego reputacja poniosła nieodwracalną szkodę, a incydent spowodował chwilowy spadek kursu akcji o 4,5%. Głównym źródłem informacji dla oszustów był pracownik Twittera, który według samych hakerów "…dosłownie zrobił za nich wszystko".

Klęski żywiołowe (siła wyższa, katastrofy naturalne).

W jakich obszarach bezpieczeństwo informacji jest najważniejsze?

Nie da się ograniczyć zakresu bezpieczeństwa informacji. W pewnym stopniu nieuprawnione rozpowszechnianie informacji jest szkodliwe w każdej sferze życia człowieka, państwa czy firmy. Można jednak wskazać branże, w których stosowanie środków ochrony danych ma znaczenie krytyczne.

Należą do nich:

• krytycznie ważna infrastruktura państwowa i powiązane z nią przedsiębiorstwa (energetyka, bezpieczeństwo publiczne, obiekty obronne i administracji państwowej);

• sektor bankowy i organizacje finansowe (bank centralny kraju, prywatne i państwowe instytucje bankowe, fundusze emerytalne i ubezpieczeniowe, organizacje monetarne i kredytowe itp.);

• placówki ochrony zdrowia;

• kompleksy transportowe i logistyczne (systemy zarządzania transportem drogowym, kolejowym, wodnym, lotniczym i rurociągowym);

• obiekty zapewniające suwerenność informacyjną państwa (bazy notarialne i prawne, agencje informacyjne oraz media).

Jak widać, potrzeba zapewnienia bezpieczeństwa informacji występuje we wszystkich najważniejszych obszarach życia publicznego i biznesu w kraju. Istnieje jedna reguła pozwalająca ustalić, czy w danym obiekcie trzeba stosować środki ochrony informacji. Z reguły dotyczy to organizacji (prywatnych i publicznych), których działalność wiąże się z przetwarzaniem dużych ilości wrażliwych danych poufnych, a także informacji stale zmieniających się pod wpływem czynników zewnętrznych lub wewnętrznych (np. banki i kursy walut, transport lotniczy i rozkłady wewnętrzne, rozkłady jazdy kolei itp.). Przy tak dużej ilości zmieniających się informacji śledzenie negatywnych scenariuszy i zapobieganie im jest podstawowym zadaniem bezpieczeństwa informacji.

Jakich środków bezpieczeństwa informacji używają specjaliści?

Przyjęło się wyróżniać kilka rodzajów środków zapewniania bezpieczeństwa informacji. Każdy z nich chroni we własnym obszarze odpowiedzialności. Nie można jednak powiedzieć, że zastosowanie jednego z nich wystarczy, aby zapobiec potencjalnym ryzykom i je wyeliminować. Jedną z głównych zasad ochrony jest kompleksowość. Im więcej środków firma lub osoba prywatna włączy do swojego systemu bezpieczeństwa, tym bardziej niezawodna będzie cała ochrona.

Środki bezpieczeństwa informacji dzielą się na:

• prawne;

• moralno-etyczne;

• organizacyjno-administracyjne;

• fizyczne;

• sprzętowe;

• programowe;

• sztuczną inteligencję (AI).

Omówmy każdy z tych środków szczegółowo.

Prawne środki regulowania bezpieczeństwa informacji

Chodzi o tworzenie i dostosowywanie ram prawnych państwa, regulatorów międzynarodowych, instytucji itp. do potrzeb kompleksowego, skutecznego i zgodnego z prawem podejścia do bezpieczeństwa informacji. Dziś w obszar bezpieczeństwa informacji zaangażowanych jest wielu regulatorów, nawet takich, których działalność nie jest z nim bezpośrednio związana. Rada Bezpieczeństwa ONZ monitoruje agendę międzynarodową i może wydawać poszczególnym państwom rekomendacje dotyczące wdrażania systemów bezpieczeństwa informacji. Należą tu również międzynarodowe organizacje zajmujące się certyfikacją i standaryzacją produktów. Popularne są na przykład certyfikaty Międzynarodowego Konsorcjum ds. Certyfikacji Bezpieczeństwa Systemów Informatycznych (CISSP) oraz Międzynarodowej Organizacji Normalizacyjnej (ISO).

Moralne i etyczne środki regulowania bezpieczeństwa informacji

Do środków tych należą pisane (kodeksy etyki, regulaminy postępowania itp.) i niepisane (osobiste cechy moralne, wewnętrzne standardy uczciwości, patriotyzmu, poczucia obowiązku) normy regulujące zachowanie człowieka w danej sytuacji.

Organizacyjne i administracyjne środki regulowania bezpieczeństwa informacji

Organizacyjno-administracyjne środki ochrony informacji to działania porządkujące procesy, wykorzystanie zasobów ludzkich i materialnych oraz tworzenie schematu współpracy między wszystkimi uczestnikami systemu informacyjnego. Ich celem jest ustanowienie rozsądnych i zrozumiałych dla wszystkich zasad postępowania, które mają zapobiegać ryzykom dla bezpieczeństwa informacji. Przykładem takiego środka może być firmowa umowa o zachowaniu tajemnicy przedsiębiorstwa (uprzedzenie pracownika o odpowiedzialności za informacje, którymi dysponuje w zakresie swoich kompetencji).

Fizyczne środki regulowania bezpieczeństwa informacji

To realne, fizyczne przeciwdziałanie naruszeniom: montaż zamków, sejfów, systemów kontroli dostępu, monitoringu wizyjnego itp.

Sprzętowe środki regulowania bezpieczeństwa informacji

To etap pośredni między ochroną fizyczną a programową. Środki sprzętowe, podobnie jak programowe, stają się częścią systemu. Należą do nich narzędzia ochrony informacji głosowej (biały szum, dźwięk) oraz urządzenia elektroniczne ostrzegające o nieuprawnionym dostępie (identyfikatory USB, klucze elektroniczne, sprzętowe zapory sieciowe itp.). Stosuje się jednak także mechaniczne środki przeciwdziałania potencjalnym zagrożeniom — są to niezależne obiekty fizyczne, które można szybko usunąć z chronionego systemu.

Programowe środki regulowania bezpieczeństwa informacji

Programowe środki zapewniania bezpieczeństwa informacji służą realizacji następujących podstawowych funkcji: identyfikacji podmiotu, uwierzytelniania uczestnika systemu oraz szyfrowania i przetwarzania danych.

• Systemy DLP (Data Leak Prevention) zapobiegają wyciekom informacji poza firmę i monitorują personel pod kątem celowych lub nieumyślnych zachowań nielojalnych.  

• Przykładem takiego systemu jest Anexet od Scinero Software Limited. Jego zaletą jest bezpłatny 30-dniowy okres testowy. Szczegóły znajdziesz pod tym linkiem.
  Systemy SIEM (Security Information and Event Management). Jak sama nazwa wskazuje, to rozwiązanie programowe do analizy całej aktywności sieciowej i reagowania w czasie rzeczywistym na potencjalne zagrożenia i cyberataki.

• Kryptografia. To zestaw operacji szyfrowania tekstu, który pozwala przechowywać wszystkie informacje w systemie w zmienionej postaci. Dzięki kryptografii informacje poufne stają się niedostępne dla potencjalnych atakujących, ponieważ nie da się ich odczytać bez specjalnego klucza – deszyfratora. 

• Licencjonowane oprogramowanie antywirusowe. 

• Programowe zapory sieciowe, które działają jak filtr między globalną siecią a lokalną siecią firmy. Blokują ruch przychodzący zgodnie z wcześniej zdefiniowanymi regułami.

• Serwery proxy i sieci VPN. Te dwie technologie są podobne: obie mają zastąpić Twój adres IP własnym i zamaskować rzeczywisty ruch. Różnią się przede wszystkim kosztem wdrożenia i dostępnością szyfrowania (VPN). 

• AI w systemach bezpieczeństwa. W dzisiejszym świecie tempo, w jakim cyberprzestępcy uczą się i dostosowują do ciągle zmieniającego się otoczenia, znacznie przewyższa tempo tworzenia narzędzi do walki z nimi. Za wszystkimi zmianami może nadążyć wyłącznie samoucząca się, mobilna technologia, taka jak sztuczna inteligencja (AI). W ostatnich dwóch latach AI rozwija się błyskawicznie. Jeszcze niedawno była tylko narzędziem pomocniczym w ogólnym zestawie środków bezpieczeństwa informacji, a dziś jest pełnoprawnym środkiem przeciwdziałania wyciekom.

Problemy bezpieczeństwa informacji

Oczywiście tak zmienne środowisko jak informacja i jej ochrona wiąże się z szeregiem problemów. Porozmawiajmy o nich teraz.

• Nadmiar danych

Pierwszym problemem jest wzrost ilości danych, które trzeba chronić. Z roku na rok rośnie ilość wykorzystywanych informacji: zwiększa się objętość korespondencji biznesowej, komunikacji w mediach społecznościowych oraz liczba aplikacji i usług używanych niemal we wszystkich obszarach życia i pracy organizacji. Wzrost ten sięga rocznie setek procent. Oznacza to, że rośnie także ilość informacji wymagających ochrony. Narzędzia bezpieczeństwa informacji są do tego dostosowywane, ale ich adaptacja nie zawsze jest wprost proporcjonalna do przyrostu danych.

• Przepisy prawa

Dziś każde państwo, każda organizacja i każda osoba są z tym zadaniem pozostawione same sobie – muszą samodzielnie zadbać o bezpieczeństwo swojego otoczenia. W praktyce nie istnieje jedno podejście do bezpieczeństwa informacji, tak jak nie istnieje wspólne prawodawstwo, które mogłoby rozwiązać ten problem.

• Rozwój przestępczości

Wraz ze wzrostem ilości danych zwiększyła się też liczba sposobów na wyciek danych i złośliwe wtargnięcie. Przestępcy dostosowują się znacznie szybciej niż produkty. Weźmy AI: złośliwe programy oparte na tej technologii już istnieją.

Podsumowanie

Bezpieczeństwo informacji to zadanie złożone. Nie da się stworzyć działającego narzędzia bezpieczeństwa informacji bez uwzględnienia kompleksowości i wielowymiarowości tego zadania. Każdy podmiot — państwo, firma czy osoba prywatna — sam wybiera własną drogę do zapewnienia bezpieczeństwa informacji. Wszystkich łączy jednak jedno: w dzisiejszym świecie ta kwestia ma pierwszorzędne znaczenie i nikt nie może sobie pozwolić na jej ignorowanie.

 

Informacja otacza nas przez cały czas; jesteśmy zanurzeni w gęstej chmurze danych, która nieustannie się zmienia. Dane stały się cennym aktywem, źródłem władzy i bogactwa dla tych, którzy je posiadają. Ludzie zaczęli polować na informacje, a wraz z tym pojawiły się nowe źródła podatności – zagrożenia bezpieczeństwa informacji. Czym one są? Jak niebezpieczna może być informacja w niepowołanych rękach? Jakie są możliwości ochrony? Dowiesz się z naszego artykułu.

Pojęcia „bezpieczeństwo” i „zagrożenie informacyjne”

Zacznijmy od zdefiniowania podstawowych pojęć: informacja, zagrożenie i bezpieczeństwo — co dokładnie oznaczają.

Informacja to zbiór danych o wybranym przedmiocie, zjawisku, procesie, obiekcie społecznym itp., które pozwalają go scharakteryzować. Wartości informacji nie da się zmierzyć — te same dane mogą mieć różną wartość dla różnych członków społeczeństwa. Jedno pozostaje jednak wspólne dla wszystkich: informacja zawsze ma swoją wartość.

Zagrożenie to każde umyślne lub nieumyślne oddziaływanie na informację, którego celem jest jej pozyskanie i wykorzystanie na szkodę podmiotu informacji.

Bezpieczeństwo to podstawowe pojęcie opisujące ochronę dowolnego podmiotu (osoby, organizacji, państwa) przed zagrożeniami.

Ogólna sytuacja w obszarze zagrożeń bezpieczeństwa informacji

Zestaw działań z zakresu bezpieczeństwa informacji obejmuje kilka etapów, których celem jest zachowanie integralności systemu informacyjnego. Są to: działania prewencyjne (nastawione na uprzedzenie incydentów bezpieczeństwa informacji), identyfikacja i wykrywanie zagrożeń (ustalenie dokładnych parametrów niebezpiecznej sytuacji i wykrycie jej w systemie informacyjnym), lokalizacja zagrożeń (ograniczenie skutków działań przestępczych i usunięcie zaistniałej niebezpiecznej sytuacji) oraz minimalizacja następstw (działania przywracające integralność informacji i niezawodność systemu bezpieczeństwa informacji).

Trzeba pamiętać, że w razie incydentu bezpieczeństwa informacji liczy się każde z tych działań, a także kompleksowe i konsekwentne podejście do ich realizacji. Warto jednak przyznać, że zapobieganie incydentowi i ostrzeganie przed nim jest znacznie skuteczniejsze niż nawet najbardziej aktualny i nowoczesny program usuwania skutków. W bezpieczeństwie informacji obowiązuje ta sama zasada: „lepiej zapobiegać niż leczyć”.

Rodzaje zagrożeń bezpieczeństwa informacji

Zwyczajowo wyróżnia się trzy podstawowe rodzaje zagrożeń bezpieczeństwa informacji:

1. zagrożenia poufności;
2. zagrożenia integralności;
3. zagrożenia typu odmowa usługi.

Zagrożenia poufności to najbardziej typowe, można powiedzieć klasyczne, problemy bezpieczeństwa informacji. Sama natura informacji wymaga bowiem określenia zakresu dostępu do niej i wyznaczenia granic poufności. Zagrożenie poufności to pojawienie się możliwości nieautoryzowanego dostępu do informacji i jej wykorzystania.

Zagrożenia integralności to umyślne lub nieumyślne naruszenie spójności i autentyczności informacji, które ma uniemożliwić korzystanie z niej w pierwotnej postaci. Mogą polegać na oddziaływaniu na samą informację albo na infrastrukturę służącą do jej przechowywania i przesyłania.

Zagrożenia typu odmowa usługi – zakłócenie pracy systemu informacyjnego w celu uniemożliwienia dostępu do przechowywanych informacji.

Jakie rodzaje zagrożeń istnieją?

Zagrożeń bezpieczeństwa informacji jest bardzo wiele — dokładnie tyle, ile rodzajów informacji funkcjonuje dziś wokół nas.

• Zagrożenia według celu ataku:

• państwo;

• biznes;

• osoby prywatne.

Według rodzaju zamiaru:

• finansowe;

• reputacyjne;

• ujawnienie zamiarów.

Według źródła zagrożenia:

• poza systemem informacyjnym;

• wewnątrz systemu informacyjnego.

Według rodzaju szkody:

• ogólne;

• lokalne;

• prywatne.

Według stopnia oddziaływania na system informacyjny:

• pasywne (struktura i zawartość systemu pozostają bez zmian);

• aktywne (struktura i zawartość systemu ulegają zmianie).

Grupy zagrożeń bezpieczeństwa informacji:

• technogeniczne;

• antropogeniczne;

• naturalne.

Zagrożenia według kierunku oddziaływania

Przyjrzyjmy się bliżej zagrożeniom bezpieczeństwa informacji dla państwa. Podmiotem informacji jest tu państwo jako dysponent danych poufnych. Z punktu widzenia oszustów działających w sferze informacyjnej nie jest to najbardziej oczywisty cel. Państwo tworzy bowiem mnóstwo instytucji zapewniających spójność i funkcjonowanie tego organizmu politycznego: placówki ochrony zdrowia i obiekty logistyczne, instytucje edukacyjne, media, organy ustawodawcze i wykonawcze, ośrodki informacyjne i wiele innych. Innymi słowy, celem ataku staje się każda instytucja, której informacje mogą zagrozić konstytucyjnym prawom i wolnościom obywateli, realizacji polityki państwa, infrastrukturze państwowej albo państwowym sieciom i systemom informacyjnym.

Bezpieczeństwo informacji to ważny element kompleksowej strategii bezpieczeństwa narodowego. Obejmuje ona również bezpieczeństwo:

• technologiczne;

• produkcyjne;

• walutowo-kredytowe;

• surowcowe;

• energetyczne;

• ekologiczne;

• informacyjne;

• żywnościowe.

Aby realizować politykę państwa w zakresie bezpieczeństwa przestrzeni informacyjnej, trzeba uwzględnić potencjalne zagrożenia i wypracować strategiczne podejście do bezpieczeństwa informacji. Obejmuje ono tworzenie i egzekwowanie wymogów ustawowych i administracyjnych, wspieranie międzynarodowych i krajowych standardów polityki bezpieczeństwa informacji, zapewnienie zaplecza technicznego i technologicznego dla podejmowanych działań oraz prowadzenie szkoleń i programów uświadamiających dla obywateli.

Główne zagrożenia bezpieczeństwa informacji dla państwa:

• wojna informacyjna;

• cyberataki;

• cyberszpiegostwo;

• cyberprzestępczość;

• cyberterroryzm;

• ujawnienie tajemnicy państwowej i wyciek innych danych poufnych.

Głównym zadaniem państwa, będącego zarówno pierwszoplanowym celem zagrożeń informacyjnych, jak i głównym dostawcą narzędzi bezpieczeństwa informacji, jest szybkie wykrywanie zagrożeń dla kraju i reagowanie na nie, skuteczna ochrona granic informacyjnych oraz tworzenie infrastruktury przyjaznej narzędziom bezpieczeństwa informacji.  

Przy tworzeniu polityki bezpieczeństwa państwa uwzględnia się cztery istotne czynniki, które składają się na kompleksowy zestaw działań. Są to:

1. ustawowe umocowanie działań ochrony informacji dla wszystkich uczestników procesu;

2. przestrzeganie międzynarodowych i regionalnych standardów bezpieczeństwa informacji;

3. zapewnienie poszanowania praw i obowiązków wszystkich uczestników procesu;

4. stworzenie bezpiecznych ram systemu ochrony informacji w państwie.

Zagrożenia bezpieczeństwa informacji w przedsiębiorstwie

Firma dysponuje dużą ilością danych wrażliwych i jest łakomym kąskiem dla różnego rodzaju oszustów. Szczególne zainteresowanie wrogich stron budzą:

1. bazy danych i systemy przechowywania informacji;

2. system plików i jego zawartość;

3. hasła dostępu oraz dane uwierzytelniające i autoryzacyjne użytkowników;

4. własność intelektualna;

5. instrukcje i opisy unikatowych procesów technologicznych itp.

Sposoby pozyskania informacji poufnych w przedsiębiorstwie odpowiadają trzem podstawowym grupom zagrożeń bezpieczeństwa: antropogenicznym, technogenicznym i naturalnym.

Z praktycznego punktu widzenia głównymi zagrożeniami bezpieczeństwa informacji na każdym szczeblu przedsiębiorstwa mogą być:

• nieaktualne wersje oprogramowania i programów antywirusowych, korzystanie z nielicencjonowanego oprogramowania;

Wielokrotnie pisaliśmy o tym, jak ważne są terminowe aktualizacje oprogramowania. Najnowsze wersje uwzględniają aktualną wiedzę o zagrożeniach i ostrzegają przed potencjalnymi podatnościami.

• rezygnacja z różnicowania uprawnień dostępu pracowników do informacji;

Popularność zyskały modele Zero Trust, w których każdy uczestnik sieci traktowany jest jak potencjalne zagrożenie dla bezpieczeństwa informacji. To efekt rosnącej liczby usług zdalnych (magazyny w chmurze) oraz włączania do perymetru firmy stacji roboczych znajdujących się poza jej perymetrem bezpieczeństwa (praca zdalna).

• umyślne lub nieumyślne działania insiderów;

Chodzi o wyciek informacji z winy osób znajdujących się wewnątrz perymetru bezpieczeństwa organizacji. Nie zawsze jest to działanie celowe — często pracownicy nawet nie zdają sobie sprawy, że przekazują dane objęte zakazem. Aby przeciwdziałać takim zagrożeniom, trzeba częściej prowadzić w firmie szkolenia z zasad bezpieczeństwa informacji, zadbać o udokumentowanie praw, obowiązków i odpowiedzialności każdej osoby oraz wprowadzić reżim tajemnicy przedsiębiorstwa.

• korzystanie w pracy z prywatnych komunikatorów, serwisów społecznościowych i poczty elektronicznej;

Korzystanie z prywatnych kont w miejscu pracy to częsty problem pracodawców. Wpływa nie tylko na efektywność samego pracownika (według badania Microsoftu pracownicy rozpraszają się mediami społecznościowymi średnio co 10 minut czasu pracy), lecz także na ogólny poziom bezpieczeństwa. W prywatnej komunikacji czujność jest z reguły znacznie niższa, co prowadzi do wycieków wewnętrznych i przekazywania danych poufnych.

• niedbały stosunek do nośników informacji;

Konieczny jest zakaz używania prywatnych nośników danych i kopiowania na nie informacji.

• brak aktualizacji uprawnień dostępu do stacji roboczych.

To również częste zagrożenie. Działy bezpieczeństwa informacji nie zawsze na czas weryfikują konta pracowników. Zdarza się, że zwolniony pracownik łączy się zdalnie ze swoim komputerem, co może skończyć się wyciekiem informacji. Bywa też, że loginy i hasła pracowników nie są należycie chronione i każdy ma dostęp do stacji roboczej sąsiada.

Aby kontrolować pracowników i zwiększyć odporność całego systemu bezpieczeństwa informacji, warto sięgnąć po systemy Data Loss Prevention (DLP). Przykładem takiego rozwiązania jest Anexet. Szczegóły znajdziesz w prezentacji.

Zagrożenia dla informacji prywatnych

Zagrożenia o charakterze prywatnym w wielu punktach pokrywają się z zagrożeniami dla państwa czy biznesu. Należą do nich bezprawne pozyskiwanie, wykorzystywanie i handel informacjami poufnymi przez osoby trzecie.

Istotną różnicą w tej grupie zagrożeń jest sięganie po socjotechnikę — ofiarą oszustów jest bowiem konkretna osoba. Można wyliczyć jej punkty nacisku, zbudować i wykorzystać profil psychologiczny, śledzić przyzwyczajenia oraz rytm korzystania ze źródeł informacji i tak dalej.

Socjotechnika to zestaw technik wywierania presji psychologicznej i manipulowania innymi osobami dla własnej korzyści.

Do głównych technik socjotechnicznych należą:

• metody manipulowania emocjami;

Ta metoda wymaga wcześniejszego zbudowania profilu psychologicznego potencjalnej ofiary, zaplanowania wzorców jej zachowań i opracowania scenariuszy reakcji na te wzorce.

• presja i pośpiech;

Ta metoda jest bardzo popularna wśród współczesnych oszustów telefonicznych, ponieważ ma wywołać u ofiary z góry określoną reakcję. Ofiara musi zareagować na prośbę natychmiast, żeby nie zdążyła na czas przeanalizować swoich działań ani się nad nimi zastanowić.

• poszerzanie kręgu zaufania.

To kolejny sposób na zdobycie informacji poufnych bez włamania. Oszust zbliża się do przyszłej ofiary, buduje własny pozytywny wizerunek i wchodzi do jej najbliższego kręgu znajomych. Ta gra o zaufanie działa wtedy, gdy ofiara przestaje kontrolować swoje reakcje i się rozluźnia. Oszustowi pozostaje uzbroić się w cierpliwość i po prostu poczekać na właściwy moment.

Pamiętaj, że ochrona danych osobowych zawsze pozostaje w rękach samej osoby, której dane dotyczą — i to jej powinno najbardziej zależeć na bezpieczeństwie własnych informacji. Warto korzystać także z metod ochrony dostępnych w warunkach domowych.

Rodzaje zagrożeń bezpieczeństwa informacji według rodzaju zamiaru

Ze względu na zamiar sprawcy zagrożenia bezpieczeństwa informacji dzieli się zwykle na trzy typy: finansowe, reputacyjne oraz ujawnienie zamiarów.

Jak sama nazwa wskazuje, zagrożenia finansowe to potencjalne incydenty bezpieczeństwa informacji, które kończą się szkodą finansową po stronie poszkodowanego.

Na szkodę finansową składają się w tym przypadku:

1. straty wynikające z wyceny utraconych informacji;

2. koszty technologiczne i pracochłonność odtworzenia danych oraz infrastruktury (wydatki na sprzęt, opłaty za usługi towarzyszące, wynagrodzenia pracowników itp.);

3. odszkodowania dla poszkodowanych stron.

Szkoda reputacyjna to negatywne oddziaływanie o charakterze niematerialnym, które przejawia się w pogorszeniu relacji społecznych (spadek zaufania, niższe oceny itp.). Może dotknąć państwo, organizacje i osoby prywatne.

Zagrożenie ujawnieniem zamiarów to prawdopodobieństwo odkrycia potencjalnie cennych informacji o planowanych działaniach, których skutków nie da się jeszcze ocenić ani w kategoriach finansowych, ani reputacyjnych.

Zagrożenia bezpieczeństwa informacji według źródła zagrożenia

Zagrożenia bezpieczeństwa informacji dzieli się na pochodzące spoza systemu informacyjnego i powstające wewnątrz niego. Na zewnątrz źródłem zagrożeń bywają wrogie podmioty (konkurenci, oszuści, służby specjalne itp.), które korzystają z różnych narzędzi wtargnięcia (sprzętowych, programowych itd.). Za zewnętrzne źródła zagrożeń uznaje się również klęski żywiołowe i katastrofy.

Zagrożenia wewnątrz systemu informacyjnego pochodzą od jego uczestników (insiderów, nieuczciwych pracowników, problemów technicznych ze sprzętem itp.), przy czym ryzyko insiderskie uchodzi za najbardziej prawdopodobne wewnątrz systemu. Przyjrzyjmy się mu bliżej.

Kim są insiderzy

Insiderzy to główna kategoria ryzyka bezpieczeństwa wewnątrz perymetru systemu informacyjnego. Ryzyko to trudno oszacować, bo równie trudno je przewidzieć i mu zapobiec.

Za insiderów uznaje się uczestników wewnętrznego perymetru bezpieczeństwa informacji, którzy umyślnie lub nieumyślnie przekazują informacje poufne poza ten perymetr. To dość szeroka kategoria użytkowników, ponieważ na motywy ich działań wpływa wiele czynników — zarówno ukrytych, jak i oczywistych.

Należą do nich:

• chęć osiągnięcia osobistej korzyści;

Insider świadomie dopuszcza się nadużyć służbowych, ponieważ przynosi mu to korzyść finansową lub moralną.

• ciekawość;

Ten motyw budzi zwykła dociekliwość — chęć dotarcia do danych objętych ograniczeniami, żeby wzbogacić własne doświadczenie.

• brak motywu;

Dotyczy to obojętnych, nieuważnych pracowników, którzy z niechęci lub lenistwa wynoszą informacje poufne poza perymetr bezpieczeństwa.

• zemsta;

Zwykle chodzi o pracowników przed zwolnieniem albo o ukrytych agresorów w zespole. W takich przypadkach ich głównym celem jest wyrządzenie firmie jak największej szkody.

• problemy psychologiczne;

Każdy uczestnik perymetru bezpieczeństwa jest przede wszystkim człowiekiem z własnymi problemami psychologicznymi (osobistymi lub sprowokowanymi), które mogą wpływać na jego motywy.

• szantaż;

Celem takiego insidera jest zdobycie informacji poufnych, a następnie wykorzystanie ich do szantażu wewnątrz firmy (wobec pracowników, kierownictwa) albo poza nią.

• różnice polityczne lub ideologiczne;

To również bywa motywem wycieku danych z winy insidera.

• presja z zewnątrz.

Osoba znajdująca się wewnątrz perymetru bezpieczeństwa sama może stać się obiektem szantażu i żądań przekazania danych interesujących stronę zewnętrzną.

Czym insiderzy są cenni dla zainteresowanych stron:

1. Insider to uczestnik systemu bezpieczeństwa, który ma potrzebne kwalifikacje i dostęp do informacji poufnych.

2. Zajmowane stanowisko i kwalifikacje pozwalają mu nie tylko odnaleźć dane, lecz także bezpiecznie je wynieść i dostarczyć w oczekiwanej postaci.

3. Insider może odejść od planu, działać stosownie do sytuacji albo poczekać na dogodny moment na wtargnięcie. Przy działaniu z zewnątrz taki komfort jest znacznie mniej dostępny.

4. Insider potrafi przeciągnąć na swoją stronę innych pracowników i zbudować wokół siebie krąg osób podatnych na jego wpływ.

Przeciwdziałanie insiderom

Jak widać, po stronie insiderów stoi wiele atutów. Trudno ich zidentyfikować, są już wewnątrz systemu informacyjnego, potrafią działać w ukryciu, a ich prawdziwe motywy nie zawsze są jasne. Nie znaczy to jednak, że problem można zignorować i puścić sprawy na żywioł. Wykryć insidera i nie dopuścić do wycieku informacji pomaga cały zestaw działań.

• na etapie zatrudniania;

Pracodawca może ocenić kandydata już na etapie rozmowy kwalifikacyjnej: sprawdzić jego stabilność psychiczną i motywację, poprosić o informacje od poprzednich pracodawców, zweryfikować karalność i tak dalej. Nawet taki zestaw działań odsieje najbardziej aktywnych i obiecujących potencjalnych insiderów.

• w trakcie zatrudnienia.

Po formalnym zatrudnieniu nie wolno zaniedbywać ani nowego pracownika, ani całego zespołu. Potencjalny insider może bowiem nabrać motywacji dopiero w trakcie wykonywania obowiązków albo od początku być w organizacji «wtyczką». Dział HR i służby bezpieczeństwa mogą podjąć następujące działania:

• edukacyjne (informowanie pracowników o prawach i obowiązkach związanych z zachowaniem informacji wewnątrz perymetru oraz o konsekwencjach działań bezprawnych);

• testy psychologiczne i ankiety (badania i testy pomogą wskazać po pośrednich sygnałach pracowników niezadowolonych i niepewnych);

• dokumentowe (formalnie spisana polityka bezpieczeństwa informacji w firmie, wprowadzenie reżimu «tajemnicy przedsiębiorstwa»);

• sprzętowo-programowe (środki techniczne ograniczające dostęp do informacji, wdrożenie systemu uwierzytelniania pracowników, instalacja systemów DLP);

• na etapie zwolnienia. 

To równie ważny moment, ponieważ ten okres bywa najbardziej napięty w relacjach pracodawcy i pracownika. Trzeba udokumentować przekazanie informacji przez odchodzącą osobę, zwłaszcza poza system informacyjny, oraz zadbać o prawidłowe zakończenie stosunku pracy.

Więcej o tym, jak rozpoznać insidera, przeczytasz w naszym artykule.

Zagrożenia bezpieczeństwa informacji według rodzaju szkody i oddziaływania na system informacyjny

Zagrożenia bezpieczeństwa informacji klasyfikuje się według rodzaju wyrządzanej szkody:

•    ogólne (właściwe wszystkim podmiotom informacji);

•    lokalne (ograniczone terytorialnie lub do określonego rodzaju działalności);

•    prywatne (nastawione na bezpośredni nacisk na osobę prywatną, z uwzględnieniem indywidualnych cech potencjalnej ofiary).

Według stopnia oddziaływania na system informacyjny:

•    pasywne (struktura i zawartość systemu pozostają bez zmian);

•    aktywne (struktura i zawartość systemu ulegają zmianie).

Zagrożenia bezpieczeństwa informacji przez kanały nieautoryzowanego dostępu

Jednym z najbardziej niszczycielskich zagrożeń bezpieczeństwa informacji, jeśli chodzi o skalę zniszczeń i strat, są szkody wywołane nieautoryzowanym dostępem.

Nieautoryzowany dostęp to bezprawne wtargnięcie do systemu bezpieczeństwa informacji z pominięciem obowiązujących reguł ochrony. Wyróżnia się trzy jego rodzaje: osobowy (przez człowieka), sprzętowy (przez podłączenie specjalistycznego sprzętu) i programowy (z użyciem oprogramowania). Przyjrzyjmy się im bliżej.

Osobowe kanały nieautoryzowanego dostępu:

• przez nośniki informacji (kradzież, podrobienie);

• przez odczyt informacji ze źródeł wizualnych (zrzuty ekranu, zdjęcia i nagrania wideo, keyloggery);

• przez dokumenty (kradzież, kopiowanie);

• przez śledzenie wydruków.

Programowe kanały nieautoryzowanego dostępu:

• przez złośliwe oprogramowanie i zainfekowane treści (wirusy, spam, oprogramowanie szpiegujące);

• przez dostęp do zarządzania kontami (IDM);

• ataki DDoS;

• ataki ukierunkowane;

• włamania na strony internetowe i konta w serwisach społecznościowych oraz przejęcie uprawnień administratora;

• urządzenia mobilne.

Sprzętowe (przez elektromagnetyczne, wibroakustyczne, wizualne i informacyjne kanały wycieku informacji).

Ryzyka a zagrożenia bezpieczeństwa informacji

Pojęcia z obszaru bezpieczeństwa informacji bywają traktowane jak synonimy: dane osobowe i informacje prywatne, ryzyka i zagrożenia, i tak dalej. Nie zawsze są jednak równoznaczne. O ile dane osobowe i informacje prywatne opisują w gruncie rzeczy ten sam rodzaj danych, tyle że z dwóch perspektyw, o tyle ryzyk i zagrożeń bezpieczeństwa informacji utożsamiać nie można. Oto dlaczego.

Ryzyka bezpieczeństwa informacji to zbiór negatywnych czynników, które mogą wpłynąć na integralność, dostępność i poufność informacji. Innymi słowy, jest to istniejąca, realna sytuacja. Zagrożenia z kolei to możliwości oddziaływania na informację przez podatności, które pojawiają się w systemie bezpieczeństwa. Na przykład: zagrożenie nieautoryzowanym dostępem do plików na komputerze, gdy powstaje luka w zabezpieczeniach (użytkownik nie wylogował się ze swojego profilu służbowego), zagrożenie zainfekowaniem złośliwym wirusem z powodu podatności oprogramowania (korzystanie z nielicencjonowanego oprogramowania na komputerach służbowych) i tak dalej.

Ryzyko bezpieczeństwa informacji można więc zdefiniować jako zrealizowane zagrożenia bezpieczeństwa informacji. Wzór na ryzyko wyglądałby wtedy tak:

Podsumowanie

Bezpieczeństwo informacji to szeroki temat, do którego trzeba podchodzić konsekwentnie i z namysłem. Informacja jest dziś cennym zasobem, który wymaga ochrony przed zagrożeniami wewnętrznymi i zewnętrznymi. Korzystaj ze wszystkich dostępnych środków ochrony i zadbaj o bezpieczny perymetr wokół swojego obiegu informacji. Efektów możesz nie odczuć od razu, ale wartość bezpieczeństwa informacji docenisz na pewno wtedy, gdy pojawi się ryzyko, a zagrożenia zaczną się materializować. 

Nigdy nie można być w 100% pewnym stanu swojego bezpieczeństwa informacji. Rozwój nowych metod ochrony danych wynosi technologie informatyczne na wyższy poziom. Uwierzytelnianie wieloskładnikowe, użytkownicy uprzywilejowani, biometria w kontroli dostępu – wszystko to stało się codziennością. W środowisku korporacyjnym domyślnie ufamy osobom wewnątrz sieci, a nie ufamy tym spoza niej. Dziś przyjrzymy się stosunkowo nowej koncepcji "Zero Trust" i jej przydatności w ochronie perymetru firmy, chmury oraz urządzeń mobilnych.

Czym jest "Zero Trust"?

Domyślnie za skompromitowanych uznaje się wszystkich użytkowników oraz wszystkie urządzenia, chmury, systemy i sieci, niezależnie od tego, czy chroni je zapora sieciowa. Koncepcja zerowego zaufania zakłada bardzo ścisłą kontrolę dostępu do systemów, dlatego nawet uwierzytelnieni użytkownicy przechodzą kilka etapów weryfikacji. Takie podejście pozwala znacząco zmniejszyć prawdopodobieństwo udanego ataku na system.

Ograniczenie dostępu poszczególnych użytkowników do segmentów sieci firmowej sprawia, że hakerzy mają mniej okazji, by dotrzeć do danych chronionych i poufnych. Kluczowym elementem koncepcji zerowego zaufania jest oczywiście uwierzytelnianie wieloskładnikowe (mechanizm zabezpieczający, który wymaga dodatkowej metody potwierdzenia tożsamości w czasie rzeczywistym, opartej na kategorii danych niezależnej od samego użytkownika).

Sieć firmowa a "Zero Trust"

Jak już wspomnieliśmy, przestarzała metoda ochrony perymetru firmy zakłada, że każdy użytkownik wewnątrz sieci korporacyjnej jest domyślnie "osobą zaufaną", a każdy użytkownik spoza tej sieci jest "niezaufany". Model ten funkcjonował i sprawdzał się przez ostatnie 20 lat, uzasadniając zasadę, że dostęp do programów i aplikacji mają wyłącznie wybrane osoby. Z czasem jednak ochrona perymetru okazywała się coraz mniej skuteczna, przede wszystkim ze względu na ogromny skok w rozwoju technologii chmurowych i mobilnych, systemów ochrony danych oraz powszechne przejście pracowników na pracę zdalną. W nowych realiach pojęcie "osoby zaufanej", zarówno wewnątrz firmy, jak i poza jej siecią, przestało istnieć. Nowy model traktuje wszystkich użytkowników domyślnie jako "niezaufanych" i wymaga od nich przejścia wszystkich etapów uzyskiwania dostępu, niezależnie od posiadanych uprawnień. O polityce "Zero Trust" zaczęto mówić w połowie lat dwutysięcznych, a jej główną ideą było zniesienie perymetru firmy i przejście do strategii ochrony danych firmowych na wszystkich poziomach za pomocą szyfrowania i uwierzytelniania wieloskładnikowego.

Rozwój koncepcji "Zero Trust"

W 2010 roku John Kindervag, analityk Forrester Research, ukuł termin "Zero Trust" na określenie polityki, której główną ideą jest brak zaufania do jakiegokolwiek użytkownika wewnątrz i na zewnątrz firmy. Firma musi zweryfikować każdego, kto próbuje połączyć się z siecią, zanim przyzna mu dostęp. Polityka "Zero Trust" podważa model ochrony oparty na zaporze sieciowej rozdzielającej sieć wewnętrzną i zewnętrzną. Taka strategia bezpieczeństwa rozsypuje się, gdy haker skompromituje system wewnątrz perymetru i zechce wykraść informacje poufne. W tradycyjnym systemie inspektorzy bezpieczeństwa informacji muszą więc ręcznie weryfikować i chronić wszystkie zasoby, przyznając i odbierając dostęp każdemu użytkownikowi z osobna.

Bezpieczeństwo chmury i urządzeń mobilnych w "Zero Trust"

Trzy główne zasady koncepcji zerowego zaufania:

• firmy muszą zapewnić bezpieczny dostęp do swoich sieci niezależnie od lokalizacji firmy czy pracownika;

• organizacje muszą kontrolować dostęp użytkowników tak, aby każdy sięgał wyłącznie po zasoby, których faktycznie potrzebuje. Powinny też uniemożliwiać dostęp do potencjalnie wrażliwych informacji i jasno definiować role pracowników. Chodzi o to, by w razie zwolnienia dane firmy pozostały wewnątrz organizacji;

• firmy muszą kontrolować i rejestrować ruch sieciowy, aby mieć pewność, że użytkownicy działają zgodnie z prawem.

Wraz z rosnącą liczbą urządzeń podłączanych do sieci firmowych coraz więcej organizacji wdraża specjalne rozwiązania programowe wspierające politykę "Zero Trust". Praktycznie każdy słyszał o systemach DLP – oprogramowaniu stworzonym po to, by zapobiegać wyciekom informacji poufnych i monitorować aktywność pracowników w godzinach pracy. Przyjrzyjmy się pokrótce, jak działa taki system, na przykładzie Anexet Ultimate od Scinero Software Limited.

Przykład systemu DLP Anexet Ultimate od Scinero Software Limited

Anexet Ultimate to system DLP, który chroni firmy przed wyciekami danych powodowanymi przez pracowników, monitoruje ich aktywność na komputerach, wykrywa potencjalne zagrożenia, a w razie incydentu niezwłocznie informuje o naruszeniu zespół bezpieczeństwa informacji organizacji lub wręcz zapobiega jego wystąpieniu.

Na komputerze instalowana jest aplikacja Anexet Ultimate Agent, która przechwytuje wysyłane i odbierane wiadomości oraz pliki, a także monitoruje wszystkie wykonywane na nim działania. Wszystkie przechwycone informacje trafiają na Twój serwer Anexet i przechodzą inteligentną analizę. W razie wykrycia naruszenia system może zablokować daną czynność i powiadomić firmową służbę bezpieczeństwa informacji.

System DLP sprawdza się w lokalnych sieciach firmowych, w sieciach o złożonej architekturze, w rozproszonych geograficznie oddziałach oraz w mobilnych miejscach pracy. Rozwiązanie to działa więc zgodnie z zasadami polityki "Zero Trust" i pomaga znacząco zmniejszyć ryzyko utraty poufnych danych organizacji.

Zgodnie z założeniami "Zero Trust" obowiązkowe jest również korzystanie z VPN podczas pracy w środowisku firmowym. Dziś firmy mają własne korporacyjne sieci VPN, które działają w połączeniu z innymi technicznymi metodami ochrony informacji.

Przyszłość Zero Trust

Technologie rozwijają się z dnia na dzień, a napastnicy wymyślają coraz bardziej wyrafinowane sposoby atakowania systemów, dlatego światowa społeczność IT uznała już zasadność koncepcji "Zero Trust" za bezdyskusyjną i szeroko wdraża ten model w firmach. Potencjał "Zero Trust" jako pierwsze dostrzegają oczywiście duże firmy technologiczne. Analitycy przewidują, że w latach 2025-2030 model "Zero Trust" upowszechni się na całym świecie.

Na "Zero Trust" i systemy DLP przechodzą w pierwszej kolejności ci, dla których zachowanie poufnych danych firmy jest priorytetem. Wszystkie te elementy działają razem i zapewniają maksymalne bezpieczeństwo danych firmowych.

Bazy danych to zbiór dużej puli informacji uporządkowanej wokół jednego lub wielu zagadnień. Technologia ta stanowi podstawę przechowywania informacji we wszystkich obszarach działalności człowieka. Dlatego bezpieczeństwo informacji w bazach danych ma dla firm ogromne znaczenie. Przyjrzyjmy się temu tematowi razem z Anexet.

Czym jest baza danych

Baza danych (BD) to system uporządkowanego przechowywania informacji na potrzeby jej dalszego przetwarzania i zarządzania nią. Główną zasadą tworzenia baz danych jest zapewnienie szybkiego i łatwego dostępu do przechowywanych informacji. Nowoczesne bazy danych są wykorzystywane niemal we wszystkich dziedzinach życia — w bankach i instytucjach finansowych, placówkach edukacyjnych, urzędach i innych organizacjach.

Znaczenie ochrony rośnie wraz ze wzrostem ilości danych przechowywanych w bazach, poziomu ich poufności oraz liczby zagrożeń wymierzonych w ich kompromitację.  

Jakie są rodzaje baz danych?

Bazy danych są wykorzystywane w różnych dziedzinach, a ich typy klasyfikuje się według sposobu organizacji informacji.

Relacyjne bazy danych (SQL) to najpopularniejszy typ baz danych. Informacje są w nich przechowywane w postaci tabel (model relacyjny), w których dane są ustrukturyzowane i powiązane ze sobą. Główną zaletą tego typu jest intuicyjna organizacja i łatwość obsługi. Każdy wiersz tabeli to rekord identyfikowany unikalnym kluczem, a kolumny zawierają niezbędne atrybuty. Dzięki temu łatwo budować relacje między danymi.

Nierelacyjne bazy danych (NoSQL) to inny sposób organizacji danych, zapewniający wysoką skalowalność i elastyczność struktury. W odróżnieniu od tradycyjnych systemów relacyjnych bazy nierelacyjne nie ograniczają się do tabel i dają więcej możliwości pracy z dużymi wolumenami danych. Sprawdzają się idealnie w projektach Big Data. 

Obiektowe bazy danych (OODB) przechowują informacje w postaci obiektów, co czyni je szczególnie przydatnymi w programowaniu. 

Grafowe bazy danych budują strukturę informacji na podstawie węzłów i połączeń między nimi (krawędzi), co pozwala skutecznie analizować i przedstawiać złożone relacje między obiektami. Takie podejście jest wygodne przy przetwarzaniu danych o wielu wzajemnych powiązaniach.

Dlaczego bezpieczeństwo baz danych jest ważne?

Bazy danych przechowują krytyczne i wrażliwe informacje firmy (finansowe, osobowe, bankowe, biznesowe itp.). To nie jest zwykły zbiór danych, lecz kompletny zestaw aktywów informacyjnych, którymi dysponuje firma i które bezpośrednio wpływają na jej efektywność, konkurencyjność oraz przetrwanie. Naruszenie bezpieczeństwa bazy danych może oznaczać dla firmy straty finansowe i szkody wizerunkowe. 

Nowoczesne cyberzagrożenia w dużej mierze koncentrują się na tej wartości i wykorzystują każdą okazję do przeniknięcia przez perymetr bezpieczeństwa przedsiębiorstwa.  

Zadania baz danych i ich zależność od bezpieczeństwa informacji

Jakie zadania realizują bazy danych? Można wskazać kilka najważniejszych:

• zapewnienie poufności. Bazy danych chronią informacje istotne dla przedsiębiorstwa przed szkodliwym działaniem osób nieprzyjaznych;

• zapewnienie integralności informacji. Bazy danych, jako unikalny sposób przechowywania informacji, gwarantują jednocześnie integralność danych i powiązań między nimi, a także uporządkowane przechowywanie zapisów; 

• zapewnienie terminowego dostępu do przechowywanego zbioru danych. Bazy danych są otwarte dla uprawnionych użytkowników w dowolnym momencie, o ile warunki korzystania nie stanowią inaczej;

• zapewnienie weryfikacji tożsamości użytkownika poprzez uwierzytelnianie i autoryzację;

• zapewnienie rejestrowania zdarzeń i audytu aktywności użytkowników w systemie, aby wykrywać potencjalne zagrożenia i im zapobiegać.

Rzetelność i niezawodność realizacji tych zadań zależy bezpośrednio od bezpieczeństwa bazy danych, dlatego tak ważne jest stworzenie optymalnych warunków korzystania z tego rodzaju magazynu informacji.  

Zagrożenia dla bezpieczeństwa baz danych

Ponieważ bazy danych mają bardzo szerokie zastosowanie, główne zagrożenia dla ich bezpieczeństwa są równie różnorodne i obejmują wiele typowych problemów bezpieczeństwa informacji. Przyjrzyjmy się im bliżej.

• Rozproszone ataki odmowy usługi (DDoS)

To masowe próby uzyskania dostępu i autoryzacji użytkowników w systemie, których celem jest przeciążenie serwerów bazy danych i odmowa obsługi wszystkim klientom bez wyjątku, łącznie z uprawnionymi.

• Wstrzyknięcia SQL

To metoda włamywania się do stron internetowych i programów opartych na bazach danych. Oszuści wprowadzają złośliwy kod SQL, który wykonuje z góry określone polecenia, na przykład śledzi ruch albo przechwytuje dane poufne.

• Nieuprawniony dostęp 

Jedno z głównych zagrożeń, które może pochodzić zarówno z wewnętrznych obwodów bezpieczeństwa, jak i z obiektów zewnętrznych. Atakujący, przejmując autoryzację, uzyskuje dostęp do danych poufnych przechowywanych w bazie i może wykonać na nich dowolne operacje.

• Zagrożenia wewnętrzne wynikające z nieostrożności

Pracownicy lub inni użytkownicy wewnętrzni mogą przypadkowo albo celowo uszkodzić informacje w bazie danych. Ten rodzaj naruszeń wymaga stałego monitorowania, ponieważ tacy użytkownicy są już uwierzytelnieni i nie muszą przełamywać perymetru bezpieczeństwa przedsiębiorstwa.

• Złośliwe oprogramowanie i wirusy 

Działanie złośliwego oprogramowania i wirusów może mieć poważne konsekwencje dla biznesu: zaszyfrowanie, modyfikację, zablokowanie dostępu, usunięcie lub rozpowszechnienie danych przechowywanych w bazie.  

Ogólne zasady zarządzania bezpieczeństwem baz danych

Biorąc pod uwagę istniejące ryzyka, w zarządzaniu bezpieczeństwem baz danych należy stosować przede wszystkim minimalizowanie uprawnień dostępu do informacji, szyfrowanie danych, monitorowanie aktywności sieciowej, regularne aktualizowanie oprogramowania oraz tworzenie kopii zapasowych.

Minimalizowanie uprawnień zapewnia pierwszy poziom bezpieczeństwa bazy danych: ogranicza krąg osób zaufanych i rozdziela ich role w bazie. Można wyróżnić kilka odrębnych ról:

• administrator systemu zarządzania bazą danych (SZBD);

• administrator bazy danych;

• administrator bezpieczeństwa;

• użytkownik.

Administrator SZBD to specjalista zarządzający oprogramowaniem służącym do tworzenia i modyfikowania zapytań do bazy danych oraz zarządzania nimi. Do jego głównych obowiązków należą instalacja i konfiguracja SZBD, monitorowanie systemu, optymalizacja zapytań, tworzenie kopii zapasowych i odtwarzanie danych oraz inne zadania. Ma on niezbędne uprawnienia do ich wykonywania.

Administrator bazy danych może mieć szeroki zakres zadań związanych z zarządzaniem samymi danymi, ich strukturą i wykorzystaniem. Odpowiada za projektowanie bazy danych, zapewnienie jej integralności, zarządzanie tabelami, indeksowaniem i kluczami w celu poprawy wydajności. Do jego obowiązków należy również obsługa zapytań i raportowania. 

Administrator cyberbezpieczeństwa również odpowiada za bazy danych w ramach ogólnego bezpieczeństwa firmy. Może wdrażać dodatkowe poziomy ochrony, takie jak uwierzytelnianie dwuskładnikowe dla administratorów i użytkowników, a także monitorować aktywność w systemie.

Użytkownik to zwykły pracownik firmy, który ma dostęp do bazy danych wyłącznie w zakresie swoich obowiązków służbowych.

Każda rola związana z zarządzaniem bazą danych ma własną specyfikę i ograniczenia w zakresie poziomu dostępu oraz korzystania z uprawnień.

Rola szyfrowania danych w bazach danych

Szyfrowanie danych to kluczowa metoda ochrony baz danych przed nieuprawnionym dostępem i cyberatakami. Polega na przekształceniu danych w postać zaszyfrowaną przy użyciu algorytmów takich jak symetryczny AES, asymetryczny RSA czy funkcje skrótu SHA. Odszyfrować dane i uzyskać do nich dostęp może wyłącznie posiadacz odpowiedniego klucza. Szyfrowanie stosuje się zarówno przy przechowywaniu (na serwerach i nośnikach zewnętrznych), jak i przy przesyłaniu informacji między klientem a serwerem lub między serwerami. Na poziomie aplikacji szyfrowanie może się odbywać jeszcze przed zapisaniem danych w bazie.

Szyfrowanie obejmuje również zarządzanie kluczami kryptograficznymi (np. za pomocą usług takich jak HashiCorp Vault, AWS KMS czy Azure Key Vault), które zapewniają bezpieczne przechowywanie kluczy i zarządzanie dostępem do nich. W bazach danych technologia szyfrowania jest często zintegrowana na poziomie SZBD i działa automatycznie, szyfrując i odszyfrowując dane przy minimalnym wpływie na wydajność systemu. Ma to szczególne znaczenie dla ochrony danych w spoczynku, ponieważ nie wymaga istotnych zmian w architekturze przechowywania.

Szyfrowanie kopii zapasowych to obowiązkowy środek bezpieczeństwa. Jeśli kopie trafią w niepowołane ręce, atakujący uzyskają dostęp do danych. Dlatego administratorzy zwykle je szyfrują.

Monitorowanie aktywności użytkowników

Monitorowanie aktywności użytkowników polega na ciągłym śledzeniu działań pracowników i procesów związanych z bazą danych, aby wychwycić podejrzaną aktywność. Może to obejmować wykrywanie nieuprawnionego dostępu, przekazywania danych logowania czy wycieków informacji z bazy danych.

Zapewnia stałą obserwację operacji na bazie danych wykonywanych przez pracowników, użytkowników i procesy, aby wykryć nietypową aktywność, która może się przejawiać w nieuprawnionym dostępie, przekazywaniu loginu i hasła do autoryzacji albo rozpowszechnianiu informacji z bazy danych.

Do monitorowania aktywności użytkowników możesz wykorzystać system Anexet DLP. Zapewnia on przejrzystość cyfrowej aktywności pracowników i blokuje rozpowszechnianie danych poufnych.

Regularne aktualizacje oprogramowania

Zapewniają terminowe usuwanie podatności dzięki instalowaniu aktualizacji od dostawcy oprogramowania, które eliminują wykryte problemy bezpieczeństwa. Administrator bezpieczeństwa informacji może śledzić aktualizacje ręcznie, w miarę udostępniania nowych wersji przez producentów, albo opracować specjalny harmonogram i konsekwentnie go przestrzegać.

Kopie zapasowe

Jedno z najskuteczniejszych narzędzi ograniczania skutków naruszeń bezpieczeństwa, zwłaszcza w odniesieniu do ochrony baz danych. Kopie zapasowe gwarantują, że dane w bazie pozostaną nienaruszone w razie ataku.  

Oprogramowanie i usługi do ochrony baz danych

Istnieją różne wyspecjalizowane programy i usługi, które pomagają chronić bazy danych:

• Wbudowane mechanizmy bezpieczeństwa SZBD. Pozwalają włączyć wbudowane funkcje ochrony, takie jak szyfrowanie i kontrola dostępu, oferowane przez nowoczesne systemy zarządzania bazami danych (np. Oracle, Microsoft SQL Server);

• Systemy wykrywania włamań (IDS/IPS). Analizują ruch pod kątem podejrzanej aktywności i zapobiegają potencjalnym atakom;

• Monitorowanie baz danych (DAM). Wyspecjalizowane narzędzia śledzące wszystkie operacje w bazie danych w celu wykrycia zagrożeń;

• Zapora dla baz danych. Chroni bazy danych przed nieuprawnionymi atakami sieciowymi;

• Systemy DLP do monitorowania aktywności użytkowników baz danych i zapobiegania rozpowszechnianiu poufnych informacji z baz danych. 

Metody uwierzytelniania w bazach danych

Uwierzytelnianie to proces weryfikacji tożsamości użytkownika przed udzieleniem dostępu do bazy danych. W przypadku baz danych ma ono szczególne znaczenie, ponieważ zapewnia rozgraniczenie i precyzję w przyznawaniu dostępu zgodnie z rolami przyjętymi w przedsiębiorstwie. Najpopularniejsze metody to:

• stosowanie haseł dostępu. Zapewnia podstawową ochronę na poziomie pierwszego wejścia do bazy danych, po wpisaniu poprawnego loginu i hasła użytkownika;

• uwierzytelnianie dwuskładnikowe. Polega na dodaniu kolejnego kroku (składnika) uwierzytelniania, czyli na potwierdzeniu tożsamości użytkownika, który podał już poprawny login i hasło. Dodatkowym składnikiem może być hasło jednorazowe, wiadomość wysłana na urządzenie mobilne albo identyfikacja biometryczna;

• stosowanie protokołów uwierzytelniania użytkowników i usług za pośrednictwem zaufanych serwerów. Często stosuje się je w sieciach korporacyjnych. Działają jak swego rodzaju router, bezpieczna brama między internetem a użytkownikami;

• uwierzytelnianie w bazie danych za pomocą tokenów. Służy do uzyskiwania dostępu do bazy danych przy użyciu tymczasowych tokenów cyfrowych generowanych przez serwer. Taki token to unikalny klucz wygenerowany przez system i przekazany użytkownikowi w celu dostępu do chronionych zasobów. Użytkownik otrzymuje token od usługi lub aplikacji i może uwierzytelnić się w bazie danych bez loginu i hasła. Okres ważności tokenu jest jednak ograniczony, w odróżnieniu od hasła i loginu.

Jak działa uwierzytelnianie tokenowe:

• żądanie uwierzytelnienia;

• wprowadzenie danych logowania (nazwy użytkownika i hasła) do systemu;

• generowanie tokenu;

• zakodowanie danych użytkownika i przedstawienie ich w postaci tokenu, który serwer podpisuje kluczem kryptograficznym, aby nie dało się go podrobić;

• użycie tokenu;

• wejście do bazy danych i uzyskanie dostępu;

• czas życia tokenu;

• ograniczony czas życia, aby zminimalizować ryzyko nadużycia w razie kompromitacji.

Metody audytu baz danych

Po co przeprowadzać audyty baz danych? Ten proces, podobnie jak audyt systemu bezpieczeństwa i procesów biznesowych, ma kluczowe znaczenie dla bezpieczeństwa informacji. Polega na analizie operacji na danych i sprawdzeniu, czy były autoryzowane. W razie wykrycia rozbieżności między uprawnieniami a wykonanymi operacjami można zablokować konto, objąć działania monitorowaniem i przeanalizować przyczyny naruszenia. 

Do głównych metod audytu bezpieczeństwa baz danych należą:

• rejestrowanie transakcji. Zapisywanie wszystkich operacji związanych z dostępem do danych, co pozwala śledzić historię zmian, a w razie awarii przywrócić wersję sprzed niepożądanego zdarzenia;

• monitorowanie działań użytkowników i analiza nietypowej aktywności. Śledzenie aktywności użytkowników, w tym autoryzacji, zmian danych i nieuprawnionych prób dostępu do bazy danych. Na tym etapie warto sięgnąć po system DLP;

• okresowe kontrole systemów ochrony informacji w bazach danych. Regularna analiza systemów bezpieczeństwa, ich aktualności i poprawności zapewni terminowe wykrywanie oraz usuwanie podatności.

Podsumowanie

Bezpieczeństwo informacji w bazach danych to złożony proces, który wymaga kompleksowego podejścia. Zagrożenia rozwijają się wraz z technologiami, dlatego firmy muszą wdrażać skuteczne środki ochrony swoich danych. Od solidnego uwierzytelniania i szyfrowania po regularne audyty: każdy z tych elementów pomaga utrzymać wysoki poziom ochrony i zapobiegać wyciekom, które mogą poważnie zaszkodzić zarówno użytkownikom, jak i firmom.

W praktyce wycieki informacji poufnych w organizacjach najczęściej następują z winy samych pracowników. Naruszenia bywają nieumyślne — wynikają z niedbalstwa, niewystarczającej świadomości lub lekceważenia zasad bezpieczeństwa informacji — albo całkowicie świadome, motywowane chęcią zysku lub złymi zamiarami. Choć nieuprawnione przekazanie danych przez nieuwagę może wydawać się błahe, takie incydenty często mają poważne konsekwencje: od bezpośrednich strat finansowych po utratę reputacji firmy.

Największe zagrożenie stanowią celowe wycieki związane ze szpiegostwem przemysłowym ze strony konkurencji. Jeśli fakt naruszenia stanie się publicznie znany, organizacja musi liczyć się z kryzysem zaufania klientów, inwestorów i partnerów biznesowych. Szczególnie istotne jest to, że informacje wewnętrzne — bazy klientów, inicjatywy strategiczne czy dane o prowadzonych pracach rozwojowych — mają często większą wartość niż majątek materialny firmy.

Jak wynika z analiz, konkurenci szukają przede wszystkim dostępu do najbardziej wrażliwych kategorii informacji, które mogą dać im przewagę rynkową. Na podstawie analizy incydentów zarejestrowanych przez środki kontroli (w szczególności z wykorzystaniem systemów DLP) można wskazać pięć kategorii danych, którymi najbardziej interesują się podmioty zewnętrzne.

Zgodnie z wynikami analizy przeprowadzonej przez specjalistów centrum analitycznego Anexet (twórcy systemu DLP Anexet Ultimate) największym zainteresowaniem konkurencji cieszą się następujące informacje:

• baza klientów i informacje o transakcjach — 42% wszystkich zarejestrowanych prób pozyskania informacji. Szczególnie cenne są dane o potencjalnych klientach i trwających negocjacjach handlowych;
  
  

• plany strategiczne i inicjatywy innowacyjne — 23% prób dotyczy zdobycia informacji o planach wejścia na nowe rynki, wprowadzenia nowych produktów i rozwoju nowych kierunków działalności;
  
  

• dane osobowe pracowników — 17% przypadków wiąże się z zainteresowaniem warunkami pracy, poziomem wynagrodzeń i systemami premiowymi. Często takie działania mają na celu podkupienie kluczowych specjalistów;
  
  

• własność intelektualna i poufne prace rozwojowe — 11% incydentów to próby uzyskania dostępu do opracowywanych algorytmów, kodu programów, dokumentacji inżynierskiej i innych krytycznych rozwiązań;
  
  

• informacje kompromitujące (o naruszeniach, błędach, niepowodzeniach) — w 7% przypadków przedmiotem zainteresowania są wewnętrzne naruszenia prawa, incydenty lub procesy wewnętrzne, które można wykorzystać do wywierania nacisku lub szantażu.

Informacje interesujące podmioty zewnętrzne obejmują zatem szeroki zakres obszarów: od danych klientów po projekty inżynierskie i informacje kadrowe. Potwierdza to konieczność wdrażania kompleksowych systemów bezpieczeństwa informacji, w tym rozwiązań DLP, aby zapobiegać wyciekom i szybko reagować na potencjalne incydenty.

Trochę statystyk

Rok 2022 był początkiem światowej rewolucji sztucznej inteligencji, która przybrała na sile wraz z pojawieniem się ChatGPT od OpenAI. Oszuści szybko zorientowali się, że dostali niemal nieograniczone narzędzie do analizowania i filtrowania informacji. Efektem są ataki phishingowe bardziej wyrafinowane i lepiej ukierunkowane niż kiedykolwiek wcześniej. Algorytmy sztucznej inteligencji służą do analizy i profilowania danych, wykrywania i wykorzystywania podatności oraz opracowywania technik omijania zabezpieczeń.

Od 2020 roku aktywność phishingowa i oszukańcza wzrosła o niemal 95%, a systemy bezpieczeństwa wykrywają blisko 2 miliony fałszywych witryn miesięcznie. Znaczna część tego wzrostu to zasługa sztucznej inteligencji. W blisko 20 krajach odnotowano rekordowy wzrost aktywności phishingowej. Rejestracja nowych domen phishingowych przeżywa tam prawdziwy boom, a trend ten najczęściej pokrywa się z ogólną dynamiką wzrostu tego rodzaju oszustw w danym kraju.

Dziesięć krajów z największą liczbą domen phishingowych to Stany Zjednoczone (4,89 mln rejestracji), Niemcy (1,153 mln rejestracji), Kanada (0,498 mln rejestracji), Rosja (0,414 mln rejestracji) i Wielka Brytania (0,3 mln rejestracji). Holandia, Francja, Australia, Chiny i Singapur zajmują odpowiednio miejsca od 6. do 10.

Kluczowe trendy w phishingu w 2025 roku

Ukierunkowane ataki na instytucje dysponujące dużymi zbiorami informacji wrażliwych (banki, sektor finansowy, startupy, firmy technologiczne, przedstawiciele biznesu).

Podszywanie się witryn phishingowych pod znane marki. Ponad 6,000 takich przypadków odnotowano w 2023 roku, a ponad 100 marek zostało dotkniętych tą działalnością.

Święta to ulubiony czas oszustów phishingowych. Ludzie chętnie wydają pieniądze, nastawiają się na przyjemności i są rozluźnieni, co odbija się na ich czujności.

Hakerzy śledzą kryzysy społeczne i gospodarcze, a swoje strategie budują wokół tych gorących tematów.

O ile w 2023 roku napastnicy wykorzystywali modele GPT głównie do tworzenia złośliwego oprogramowania i wiadomości phishingowych oraz do oszukiwania użytkowników, o tyle do 2025 roku skala i poziom automatyzacji ataków wyraźnie wzrosły.

W latach 2024-2025 wyspecjalizowane narzędzia oparte na różnych modelach LLM (dużych modelach językowych), w tym GPT-4/4.5, Claude od Anthropic, Gemini od Google i Mistral — służące do tworzenia oprogramowania szpiegowskiego, generowania scenariuszy socjotechnicznych i automatyzacji ataków na API — zaczęły masowo pojawiać się na podziemnych forach. Część modeli jest przystosowana do omijania systemów antyfraudowych, prowadzenia realistycznych dialogów, podrabiania dokumentów i zbierania informacji ze źródeł publicznych.

Osobne narzędzia pozwalają hakerom „trenować” modele na skradzionej korespondencji lub danych korporacyjnych, dzięki czemu ataki stają się jeszcze bardziej ukierunkowane i groźne.

Do 2025 roku sztuczna inteligencja stała się kluczowym, a nie tylko pomocniczym elementem arsenału cyberprzestępców. Przeciwdziałanie takim zagrożeniom wymaga rozwoju wyspecjalizowanych rozwiązań wykrywających i blokujących złośliwe treści generowane przez AI, a także ściślejszej kontroli dostępu do zaawansowanych modeli językowych.

Według danych za lata 2024-2025 aktywnie wykorzystywane są Cloudflare, Amazon Web Services (AWS), Google Cloud, Microsoft Azure, a także SEDO GmbH, Namecheap, Unified Layer, DDOS-GUARD i inne. Liczba złośliwych zasobów hostowanych za pośrednictwem tych usług idzie w miliony. Przestępcy wykorzystują łatwość rejestracji, wysoką niezawodność oraz zaufanie do tych marek, co utrudnia wykrywanie zagrożeń.

Napastnicy nadal korzystają z popularnych i zaufanych stref domenowych, takich jak .com, .org, .net, a także z wariantów krajowych i quasi-cyrylickich, takich jak .ru, .ру, .рф. Now.e domeny najwyższego poziomu (TLD), takie jak .app, .xyz, .online i .zip są wykorzystywane coraz częściej, zwłaszcza w kampaniach phishingowych i malvertisingowych.

Eksperci podkreślają, że sama przynależność witryny do znanej domeny czy hostingu nie gwarantuje już bezpieczeństwa. Phishingowe i złośliwe odnośniki coraz częściej udają legalne zasoby, w tym subdomeny i lustrzane kopie prawdziwych marek. Nawet jeśli link wygląda znajomo, nie trać czujności. Skuteczną formą ochrony pozostają rozszerzenia sprawdzające reputację witryny oraz rozwiązania antywirusowe z funkcją analizy adresów URL.

W ostatnich latach rosną w siłę ataki oparte na podszywaniu się, w których cyberprzestępcy wykorzystują zaufanie do konkretnych osób i ich autorytet, żeby wyłudzić dostęp do wrażliwych informacji lub środków. Bywa to zarówno posługiwanie się wizerunkiem znanych postaci (na przykład Elona Muska), jak i ukierunkowany phishing wymierzony w firmy (podszywanie się pod korespondencję z kierownictwem, top menedżerami i analitykami, pod regulatorów i tak dalej):

• ataki będą jeszcze bardziej ukierunkowane i dopasowane do osobistych potrzeb każdej ofiary dzięki temu, że sztuczna inteligencja potrafi ocenić Twój cyfrowy ślad w sieci. Zyskasz poczucie wyjątkowości oferty, a ukierunkowana presja i granie na Twoich bolączkach sprawią, że będziesz się spieszyć i stracisz czujność, co jest na rękę oszustom;

• deepfake. Wiele osób widziało nagrania o zdumiewającej jakości i wiarygodności, przygotowane w technologii deepfake. Kampanie phishingowe już po nią sięgają, żeby wypaść jak najbardziej realistycznie i przekonująco. Można podrobić głos, nagranie wideo i zdobyć zaufanie potencjalnej ofiary;

• ataki na łańcuch dostaw. Napastnicy coraz częściej biorą na cel zewnętrznych dostawców i partnerów, żeby dostać się do sieci organizacji. Dlatego kluczowe jest, by firmy zabezpieczały cały łańcuch dostaw i weryfikowały nawet wieloletnie kontakty;

• smishing i vishing. Nowe odmiany phishingu: smishing i vishing. Oszuści nie ograniczają się już do standardowych wysyłek. Dzwonią (vishing) i wysyłają SMS-y (smishing). Zapewne zdarzyło Ci się już odebrać taki telefon, bo to obecnie najgorętszy trend na świecie;

• wykorzystanie popularnych sieci społecznościowych. Częstym źródłem zagrożeń są serwisy społecznościowe. Szczególną popularnością cieszą się Telegram, WhatsApp i Snapchat, ponieważ wiele oficjalnych firm komunikuje się tam z klientami.

Jakich podstawowych zasad ochrony przed phishingiem warto przestrzegać?

Istnieją podstawowe zasady bezpieczeństwa cyfrowego, które sprawdzają się także w przypadku phishingu. Żeby nie paść ofiarą oszustów, trzeba:

• sprawdzać adresy URL odwiedzanych witryn. Różnica choćby 1 litery to powód, żeby zrezygnować z wejścia. Właśnie na tym opiera się phishing – na Twojej nieuwadze;

• nie otwierać podejrzanych załączników z wiadomości e-mail, nawet jeśli przyszły od znanego kontaktu. W razie wątpliwości lepiej potwierdzić innym kanałem, czy wiadomość faktycznie pochodzi od znanej osoby. Konto mogło przecież zostać zwyczajnie przejęte.

Wyloguj się ze wszystkich urządzeń w aplikacji, jeśli zauważysz podejrzaną aktywność na swoim koncie. Zaktualizuj ustawienia bezpieczeństwa.

Nie ignoruj zalecanych aktualizacji oprogramowania, bo one także chronią przed cyberzagrożeniami.

Nie korzystaj z publicznych sieci Wi-Fi, zwłaszcza łącząc się z aplikacjami zawierającymi wrażliwe informacje (bankowość internetowa, portfel kryptowalutowy, serwis płatniczy).

Chroń swoje konta uwierzytelnianiem dwuskładnikowym. To najprostsze i najskuteczniejsze dostępne narzędzie antyphishingowe.

Anexet ostrzega: problem phishingu nie jest tak ulotny i błahy, jak mogłoby się na pierwszy rzut oka wydawać. Dla oszustów to prawdziwe eldorado, które skwapliwie wykorzystują. Zachowaj czujność i zabezpiecz swoje dane najlepiej, jak potrafisz.

Czym jest atak DoS? To celowa ingerencja w działanie usługi internetowej, która ma doprowadzić do awarii i uniemożliwić prawidłową obsługę napływającego w danym momencie ruchu. W praktyce wygląda to tak: ktoś sztucznie zwiększa ruch kierowany na stronę, aplikację lub portal, co kończy się całkowitym unieruchomieniem albo częściowym zablokowaniem atakowanego obiektu.

Jak przebiega to w praktyce? Zasoby w internecie mają ograniczoną liczbę jednoczesnych odwiedzin, powiedzmy 1000-2000 użytkowników naraz. Hakerzy stosujący ataki DoS generują wzmożony ruch przychodzący i zwiększają liczbę wejść dziesiątki albo setki razy. Cierpi na tym atakowany obiekt: przestaje działać lub obsługuje tylko część docelowych zapytań, co odbija się na jakości i liczbie sprzedaży.

Cele ataków DoS i DDoS

Zwykle przestępcy realizują jeden lub kilka celów ataku DoS:

Powodem takich ataków bywa nieuczciwa konkurencja, chęć czasowego wyeliminowania obiecującego projektu z gry, atak hakerski, motywy polityczne lub ideologiczne, sprzeciw wobec treści publikowanych w serwisie, maskowanie większego włamania do systemu bezpieczeństwa czy odwrócenie uwagi służb bezpieczeństwa informacji od głównego problemu.

Ofiarami ataków DDoS padają najczęściej serwery WWW znanych organizacji: banków, firm handlowych i medialnych, instytucji państwowych i organizacji branżowych, oficjalnych stron znanych osób ze świata mediów i ekspertów i tak dalej.

Historia i statystyki

Co zaskakujące, pierwszy atak DDoS odnotowano już w 1974 roku, a jego autorem był trzynastolatek ze Stanów Zjednoczonych. David Dennis odkrył ciekawą zależność: komputery na Uniwersytecie Illinois można było zawiesić określonym poleceniem. Wypróbował swoje odkrycie na 31 uczelnianych komputerach, które w efekcie przestały działać na pewien czas.

Kolejna ciekawostka: atak typu odmowa usługi może trwać bardzo długo. Utrzymanie stałego obciążenia i nieprzerwanego działania wymaga oczywiście dużych zasobów, ale jeśli wyeliminowanie konkurenta z gry na dobę lub dłużej jest tego warte – konkurencyjne firmy potrafią się na to zdecydować. Nic więc dziwnego, że najdłuższe ataki DoS przekroczyły odpowiednio 329 i 509 godzin, czyli ponad 13 i ponad 21 dni. To naprawdę sporo.

Przy okazji możesz śledzić przepływ ataków DDoS na świecie i ich rozkład regionalny w czasie rzeczywistym. Jak widać, większość źródeł znajduje się w gęsto zaludnionych, rozwiniętych ośrodkach. Liczba ataków wysyłanych w jednej chwili sięga 4,785,000.

Czym różni się atak DoS od ataku DDoS?

DDoS, czyli "Distributed Denial of Service attack" (rozproszony atak odmowy usługi), to podkategoria ogólniejszego pojęcia DoS, "Denial of Service attack". W ataku DoS haker wykorzystuje jedno połączenie z siecią i za jego pomocą zasypuje cel zapytaniami. Ataki DDoS zmieniają skalę: korzystają z tysięcy, a nawet milionów podłączonych urządzeń, często połączonych w sieć (botnety).

Skuteczność DoS jest obecnie wyjątkowo niska. Ten rodzaj ataku działa na prostej, liniowej zasadzie 1:1 – jedno źródło zagrożenia i jedna ofiara. Poza tym pojedynczy atak łatwo zauważyć po zawartości pliku dziennika i adresie IP, a zapora sieciowa bez trudu go zablokuje. Dlatego w ostatnim czasie popularniejsze stały się masowe ataki DDoS z użyciem botnetów. Jak one działają?

Botnety

Botnety to podstawowy sposób przeprowadzania rozproszonych ataków DDoS. Atakujący tworzy kontrolowaną sieć peer-to-peer złożoną z urządzeń, które przeprowadzają złośliwe ataki DDoS na ofiarę. Liczba takich maszyn bywa różna: od kilkudziesięciu do setek tysięcy. Wszystko zależy od skali kampanii. Na przejętym komputerze instalowany jest fragment złośliwego kodu lub złośliwe oprogramowanie zwane botem. Zainfekowane komputery tworzą razem sieć nazywaną botnetem. Następnie atakujący nakazuje botnetowi jednoczesne logowanie się do urządzenia lub serwera ofiary. Oznacza to, że w tym samym momencie wysyłana jest ogromna liczba żądań połączenia, znacznie przekraczająca możliwości ich obsługi. To jak atak wszystkich pszczół naraz (zobacz schemat poniżej).

Najpopularniejsze botnety to dziś: Storm, Zeus, Mariposa, Bredolab, Sality, Fast Flux i inne. Na tej stronie zobaczysz rozkład globalnych źródeł botnetów w czasie rzeczywistym.

Koszt ataków DDoS w 2025 roku

Usługę botnetu można kupić stosunkowo łatwo nie tylko w darknecie, lecz także w zwykłej sieci. W zależności od zamówionej mocy koszt usługi zaczyna się od $50 i sięga kilkudziesięciu tysięcy. Nietrudno więc wykorzystać to narzędzie jako oręż nieuczciwej konkurencji. Jednocześnie podczas ataku DDoS każda minuta przestoju małej lub średniej firmy oznacza straty, które mogą sięgać kilkudziesięciu tysięcy dolarów (w zależności od wielkości firmy), a przywrócenie usług i działalności po ataku kosztuje średnio $70,000-120,000.

W 2025 roku ataki DDoS na poziomie aplikacji wyrządziły branżom internetowym więcej szkód niż jakikolwiek inny rodzaj ataku: o 131% więcej niż w poprzednim kwartale (i o 300% rok do roku).

Objawy ataku i sposoby jego rozpoznania

Ataki DDoS nie mają wyraźnych objawów, po których od razu można powiedzieć: "Popatrz, mamy atak DDoS". Zwykle spada szybkość ładowania usługi, witryna zwraca błąd 502,503,504 albo w ogóle nie da się jej wyświetlić, rośnie liczba spamu, pojawiają się nietypowe treści, zwiększa się liczba jednoczesnych odwołań użytkowników do tych samych zasobów serwisu, występują problemy z połączeniem internetowym, pojawiają się przypadkowi odwiedzający i rozmowy na oderwane tematy i tak dalej. Warto też obserwować wielkość ruchu na portach połączeniowych oraz zmiany obciążenia pamięci RAM i procesora, które rosną wielokrotnie.

Objawy są niejednoznaczne i nie zawsze w 100% oznaczają atak na Twoją witrynę, sieć czy aplikację. Jeśli jednak się pojawiają, warto pomyśleć o zabezpieczeniach.

Jak radzić sobie z DoS i DDoS?

Zetknięcie się z takim zagrożeniem wymaga oczywiście obrony. Przed atakami DoS i DDoS można zadbać o bezpieczeństwo informacji na kilka sposobów:

Korzystaj z systemów monitorowania ruchu sieciowego

Zapewnią one kontrolę źródeł ruchu i wychwycą nietypowe skoki w sieci.

Zapory sieciowe

Zapora sieciowa to serwer reverse proxy instalowany fizycznie między internetem a serwerami firmy. Po instalacji stosuje wobec całego ruchu przychodzącego zestaw reguł ustalonych wcześniej przez administratora. Każde zdarzenie, które nie spełnia tych wymagań, jest automatycznie odrzucane.

Audyt systemów bezpieczeństwa i ewentualne zamówienie ataku DDoS u etycznego hakera

Organizacje powinny regularnie przeprowadzać ocenę ryzyka oraz audyt swoich urządzeń, serwerów i sieci. Warto okresowo testować czas odpowiedzi witryny, aby wiedzieć, co jest dla niej normą, a co już ją przekracza i może być skutkiem ataku. Przydaje się też zaangażowanie etycznego hakera, który przeprowadzi atak na witrynę w najmniej spodziewanym momencie i wskaże słabe punkty zabezpieczeń.

Korzystaj ze sztucznej inteligencji i wyspecjalizowanego oprogramowania

Narzędzia sztucznej inteligencji są znacznie bardziej elastyczne niż zwykłe oprogramowanie, ponieważ potrafią się uczyć i działać na podstawie najświeższych danych. W walce z DDoS wykorzystuje się również sieci neuronowe, więc sprawdź dostępne rozwiązania. Nie lekceważ też oprogramowania i usług wsparcia wyspecjalizowanych w obronie przed tego rodzaju atakami. Najbardziej znanym przykładem jest tu chyba Cloudflare.

Routing do czarnej dziury

Inną formą ochrony jest routing do czarnej dziury, w którym administrator sieci (lub dostawca internetu danej organizacji) tworzy trasę prowadzącą do czarnej dziury i kieruje tam ruch. Przy tej strategii cały ruch, zarówno dobry, jak i zły, trafia na trasę zerową i zostaje skutecznie usunięty z sieci. Bywa to dość radykalne rozwiązanie, ponieważ zatrzymywany jest również ruch uprawniony, co może oznaczać utratę części biznesu.

 

W 2025 roku pracownik działu bezpieczeństwa informacji z pewnością nie będzie narzekał na brak pracy: pojawiają się nowe zagrożenia, nasilają się ataki na firmy, trwa cyfrowe polowanie na dane. Informacja jest dziś takim samym aktywem jak dobra materialne i stała się równie pożądana. A między hakerem a firmą stoi tylko jedna bariera – specjalista ds. cyberbezpieczeństwa. Jakie problemy są najbardziej palące? Co spędza sen z powiek specjaliście ds. cyberbezpieczeństwa? O tym właśnie opowiadamy w dzisiejszym artykule.

Trochę statystyki

W 2025 roku łączna ilość danych całej ludzkości osiągnie ogromną wartość 175 zettabajtów (to znaczy, że po liczbie 175 trzeba dopisać jeszcze 21 zer!). To rekord wszech czasów i ogromne pole do popisu dla oszustów. W 2023 roku straty spowodowane cyberprzestępczością sięgnęły na świecie 8 bilionów dolarów, a do 2025 roku mogą dojść do 10,5 biliona.

Liczbę cyberataków na firmy, konsumentów i instytucje państwowe trudno oszacować, ponieważ nie wszystkie incydenty są zgłaszane. Eksperci doszli do wniosku, że mniej więcej co 39 sekund na świecie dochodzi do cyberataku. A do 2031 roku wskaźnik ten jeszcze wzrośnie: mniej więcej co 2 sekundy.

Krótko mówiąc – pracy w cyberbezpieczeństwie nigdy nie zabraknie.

Top 5 problemów

Ataki na łańcuch dostaw oprogramowania

Chyba żaden trend w cyberbezpieczeństwie ostatnich lat nie okazał się poważniejszy niż fala ataków na łańcuch dostaw oprogramowania. Jak to działa? Przestępcy uzyskują dostęp do systemu nie bezpośrednio, lecz poprzez atak na dostawcę oprogramowania, z którego korzysta organizacja. Służy do tego kompromitacja aktualizacji, podrabianie certyfikatów do podpisywania kodu, wstrzykiwanie fragmentów złośliwego kodu do oprogramowania, wykorzystanie preinstalowanego na urządzeniach złośliwego oprogramowania i tak dalej. Najgłośniejszy przypadek ostatnich lat w świecie open source: włamanie do dostawcy oprogramowania, dzięki któremu przestępcy przeniknęli do setek firm w USA i uzyskali dostęp do 4/5 najbogatszych przedsiębiorstw z listy Fortune 500, w tym Apple, Walmart czy Amazon.

Eksperci przewidują, że sytuacja będzie się tylko komplikować i do 2025 roku 45% organizacji na świecie w taki czy inny sposób odczuje skutki ataków na łańcuch dostaw.

Co specjalista ds. cyberbezpieczeństwa może przeciwstawić takim atakom?

Stosuje się różne metody obrony:

1. wdrożenie znaczników-pułapek wykrywających intruzów, tzw. Honeytoken. Innymi słowy, to fałszywe informacje poufne, których każde użycie sprawia, że specjalista ds. bezpieczeństwa informacji otrzymuje ostrzeżenie o prawdopodobieństwie ataku;
2. wdrożenie bezpiecznego zarządzania dostępem uprzywilejowanym, ponieważ konta o takim statusie są dla przestępców celem priorytetowym;
3. szkolenie pracowników z zasad higieny cyfrowej, przeciwdziałania phishingowi, ukierunkowanej inżynierii społecznej, atakom złośliwego oprogramowania, clickjackingowi i innym zagrożeniom;
4. wdrożenie architektury Zero Trust, która domyślnie traktuje każdą aktywność w sieci jako złośliwą, a dostęp do własności intelektualnej przyznaje wyłącznie po ścisłej weryfikacji przez polityki bezpieczeństwa;
5. ograniczenie dostępu do danych do minimum oraz przeprowadzanie wewnętrznych audytów pracowników oraz dostawców mających dostęp.

Generatywna AI

Kolejnym bolesnym punktem cyberbezpieczeństwa jest wykorzystanie sztucznej inteligencji, a konkretnie generatywnej AI.

Generatywna AI, czyli generatywna sztuczna inteligencja, to stosunkowo nowy rodzaj AI, który pozwala tworzyć niepodobne do niczego innego materiały audio, wideo i zdjęcia. Sztuczna inteligencja nieustannie uczy się nowych rzeczy i można ją zastosować w wielu branżach, zwłaszcza tam, gdzie treści trzeba personalizować, wizualizować i ulepszać. Albo tworzyć nowe materiały promujące jakąś ideę, w tym treści oszukańcze. Już dziś nawet 53% hakerów wykorzystuje w swojej działalności generatywną sztuczną inteligencję.

O rosnącym zagrożeniu opartym na AI świadczy też wzrost liczby wzmianek o słowach „AI” i „GPT” na forach darknetu w 2025 roku. Ponad 800 000 wpisów z tymi słowami świadczy o dużym zainteresowaniu tematem, nawet jeśli żadna kampania cyberprzestępcza nie została dotąd przeprowadzona w całości przez AI. I kluczowe jest tu słowo „dotąd”. Specjalista ds. cyberbezpieczeństwa musi mieć świadomość, że pęd do wdrażania GenAI wyprzedza dziś zdolność branży do zrozumienia zagrożeń, jakie niosą te nowe możliwości.

Do tego cechy generatywnej AI uczyniły z niej najlepsze na świecie źródło deepfake’ów, oferujące niezliczone warianty oszustwa, jeśli tylko ktoś ma na to ochotę. Można stworzyć nagranie wideo lub audio z dowolną wypowiedzią dowolnej znanej osoby albo konkretnego znajomego potencjalnej ofiary. W przypadku firm da się podrobić polecenia przełożonych czy odpowiedzialnych współpracowników.

Jak walczyć z wytworami generatywnej AI? Po pierwsze, zachowaj czujność. Nie wszystkie serwisy generujące treści z pomocą AI robią to bezbłędnie. Po opóźnieniach albo niespójności mimiki, głosu i gestów rozpoznasz, co powstało sztucznie, a co jest naturalne.

Po drugie, istnieje wystarczająco dużo płatnych i bezpłatnych serwisów, które automatycznie weryfikują treści i odpowiadają, gdzie użyto technologii sztucznej inteligencji, a gdzie nie.

„Czynnik ludzki”

Choć może to zaskakiwać, jednym z najgroźniejszych zagrożeń dla bezpieczeństwa informacji są pracownicy firmy. Nawet 70% wszystkich wycieków informacji wynika z celowego lub przypadkowego ujawnienia danych przez pracowników. Może to być zwykła pomyłka w komunikacji online, zaplanowane działanie insidera nastawione na wyciek danych albo „nabranie się” na phishingową sztuczkę. To bez znaczenia. Zagrożenie istnieje i trzeba coś z nim zrobić. Więcej o zagrożeniach wewnętrznych pisaliśmy w naszym poprzednim artykule.

Ransomware

Ransomware to kolejny koszmar specjalisty ds. bezpieczeństwa, bo w praktyce po ataku pozostają tylko dwie opcje: zapłacić albo liczyć na kopię zapasową. Przestępcy tego typu szczególnie chętnie żądają okupu w kryptowalutach. Tym łatwiej im wyjść poza przejrzystość, jaką daje Bitcoin (BTC) i jego blockchain. Cyfrowe pieniądze oferują kilkadziesiąt anonimowych walut, których ruchów między właścicielami nie da się w ogóle prześledzić (jak Monero (XMR), Zcash (ZEC), Dash (DASH) i inne), co bardzo pomaga hakerom, a specjaliście ds. cyberbezpieczeństwa nie pomaga w niczym.

IoT jako zagrożenie dla bezpieczeństwa

Internet rzeczy, czyli IoT, to nie tylko Amazon Echo w twoim domu. Internet rzeczy jest znacznie szerszy i obejmuje inteligentne zamki do drzwi, inteligentne systemy ochrony, zegary, inteligentne czujniki pożarowe, wirtualnych asystentów i wiele więcej. Czym grozi internet rzeczy? Te urządzenia również mogą stać się celem ataku, zwłaszcza jeśli biorą udział w operacjach o znaczeniu krytycznym. Zgodnie z badaniami trzy główne zagrożenia związane z IoT rozkładają się następująco: ataki na urządzenia obsługujące operacje krytyczne (33%), brak wykwalifikowanej kadry zapewniającej bezpieczeństwo informacji obiektów internetu rzeczy (IoT) (32%), ochrona informacji poufnych w internecie rzeczy (31%).

Ból głowy specjalisty ds. cyberbezpieczeństwa sprowadza się więc do prostej zależności: im więcej urządzeń IoT pojawia się w obiegu firmy, tym więcej problemów z bezpieczeństwem.

Oczywiście nie da się ograniczyć  problemów wyłącznie do tej listy. Trzeba dodać jeszcze DDoS ataki, inżynierię społeczną, podatność usług chmurowych, phishing, złośliwe oprogramowanie i wiele innych. Świat staje się coraz bardziej cyfrowy i coraz bardziej zależny od internetu. Ochrona wszystkich tych danych jest sprawą kluczową i właśnie tym zajmuje się specjalista ds. bezpieczeństwa informacji.

Dane osobowe to cenne informacje, które można wykorzystać do bardzo różnych celów, zarówno zgodnych z prawem, jak i bezprawnych. Dlatego tak ważna jest ochrona danych osobowych przed niepożądanym dostępem, kradzieżą, wyciekiem i zniekształceniem. Służą do tego różne środki bezpieczeństwa: na poziomie przepisów, technologii i zachowań.

Rodzaje danych osobowych

Istnieją różne rodzaje danych osobowych, które mogą zainteresować atakujących, na przykład:

• dane biograficzne, takie jak imię, nazwisko, data urodzenia, obywatelstwo, stan cywilny itd.;
• dane kontaktowe, takie jak adres, telefon, e-mail, profile w mediach społecznościowych itd.;
• dane finansowe, takie jak numery rachunków bankowych, numery kart, systemy płatności, zeznania podatkowe itd.;
• dane medyczne, takie jak diagnozy, recepty, wyniki badań, historia choroby itd.;
• dane biometryczne, takie jak odciski palców, siatkówka oka, głos, twarz itd.

Dane osobowe mogą być zbierane, przechowywane, przetwarzane, przekazywane lub usuwane przez różne podmioty, takie jak:

• instytucje państwowe, takie jak urząd skarbowy, urząd paszportowy, policja itd.;
• organizacje komercyjne, takie jak banki, firmy ubezpieczeniowe, sklepy internetowe, agencje reklamowe itd.;
• organizacje non profit, takie jak placówki edukacyjne, placówki medyczne, fundacje charytatywne itd.;
• osoby fizyczne, takie jak pracownicy, klienci, partnerzy, znajomi, krewni itd.

Dane osobowe mogą być narażone na różne zagrożenia, takie jak:

• nieuprawniony dostęp, gdy ktoś uzyskuje dostęp do danych osobowych bez zgody właściciela lub podstawy prawnej;
• kradzież, gdy ktoś przywłaszcza sobie dane osobowe dla korzyści lub w celu wyrządzenia szkody;
• wyciek, gdy dane osobowe trafiają do publicznej wiadomości wskutek błędu, zaniedbania lub złych zamiarów;
• zniekształcenie, gdy dane osobowe zostają zmienione, sfałszowane lub zniszczone.

Dane osobowe mogą być wykorzystywane do różnych celów, zarówno zgodnych z prawem, jak i bezprawnych, na przykład:

• identyfikacja, gdy dane osobowe służą potwierdzeniu tożsamości lub przynależności do określonej grupy;
• uwierzytelnianie, gdy dane osobowe służą przyznaniu dostępu do określonych zasobów lub usług;
• profilowanie, gdy dane osobowe służą analizie zachowań, zainteresowań, preferencji lub potrzeb;
• marketing, gdy dane osobowe służą promowaniu produktów, usług, marek lub idei;
• oszustwo, gdy dane osobowe są wykorzystywane do wyłudzeń, wymuszeń, szantażu lub innych działań przestępczych.

Jak chronić dane osobowe

Ochrona danych osobowych wymaga zastosowania różnych środków bezpieczeństwa: na poziomie przepisów, technologii i zachowań.

Ochrona danych na poziomie technologii

Na poziomie technologii istnieją różne środki i metody chroniące dane osobowe przed nieuprawnionym dostępem, kradzieżą, wyciekiem i uszkodzeniem. Na przykład:

• szyfrowanie, gdy dane osobowe są zamieniane na niezrozumiały kod, który można odczytać wyłącznie za pomocą specjalnego klucza;
• haszowanie, gdy dane osobowe są zamieniane na unikalny ciąg znaków, którego nie da się odwrócić;
• podpis cyfrowy, gdy dane osobowe są opatrywane specjalnym kodem potwierdzającym ich autentyczność i integralność;
• anonimizacja, gdy dane osobowe są przetwarzane w taki sposób, że nie można zidentyfikować konkretnej osoby ani grupy;
• pseudonimizacja, gdy dane osobowe są zastępowane dowolnymi identyfikatorami niepowiązanymi z danymi rzeczywistymi.

Ochrona danych na poziomie zachowań

Na poziomie zachowań obowiązują różne zasady i wskazówki, które pomagają chronić dane osobowe przed nieostrożnością, nieuwagą lub złą wolą. Na przykład:

• nie ujawniaj swoich danych osobowych osobom trzecim bez potrzeby i bez upoważnienia;
• nie używaj tych samych ani prostych haseł do różnych kont i usług;
• nie ufaj wszystkim źródłom informacji, lecz sprawdzaj ich wiarygodność i reputację.

Stosując te środki bezpieczeństwa, ochronisz swoje dane osobowe i uchronisz się przed niepożądanymi konsekwencjami. Obchodź się ze swoimi danymi ostrożnie i odpowiedzialnie, a dobrze Ci posłużą.

 

Jakie szkody wyrządza malware?

Złośliwe oprogramowanie może wyrządzić szkody dowolnej skali: wszystko zależy od wyobraźni twórców, rozmachu działania i systemów ochrony po stronie ofiary. To prawdziwe wirtualne robaki, które pasożytują na mocy urządzenia i wykorzystują cyberprzestrzeń do własnych celów.

Zazwyczaj złośliwe oprogramowanie służy do:

1. przejęcia mocy urządzenia:

• ukryte kopanie kryptowalut;

• nieautoryzowana instalacja innych rodzajów złośliwego oprogramowania;

• blokowanie dostępu do stron internetowych i aktualizacji, w tym oprogramowania antywirusowego;

• wykorzystanie mocy urządzenia do przeprowadzania zaplanowanych ataków DDoS.

2. przechwycenia danych:

• oprogramowanie szpiegujące śledzące używane loginy, hasła oraz dane systemów płatności i kart bankowych;

• usuwanie lub szyfrowanie danych;

• narzucanie reklam i działań wirusowych promujących towary lub usługi.

3. szkodzenia w internecie:

• zmiana ustawień urządzenia;

• instalacja oprogramowania wirusowego, które działa nawet bez połączenia z siecią.

7 największych zagrożeń malware w 2025 roku

Przyjrzyjmy się antyrankingowi 2025 roku.

SocGholish

Lider wśród złośliwego oprogramowania w 2025 roku. Odpowiada za około 60% wszystkich incydentów bezpieczeństwa. To framework napisany w języku JavaScript, rozpowszechniany przez strony phishingowe, reklamy spamowe i inne źródła. SocGholish najchętniej podszywa się pod przydatne programy albo komunikaty o konieczności aktualizacji oprogramowania (np. przeglądarki).

Negatywny wpływ: zbieranie danych wrażliwych z zainfekowanego urządzenia (z wykorzystaniem technologii Cobalt Strike), uzyskiwanie nieuprawnionego dostępu do systemu (narzędzia zdalnego dostępu NetSupport, rzadziej Async), pobieranie oprogramowania ransomware.

Lumma Stealer

Lumma Stealer to nowicjusz, który błyskawicznie wdarł się do antyrankingu 2025 roku. To potężny infostealer wyspecjalizowany w kradzieży poufnych informacji użytkowników: loginów, haseł, danych kart bankowych, portfeli kryptowalutowych i innych danych wrażliwych. Rozprzestrzenia się przez e-maile phishingowe, zainfekowane załączniki i złośliwe strony internetowe.

Do wiosny 2025 roku Lumma zainfekowała ponad 394 000 urządzeń na całym świecie, przez co stała się celem międzynarodowej operacji wymierzonej w jej likwidację.

Negatywny wpływ: program niepostrzeżenie przenika do systemu i w ciągu kilku minut wysyła atakującym pełny zrzut danych użytkownika. Grozi to przejęciem kont, kradzieżą pieniędzy i całkowitą utratą prywatności cyfrowej.

ArechClient2

Pod koniec 2023 roku liczba infekcji złośliwym oprogramowaniem Arechclient2 (SectopRAT) znacząco wzrosła. To klasyczny trojan z funkcjami zdalnego dostępu i administrowania (NET RAT). Rozprzestrzeniał się przez fałszywe aktualizacje przeglądarki Brave (najczęściej), Tora, Signala i Telegrama. To złośliwe oprogramowanie odpowiada za około 9% wszystkich incydentów bezpieczeństwa.

Negatywny wpływ: ArechClient2 najczęściej próbuje zbierać poufne informacje użytkowników, w tym dane płatnicze (bankowe, hasła do portfeli kryptowalutowych), potrafi też uruchomić ukryty pulpit, aby sterować przeglądarkami. Jest przy tym dość dobrze zabezpieczony przed wykryciem przez programy ochronne.

Agent Tesla

Agent Tesla to kolejny przykład trojana, trzeciego pod względem rozpowszechnienia na świecie. Obsługuje format zdalnego dostępu RAT. Powstał w 2014 roku, a za ofiary obiera przede wszystkim użytkowników systemu Windows. Program jest płatny, można go kupić na wyspecjalizowanych stronach za 15-20 dolarów.

Negatywny wpływ: szerokie możliwości pozyskania Twoich danych, zależne od zakupionej wersji: przechwytywanie naciśnięć klawiszy i zrzutów ekranu, zbieranie zapisanych w przeglądarkach danych logowania, dostęp do danych portfela Bitcoin, kopiowanie zawartości schowka, usuwanie plików ofiary oraz pobieranie na komputer kolejnego złośliwego oprogramowania.

CoinMiner

Czwarte miejsce w naszym antyrankingu zajmuje CoinMiner, oprogramowanie do ukrytego kopania kryptowalut. Malware wykorzystuje  moc zainfekowanego urządzenia do wydobywania kryptowaluty. Z reguły wybierane są łatwe do wykopania monety, takie jak Litecoin (LTC) i Monero (XMR). Głównym źródłem dystrybucji są e-maile spamowe.

Negatywny wpływ: kopanie kryptowalut to  bardzo energochłonny proces. Sprzęt nieustannie pracuje na 100% wydajności, co oznacza szybsze zużycie podzespołów i wysokie koszty energii.

NanoCore

Piąte miejsce zajmuje zaawansowane złośliwe oprogramowanie drugiego etapu, sklasyfikowane jako trojan zdalnego dostępu NanoCore (RAT). Daje ono atakującym możliwość zdalnego wykonywania kodu (RCE) w systemie ofiary.

Negatywny wpływ: przede wszystkim kradzież plików, rejestrowanie naciśnięć klawiszy, zrzuty ekranu oraz wykorzystanie innych podzespołów, na przykład podsłuch przez kamerę internetową i mikrofon.

Nowe zagrożenia typu RAT

Rok 2025 przynosi gwałtowny wzrost liczby trojanów zdalnego dostępu (RAT) oraz złośliwych kampanii podszywających się pod aktualizacje oprogramowania. Należą do nich FakeUpdates (znany również jako SocGholish), AsyncRAT i szyfrator Clop. Zagrożenia te łączy wysoki stopień maskowania, intensywne wykorzystanie socjotechniki i zdolność do skalowania w środowiskach korporacyjnych. FakeUpdates rozprzestrzenia się przez fałszywe aktualizacje przeglądarek i atakuje głównie za pośrednictwem zainfekowanych stron. AsyncRAT i podobne narzędzia dają atakującym pełną zdalną kontrolę nad systemem, łącznie z nagrywaniem ekranu, naciśnięć klawiszy i obrazu z kamery. Clop z kolei jest aktywnie wykorzystywany w atakach na firmy, aby wymuszać wysokie okupy.

Negatywny wpływ: od zdalnego szpiegostwa i kradzieży danych firmowych po pełne zaszyfrowanie krytycznych informacji i żądanie okupu. Zagrożenia te aktywnie ewoluują i zmieniają swoją postać, omijając tradycyjne rozwiązania antywirusowe.

Bezpieczeństwo informacji nie jest dziś opcją ani czymś „do rozważenia”, a już na pewno nie luksusem. To nieodzowny element przetrwania biznesu w środowisku cyfrowym.

Jak jednak pokazuje praktyka, wdrożeniu bezpieczeństwa informacji w firmach przeszkadzają nie budżety ani brak specjalistów, lecz mity. Fałszywe przekonania, które mocno zakorzeniły się w głowach menedżerów, dyrektorów IT, a nawet szeregowych pracowników.

Dziś przyglądamy się 10 najczęstszym mitom, które powstrzymują firmy przed ochroną. Możesz się zdziwić, ile z nich słyszałeś albo sam powtarzałeś.

„Jesteśmy za mali — komu jesteśmy potrzebni?”

To chyba najgroźniejszy, a zarazem najbardziej rozpowszechniony mit wśród małych i średnich firm.

Dlaczego to mit. Ataki nie wybierają wielkości — wybierają podatność.

Cyberprzestępcy od dawna korzystają z automatycznych skanerów, które szukają podatności w internecie, nie zważając na nazwę firmy. Nie interesuje ich, ilu masz pracowników ani jaki masz obrót. Ich celem jest znalezienie „dziury”, przez którą da się szybko wyciągnąć dane, pieniądze albo dostać się przez Ciebie do innych organizacji.

Liczby mówią same za siebie:

• 43% wszystkich cyberataków na świecie wymierzonych jest w małe firmy;

• tylko 14 procent takich firm jest realnie przygotowanych na cyberincydenty;

• ponad 60 procent małych i średnich firm, które doświadczyły poważnego wycieku, kończy działalność w ciągu 6 miesięcy od incydentu.

Dlaczego małe firmy są często atakowane?

• Częściej mają słabe zabezpieczenia — brak specjalisty od bezpieczeństwa informacji, brak systemów DLP, hasła trzymane w pliku Excela, brak uregulowanej kontroli dostępu.

• Mniej biurokracji oznacza, że dostęp da się zdobyć szybciej.

• Mała firma bywa przyczółkiem do ataku na dużych klientów lub partnerów (na przykład przez zainfekowany załącznik).

Przykład z życia:

Firma zatrudniająca 25 osób została zaatakowana wiadomością phishingową wysłaną rzekomo przez „bank”. Jeden z menedżerów otworzył załącznik, po czym napastnicy uzyskali dostęp do firmowej poczty i CRM. W ciągu tygodnia dane klientów trafiły do sieci, zaczęły się reklamacje i odpływ klientów.

Łączne straty: ≈$3 mln oraz reputacja.

A wszystko przez przekonanie, że „nas nikt nie ruszy”.

„Nie mamy ważnych informacji”

Ten mit brzmi mniej więcej tak: „Nie jesteśmy bankiem ani gigantem IT, nie przechowujemy tajemnic wojskowych. Co można nam ukraść?”

Na pierwszy rzut oka brzmi to sensownie. Ale tylko na pierwszy rzut oka. Zastanów się:

• Czy masz bazę klientów? Z kontaktami, adresami e-mail, numerami telefonów, adresami dostawy?

• Czy prowadzisz dokumentację finansową, z której wynikają faktury, transakcje, dane do płatności?

• Czy przechowujesz umowy z kontrahentami albo cenniki z indywidualnymi warunkami?

• Czy w korespondencji służbowej omawiane są projekty, budżety, plany, informacje wrażliwe?

• Czy korzystasz z loginów i haseł do poczty, CRM, bankowości internetowej?

Jeśli choć na jedno pytanie odpowiadasz „tak” — gratulacje, masz informacje, które przedstawiają wartość.

Dlaczego te informacje są ważne?

🔒 Dane osobowe są chronione prawem. Ich wyciek kończy się karami finansowymi i postępowaniami.
💰 Tajemnica handlowa — konkurenci nie muszą Cię „hakować”, wystarczy, że „podejrzą” ceny, plany albo warunki współpracy.
🎯 Informacje służbowe — mogą posłużyć do kolejnych ataków: na przykład do wiadomości od „prezesa” z prośbą o przelew.

Jak się na tym zarabia:

• bazy klientów sprzedaje się na forach w darknecie (nawet po $1-2 za kontakt);

• załączniki z dokumentami i umowami są podrabiane i wykorzystywane w oszustwach opartych na inżynierii społecznej. Czym ona jest — przeczytasz w naszym artykule;

• korespondencja z loginami, kodami i wewnętrznymi odnośnikami służy do odgadywania dostępów do systemów;

• warunki handlowe — trafiają do konkurencji albo służą do szantażu.

„Antywirus — to wystarczy”

Antywirus jest jak apteczka w samochodzie. Przydatna, ale nie uratuje Cię w poważnym wypadku. Z antywirusem jest dokładnie tak samo.

Dzisiejsze zagrożenia dawno wyszły poza wirusy. Stały się sprytniejsze, subtelniejsze, bardziej wyrafinowane. Zwróć uwagę na tematy, które stale poruszamy na naszym kanale. Oszuści działają pomysłowo i sięgają po różne metody, co zasadniczo zmienia podejście do bezpieczeństwa.

„Wszystko trzymamy w chmurze — niech odpowiada dostawca”

Chmura nie jest magiczną tarczą. Owszem, dostawca chroni infrastrukturę, ale za treści, dostępy i procesy wewnętrzne odpowiadasz Ty.

Błędem jest sądzić, że przeniesienie do chmury rozwiązuje wszystkie kwestie bezpieczeństwa. Przeciwnie: otwierają się nowe podatności.

„Systemy DLP są tylko dla korporacji”

I tu warto się zatrzymać. DLP to system, który chroni przed wyciekami danych: przez komunikatory, pocztę, pendrive'y, zdjęcia ekranu, a nawet zwykłe „kopiuj-wklej”.

Mit: DLP jest drogie, skomplikowane i potrzebne tylko takim gigantom jak Apple.

Fakt: dziś dostępne są różne rodzaje rozwiązań DLP, odpowiednie dla małych firm, zespołów zdalnych i pojedynczych działów.

To właśnie system DLP pomaga firmom zapobiegać wyciekom, zamiast „wyjaśniać sprawę później”. Działa jak alarm: lepiej z wyprzedzeniem niż po włamaniu.

„Nie mamy pieniędzy na bezpieczeństwo informacji”

Ten argument często brzmi szczerze. Zwłaszcza w małych firmach, w których liczy się każdy grosz. Uporządkujmy jednak fakty.

Prawda jest taka, że bezpieczeństwo informacji nie jest dziś „luksusem dla bogatych”, lecz „minimum przetrwania” nawet dla niewielkich zespołów.

Dlaczego podstawowa ochrona nie jest aż tak kosztowna?

Ustawienie uprawnień dostępu — możesz ograniczyć, kto co widzi i edytuje w dokumentach, poczcie i CRM.

Szkolenie pracowników — podstawowych zasad higieny cyfrowej można nauczyć się w 1 godzinę, a zatrzymają one większość ataków phishingowych.

Uwierzytelnianie dwuskładnikowe (2FA) — niemal wszędzie dostępne bezpłatnie: Google Authenticator, kody SMS, powiadomienia push.

Kopie zapasowe — podłącz magazyn w chmurze lub dyski zewnętrzne z automatyzacją.

Chmurowy system DLP, dostępny również dla niewielkich zespołów, z ceną ustalaną indywidualnie na zapytanie.

W sumie: nawet mikrofirma zatrudniająca 3-5 osób jest w stanie zorganizować podstawowe bezpieczeństwo informacji bez dużych nakładów.

„Niech pracownicy sami myślą, jak się chronić”

Nie, tak to nie działa. Bezpieczeństwo informacji nie jest kwestią intuicji ani osobistej odpowiedzialności. To kwestia kultury, szkoleń i systematycznego podejścia. Jeśli pracownik nie wie, jak wygląda wiadomość phishingowa, jest duża szansa, że ją otworzy. Jeśli nikt nie wyjaśnił, że nie wolno wysyłać na Telegram tabel z danymi osobowymi klientów, to właśnie tak zrobi.

Oczekiwanie, że każdy będzie ekspertem od cyberzagrożeń, to złudzenie. Ludzie przychodzą do pracy, żeby wykonywać swoje zadania: sprzedawać, doradzać, programować, obsługiwać klientów. Nie muszą być specjalistami od bezpieczeństwa.

Firma musi jednak zapewnić im jasne instrukcje, regularne szkolenia, przykłady realnych zagrożeń i konsekwencji błędów. Bez tego każda polityka bezpieczeństwa pozostanie na papierze, a najsłabszym ogniwem nadal będzie człowiek.

Wniosek: bezpieczeństwo to gra zespołowa, a rola pracodawcy jest kluczowa. Nie szkolisz, czyli nie chronisz.

„Wszystko już ustawiliśmy — nie ruszać”

Bezpieczeństwo to nie zasada „ustaw i zapomnij”. Zagrożenia się zmieniają, schematy ataków ewoluują, pojawiają się nowe podatności.

To, co działało w 2020 roku, w 2025 może być bezużyteczne.

Bez regularnych audytów i aktualizacji — Twoja ochrona staje się iluzją.

„Jesteśmy zbyt niepozorni, żeby nas znaleźli”

Dzisiejsze cyberataki są zautomatyzowane. Boty przez całą dobę skanują strony i adresy IP, wyszukując otwarte porty, słabe hasła i podatności.

Haker nie potrzebuje akurat Ciebie — on po prostu „łowi wszystkich po kolei”.

„Bezpieczeństwo informacji to zadanie IT”

To mit, który potrafi zniszczyć całą ochronę.

Bezpieczeństwo to obszar odpowiedzialności całego zespołu:

• zarząd podejmuje decyzje strategiczne;

• HR szkoli pracowników;

• księgowość przechowuje dokumenty poufne;

• a IT jedynie konfiguruje narzędzia.

Jeśli myślisz „niech IT samo zdecyduje” — już jesteś podatny na atak.

Co robić?

Po pierwsze: przestać wierzyć w mity.

Po drugie: zacząć od rzeczy prostych:
✅ szkol pracowników;
✅ wdróż uwierzytelnianie dwuskładnikowe przy ryzykownych operacjach;
✅ wdróż system DLP;
✅ przeprowadzaj audyt bezpieczeństwa informacji co pół roku.

Bezpieczeństwo informacji nie polega na strachu. Polega na dojrzałości.

A im wcześniej zaczniesz — tym większa szansa, że pewnego dnia powiesz po prostu:

 

W zdecydowanej większości firm praca zorganizowana jest hierarchicznie: od kadry zarządzającej po szeregowych pracowników. Każdy ma własny obszar odpowiedzialności i wykonuje swoje zadania. Rzecz jasna kierownictwo i kadra menedżerska mają do czynienia z informacjami ważniejszymi i bardziej poufnymi.

Użytkownicy uprzywilejowani, czyli superużytkownicy baz danych, często stają się celem hakerów, a część z nich, korzystając z rozszerzonych uprawnień, może wykorzystywać informacje nie tylko do celów służbowych.

Jak pokazują statystyki, główną przyczyną wycieków danych jest czynnik ludzki, który odpowiada za 95% wszystkich incydentów. Od dawna nie jest tajemnicą, że za wycieki informacji najczęściej odpowiadają nie hakerzy, lecz sami pracownicy organizacji.

Zgodnie z wynikami badania dotyczącego zagrożenia wyciekiem informacji ze strony pracowników, w ciągu ostatniego roku w 90% ankietowanych firm doszło do wycieku danych poufnych: informacji o pracownikach, dokumentów dotyczących operacji finansowych firmy oraz baz z danymi klientów. Większość wycieków wynikała z celowego ujawnienia danych przez superużytkowników, pozostałe brały się z nieuwagi i łatwowierności. 

Ryzyko utraty lub wycieku informacji rośnie wykładniczo, gdy pracownicy przechodzą na pracę zdalną, a kontrola ich działań staje się znacznie trudniejsza. Szczególną uwagę należy zwrócić na kierowników działów, menedżerów oraz pracowników działu bezpieczeństwa informacji, ponieważ mają oni dostęp do najważniejszych danych. Część incydentów wynika także z winy osób odchodzących z firmy, które z własnych pobudek mogą zabrać ze sobą poufne dane pracodawcy.

Mówiąc o wyciekach, trzeba wspomnieć również o wycieku wewnętrznym – nieuprawnionym kopiowaniu danych przez pracowników firmy. Całkowite zabezpieczenie organizacji przed takimi przypadkami jest niemożliwe, ale ryzyko incydentu da się znacząco ograniczyć. W tym celu należy uregulować zasady korzystania z danych przez pracowników:

• określić odpowiedzialność za ujawnienie informacji;

• przygotować odpowiednią dokumentację, na przykład umowę o zachowaniu poufności.

W firmie warto wprowadzić reżim ochrony tajemnicy przedsiębiorstwa i przygotować dokumenty jasno określające, które informacje stanowią tajemnicę przedsiębiorstwa, kto oraz w jaki sposób ma obowiązek je chronić i przekazywać, a także jakie środki zostaną zastosowane wobec osoby naruszającej te zasady. Takie umowy należy podpisywać nie tylko z pracownikami, lecz również z kontrahentami i pośrednikami.

• przyznawać dostęp do informacji zgodnie z hierarchią i zakresem obowiązków pracowników;

Najprostszym sposobem zabezpieczenia cennych informacji jest rozgraniczenie dostępu do danych i udostępnianie pracownikom wyłącznie tego, czego potrzebują do pracy. Menedżerowi warto udostępnić nie całą bazę, lecz jedynie kontakty klientów, którymi się zajmuje, a specjaliście SMM przekazać nie informacje o wszystkich projektach działu, lecz wyłącznie dane o serwisach społecznościowych i platformach potrzebnych do tworzenia treści.

• wzmocnić kontrolę nad pracownikami, którzy ze względu na zajmowane stanowisko mają dostęp do danych wrażliwych i regularnie z nimi pracują;
• kontrolować kanały komunikacji za pomocą wyspecjalizowanych systemów.

Przez „wyspecjalizowany system” rozumiemy w tym przypadku wdrożenie DLP. System DLP to rozwiązanie programowe, które monitoruje przesyłanie danych wszystkimi kanałami komunikacji, dzięki czemu potrafi udaremnić próbę przekazania danych osobom nieuprawnionym.

Jako przykład weźmy Anexet Ultimate firmy Scinero Software Limited, popularny na rynku system DLP, który zdobył zaufanie klientów.

Anexet Ultimate sprawdza wszystkie operacje w czasie rzeczywistym, blokuje podejrzaną aktywność, powiadamia dział bezpieczeństwa, monitoruje próby przekazania informacji osobom postronnym, a ponadto:

• monitoruje działania nieuprawnionych użytkowników w systemie;

• kontroluje drukowanie i przesyłanie plików na urządzenia;

• kontroluje i ogranicza dostęp nośników USB oraz innych urządzeń zewnętrznych do systemu;

• rozpoznaje pliki tekstowe, audio i wideo oraz rejestruje obraz z ekranu komputera i dźwięk z mikrofonu.

Do niewątpliwych zalet można zaliczyć również:

• system 2 w 1 (kontrola pracowników + ochrona przed wyciekami);

• niższe wymagania sprzętowe wobec serwera niż w rozwiązaniach konkurencyjnych;

• bezpłatne testy systemu Anexet Ultimate na sprzęcie klienta;

• szkolenia i pomoc w wykrywaniu wycieków informacji;

• wdrożenie systemu w 1 dzień.

Uregulowanie dostępu do danych w przypadku zwykłych, czyli nieuprzywilejowanych użytkowników zazwyczaj nie stanowi problemu i wymaga raczej dobrego zarządzania niż rozwiązań technicznych.

Wycieki danych powodowane przez uprzywilejowanych pracowników nie należą do rzadkości. To istotny wektor cyberzagrożeń, który wymaga odpowiednich środków chroniących przed przypadkową lub celową utratą informacji wrażliwych.

Kadrze zarządzającej zaleca się opracowanie planu wdrożenia niezbędnych procesów i oprogramowania z zakresu bezpieczeństwa informacji, a także zadbanie o testy podatności istniejącego systemu.

 

Media społecznościowe stały się częścią naszego życia i nie zamierzają nas z niej wypuścić. Nie wyobrażamy sobie już komunikacji bez nich, ale świadomie lub nie zostawiamy w nich mnóstwo poufnych informacji o sobie, które mogą stać się obiektem pożądania internetowych oszustów. Dziś wspólnie z analitykami Anexet przyjrzymy się temu, jak chronić swoje dane w mediach społecznościowych.

Statystyki

Zacznijmy od statystyk. Jak duże znaczenie mają dziś media społecznościowe w życiu ludzi? W 2025 roku korzysta z nich ponad 4,5 miliarda osób, czyli ponad 57% populacji świata.

Najpopularniejszym serwisem społecznościowym na świecie jest Facebook. W pierwszej piątce znajdują się także Instagram, X (Twitter), WhatsApp i TikTok. Co ciekawe, sam Facebook generuje około 25% światowego ruchu internetowego.

Pogoń za aprobatą, nieposkromiona ciekawość i „życie na widoku” odbijają się między innymi na bezpieczeństwie informacji o nas samych. Publikowane treści są bowiem coraz bardziej przejrzyste, otwarte i osobiste. To właśnie wykorzystują oszuści.

Jakie dane osobowe w mediach społecznościowych wpływają na Twoje bezpieczeństwo?

Choć brzmi to zaskakująco, to właśnie efekt mediów społecznościowych obniża naszą uważność i czujność oraz sprawia, że stajemy się bardziej otwarci i naiwni. Chętniej dzielimy się informacjami osobistymi, które charakteryzują nas jako ludzi, a jednocześnie mówią o naszym możliwym statusie społecznym i materialnym.

Jakie z pozoru niewinne informacje publikowane na Twoich kontach mogą wykorzystać oszuści?

• zdjęcia, zwłaszcza aktualne zdjęcia z wakacji, potwierdzają, że w danej chwili nie ma Cię w domu;

• chwalenie się drogimi zakupami i dobrami luksusowymi pokazuje oszustom Twoje możliwości finansowe;

• geolokalizacja zdradzi Twoje położenie w konkretnym miejscu;

• dane osobowe, adres e-mail, numer telefonu, adres zamieszkania i tym podobne nie tylko ściągną na Ciebie lawinę spamu reklamowego, lecz mogą też posłużyć do phishingu lub oszustw finansowych.

Poza tymi danymi istnieją rodzaje treści, za których publikację grozi odpowiedzialność administracyjna, a nawet karna. Należą do nich:

• publikowanie fake newsów (świadomie nieprawdziwych informacji) może skutkować grzywną administracyjną lub, w zależności od wagi skutków publikacji, odpowiedzialnością karną i pozbawieniem wolności dla autora;

• informacje o charakterze ekstremistycznym, terrorystycznym lub obrażające uczucia religijne. Takie treści służą podsycaniu nienawiści i wrogości wobec różnych grup ludzi, naruszaniu praw ze względu na rasę, narodowość czy wyznanie oraz poniżaniu godności człowieka;

• treści znieważające inne osoby (wszelkie informacje godzące w cześć i godność) mogą skutkować odpowiedzialnością administracyjną, grzywną i koniecznością wypłaty zadośćuczynienia;

• treści znieważające przedstawicieli władzy (urzędników, policjantów, pracowników skarbowych, komorników) mogą skutkować grzywną;

• treści dyskredytujące armię i podważające autorytet sił zbrojnych;

• informacje o życiu prywatnym innych osób i ich dane osobowe;

• treści nielegalne;

• zniesławienie;

• treści naruszające prawa autorskie;

• treści naruszające regulaminy poszczególnych serwisów.

Główne zagrożenia dla informacji w mediach społecznościowych

Phishing. Oszuści tworzą fałszywe strony i linki, które wyglądają jak prawdziwe serwisy i aplikacje. Użytkownik wpisuje login, hasło lub inne dane w przekonaniu, że jest na prawdziwej stronie, i tym samym przekazuje je przestępcom.

Przykład: w 2016 roku doszło do dużego ataku phishingowego z wykorzystaniem Google Docs. Użytkownicy otrzymywali wiadomość z zaproszeniem do otwarcia dokumentu. Po kliknięciu w link wpisywali swoje dane na fałszywej stronie, co prowadziło do kradzieży ich kont Google.

Złośliwe oprogramowanie i wirusy. Przestępcy rozpowszechniają złośliwe oprogramowanie przez linki i załączniki w wiadomościach lub postach. Otwierając je, użytkownicy sami infekują swoje urządzenia.

Przykład: w 2017 roku przez Facebooka rozprzestrzeniał się wirus Locky. Użytkownicy otrzymywali wiadomość z linkiem do zainfekowanego pliku, po którego otwarciu ich komputery były szyfrowane, a następnie pojawiało się żądanie okupu za odszyfrowanie danych.

Inżynieria społeczna: analizowanie profili użytkowników w mediach społecznościowych, aby poznać szczegóły z ich życia i wykorzystać je do oszustwa oraz manipulacji.

Przykład z życia: w 2018 roku hakerzy wykorzystali informacje z profili LinkedIn, aby wysyłać pracownikom firm spersonalizowane wiadomości phishingowe podszywające się pod ich współpracowników lub partnerów.

Przejęcie konta: sytuacja, w której przestępcy uzyskują dostęp do kont użytkowników w mediach społecznościowych, łamiąc hasła lub wykorzystując skradzione dane.

Przykład z życia: w 2020 roku doszło do masowego włamania na twitterowe konta osób znanych, takich jak Elon Musk, Jeff Bezos czy Barack Obama, w celu promowania oszustwa kryptowalutowego.

Prywatność danych: serwisy społecznościowe nie zawsze dobrze chronią dane użytkowników, co prowadzi do wycieków informacji.

Przykład: skandal Cambridge Analytica z 2018 roku, gdy dane milionów użytkowników Facebooka wykorzystano w nieuprawniony sposób do targetowania politycznego.

Cyberprzemoc i stalking, w których sprawcy wykorzystują media społecznościowe do gróźb, zniewag i nękania ofiar, co może prowadzić do ciężkich konsekwencji psychicznych, a nawet samobójstwa.

Fake newsy i dezinformacja to rozpowszechnianie nieprawdziwych informacji o wydarzeniach lub osobach w celu wprowadzenia ludzi w błąd.

Profilowanie i śledzenie, czyli zbieranie przez firmy lub przestępców danych o zachowaniu użytkowników, aby tworzyć szczegółowe profile i wykorzystywać je do targetowania.

Przykład z życia: w 2019 roku okazało się, że wiele aplikacji na Androida i iOS zbierało dane o lokalizacji użytkowników i sprzedawało je bez ich zgody.

Reklama i marketing ukierunkowany to wykorzystywanie danych użytkowników do tworzenia reklamy ukierunkowanej, co może naruszać prywatność tych danych.

Przykład: Facebook wykorzystuje dane o aktywności użytkowników, aby wyświetlać spersonalizowane reklamy, co bywa odbierane jako ingerencja w prywatność.

Catfishing i wyłudzenia. To zakładanie fałszywych profili po to, by oszukać ludzi i wyłudzić od nich pieniądze lub cenne informacje.

Przykład: popularny schemat polega na zakładaniu fałszywych profili w serwisach randkowych, aby zdobyć zaufanie ofiar i wyłudzić od nich duże sumy pieniędzy.

Jakie praktyczne zasady bezpieczeństwa w mediach społecznościowych ma do dyspozycji użytkownik?

Ustawienia prywatności

Sprawdź i dostosuj ustawienia prywatności we wszystkich swoich serwisach społecznościowych. Zadbaj o to, by Twoje posty i informacje z profilu widzieli wyłącznie znajomi. Wyłącz możliwość przeglądania profilu przez osoby obce.

Silne hasła

Używaj złożonych i unikalnych haseł do każdego serwisu społecznościowego. Każde hasło powinno łączyć litery, cyfry i znaki specjalne. Do tworzenia i przechowywania skomplikowanych haseł warto używać menedżera haseł.

Uwierzytelnianie dwuskładnikowe (2FA)

Włącz uwierzytelnianie dwuskładnikowe, aby dodatkowo zabezpieczyć konto. Może to być kod wysyłany na telefon albo aplikacja uwierzytelniająca. Nawet jeśli ktoś pozna Twoje hasło, bez drugiego składnika nie zaloguje się na Twoje konto.

Ostrożność wobec zaproszeń do znajomych

Przyjmuj zaproszenia tylko od osób, które znasz osobiście. Przestępcy zakładają fałszywe profile, aby uzyskać dostęp do Twoich informacji.

Uważaj na linki i wiadomości

Nie klikaj w podejrzane linki ani nie otwieraj nieoczekiwanych załączników. Nawet jeśli wiadomość przyszła od znajomego, najpierw upewnij się u niego, że rzeczywiście wysłał ten link lub plik.

Ogranicz ilość informacji osobistych

Nie publikuj zbyt wielu informacji o sobie. Unikaj podawania adresu, numeru telefonu, danych o lokalizacji i innych informacji, dzięki którym można Cię zidentyfikować lub śledzić.

Aktualizuj oprogramowanie

Regularnie aktualizuj system operacyjny i aplikacje. Aktualizacje często zawierają poprawki bezpieczeństwa chroniące przed nowymi zagrożeniami.

Sprawdzaj uprawnienia aplikacji

Instalowane aplikacje mogą prosić o dostęp do Twoich informacji. Sprawdzaj, o jakie dane proszą, i udzielaj dostępu tylko tym aplikacjom, którym ufasz.

Wiedza i świadomość

Bądź na bieżąco z najnowszymi zagrożeniami i metodami ochrony. Czytaj wiadomości o cyberbezpieczeństwie oraz ucz siebie i bliskich podstaw bezpiecznego zachowania w sieci.

Regularne przeglądy

Okresowo sprawdzaj aktywność na swoich kontach społecznościowych. Przeglądaj dzienniki aktywności i listę urządzeń z dostępem do konta, a podejrzane sesje natychmiast zamykaj.

Dodatkowe wskazówki:

• phishing — zawsze sprawdzaj adres URL strony, zanim wpiszesz swoje dane;

• antywirus — zainstaluj i regularnie aktualizuj oprogramowanie antywirusowe;

• kopie zapasowe — twórz kopie ważnych danych na wypadek utraty dostępu do konta.

Wszystkie trzy pojęcia – szyfrowanie, kodowanie i haszowanie – są do pewnego stopnia bliskoznaczne, ale stosuje się je w różnych celach. W tym artykule szczegółowo omawiamy różnice między nimi oraz ich zastosowania.

Szyfrowanie

Szyfrowanie kojarzy się przede wszystkim z komunikatorami i ochroną treści wiadomości. Najpowszechniejszym określeniem jest dziś "szyfrowanie end-to-end". W istocie szyfrowanie to technika przekształcania danych, w której wiadomość zostaje zaszyfrowana takim algorytmem, że dostęp do informacji uzyskują wyłącznie uprawnieni użytkownicy. Szyfrowanie stosuje się wtedy, gdy trzeba przesłać dane poufne, na przykład login wraz z hasłem albo inne informacje wrażliwe.

W szyfrowaniu informacje zabezpiecza się specjalnymi algorytmami – AES (Advanced Encryption Standard, symetryczny algorytm szyfrowania blokowego przyjęty jako standard przez rząd USA, jeden z najpopularniejszych algorytmów szyfrujących) oraz RSA (skrót od nazwisk Rivest, Shamir, Adleman, algorytm kryptograficzny z kluczem publicznym, pierwszy algorytm nadający się zarówno do szyfrowania, jak i do podpisu cyfrowego). Zaszyfrowaną informację nazywa się "szyfrogramem"; można ją z powrotem przekształcić w postać źródłową – "tekst jawny», i odwrotnie – tekst jawny zostaje zaszyfrowany do postaci szyfrogramu. Algorytmy szyfrujące dzielą się na dwa rodzaje – symetryczne i asymetryczne. W szyfrowaniu symetrycznym informacje szyfruje się i odszyfrowuje tym samym kluczem, w szyfrowaniu asymetrycznym używa się dwóch kluczy, na przykład jednego do szyfrowania, a drugiego do odszyfrowania.

Kodowanie

Kodowanie służy do przekształcania informacji z jednej postaci w inną, tak aby była czytelna dla właściwych systemów, wygodna w przechowywaniu i gotowa do automatycznego przetwarzania. Kodowanie nie służy do ochrony danych, a algorytmy kodowania często nie są unikalne. Stosuje się je na przykład wtedy, gdy trzeba zmniejszyć rozmiar pliku audio lub wideo; każdemu formatowi audio i wideo odpowiada określony program kodujący i dekodujący.

Kodowanie obejmuje kilka obszarów: kompresję danych, kodowanie transportowe (dodatkowe kodowanie zapewniające zgodność z protokołami transmisji danych), kryptografię (przekształcanie informacji na potrzeby poufnej transmisji), kodowanie fizyczne (zamianę sygnałów na wielkości fizyczne, takie jak amplituda prądu) oraz wykrywanie i korekcję błędów (kontrolę integralności danych podczas odtwarzania). Przykłady standardów kodowania to ASCII, BASE64, UNICODE i inne.

Haszowanie

W haszowaniu informacja zostaje przekształcona w hash za pomocą funkcji skrótu. Funkcja skrótu zamienia zbiór danych wejściowych na ciąg bitów o zadanej długości, działając według określonego algorytmu. Haszowanie przydaje się więc wtedy, gdy informację o dowolnym rozmiarze trzeba sprowadzić do rozmiaru z góry ustalonego.

Funkcje skrótu wykorzystuje się do tworzenia unikalnych identyfikatorów zbiorów danych, do przechowywania haseł w systemach zabezpieczeń w postaci skrótów, do tworzenia podpisów elektronicznych, do wyszukiwania duplikatów w dużych zbiorach informacji i tak dalej. Dane wejściowe w haszowaniu nazywa się "kluczem", a wynik przekształcenia to "kod skrótu".

Algorytmów haszowania jest wiele, a wybór zależy od specyfiki rozwiązywanego zadania: różnią się między innymi długością skrótu w bitach, złożonością obliczeniową czy odpornością kryptograficzną.

Szyfrowanie i haszowanie w ochronie informacji wrażliwych

Jak już wyjaśniliśmy, kodowanie nie służy do ochrony danych, a jedynie do sprowadzenia zbiorów danych do formatu i rozmiaru czytelnego dla systemów. Za bezpieczeństwo informacji podczas przesyłania i przechowywania odpowiadają natomiast szyfrowanie i haszowanie.

Kiedy mowa o przechowywaniu i przesyłaniu informacji w środowisku firmowym, nie sposób pominąć ogromnej ilości danych przechodzących przez urządzenia pracowników ani ryzyka wycieku informacji wrażliwych. Pracownicy spoza działu bezpieczeństwa informacji nie znają szczegółów takich metod ochrony jak szyfrowanie czy haszowanie, dlatego potrzebują znacznie bardziej uniwersalnego zabezpieczenia. Kompleksową ochronę danych może zapewnić niezawodny system DLP.

Na przykład system DLP Anexet Ultimate analizuje dane według wielu parametrów, w tym według wspomnianych funkcji skrótu. Umożliwia również:

• analizę zawartości plików i dokumentów;

• analizę plików tekstowych i wysyłanego tekstu (uwzględnia cechy morfologiczne języka, rozpoznaje tekst z błędami gramatycznymi oraz zapisany transliteracją);

• analizę obrazów (rozpoznawanie tekstu na obrazach, pieczęci i stempli);

• analizę wiadomości głosowych i rozmów, rozpoznawanie mowy, analizę według dodanych wzorców i wyrażeń regularnych (wykrywanie przesyłanych zdjęć kart bankowych, paszportów i dokumentów wewnętrznych).

Umożliwia także: 

• analizę powiązań między pracownikami, pozwalającą ustalić drogi rozprzestrzeniania się informacji;

• analizę cyfrowych odcisków palców;

• rozpoznawanie plików maskowanych;

• analizę plików CAD i inne funkcje.

Jeśli po przeanalizowaniu przechwyconych danych okaże się, że naruszono regułę bezpieczeństwa, system automatycznie zgłasza incydent wraz z pełnym kompletem informacji o nim.

Podsumowanie: wszystkie trzy pojęcia – szyfrowanie, kodowanie i haszowanie – oznaczają przekształcanie danych z jednej postaci w inną, po to by bezpiecznie je przesłać albo ułatwić ich rozpoznawanie. Trzeba jednak pamiętać, że dane wrażliwe chroni szyfrowanie lub haszowanie. Dla większej pewności, zwłaszcza w przypadku danych organizacji, warto sięgnąć po dodatkowe zabezpieczenie w postaci rozbudowanego systemu DLP.

Czym jest inżynieria społeczna

Czym jest inżynieria społeczna? Najpierw przyjrzyjmy się temu pojęciu bliżej. 

To technika manipulacji i presji, którą cyberprzestępcy wykorzystują do wprowadzania w błąd pracowników firm w celu uzyskania informacji poufnych używanych w dalszych atakach na przedsiębiorstwo. Najczęściej podejmowane są próby pozyskania loginów i haseł do autoryzacji w systemach firmowych. W przeciwieństwie do tradycyjnego hakowania, które opiera się na lukach technicznych, inżynieria społeczna wykorzystuje psychikę człowieka, a dokładniej – jego podatność na presję, manipulację, dostosowania psychologiczne i inne narzędzia.

Proponujemy przyjrzeć się taktykom inżynierii społecznej.

Phishing. To fałszywe wiadomości e-mail lub komunikaty podszywające się pod innych użytkowników, mające na celu kradzież danych uwierzytelniających lub instalację złośliwego oprogramowania.

Pretexting. To strategia wywierania presji na ofiarę przy użyciu fałszywego scenariusza, który wymusza podjęcie działań potrzebnych do przełamania zabezpieczeń przedsiębiorstwa.

Baiting. Schemat wywierania presji psychologicznej poprzez ułożenie scenariusza z kuszącą, bezpłatną, unikalną ofertą dostępną wyłącznie dla ofiary. Zwykle jest to darmowe oprogramowanie, które okazuje się złośliwe.

Tailgating. To metoda fizycznego przenikania do obwodu bezpieczeństwa przedsiębiorstwa, w której oszust wykorzystuje rozmowę, aby wejść do strefy o ograniczonym dostępie tuż za uprawnionym pracownikiem.

Vishing. To presja na pracowników firmy za pomocą połączeń telefonicznych, podczas których prowokuje się ujawnienie danych poufnych.

Smishing. Wysyłanie fałszywych wiadomości SMS, aby nakłonić odbiorców do kliknięcia złośliwego linku.

Konieczne jest kompleksowe podejście do obrony, obejmujące podnoszenie świadomości zagrożeń wśród pracowników, regularne szkolenia, modelowanie ataków i opracowanie surowych procedur bezpieczeństwa. Ważne jest wdrożenie polityk uwierzytelniania wieloczynnikowego, minimalizacji uprawnień i kontroli dostępu, a także okresowe testowanie odporności na techniki inżynierii społecznej, takie jak ataki phishingowe i metody manipulacyjne. 

Poza środkami technicznymi i edukacyjnymi prawdopodobieństwo skutecznych ataków socjotechnicznych można znacznie zmniejszyć za pomocą pakietów oprogramowania —  systemów DLP (Data Leak Prevention). To jedno z niewielu rozwiązań programowych, które realnie zatrzymuje rozprzestrzenianie się informacji poza przedsiębiorstwo.

Rola systemów DLP w walce z atakami socjotechnicznymi

Systemy DLP są zaprojektowane tak, aby zapobiegać nieuprawnionemu dostępowi, przesyłaniu lub wyciekowi poufnych danych firmy. To skuteczne narzędzie, jeśli przedsiębiorstwo chce zachować informacje poufne i zmniejszyć ryzyko ich rozpowszechnienia w różnych scenariuszach. Większość taktyk oszustów, które prowadzą do próby rozpowszechnienia informacji poufnych, zostanie zatrzymana przez system DLP.

Dlaczego narzędzie Data Leak Prevention jest przydatne w walce z inżynierią społeczną?

1. Zdolność adaptacji. Polityki bezpieczeństwa systemów DLP są dostosowywane do specyfiki każdej firmy. Oznacza to, że potrzeby bezpieczeństwa istotne dla konkretnego biznesu zostaną zaspokojone.
2. Zapobieganie ryzykom. Systemy DLP działają jako skuteczne narzędzie zapobiegania ryzyku rozpowszechnienia informacji firmowych, także wtedy, gdy zagrożenie wynika z zewnętrznej presji i manipulacji.
3. Skanowanie kontaktów społecznych. Monitorując aktywność pracowników w internecie za pomocą systemów DLP, specjaliści ds. bezpieczeństwa przedsiębiorstwa mogą reagować na częste kontakty z osobami spoza obwodu bezpieczeństwa, w tym z oszustami wykorzystującymi narzędzia manipulacji do zdobycia dostępu lub danych wrażliwych.
4. Nastroje w zespole. Niektóre polityki bezpieczeństwa DLP potrafią wykryć negatywne nastroje w zespole, zwłaszcza jeśli są one podsycane sztuczkami psychologicznymi i presją.
5. Analiza morfologiczna. System analizuje wszystkie zdefiniowane słowa i formy wyrazowe informacji, które przechodzą przez sieć firmową. Oznacza to, że stosowanie unikalnych słów, skrótów, synonimów i specyficznego słownictwa typowego dla mowy potocznej nie pomoże oszustom obejść polityk bezpieczeństwa i oszukać systemu.
6. Wiadomości audio i wideo. System analizuje nie tylko tekst, ale też wiadomości audio i wideo, co zmniejsza ryzyko związane z tymi kanałami komunikacji.

Więcej o funkcjonalności nowoczesnych systemów DLP na przykładzie Anexet dowiesz się na stronie internetowej.

Choć rozwiązania DLP zapewniają silną ochronę przed wewnętrznymi i zewnętrznymi naruszeniami danych, nie zawsze są skuteczne wobec ataków socjotechnicznych. Jeśli pracownik przekaże dane uwierzytelniające napastnikowi, system DLP może nie być w stanie zapobiec nieuprawnionemu dostępowi.

Jak chronić firmę przed wyciekami danych: ochrona kompleksowa

Jak wspomnieliśmy powyżej, w walce z inżynierią społeczną ważne jest zapewnienie kompleksowej ochrony informacji – środków bezpieczeństwa, które łączą rozwiązania techniczne z działaniami nastawionymi na zapobieganie incydentom wynikającym z błędu ludzkiego. Przyjrzyjmy się bliżej środkom innym niż systemy DLP, które pomagają zmniejszyć ryzyko wycieku informacji.

Szkolenie pracowników i podnoszenie świadomości ryzyka rozpowszechniania informacji w internecie

Ważne jest, aby pracownicy rozumieli zagrożenia istniejące w przestrzeni online oraz to, że mogą być zarówno ofiarą, jak i źródłem złośliwego oprogramowania. Główne sposoby edukowania pracowników to:

• profesjonalne szkolenia i seminaria z rozpoznawania i przeciwdziałania atakom na informacje firmy;
• przekwalifikowanie i rozwój zawodowy pracowników, zwłaszcza odpowiedzialnych za bezpieczeństwo informacji;
• mentoring – zarówno przez przekazywanie doświadczenia między pracownikami, jak i z wykorzystaniem wiedzy zapraszanych ekspertów ds. cyberbezpieczeństwa;
• sprawdzanie wiedzy i uzupełnianie luk na podstawie wyników testów oraz inne metody.

Uwierzytelnianie wieloczynnikowe (MFA)

Czym jest uwierzytelnianie wieloczynnikowe? To specjalne rozwiązanie, które zapewnia kilka etapów weryfikacji zasadności działań, co znacznie zmniejsza ryzyko nieuprawnionego dostępu, nawet jeśli dane uwierzytelniające zostały skompromitowane. Można je wdrożyć przez potwierdzenie e-mailem, SMS, wprowadzenie kodu PIN itp.

Kontrola dostępu i zastosowanie modelu bezpieczeństwa Zero Trust

Potrzebę kontroli dostępu w przedsiębiorstwie należy podzielić na dwa rodzaje: kontrolę wejścia fizycznego i kontrolę dostępu do nośników danych. Oszuści wykorzystujący inżynierię społeczną jako pretekst do wejścia na teren przedsiębiorstwa mogą wykorzystać każdy z tych dwóch rodzajów kontroli.

Model Zero Trust to praktyka minimalizowania dostępu użytkowników do informacji wrażliwych poprzez jednakowe traktowanie każdego żądania dostępu i nadawanie uprawnień zgodnie z rolą i obowiązkami w firmie.

Modelowanie ataków phishingowych

Zaleca się prowadzenie wewnętrznych testów phishingowych, aby sprawdzić aktualność wiedzy pracowników o bezpieczeństwie informacji w przedsiębiorstwie. Pomaga to wskazać pracowników podatnych na ataki, którzy mają luki w rozumieniu bezpieczeństwa firmowego, i dalej wzmacniać ich świadomość.

Optymalizacja wykorzystania systemów DLP

Poza instalacją i uruchomieniem oprogramowania zapobiegającego wyciekom informacji (systemów DLP) konieczne jest regularne doskonalenie i aktualizowanie ustawień polityk bezpieczeństwa zgodnie z bieżącą agendą przedsiębiorstwa. Zwiększa to skuteczność stosowanych polityk w wykrywaniu naruszeń danych. Korzystne będzie również wdrożenie automatycznych reakcji na zagrożenia, które mogą wzmocnić ochronę. Obejmuje to powiadamianie odpowiedzialnych pracowników o incydentach w czasie rzeczywistym pocztą lub przez komunikatory, system reagowania w postaci blokowania transferu plików i inne funkcje.

Plan reagowania na incydenty

Każda firma powinna mieć jasny, zdefiniowany plan działania na wypadek naruszenia danych. Pozwala to szybko reagować na incydenty i minimalizować potencjalne szkody z nich wynikające. Pracownicy powinni wiedzieć, do kogo zwrócić się w takiej sytuacji i jakie kroki podjąć w razie podejrzenia wycieku.

Analiza behawioralna i wykrywanie anomalii

Tam, gdzie to możliwe, zaleca się przedsiębiorstwom wykorzystanie algorytmów AI do analizy zachowań pracowników. Ten środek pomaga wykryć podejrzaną aktywność, na przykład próby nieuprawnionego dostępu lub odstępstwa od zwykłego zachowania pracownika w pracy.

Bezpieczne kanały komunikacji

Zaleca się również stosowanie szyfrowanych platform komunikacyjnych i VPN, aby chronić wewnętrzną komunikację firmową przed atakami typu man-in-the-middle.

Podstawowe zasady bezpieczeństwa dla pracowników, aby nie stać się ofiarą ataków socjotechnicznych

Pracownicy powinni:

• zachowywać ostrożność przy otrzymywaniu nieoczekiwanych wiadomości e-mail lub prośb o dane wrażliwe;

• weryfikować prośby przez oficjalne kanały przed przekazaniem informacji;

• zgłaszać podejrzaną aktywność do działu bezpieczeństwa IT;

• rozumieć różne formy ataków socjotechnicznych i wiedzieć, jak im przeciwdziałać.

 

Techniczny wyciek informacji to niekontrolowany proces rozpowszechniania lub przekazywania danych poufnych osobom trzecim, czyli "wyciek" informacji poza firmę, grupę albo krąg osób uprawnionych do dostępu.

Może do niego dojść wskutek błędu pracownika, luk w zabezpieczeniach lub działań przestępczych (cyberataków). Wyciek informacji poufnych prowadzi do strat finansowych, utraty reputacji i problemów prawnych.

Przyczyny wycieku informacji

Wyciek informacji poufnych i nieuprawniony dostęp do nich mogą wynikać z różnych okoliczności:

• niewłaściwego korzystania z urządzeń, na których przechowywane są krytyczne dane;

• niedostatecznej ochrony informacji przez organizację lub wyznaczoną osobę odpowiedzialną;

• wycieku zainicjowanego przez pracownika, przypadkowego albo celowego.

Sprzyjają temu jednak określone warunki:

• brak kompetencji personelu. Wynika z braku szkoleń z ochrony danych, a w konsekwencji z niedbalstwa;

• korzystanie z nielegalnego oprogramowania. Pirackie programy mogą zawierać złośliwy kod, którego celem jest kradzież ważnych danych;

• nieskuteczne monitorowanie działań pracowników. Brak odpowiedniej kontroli tego, co robią pracownicy firmy;

• wysoka rotacja kadr. Częsta wymiana pracowników zwiększa prawdopodobieństwo wycieku, ponieważ nowe osoby mogą nie znać dostatecznie polityki bezpieczeństwa firmy.

Techniczny wyciek informacji to niekontrolowany proces rozpowszechniania lub przekazywania danych poufnych osobom trzecim, czyli "wyciek" informacji poza firmę, grupę albo krąg osób uprawnionych do dostępu.

Rodzaje kanałów wycieku informacji

Kanały przechwytywania danych przez osoby trzecie dzielą się na kilka kategorii. Wyróżnia się następujące rodzaje:

• fizyczne kanały wycieku informacji poufnych. To wyciek informacji przez nośniki fizyczne, na przykład zgubione lub skradzione urządzenia;

• techniczne kanały wycieku informacji organizacji. To wyciek informacji przez systemy komputerowe, na przykład przez podatności w sieci lub oprogramowaniu;

• informacyjne kanały wycieku informacji. To wyciek informacji przez komunikację, na przykład pocztą elektroniczną lub w mediach społecznościowych.

Jak rozpoznać wyciek danych

Wyciek informacji można wykryć na kilka sposobów:

• relacja pracownika. Jeśli pracownik zauważył podejrzane działania, może to wskazywać na wyciek;

• kamera wideo. Monitoring wizyjny pomaga wykryć fizyczny wyciek danych;

• konkurent wykorzystał tajemnicę firmy. Jeśli konkurencja zaczyna wykorzystywać Twoje informacje poufne, to wyraźny sygnał wycieku;

• incydent zarejestrowany przez system DLP. W takim przypadku specjalista ds. bezpieczeństwa informacji zobaczy go w raporcie o naruszeniach.

Jak chronić się przed wyciekami danych

Sposoby zapobiegania wyciekom informacji kanałami technicznymi i innymi obejmują:

• szyfrowanie. Zamienia dane w nieczytelny kod, który można odszyfrować wyłącznie specjalnym kluczem;

• aktualizacje oprogramowania. Regularne aktualizacje pozwalają uniknąć wycieków przez podatności;

• ograniczenie dostępu. Nadawanie i kontrolowanie praw dostępu minimalizuje ryzyko wycieku informacji;

• uwierzytelnianie. Silne hasła i uwierzytelnianie wieloskładnikowe chronią dane przed nieuprawnionym dostępem;

• stałe audyty. Regularne audyty bezpieczeństwa pomagają wykrywać wycieki i podatności;

• wdrożenie specjalistycznego oprogramowania. Najlepszą ochronę przed wyciekiem danych zapewniają systemy DLP (Anexet) oraz SIEM, które wykrywają i automatycznie blokują przekazywanie danych osobom trzecim.

Anexet to zaawansowane rozwiązanie klasy DLP (Data Leak Prevention), które zapewnia dodatkową warstwę ochrony i kontroli nad wrażliwymi informacjami organizacji. W połączeniu z systemami SIEM (Security Information and Event Management) tworzy solidny i kompleksowy zestaw technicznych środków kontroli, pozwalający budować skuteczną i zaawansowaną ochronę w obszarze cyberbezpieczeństwa.

Podsumowanie

Wyciek informacji poufnych i techniczne systemy ochrony przed nim to poważny problem firm. Co roku pojawiają się doniesienia o kolejnej organizacji, która ucierpiała z powodu działań insiderów.

W większości przypadków wyciek danych wynika z tego, że pracownicy i kierownictwo poświęcają zbyt mało uwagi i zasobów metodom ochrony przed wyciekiem informacji wrażliwych.
Warto pamiętać, że bezpieczeństwo danych nie jest jednorazowym zadaniem, lecz ciągłym procesem. Dopiero systematyczna i kompleksowa kontrola kanałów wycieku pozwala zminimalizować ryzyko konsekwencji.

 

Psychologia jest mocno wpisana w życie firmy. Są zadania, które da się rozwiązać wyłącznie za pomocą narzędzi psychologicznych. Stosuje się nawet specjalne metody określania osobowości – profilowanie, czyli analizę portretu psychologicznego otoczenia. Czym jest profilowanie? Jak się je stosuje? Omawiamy to w artykule Anexet.

Co wiesz o profilowaniu? Profilowanie to zestaw technik i metod oceny komunikacji werbalnej oraz niewerbalnej, wykorzystywanych do analizowania i przewidywania zachowań ludzi w danej sytuacji lub w danym kontekście. Profilowanie bywa też nazywane czytaniem człowieka, określaniem jego profilu psychologicznego czy oceną tego, jak Twój mózg postrzega rozmówcę.

Do czego służy profilowanie?

Profilowanie służy do oceny osobowości, jej cech indywidualnych oraz możliwości wykorzystania tej wiedzy w komunikacji. Rozwiązuje trzy główne zadania: rozpoznanie kluczowych akcentuacji charakteru rozmówcy z uwzględnieniem cech każdego człowieka, zaprojektowanie wariantów zachowania w konkretnej sytuacji oraz pomoc w dotarciu do badanej osoby, aby zwiększyć jej lojalność w interesującym nas obszarze.

Jak stosuje się profilowanie?

Specjalista, który analizuje osobowość według typu profilu, korzysta ze wszystkich dostępnych środków czytania człowieka. Podejście powinno być możliwie kompleksowe i obejmować analitykę komunikacji werbalnej, niewerbalnej oraz kontekstowej. Na proces wpływa również to, kto prowadzi badanie. Profiler musi mieć wystarczające doświadczenie, aby uważnie i bezstronnie odczytywać przejawy zachowania w komunikacji i sporządzić trafny portret psychologiczny.

Werbalne środki komunikacji

Należy tu mowa (pisana i ustna), czyli to, co dosłownie mówimy. To bardzo ważna część naszego życia i niewyczerpane źródło informacji do analizy. Według statystyk każdego dnia wypowiadamy od 5000 do 30000 słów. Przy tym kobiety i mężczyźni mówią inaczej. Kobiety więcej – około 20 000 słów, a mężczyźni mniej – około 7000 słów.  To źródło komunikacji w najczystszej postaci: dostępne i otwarte. Jest przy tym dość szybkie. Odczyt informacji może następować w trakcie rozmowy, a także w analizie następczej (po odsłuchaniu nagrania, przeczytaniu listu itp.).

Analiza środków werbalnych pozwala bezpośrednio ocenić motywację rozmówcy, dokładność przekazywanych informacji, poziom nowości wiedzy, emocjonalność i wrażliwość wypowiedzi, doświadczenie życiowe, wykształcenie, sposób formułowania myśli i logikę rozmowy, a także dostrzec cechy etniczne, kulturę komunikacji i tak dalej. To dość obszerny zestaw danych.

Niewerbalne środki komunikacji

To sposób interakcji międzyludzkiej bez użycia mowy. Należą tu gesty, mimika, postawa ciała, intonacja, ruchy w trakcie rozmowy, biologiczne reakcje organizmu (rumieniec podczas rozmowy) i inne. Krótko mówiąc, to język ciała, który doprecyzowuje i uzupełnia informacje przekazywane słowami.

Niewerbalne sposoby komunikacji sprawiają, że dialog staje się bardziej zrozumiały i skuteczny, oraz wpływają na przekonującą i efektywną prezentację informacji.

Niewerbalne środki komunikacji są nie mniej ważne niż werbalne. Człowiek odbiera tymi kanałami około 70% informacji i to na ich podstawie kształtuje się pierwsza opinia o rozmówcy. Z reguły, zanim rozmowa się zacznie, zdążymy już ocenić człowieka "automatycznie" i ułożyć sobie jego portret. Środki niewerbalne są też bardziej prawdziwe: dokładniej niż mowa ujawniają rzeczywiste intencje i uczucia.

Kontekstowe środki komunikacji

To odnoszenie znaków werbalnych i niewerbalnych do cech indywidualnych, personifikacja działań oraz intencji, które za nimi stoją.

Elementy składowe profilowania

Metaprogramy

Podstawowym narzędziem profilowania jest rozpoznanie metaprogramu człowieka. Metaprogramy to zestaw osobistych reakcji i wzorców zachowania, które obejmują całe spektrum doświadczenia i cyklu życiowego danej osoby. Mówiąc prościej, to mapa zachowań w mózgu, na której działania są uszeregowane liniowo (umownie na każdym kroku pojawia się odpowiedź "Tak" lub "Nie"). Inna analogia: podstawowe oprogramowanie, pakiet Windows w głowie każdego z nas.

Określenie typu metaprogramu pozwala profilerowi zrozumieć, jak badana osoba modeluje myślenie. Metaprogramy nie opierają się na subiektywnej ocenie eksperta. To narzędzie dowodowe, aksjomat, a nie twierdzenie do udowodnienia w ocenie osobowości.

Za pomocą metaprogramów można określić ogólną charakterystykę człowieka, jego styl życia, wzorce zachowań, przekonania i obraz świata, możliwe stereotypy, którymi się kieruje, oraz cechy osobiste, a także przeprowadzić zawodowe dostosowanie jego aktywności, dopasować sposób oddziaływania do typu programu i tak dalej.

Profilowanie emocjonalne

To rozpoznanie wiodących reakcji emocjonalnych właściwych danej osobie. Określenie bazy emocjonalnej pomaga ustalić styl myślenia i pryzmat postrzegania każdego człowieka oraz to, w jakich zewnętrznych oznakach dana emocja się wyrazi.

Piramida wartości i celów człowieka

Ludzie świadomie podążają drogą realizacji swoich celów i wspierających je wartości. Rozpoznanie tej cechy osobowości pomoże Ci zrozumieć, na ile podobne są Twoje i partnera podejścia do zachowania. Jednocześnie człowiek nie jest "otwartą księgą": zwykle ukrywa prawdziwe intencje albo w ogóle nie w pełni uświadamia sobie swoje cele. Profilowanie oparte na piramidzie wartości i celów pomaga dobrać właściwy poziom i kąt oddziaływania na rozmówcę.

Charakter człowieka i jego maski

Technologie profilowania z wysoką dokładnością pomagają określić charakter każdego człowieka, a także zestaw ról społecznych i masek, za którymi się chowa. Pozwala to oddzielić zewnętrzne elementy autoprezentacji od rzeczywistych punktów odniesienia, na których człowiek się opiera.

Analiza lingwistyczna i presupozycyjna wypowiedzi

Obejmuje ocenę człowieka na podstawie jego indywidualnych wzorców mowy, sposobu formułowania zdań, poprawności w piśmie i mowie, użycia form wyrazowych oraz konstrukcji składniowych.

Każdy z obszarów profilowania bada część portretu badanej osoby, co ostatecznie składa się na pełny obraz. Pomaga on określić czynniki ryzyka we współpracy z tą osobą, stopień jej lojalności i kompetencji w interesujących nas kwestiach, skorygować jej potencjał zawodowy i karierowy, wskazać słabe punkty oraz bolączki, a w razie potrzeby zapewnić ukierunkowane oddziaływanie.

Profil osobowości: archetypy

Ogólne podejście w profilowaniu sprowadza się do tego, aby na podstawie wszystkich wymienionych narzędzi poprawnie określić profil psychologiczny człowieka i uwzględnić jego cechy indywidualne. Eksperci wciąż spierają się, ile takich profili istnieje, a definicje samych profili wiele osób interpretuje po swojemu. Znane są podziały według typologii jungowskiej, freudowskiej, postjungowskiej, postfreudowskiej oraz autorskich rozkładów archetypów. Przyjrzyjmy się jednemu z popularnych modeli ostatnich dziesięcioleci, typologii Liczko-Leonharda, zgodnie z którą wyróżnia się 12 profili psychologicznych osobowości:

1. pedantyczny (dokładny, staranny, unikający konfliktów, mało elastyczny);
2. utrwalony (przenikliwy, mściwy, nastawiony na cel, z wyraźnym podziałem otoczenia na swoich i obcych);
3. pobudliwy (słabo panujący nad sobą, niecierpliwy, emocjonalny, łatwo się zapalający);
4. hipertymiczny (towarzyski, zawsze pełen energii, impulsywny, nadaktywny, łatwo pobudliwy);
5. ekstrawertyczny (nastawiony na odbiór świata zewnętrznego, skupiony na sobie, łatwo ulegający wpływom);
6. dystymiczny (o słabej woli, pesymistyczny, z niską samooceną, zahamowany);
7. afektywno-labilny (cykliczny, wrażliwy, szukający uwagi);
8. egzaltowany (entuzjastyczny, aktywny, z elementami nadmiernej dramatyzacji);
9. lękowy (nadwrażliwy, wycofany społecznie, nerwowy);
10. emotywny (odczuwający pełną paletę emocji, empatyczny, wrażliwy na otoczenie);
11. demonstracyjny (bystry umysł, artystyczny, z łatwością kłamiący, skłonny do ryzyka);
12. introwertyczny (skupiony na własnym postrzeganiu, głęboko analizujący swoje emocje, obdarzony wyobraźnią, zdystansowany wobec innych).

Po co w profilowaniu psychotypy? Psychotypy służą jako wyjściowa matryca, która pozwala przypisać badaną osobę do jednej z tych grup. Po uzyskaniu tej ogólnej informacji profiler bada indywidualne cechy charakteru i zachowania. Czasem takie ogólne profilowanie wykorzystuje się również do ogólnej typologii osobowości.

Czy profilowanie pomaga wykryć kłamstwo?

Profilowanie to ustalenie, jak mózg rozumie drugiego człowieka, odnalezienie jego portretu psychologicznego i odpowiedź na pytanie: co z tego, co człowiek pokazuje na zewnątrz, jest prawdą, a co fałszem, udawaniem i wymysłem w ramach pełnionej roli społecznej. Tak więc owszem, narzędzia te pomogą ustalić, czy rozmówca właśnie Cię oszukuje. Nie jest to jednak dokładne w 100%. Na wynik negatywnie wpływają następujące czynniki:

1. ewolucja społeczna. Ludzkość od początku nie została ukształtowana tak, aby reakcja na dany bodziec była w 100% jednoznaczna. Trwa nieustanna ewolucja, także w świecie emocji i ich obrony. Oczywiście istnieje margines błędu wynikający z cech indywidualnych: jedni lepiej radzą sobie z własnymi reakcjami, inni gorzej. Z reguły średnia trafność profilera wynosi 70%;

2. osobiste wzorce. Negatywnie na analizę może wpłynąć również odcisk osobowości samego profilera. Ekspert przenosi wtedy własne doświadczenie na badaną osobę i wyciąga wnioski obarczone błędem;

3. brak konsekwencji błędu dla profilera. To cecha psychiki każdego człowieka: jeśli nie widzimy skutków własnego błędu ani groźby kary, nie dajemy z siebie 100%, tylko szukamy łatwiejszego wariantu. Możliwa kara skłania do skuteczniejszego i aktywniejszego działania;

4. przenoszenie oczekiwanych cech na badaną osobę. To tak zwany efekt aureoli – rozmówca mimowolnie przypisuje drugiej osobie określony zestaw cech wyłącznie na podstawie jej wyglądu. Na przykład osobie w garniturze przypisujemy cechy biznesmena: zmysł do interesów, umiejętność analizy, powagę itp.

W profilowaniu istnieje zestaw specjalnych narzędzi nastawionych właśnie na wykrywanie oszustwa, kłamstwa i prawdziwych motywów człowieka. Nazywa się je również kluczami lub regułami wykrywania kłamstwa:

• stała (określenie normy zachowania człowieka, do której odnosi się późniejszą ocenę);

• zmiana (obserwowanie i rejestrowanie każdego odstępstwa od normy przyjętej jako stała);

• klastry (rozpoznawanie działań werbalnych i niewerbalnych odpowiadających emocjom oraz kłamstwu);

• spójność (porównywanie reakcji na konkretne pytania i przypisywanie ich do klastrów odpowiadających prawdzie i kłamstwu);

• uprzedzenie (do wykrywania kłamstwa i prawdy nie wolno podchodzić z personifikacją, przenoszeniem własnych cech ani z uprzedzeniem);

• zakłócenie (neutralność wobec rozmówcy: nie należy samemu stawać się bodźcem w rozmowie, bo wpłynie to na czystość oceny);

• walidacja krzyżowa (dodatkowe sprawdzenie reakcji na tematy przeciwne do tych, które nas interesują).

W praktyce stosowanie tych reguł i ich skuteczność zależą od doświadczenia i profesjonalizmu profilera, od wewnętrznych uwarunkowań badanej osoby, a po części także od okoliczności zewnętrznych w momencie badania. Wykrycie kłamstwa jest bardzo trudne. Na cały proces wpływają czynniki pośrednie i bezpośrednie.

Gdzie wykorzystuje się wykrywanie kłamstwa metodami profilowania? W kryminalistyce, analizie biznesowej, pracy konsultantów politycznych, sprzedaży, marketingu, przy profilowaniu nowych pracowników i ocenie dotychczasowych oraz w wielu innych obszarach. Ogólnie rzecz biorąc, narzędzia profilowania może wykorzystać każda dziedzina, w której komunikuje się z różną liczbą osób, dobiera indywidualne podejście do człowieka i korzysta z portretu psychologicznego, aby łatwiej wejść do zespołu. Profilowanie znacząco pomaga w ocenie biznesowych i osobistych cech partnerów, ich wiarygodności i lojalności, prawdziwych motywów oraz planów.

Profilowanie cyfrowe

We współczesnym profilowaniu zawodowym pojawiło się nowe pojęcie – profilowanie cyfrowe. To badanie danych osobowych człowieka i profilowanie na podstawie jego aktywności w internecie, a także prowadzenie specjalistycznych testów i ankiet, które pozwalają określić typ profilu psychologicznego nawet bez kontaktu fizycznego.

Profilowanie cyfrowe jest dziś bardzo popularne, zwłaszcza w obszarze zarządzania zasobami ludzkimi. Pracownicy działów HR i agencji rekrutacyjnych wykorzystują ten rodzaj analizy, aby zestawić rzeczywisty profil kandydata z potrzebami konkretnego wakatu. Pomaga to znaleźć najlepszego kandydata, pasującego do danego stanowiska i zakresu obowiązków. Z perspektywy firmy profilowanie cyfrowe pomaga w:

• skutecznym zarządzaniu personelem i doborze pracowników odpowiednich na dane stanowisko;

• tworzeniu środowiska sprzyjającego rozwojowi pracowników i ich potencjału, co pozwala na ukierunkowane podejście do szkoleń oraz wykorzystania zasobów pracy;

• wydłużeniu okresu zatrudnienia pracownika w firmie dzięki doborowi profilu stanowiska lepiej dopasowanego do konkretnej osoby.

Wykorzystanie profilowania cyfrowego stało się jeszcze skuteczniejsze po wdrożeniu narzędzi sztucznej inteligencji. Big Data i uczenie maszynowe dają dostęp do ogromnych ilości danych w badaniach, dzięki czemu profilowanie odbywa się dokładniej i w czasie rzeczywistym.

Wnioski

Profilowanie to metodyczny, oparty na dowodach proces badania człowieka, jego cech oraz prawdziwych motywów. To obszerna, złożona praca, którą wykonują profesjonaliści. Personifikacja procesów i obiektów to nowy trend XXI wieku, w którym nawet z pozoru zwyczajne działania kieruje się do konkretnej grupy docelowej, z uwzględnieniem jej cech oraz mocnych i słabych stron. Stosowanie profilowania zapewnia nie tylko obniżenie kosztów w perspektywie średnio- i długoterminowej, lecz także komfort psychiczny w zespole oraz skuteczną realizację planów biznesowych.

Główne funkcje Security Operations Center (SOC)

Przyjrzyjmy się podstawowym funkcjom SOC.

Po pierwsze, jest to monitorowanie i analiza zdarzeń bezpieczeństwa. Personel SOC musi zapewniać stały wgląd w aktywność sieciową, żeby wykrywać nietypowe zachowania zarówno obiektów zewnętrznych, jak i tych w wewnętrznym obwodzie bezpieczeństwa przedsiębiorstwa. Do monitorowania i analizy zdarzeń najczęściej wykorzystuje się systemy zarządzania zdarzeniami i informacjami, czyli systemy SIEM, systemy monitorowania ruchu sieciowego Network Detection and Response (NDR), systemy śledzenia i reagowania na zagrożenia na urządzeniach końcowych EDR/XDR (komputery osobiste, serwery firmowe), systemy zautomatyzowanej obsługi incydentów SOAR, systemy analizy ruchu sieciowego IDS/IPS służące do wykrywania ataków, anomalii i włamań oraz platformy threat intelligence (TIP).

Po drugie, SOC służy do wykrywania incydentów bezpieczeństwa informacji i reagowania na nie, analizowania zagrożeń oraz szybkiego usuwania wykrytych podatności. Pracownicy działu cyberbezpieczeństwa z pomocą kompleksu SOC mogą ustalić źródło i zasięg incydentu, ocenić poziom ryzyka oraz potencjalne konsekwencje, zdecydować o środkach reagowania i zneutralizować atak.

Po trzecie, SOC obejmuje proces zarządzania podatnościami i zagrożeniami. To proces wykrywania słabych punktów systemu i ich usuwania, tak aby zapewnić przedsiębiorstwu bezpieczeństwo informacji również w przyszłości. Z reguły dzieli się on na kilka etapów: budowę bazy aktywów informacyjnych, identyfikację słabych punktów systemu, ocenę i priorytetyzację wykrytych zagrożeń, usuwanie problemów oraz dalsze monitorowanie i analizę.

Po czwarte, działania śledcze dotyczące incydentów bezpieczeństwa informacji oraz informatyka śledcza. Na tym etapie zespół specjalistów pracujących w firmie bada przyczyny i skutki wykrytych już incydentów, zbiera i analizuje pozyskane dane, żeby ograniczyć podobne zagrożenia w przyszłości.

Po piąte, SOC wspiera organizację w spełnianiu wymagań prawnych i standardów bezpieczeństwa. Chodzi na przykład o wymagania normy ISO 27001/2022: Bezpieczeństwo informacji, cyberbezpieczeństwo i ochrona prywatności — Systemy zarządzania bezpieczeństwem informacji.

 Komponenty SOC

Centrum monitorowania i kontroli cyberbezpieczeństwa, czyli SOC, składa się z trzech głównych komponentów: ludzi, procesów i technologii.

• Ludzie jako kluczowe ogniwo wszystkich operacji i działań związanych z zarządzaniem procesami oraz technologiami służącymi zapewnieniu bezpieczeństwa informacji. Mowa o firmowych specjalistach cyberbezpieczeństwa, analitykach, inżynierach, osobach reagujących na incydenty i podobnych rolach.

• Procesy — czyli wszystkie ustandaryzowane procedury reagowania na zdarzenia bezpieczeństwa informacji (audyt, zarządzanie aktualizacjami i dostępem, polityki bezpieczeństwa, plany reagowania na incydenty i tak dalej).

• Technologie — wszystkie narzędzia wykorzystywane do ochrony informacji w przedsiębiorstwie, zarówno w zewnętrznym, jak i wewnętrznym obwodzie bezpieczeństwa. Należą do nich UEBA, systemy SIEM, IDS/IPS, systemy DLP, EDR i inne elementy.

Rodzaje SOC

Wyróżnia się trzy główne rodzaje SOC:

1. wewnętrzny SOC (in-house). Firmowe centrum bezpieczeństwa tworzone i wykorzystywane wewnątrz organizacji, dające pełną kontrolę nad zasobami informacyjnymi. SOC in-house pochłania znaczne zasoby finansowe i kadrowe, a pełna odpowiedzialność spoczywa na pracownikach firmy;
2. zewnętrzny SOC (MSSP, czyli Managed Security Service Provider). To model outsourcingowy, w którym usługi SOC świadczy wyspecjalizowana firma wynajęta przez organizację. To rozwiązanie kompromisowe: firma nie zajmuje się bezpieczeństwem informacji bezpośrednio, lecz korzysta z zasobów i doświadczenia zewnętrznych usługodawców;
3. zewnętrzny SOC (MSSP, czyli Managed Security Service Provider). To model outsourcingowy, w którym usługi SOC świadczy wyspecjalizowana firma wynajęta przez organizację. To rozwiązanie kompromisowe: firma nie zajmuje się bezpieczeństwem informacji bezpośrednio, lecz korzysta z zasobów i doświadczenia zewnętrznych usługodawców.

 Rola systemu DLP w SOC

Systemy DLP odgrywają kluczową rolę w pracy Security Operations Centre. To właśnie dzięki temu oprogramowaniu udaje się zapobiegać wyciekom danych poufnych wewnątrz sieci korporacyjnej. Systemy DLP kontrolują przesyłanie informacji w przedsiębiorstwie, wykrywają nietypowe zachowania użytkowników i pomagają ograniczać ryzyko wycieku danych z dowolnej przyczyny: działania insidera, nieuwagi lub błędu pracownika, celowego zniszczenia albo modyfikacji danych.

Podstawowa zasada działania systemów DLP to analiza i kontrola przepływu danych w firmie. Osiąga się to przez śledzenie jak największej liczby dróg przesyłu danych, w tym poczty elektronicznej, komunikatorów, serwisów społecznościowych, komunikacji audio i wideo, nośników zewnętrznych oraz magazynów chmurowych.

Ważną zaletą systemów DLP jest również ich dostępność i możliwość integracji z pozostałymi narzędziami SOC. Pozwala to łączyć analitykę zdarzeń bezpieczeństwa i podnosi ogólną skuteczność wdrożonych zabezpieczeń. Dzięki takiej integracji można szybciej reagować na incydenty, wykrywać zagrożenia wewnętrzne i automatyzować dochodzenia z użyciem informatyki śledczej.

SOC obejmuje zarządzanie podatnościami i zagrożeniami: wykrywanie słabych punktów zabezpieczeń i ich usuwanie, tak by zapewnić firmie odporność. Systemy DLP odgrywają w tym procesie istotną rolę dzięki możliwości badania zarejestrowanych incydentów bezpieczeństwa informacji. Na przykładzie Anexet Ultimate: w dochodzeniach można wykorzystać szczegółowe dzienniki zdarzeń, analitykę aktywności użytkowników, wizualne pulpity oraz narzędzia przydatne w informatyce śledczej. Jest tam nawet osobny moduł poświęcony dochodzeniom.

Kluczowe wyzwania i problemy SOC

Wraz z szybko postępującą cyfryzacją i rosnącą liczbą cyberataków centra monitorowania bezpieczeństwa stają się nieodłącznym elementem cyberobrony organizacji. Odpowiadają za monitorowanie, wykrywanie i analizę incydentów bezpieczeństwa informacji oraz reagowanie na nie. Mimo swojego znaczenia i skuteczności SOC mierzą się jednak z szeregiem poważnych wyzwań, które mogą obniżać ich wydajność i utrudniać wykrywanie zagrożeń na czas.

Postęp technologiczny, usługi chmurowe, internet rzeczy (IoT) i wyrafinowane ataki wielowektorowe sprawiają, że tradycyjne podejście do cyberbezpieczeństwa przestaje wystarczać. Firmy są zmuszone dostosowywać swoje SOC, wdrażając nowe narzędzia i strategie przeciwdziałania zagrożeniom. W tym kontekście przed współczesnymi SOC stoi kilka kluczowych wyzwań.

Główne wyzwania Security Operations Center sprowadzają się do następujących kwestii.

Duże wolumeny danych i złożoność przetwarzania zdarzeń

Współczesne SOC pracują z ogromnymi strumieniami danych pochodzącymi z wielu źródeł: systemów SIEM, logów sieciowych i serwerowych, oprogramowania antywirusowego, systemów wykrywania włamań (IDS/IPS) i innych. Liczba zdarzeń bezpieczeństwa może sięgać milionów dziennie, co utrudnia ich przetwarzanie i filtrowanie. Bez skutecznych mechanizmów korelacji zdarzeń i priorytetyzacji incydentów analitycy SOC ryzykują przeciążenie i przeoczenie naprawdę krytycznych zagrożeń.

Brak wykwalifikowanych specjalistów

Cyberbezpieczeństwo mierzy się ze znacznym niedoborem kadr, zwłaszcza doświadczonych analityków SOC dysponujących wiedzą i umiejętnościami niezbędnymi do wykrywania złożonych ataków. Duże obciążenie istniejących zespołów SOC zwiększa ryzyko błędu ludzkiego, wydłuża czas reakcji na incydenty i komplikuje proces badania oraz usuwania zagrożeń.

Współczesne cyberzagrożenia i trudność ich wykrywania

Cyberprzestępcy nieustannie rozwijają taktyki ataków, sięgając po socjotechnikę, złośliwe oprogramowanie, ataki na łańcuch dostaw, wykorzystywanie podatności zero-day i inne wyrafinowane techniki. Tradycyjne metody wykrywania oparte na sygnaturach nie radzą sobie już z nowymi zagrożeniami, dlatego SOC muszą wdrażać zaawansowane technologie, takie jak analiza behawioralna, korelacja danych i proaktywne polowanie na zagrożenia.

Automatyzacja i uczenie maszynowe w SOC

W warunkach dużego obciążenia SOC kluczowe znaczenie ma automatyzacja procesów wykrywania incydentów i reagowania na nie. Sztuczna inteligencja (AI) i uczenie maszynowe (ML) potrafią analizować ogromne ilości danych, wykrywać anomalie w zachowaniu użytkowników i systemów oraz przewidywać potencjalne zagrożenia. Ich wdrożenie wymaga jednak znaczących inwestycji, właściwego dostrojenia modeli i stałego monitorowania ich skuteczności.

Integracja SOC z procesami biznesowymi

Ważne, żeby cyberbezpieczeństwo nie funkcjonowało w oderwaniu od reszty firmy, lecz było ściśle powiązane z ogólnymi celami biznesowymi organizacji. Brak synchronizacji SOC z kluczowymi procesami firmy prowadzi do błędnej alokacji zasobów, niedoszacowania ryzyka i opóźnień w podejmowaniu decyzji.

Spełnianie wymagań regulacyjnych

Firmy muszą spełniać różne standardy i regulacje (GDPR, ISO 27001, NIST, PCI DSS i inne), co nakłada na SOC dodatkowe obowiązki. Poza wykrywaniem i usuwaniem zagrożeń dochodzą raportowanie, audyty i wykazywanie zgodności przed regulatorami, a to zajęcie czasochłonne i kosztowne.

Trendy i perspektywy

Przyjrzyjmy się temu, jakie kierunki rozwoju SOC będą najistotniejsze w najbliższych latach.

Wykorzystanie sztucznej inteligencji i uczenia maszynowego

Dziś szczególnego znaczenia nabiera rozwój narzędzi wykorzystujących sztuczną inteligencję do automatyzacji procesów. Technologię tę można zastosować także przy budowie obwodu bezpieczeństwa przedsiębiorstwa w ramach pracy SOC, i to na wielu polach: od zbierania statystyk incydentów i analizy zagrożeń po korelację zdarzeń, wykrywanie anomalii w zachowaniu użytkowników i automatyczne udaremnianie ataków.

Automatyzacja procesów reagowania

Dziś aktualny jest trend maksymalnej automatyzacji procesów we wszystkich dziedzinach. Temat jest istotny, ponieważ automatyzacja obniża koszty finansowe i nakład pracy potrzebny do utrzymania danego procesu, a także ogranicza wpływ czynnika ludzkiego. Automatyzacja procesów reagowania w SOC pozwala znacząco skrócić czas badania incydentów bezpieczeństwa oraz zwiększyć skuteczność i szybkość reakcji na wykryte zagrożenia. Jednocześnie wyraźnie maleje obciążenie specjalistów cyberbezpieczeństwa, których zadania ograniczają się do korygowania zautomatyzowanych procesów zamiast śledzenia pełnego cyklu bezpieczeństwa przedsiębiorstwa. 

Chmurowe SOC

Skalowalność i elastyczność chmurowych rozwiązań bezpieczeństwa zostały docenione przez specjalistów cyberbezpieczeństwa i na dobre zadomowiły się w SOC. Platformy chmurowe centralizują monitorowanie zdarzeń w całym przedsiębiorstwie, upraszczają zarządzanie zasobami cyfrowymi i przyspieszają wdrażanie nowych narzędzi bezpieczeństwa, w tym systemów DLP.

Rozwój threat huntingu

Threat hunting to proaktywne poszukiwanie zagrożeń i zapobieganie atakom na przedsiębiorstwo. Analitycy SOC trzymają się jego podstawowych zasad: proaktywności, analizy hipotez dotyczących bezpieczeństwa informacji, analizy danych, korelacji zdarzeń, automatyzacji i uczenia maszynowego. Threat hunting służy do wykrywania wczesnych faz ataków, ograniczania szkód, wykrywania nowych zagrożeń, poprawy ogólnej higieny cyfrowej organizacji oraz pogłębiania wiedzy analityków SOC o rzeczywistych atakach.

W SOC threat hunting często uzupełnia tradycyjne metody monitorowania i reagowania, udaremniając cyberataki na najwcześniejszych etapach.

Wzrost liczby ataków na IoT i rosnące znaczenie ochrony tego typu urządzeń

W ostatnich latach gwałtownie wzrosła liczba cyberataków na obiekty IoT. Wynika to z rosnącej liczby podłączonych urządzeń IoT, w tym czujników przemysłowych, sterowników i urządzeń medycznych, z narastających podatności w systemach SCADA i sterownikach programowalnych, z braku podstawowej cyberochrony w wielu urządzeniach oraz ze stosowania starych protokołów komunikacyjnych bez wbudowanych zabezpieczeń.

Aby chronić infrastrukturę krytyczną, firmy zaczynają dostosowywać SOC do pracy z urządzeniami IoT. Obejmuje to monitorowanie zagrożeń specyficznych dla IoT, wdrażanie wyspecjalizowanych platform SIEM dla systemów przemysłowych, analizę behawioralną urządzeń IoT i segmentację sieci, a także włączanie systemów ICS/SCADA w ogólny krajobraz cyberbezpieczeństwa.

Technologie kwantowe i ich wpływ na bezpieczeństwo

Przedsiębiorstwo musi brać pod uwagę ryzyko ataków z użyciem obliczeń kwantowych, przygotowywać się na te zagrożenia i rozwijać algorytmy kryptografii postkwantowej.

Podsumowanie

SOC odgrywa ważną rolę w ochronie organizacji przed cyberzagrożeniami. Jego ewolucja zmierza w stronę automatyzacji, wykorzystania AI i integracji z różnymi narzędziami bezpieczeństwa, w tym z DLP. Firmy, które inwestują w budowę i rozwój SOC, zyskują wymierne korzyści w zakresie ochrony danych i infrastruktury.

Bezpieczeństwo przedsiębiorstwa, w tym bezpieczeństwo informacji, to szczególny temat do analizy. Dla wielu menedżerów jest to bolesna kwestia, ponieważ ostateczny wybór strategii, narzędzi realizacji i opracowanie całego programu polityki bezpieczeństwa informacji w firmie pochłania mnóstwo zasobów – zarówno ludzkich, jak i finansowych. Tego zadania nie należy jednak lekceważyć. Nierzadko zdarza się, że przedsiębiorstwo ponosi ogromne straty, bo nie zapewniło elementarnej struktury bezpieczeństwa informacji. Dziś w artykule analityków Anexet omawiamy jedno z najpopularniejszych rozwiązań dla biznesu: system DLP, i przyglądamy się temu, jak go kupić.

Czym jest system DLP

System DLP to specjalne narzędzie programowe, które wchodzi w skład zestawu działań zapewniających bezpieczeństwo informacji w firmie, chroni wewnętrzny ruch informacyjny i zajmuje jedną z czołowych pozycji w całym obwodzie bezpieczeństwa biznesu.

Temat ten jest całkiem aktualny dla wszystkich organizacji, niezależnie od ich wielkości i specyfiki działalności. Wszędzie istnieje pewna część danych poufnych, które wymagają ochrony przed wpływem zewnętrznym, wszędzie występują zagrożenia bezpieczeństwa tych danych pochodzące zarówno z zewnątrz, jak i z wewnątrz firmy, wszędzie zdarza się pewien odsetek niefrasobliwości w obchodzeniu się z informacjami, co może prowadzić do wymiernych strat materialnych i reputacyjnych. Nowoczesne systemy DLP rozwiązują wiele konkretnych, aktualnych problemów biznesowych, dlatego uważamy ten temat za przydatny.

Niezależnie od tego, jak barwne są opisy w prezentacji produktu dla użytkownika końcowego, w tym przypadku firmę interesuje część praktyczna: jakie problemy i punkty krytyczne system DLP będzie w stanie rozwiązać.

Ochrona danych

To oczywiście jedna z głównych funkcji systemu. Cała jego praca jest nakierowana na zapobieganie wyciekom informacji poufnych poza obwód bezpieczeństwa informacji firmy, z jakiegokolwiek powodu.

Walka z insiderami

System śledzi działania wyzwalające w przepływie informacji i informuje o nich specjalistę ds. bezpieczeństwa. Może to być celowe kopiowanie plików poufnych, przenoszenie dokumentów z oznaczeniami poufności, wysyłanie zdjęć dokumentów do serwisów społecznościowych i inne. Systemy DLP badają najbardziej dotkliwe sytuacje i z wyprzedzeniem przewidują schemat reagowania na ich wystąpienie: powiadomienie odpowiedzialnych pracowników lub zablokowanie działania. 

Tworzenie archiwum komunikacji biznesowej

Systemy DLP zapewniają aktualne, dokładne i wygodne w obsłudze archiwum komunikacji biznesowej, które przechowuje wszystkie informacje i pozwala wykorzystywać je do analityki.

Automatyzacja i cyfryzacja pracy pracowników działu bezpieczeństwa informacji

Systemy DLP oferują wiele opcji raportowania i monitorowania zdarzeń w obrębie obwodu bezpieczeństwa. Znacznie podnosi to efektywność działu bezpieczeństwa informacji i jego pracowników, minimalizuje błąd ludzki i zwiększa obiektywność oceny.

Utrzymanie reputacji i standardów rzetelnego partnerstwa

Wdrożenie systemu DLP podnosi ogólny poziom bezpieczeństwa danych w przedsiębiorstwie, co partnerzy odczytują jako pozytywny sygnał i oznakę rzetelności. Zmniejsza się przy tym również ryzyko negatywnego wpływu na dane samego partnera, prawdopodobieństwo wycieku oraz presja ze strony osób trzecich.

Kontrola efektywności i lojalności pracowników

Badanie bezpieczeństwa poufnych danych przedsiębiorstwa w ramach funkcjonalności systemu DLP jest ściśle powiązane z badaniem efektywności wykorzystania czasu pracy pracowników. Cały przepływ informacji jest bowiem spersonalizowany – zawsze można ustalić, kto, co, skąd, gdzie i kiedy przesłał. Dlatego producenci wykorzystują te informacje do monitorowania pracowników. Systemy DLP potrafią udostępnić dane o efektywności pracy, czasie pracy i aktywności sieciowej, zapamiętywać i analizować wszystkie informacje z kont osobistych używanych przez pracowników w czasie pracy i wiele więcej. Za pomocą wyszukiwania kontekstowego można też określić lojalność lub nielojalność pracowników wobec kierownictwa i firmy jako całości. 

To tylko część zadań, jakie rozwiązuje system DLP. Oprogramowanie to jest tak pożądane właśnie dlatego, że zapewnia wysokiej jakości analizę i raportowanie przy pełnej swobodzie obiegu danych.

Dlaczego zakup systemu DLP bywa problemem?

Dlaczego zadanie zakupu systemu DLP jest dla wielu osób nieosiągalne? Przyjrzyjmy się temu problemowi bliżej. 

Po pierwsze, nie wszystkie firmy dostrzegają problem w braku zabezpieczenia danych. 

Choć może to dziwić, nawet w XXI wieku, w czasach cyfryzacji biznesu i maksymalnego powiązania wszystkich procesów z obsługą internetową, nie każdy realnie ocenia potrzebę bezpieczeństwa informacji i wdrażania nowoczesnych rozwiązań w biznesie. To samo dotyczy firm, które są przekonane o unikalności swoich usług i, nie mając bezpośrednich konkurentów, wierzą, że konkurenci pośredni lub internetowi oszuści nie zainteresują się bliżej ich działalnością.

Po drugie, specjaliści firmy nie zawsze są gotowi obiektywnie ocenić oferty oprogramowania dostępne na rynku. 

Według części odpowiedzialnych menedżerów proces ten wymaga określonych nakładów (czasu, środków finansowych) i decyzji kadrowych już na etapie wyboru. Nie jest to jednak do końca prawdą. Firmy będące dostawcami przedstawiają swój produkt wystarczająco szczegółowo, prowadzą prezentacje, odpowiadają na pytania i pracują z obiekcjami. Ciężar szkolenia z oprogramowania spada na barki dostawcy. A co najważniejsze: wielu producentów oferuje okres testowy, w którym firmy mogą w praktyce ocenić przydatność produktu i samą ofertę.

Po trzecie, firmy mogą mieć obiekcje co do prawnego zabezpieczenia tego procesu. 

Pierwsza nieuświadomiona obiekcja klientów brzmi: na ile jest to legalne? I czy nie pociągnie to za sobą długotrwałych konsekwencji prawnych dla firmy? W rzeczywistości skutki wdrożenia systemu DLP są wręcz przeciwnie – pozytywne. Pracodawca ma prawo oceniać produktywność pracownika, kontrolować wykonywanie obowiązków służbowych i przestrzeganie harmonogramów.
Jednocześnie systemy DLP pomagają firmie spełniać wymogi regulatorów w zakresie bezpieczeństwa danych osobowych przy ich przetwarzaniu i przechowywaniu w systemach informatycznych. 

Po czwarte, firmy mogą brać pod uwagę wyłącznie obronę przed zewnętrznymi zagrożeniami bezpieczeństwa informacji, uznając, że to wystarczy.

To również częsty problem w procesie rozwiązywania globalnego zadania zapewnienia bezpieczeństwa informacji w przedsiębiorstwach. Z reguły bardziej rozreklamowane i popularne są rozwiązania programowe chroniące przed wpływem zewnętrznym (wprowadzeniem złośliwego oprogramowania), podczas gdy w ogólnym obwodzie bezpieczeństwa możliwe są także wewnętrzne zagrożenia wyciekiem danych i ryzyka związane z insiderami.

Kryteria wyboru systemu DLP

Kryteria wyboru systemu DLP można z grubsza podzielić na trzy grupy:

• według reputacji;

• według funkcjonalności;

• według obsługi posprzedażowej.

Według reputacji

Pierwszym krokiem w poznawaniu dostawcy oprogramowania jest zbadanie jego reputacji. Trzeba sprawdzić, czy dostawca ma licencje na świadczenie usług i certyfikaty zgodności ze standardami jakości przyjętymi w tym obszarze w danym kraju.

Drugim krokiem jest przyjrzenie się historii dostawcy oprogramowania: jak długo trwa rozwój produktu, jakie cele i wartości korporacyjne wspiera firma, jaki zespół pracowników jest zaangażowany w projekt. Pomoże to zrozumieć, jakie doświadczenie ma dostawca za sobą i czy wykorzystuje je w produkcie.

Trzecim krokiem jest przegląd aktywności społecznej firmy. Media społecznościowe są dziś twarzą firmy, jej głosem. Można dowiedzieć się o planach firmy, możliwych aktualizacjach i wydaniach oprogramowania oraz o tym, jak silnie produkt jest reprezentowany na rynku międzynarodowym i w środowisku deweloperskim.

Czwarty krok to opinie w internecie, przegląd funkcjonalności przez zewnętrznych użytkowników i ekspertów oraz analiza rankingów oprogramowania. Oczywiście kupowanie opinii – zarówno pozytywnych dla własnego produktu, jak i negatywnych dla konkurenta – jest dziś rozpowszechnioną praktyką. Zdarzają się jednak także całkiem informatywne, które rzeczowo podkreślają wady lub zalety produktu.

Funkcjonalność

Funkcjonalność jest kluczem każdego programu, zwłaszcza jeśli jest wykorzystywany w tak wrażliwym obszarze jak bezpieczeństwo informacji. Co warto zbadać przy wyborze systemu DLP?

Jakie kanały przechwytywania informacji są proponowane w danej wersji?

Oczywiście im więcej źródeł, tym bardziej przydatne będzie wdrożenie. Optymalne rozwiązanie to takie, które łączy źródła ruchu internetowego, serwisy społecznościowe, komunikatory, usługi pocztowe i inne (zarówno w wersjach webowych, jak i desktopowych). Systemy DLP mogą też uwzględniać korzystanie z zewnętrznych nośników danych, drukarek lokalnych i sieciowych oraz magazynów w chmurze. Poza źródłami ważne są również formaty, które system potrafi analizować. Na przykład nieskuteczna będzie analiza wyłącznie ruchu internetowego w protokołach HTTP/HTTPS przy pominięciu ruchu SSL przesyłanego przez protokoły szyfrowane. Albo rezygnacja z analizy kopiowania dokumentów na nośniki danych przy ocenie ogólnej wymiany plików w sieci.

Jaki rodzaj analizy jest stosowany w systemie DLP?

Systemy DLP powinny zapewniać najwyższy poziom analizy przechwyconych informacji, niezależnie od formatu przesyłania, okoliczności zewnętrznych i wewnętrznych, zdarzeń, podłączanych urządzeń i innych czynników. Dlatego producenci starają się stosować różne podejścia do analizy. Najczęściej wykorzystuje się analizę treściową (według słów, wyrażeń w przesyłanych danych) oraz analizę zdarzeniową (według faktu wystąpienia określonego działania, które jest zabronione lub monitorowane). Popularnymi rodzajami analizy informacji w systemach DLP są też analiza statystyczna (według wskaźników liczbowych) i analiza atrybutowa (poprzez określanie atrybutów pliku, dokumentów i przesyłanych informacji). To dość obszerny temat, który każdy dostawca opracowuje osobno, i im szerzej jest przedstawiony w systemie, tym lepiej.

Z punktu widzenia nabywcy konieczna jest ocena realnych potrzeb istniejących w firmie i ich realizacji przez konkretnego dostawcę.  Załóżmy, że klasyczny typ systemu DLP wystarczająco dobrze radzi sobie z analizą treści, uwzględniając przy tym wiele źródeł. Jednak w wyszukiwaniu wykorzystywane są wyłącznie „poprawne” formy zapisu tekstu, a technologie analizy lingwistycznej nie uwzględniają ludzkiej właściwości popełniania błędów, pośpiechu i skracania słów – szczególnie w komunikacji nieformalnej. Część producentów rozumie tę specyfikę i oferuje analizę z korektą błędów gramatycznych i form wyrazowych w tekście.

Ważna jest również możliwość rozpoznawania złożonych dokumentów, gdzie analiza przesyłania tekstu i obrazu (wydruk, zdjęcie) jest łączona. Na przykład zapytaj dostawcę, czy jego system rozpoznaje przesłanie zdjęcia licencji na działalność. Firma zajmująca się web designem zdecyduje się natomiast na zakup systemu DLP tylko wtedy, gdy system wykrywa przesyłanie grafiki wektorowej przez kanały komunikacji.

Czy system DLP ma narzędzia szybkiego reagowania na fakt przesłania informacji?

W przypadku systemów DLP nie wystarczy tylko wykryć fakt naruszenia bezpieczeństwa informacji – trzeba też zaproponować skuteczne narzędzie do przerwania tego działania, blokujące transmisję. Na przykład system Anexet umożliwia blokowanie przesyłania danych w różnych warunkach:

• blokowanie po treści (według tekstu, form wyrazowych itp.);

• blokowanie po dacie i godzinie (przesyłanie danych w określonym dniu/określonej liczbie dni, w określonych godzinach);

• blokowanie według statusu dokumentu (nadawanego w samym systemie);

• blokowanie według adresu IP (wybiórczo dla wskazanych adresów IP);

• blokowanie według parametru pliku (na podstawie wybranych atrybutów plików);

• blokowanie według kategorii witryn (z góry określonego zakresu stron) oraz inne rodzaje blokad. 

Jak działają blokady? Całkiem prosto: wszystkie przechwycone dane są sprawdzane pod kątem wcześniej zdefiniowanych reguł blokowania i jeśli wystąpi zgodność, dalsze przesyłanie informacji zostaje zablokowane. Można też z wyprzedzeniem skonfigurować powiadomienia dla odpowiedzialnych użytkowników na wypadek uruchomienia polityk bezpieczeństwa.

Cena i koszt posiadania systemu

Oczywiście to jeden z ważnych argumentów. Nowoczesne systemy DLP realizują aktualne rozwiązanie w postaci modułowości systemu. Oznacza to, że oprogramowanie sprzedawane jest w pakietach funkcjonalności, co pozwala, po pierwsze, kupić dokładnie to, co jest potrzebne do realizacji zadań bezpieczeństwa informacji w firmie, a po drugie, obniżyć koszt wdrożenia DLP. O cenę samego oprogramowania należy zapytać producenta.

Rozszerzenie funkcjonalności

Ponieważ systemy DLP faktycznie dysponują dużą ilością danych analitycznych, dostawcy mogą oferować dodatkowe funkcje i zaawansowane możliwości analityki. Jednym z częstych rozwiązań jest monitorowanie personelu i jego efektywności na podstawie danych o aktywności sieciowej. Nabywcy systemu DLP mogą nawet stwierdzić, że narzędzia monitorowania (karty czasu pracy, raporty o czasie poświęconym na zadania i o czasie nieefektywnym i inne), które oferuje DLP, są wystarczające, a dodatkowe oprogramowanie nie jest potrzebne. Wybierając system DLP, zbadaj pełną funkcjonalność – możliwe, że jeden zakup rozwiąże kilka strategicznych problemów.

Obsługa przed- i posprzedażowa

Poza ceną zakupu istnieje koszt odnowienia licencji na oprogramowanie oraz wsparcia. 

Systemy DLP mogą wymagać dodatkowej uwagi ze strony nabywcy i tę pozycję kosztową warto uwzględnić, aby kwestie użytkowania i eksploatacji były rozwiązywane na czas.

W jakich obszarach działalności wdrożenie systemów DLP jest konieczne?

Na razie ani regulatorzy międzynarodowi, ani krajowi nie wprowadzili obowiązku wdrażania systemów DLP. To całkowicie samodzielna decyzja i spoczywa ona wyłącznie na barkach przedsiębiorstwa – nie przewidziano żadnych dodatkowych dotacji ani ulg podatkowych. Stosowanie DLP można jednak spokojnie polecić w obszarach, w których wykorzystuje się dużą ilość informacji wrażliwych i poufnych. Do takich obszarów należą:

• instytucje bankowe i ubezpieczeniowe, giełdy handlowe i tak dalej (mają dużą ilość danych wrażliwych, które stale się zmieniają i wpływają na efektywność organizacji);

• organizacje sektora publicznego (uczestniczą w kluczowych procesach społeczeństwa i państwa, dysponują dużą ilością poufnych danych osobowych obywateli);

• krytyczne przedsiębiorstwa przemysłowe, przedsiębiorstwa o wysokim poziomie tajemnicy produkcyjnej, przedsiębiorstwa wykorzystujące w produkcji substancje niebezpieczne i szkodliwe, których procesy mają bezpośredni wpływ na społeczeństwo i jego funkcjonowanie;

• przedsiębiorstwa społeczeństwa informacyjnego (telekomunikacja, media, serwisy i platformy społecznościowe);

• producenci oprogramowania;

• transport, logistyka i powiązana infrastruktura;

• firmy działające na rynkach o wysokim poziomie konkurencji;

• firmy zajmujące się wysoce intelektualnymi technologiami, know-how, patentami i tak dalej.

Jak widać, lista jest całkiem długa. Nie oznacza to jednak, że pozostałe firmy i organizacje nie powinny rozważać wdrożenia systemów DLP. W dzisiejszym cyfrowym świecie niemal każdy biznes ma potrzebę ochrony informacji wewnątrz firmy, niezależnie od jej wielkości i profilu działalności. 

Praktyczne problemy, które rozwiązuje system DLP

Systemy DLP realnie pomagają firmom i rozwiązują konkretne zadania w obwodzie bezpieczeństwa informacji. Przyjrzyjmy się rozwiązywanym zadaniom na przykładzie Anexet.

1. Wykrywanie nieefektywnych pracowników;

2. Wykrywanie oszustw finansowych;

3. Wykrywanie nadużyć w szkole publicznej;

4. Wykrywanie i zapobieganie wyciekowi informacji o promocjach firmy;

5. Zapobieganie wyciekowi danych klientów firmy;

6. Oszustwa przy naprawie sprzętu;

7. Przekazywanie przychodzących leadów konkurencji;

8. Wykrywanie pracowników pracujących na boku;

9. Wykrywanie naruszeń dyscypliny pracy na zdalnym stanowisku pracy i inne przykłady.

Więcej informacji znajdziesz na stronie.

Szkodliwe porady przy wyborze DLP

Poza pomocnymi wskazówkami przedstawiamy kilka szkodliwych porad dotyczących wyboru systemu DLP, których lepiej nie stosować. 

1. Wybierz rozwiązanie od dostawcy systemu DLP, który proponuje zakup oprogramowania bez bezpłatnego okresu testowego, pozwala twoim pracownikom wypróbować produkt wyłącznie po opłaceniu i upiera się przy skrajnie skomplikowanym procesie wdrożenia i konfiguracji. 

2. Właściwy system DLP koniecznie wymaga zakupu dodatkowego sprzętu i mocy obliczeniowych, potrzebuje długiego czasu na instalację i uruchomienie oraz jest obsługiwany przez liczny dział bezpieczeństwa informacji.

3. Nowoczesny system DLP wymaga, aby pracownicy przychodzili do biura i pracowali wyłącznie na swoim komputerze, na którym zainstalowano oprogramowanie monitorujące. Żadnego dostępu zdalnego – to niebezpieczne i wyklucza korzystanie z DLP.

4. Kompetentny producent zatroszczy się o swój produkt. Jest zbyt cenny, by po wygaśnięciu licencji pozostać w rękach użytkownika. Ani sekundy dłużej, wszystko musi zostać natychmiast usunięte.

Prawo oczywiście chroni Twój biznes przed kradzieżą tajemnicy przedsiębiorstwa, ale robi to post factum, gdy pieniądze są już bezpowrotnie stracone, a reputacji nie da się uratować. Eksperci z laboratorium cyberbezpieczeństwa Uniwersytetu Nowego Meksyku dzielą ataki wewnętrzne na dwa rodzaje: sytuacyjne, czyli pojedyncze wycieki informacji spowodowane zaniedbaniem lub awarią systemu, oraz zaplanowane. Te drugie tak czy inaczej są efektem złych zamiarów. ‘Kretem może być każdy: Twoja prawa ręka albo kolejny ekonomista, którego nazwiska nawet nie pamiętasz.

Jak wynika z raportu Secure Automatic Technologies, 99% europejskich organizacji co najmniej trzy razy w swojej historii poniosło straty finansowe z powodu działań insiderów. W raporcie Insider Threat 2023 amerykańskiego stowarzyszenia Insider Threat Association 74% badanych organizacji przyznaje, że ataki wewnętrzne zdarzają się coraz częściej. Tyle samo firm uważa, że jest co najmniej podatnych na zagrożenia wewnętrzne. Ponad połowa organizacji zetknęła się z zagrożeniem wewnętrznym w ciągu ostatniego roku, a 8% odnotowało ponad 20 takich incydentów. Raport zwraca też uwagę, że 61 procent dzisiejszych bankructw w USA jest powodowanych przez insiderów, a zagrożenie staje się szczególnie dotkliwe w okresie dużych kontraktów.

"Insider" to pracownik organizacji, który ma dostęp do informacji niedostępnych publicznie.

Insiderem może zostać każdy, dosłownie każdy. Psychologia behawioralna i profilowanie HR pozwalają jednak rozpoznać kreta już na etapie rozmowy kwalifikacyjnej albo zapobiec kradzieży danych w zgranym już zespole. Psychologowie personalni wyróżniają sześć typów insiderów: pracownicy niedbali, manipulowani, urażeni, nielojalni, dorabiający i podstawieni. Wiele zależy od sytuacji: kogo na tej skali uznać za najmniej groźne ogniwo?

"Niedbali" pracownicy mogą ujawnić informacje przez nieuwagę (a szkody bywają nieodwracalne), natomiast działania «podstawionych» pracowników wymierzone są wprost w Twój biznes.

• "Niedbały" insider to najczęstszy typ insidera w biznesie, nazywany także "nieostrożnym". Zwykle jest to szeregowy pracownik wykonujący strumień mechanicznej pracy. Naruszenia polityki bezpieczeństwa nie mają żadnej motywacji i sprowadzają się najczęściej do niezamierzonego wyniesienia informacji poza cyfrowy obieg organizacji. Sam incydent nie jest aż tak groźny, ale zagrożenie rośnie, gdy dane wrażliwe trafią w niepowołane ręce. Inna sprawa to nieostrożny e-mail albo karteczka z danymi logowania do konta w sieci firmowej, starannie przyklejona do monitora służbowego komputera.

• "Manipulowany" insider albo "Pinokio". Zupełnie jak w bajce Carla Collodiego, głównym problemem tego typu pracownika jest naiwność i nadmierna łatwowierność. Przeciwko manipulowanemu pracownikowi działa wszystko: od kolegów z pracy po to, co dziś nazywamy "inżynierią społeczną" (zwykłym naciąganiem). Wyobraźmy sobie: rozlega się telefon, głos po drugiej stronie przedstawia się jako dyrektor istniejącego oddziału firmy, w najdrobniejszych szczegółach opisuje problem i prosi (w imię sprawności działania, rzecz jasna) o ominięcie obowiązującej polityki bezpieczeństwa i przesłanie kluczowych dokumentów na jego prywatny adres e-mail. Nasz "Pinokio", nawet nie myśląc o możliwym zagrożeniu i zacierając ręce w oczekiwaniu na solidną premię, wysyła plik prosto na skrzynkę konkurencji. Gotowe – wyciek stał się faktem.

• "Urażony" ("sabotażysta"). Ten typ pracownika nie dąży do kradzieży informacji Twojej firmy, w ogóle nie interesuje go wartość własności intelektualnej ani praktyczne korzyści z nieuprawnionego wykorzystania baz danych. Chce zaszkodzić w każdy dostępny sposób. Uraza, która nim kieruje, może mieć dowolne źródło: za niskie wynagrodzenie, brak uznania w zespole, nieodpowiednie miejsce w hierarchii biura... Taki pracownik nie zamierza odchodzić z firmy, pozostanie ‘w cieniu’ do chwili, gdy wyrządzi maksymalne szkody. Może na przykład fałszować lub niszczyć ważne dokumenty, wynosić sprzęt biurowy albo obijać się w miejscu pracy. Kierując się własnym wyobrażeniem o wartości informacji, sam decyduje, jakie dane warto ukraść i komu je przekazać. Często trafiają one do prasy lub struktur szarej strefy.

• "Nielojalni" insiderzy. Najczęściej pokrywają się z typem "urażonym", ale są to osoby, które twardo postanowiły zmienić miejsce pracy albo otworzyć własny biznes i stać się śmiałym konkurentem. Nie wiadomo dlaczego przyjęło się, że pracownik odchodzący z działu handlowego zabiera ze sobą kopię bazy klientów, a z działu ekonomicznego – dane finansowe. To stary nawyk "zabierania pamiątek z biurka", z którym trzeba skończyć. Najczęstszym pretekstem do przywłaszczenia jest "konieczność produkcyjna". Nielojalni pracownicy różnią się od "urażonych" insiderów tym, że po kradzieży informacji nie ukrywają samego faktu, a czasem wykorzystują go jako gwarancję komfortowego zwolnienia z odprawą i dobrymi referencjami.

• "Dorabiający" insiderzy, czyli typ, o którym mówili eksperci EY. To pracownicy, którzy pilnie potrzebują pieniędzy. W praktyce jest to najbardziej pojemna kategoria insiderów. Należą do niej zarówno osoby, które postanowiły dorobić kilka tysięcy, jak i te, które stały się insiderami wbrew sobie, w wyniku szantażu, wymuszenia lub nacisku osób trzecich. W zależności od okoliczności potrafią upozorować konieczność produkcyjną, a w najcięższych przypadkach włamać się do systemu lub przekupić innych pracowników.

• "Podstawieni" insiderzy albo szpiedzy rodem z hollywoodzkich thrillerów o zimnej wojnie. Za przykład niech posłuży jedna z niedawnych spraw Anexet: firma zajmowała się produkcją wyrobów jednostkowych na obrabiarkach CNC (sterowanie numeryczne). Klient podejrzewał dział rozwoju o "wyciekanie" dokumentacji technicznej, a konkretnie rysunków, do konkurencji. Trudność polegała na tym, że nie były to zwykłe rysunki, lecz programy, według których algorytmów pracowały obrabiarki. Oprogramowanie ładowano do maszyn przez sieć lokalną bezpośrednio z biura firmy. W samej obrabiarce trafiało do folderów, z których operatorzy pobierali je i wgrywali do programu obróbki. Niuans polegał na tym, że szafy obrabiarek były zaplombowane i szczelnie zamknięte, a na zewnątrz wyprowadzono jedynie monitor, mysz i klawiaturę. Fizycznie nie dało się podłączyć czytnika bezpośrednio do komputera. Okazało się, że mysz była podłączona do maszyny przez USB. Jeden ze współpracowników znalazł identyczne urządzenie i zamontował w środku myszy zapasowy hub USB, do którego wpiął szpiegowską pamięć. Przez miesiąc urządzenie szpiegowskie wykradało informacje, które następnie trafiały do konkurenta. Anexet wykrył przyczynę wycieku już na etapie testowego wdrożenia.

Jak przeciwdziałać zagrożeniom wewnętrznym

Jeśli podzielić niedbałych pracowników na przypadki beznadziejne i tych, których jeszcze da się uratować, zespół HR Anexet radzi, aby Twój dział kadr uważnie przyjrzał się pracownikom "niedbałym" i "manipulowanym". Być może po prostu brakuje im kultury bezpieczeństwa informacji. Nie zdają sobie sprawy, jakie szkody nieprzemyślany gest może wyrządzić Twojej firmie. Z kolei z "urażonymi", "nielojalnymi" i "podstawionymi" należy rozstać się jak najszybciej. Przede wszystkim z "urażonymi", bo z ich działań już nigdy nie odniesiesz korzyści.

Wdróż system DLP. Oprogramowanie utworzy wokół sieci wewnętrznej Twojej organizacji szczelny, bezpieczny obieg cyfrowy i zasygnalizuje każdą próbę wyniesienia informacji poufnych poza perymetr przedsiębiorstwa. System filtruje i analizuje ruch pod kątem wartości statystycznej i semantycznej, dzięki czemu wyszukiwanie nielojalnych pracowników, insiderów i osób podkopujących bezpieczeństwo ekonomiczne Twojego biznesu staje się automatyczne. Działając w ramach zdefiniowanej polityki bezpieczeństwa, system ochrony informacji DLP powiadomi upoważnione osoby o naruszeniu protokołów, niezależnie od tego, czy chodzi o e-mail o wątpliwej treści, czy o wydruk poufnych dokumentów. Funkcja audytu i monitoringu w systemie DLP pozwoli Ci śledzić aktywność pracowników na stanowisku pracy i wskazać słabe punkty systemu bezpieczeństwa.

Kontroluj nieaktualne konta. Wycieki informacji często powodują pracownicy, którzy odeszli z organizacji, a ich dane logowania wciąż są aktywne. Nie muszą to być jednak sprawcy – loginy i hasła mogą trafić w ręce obecnych pracowników, którzy dopuszczają się nadużyć wewnątrz organizacji i odsuwają od siebie podejrzenia. Aby ich zidentyfikować, stosuj przynęty i zwracaj uwagę na "ślady" ich pracy. Świadomi insiderzy zwykle usuwają duże ilości plików, próbując zatrzeć swoje działania. System DLP zapisuje całą chronologię aktywności pracowników i tworzy offline kopie zapasowe wszystkich plików w sieci firmowej.

Częstą metodą wykrywania insiderów jest przynęta. Atakujący nieustannie "przeczesuje" sieć firmową w poszukiwaniu krytycznych informacji. Możesz "zostawić" w ogólnie dostępnym miejscu zbiór wyjątkowo cennych plików i sprawdzić, kto wyśle archiwum na nośnik USB, do chmury lub na drukarkę.

Jak rozpoznać insidera?

Insidera można rozpoznać nie tylko dzięki funkcjom systemów DLP, ale nawet na etapie rozmowy kwalifikacyjnej. Służą do tego uniwersalne narzędzia – wywiad i eksperyment. Wywiad oznacza ankietę opracowaną metodą socjometryczną. Te same metody można stosować w już zgranym zespole. Dział HR firmy Samsung analizuje ryzyko wśród pracowników korporacji za pomocą prostego kwestionariusza słownego: "Kogo nie zabrałbyś w podróż służbową?" albo "Z kim podzieliłbyś się nowym, kreatywnym pomysłem?". Ankiety można powtarzać, ale z innymi pytaniami, aby zapewnić wiarygodność informacji. Obserwując wybory danej osoby, można zbadać typologię jej zachowań społecznych w grupie. Technika socjometryczna zajmuje nie więcej niż 15 minut.

Eksperyment polega na celowym stworzeniu obserwowanej osobie szczególnych warunków, aby na podstawie jej działań w określonych sytuacjach ocenić, jak bardzo jest egocentryczna i czy potrafi wczuć się w sytuację innych ludzi.

Pamiętaj, że informacje wrażliwe w środowisku o szerokim dostępie są jak kostka lodu – na każdym etapie lodu jest coraz mniej, a Ty masz mokre ręce. Z tym i z innymi możliwymi zagrożeniami pomogą Ci sobie poradzić systemy DLP (zapobieganie wyciekom danych). Ich głównym zadaniem jest wykrywanie, kontrolowanie i powstrzymywanie potencjalnych zagrożeń, ochrona ważnych danych oraz monitorowanie pracowników na stanowisku pracy. Nasz system DLP to dostępne rozwiązanie w tym obszarze.

Informatyzacja i cyfryzacja wszystkich procesów życiowych to główny trend ostatnich lat. Ponieważ każda z tych dziedzin przenosi się do świata cyfrowego i staje się coraz bardziej mobilna, potrzebny jest równie mobilny, nowoczesny i odpowiadający wymogom czasu obwód ochrony danych. Jednym z przedstawicieli takiego zaawansowanego podejścia do bezpieczeństwa informacji są systemy DLP.

Ochrona danych w systemach DLP: trzy stany informacji

Systemy DLP chronią informacje na wszystkich etapach ich cyklu życia, obejmując trzy kluczowe stany: dane używane, dane w ruchu i dane w spoczynku.

Dane używane (Data in Use)

To informacje, z których aktywnie korzysta się w pracy przedsiębiorstwa. Luki w zabezpieczeniach mogą pojawić się podczas ich odczytu, aktualizacji lub usuwania. Niedostateczna ochrona używanych danych może prowadzić do wycieków informacji lub nieuprawnionego dostępu.

Dane w ruchu (Data in Transit)

Ten rodzaj danych przemieszcza się w obrębie sieci, między bazami danych lub poza organizację. Główne ryzyka są związane z przesyłaniem informacji wrażliwych na prywatne adresy e-mail, do magazynów w chmurze lub przez niezabezpieczone kanały komunikacji. Systemy DLP zapobiegają takim wyciekom, kontrolując przepływy danych i blokując nieuprawnione transfery.

Dane w spoczynku (Data at Rest)

To informacje przechowywane w postaci archiwalnej lub nieaktywnej. Takie dane są używane rzadziej, ale ich ochrona ma krytyczne znaczenie, ponieważ naruszenie repozytorium może doprowadzić do utraty informacji o znaczeniu strategicznym. Systemy DLP zapewniają kontrolę dostępu i maksymalny poziom bezpieczeństwa danych archiwalnych.

We wszystkich trzech stanach informacje mogą być poufne – to dane, do których dostęp jest surowo regulowany, a ich wyciek może negatywnie wpłynąć na reputację i sytuację finansową firmy. Należą do nich:

• dane osobowe pracowników;

• tajemnice handlowe i państwowe;

• informacje finansowe i strategiczne.

Systemy DLP zapewniają kompleksową ochronę informacji wrażliwych, zapobiegając wyciekom i regulując dostęp do danych krytycznych, co podnosi ogólny poziom bezpieczeństwa przedsiębiorstwa.

Zadania systemu DLP

Jakie główne zadania rozwiązuje system DLP? Ogólnie można wyróżnić dwie grupy zadań:

1. bezpieczeństwo informacji;
2. bezpieczeństwo ekonomiczne.

Zapewnienie bezpieczeństwa informacji obejmuje pełny cykl ochrony danych poufnych przed wszelkiego rodzaju ryzykami: wyciekiem, działaniami insiderów, przypadkowym przesłaniem, uszkodzeniem, niewłaściwym wykorzystaniem, ryzykiem reputacyjnym i tak dalej. W systemach DLP cały obieg informacji poufnych jest rejestrowany i analizowany pod kątem możliwych ryzyk dla przedsiębiorstwa.

Bezpieczeństwo ekonomiczne dotyczy monitorowania i oceny aktywności sieciowej personelu w miejscu pracy, aby wykryć niewłaściwe wykorzystanie czasu pracy i zasobów firmowych. Obejmuje ono również zapobieganie potencjalnym szkodom dla firmy, które powstałyby w wyniku wycieku danych poufnych. 

Główne korzyści z wykorzystania systemu DLP:

• znaczne ograniczenie możliwych strat finansowych wynikających z wycieku informacji poufnych firmy;

• wykrywanie niewłaściwego wykorzystania zasobów firmowych przez pracowników;

• zmniejszenie ryzyka reputacyjnego i wizerunkowego związanego z wyciekiem informacji;

• identyfikacja nielojalnych pracowników, którzy mogą negatywnie wpływać na wyniki firmy;

• prowadzenie postępowań w sprawie incydentów bezpieczeństwa informacji i wykrywanie kanałów wycieku danych;

• optymalizacja procesów biznesowych zgodnie z wykrytymi problemami.

Cele stosowania systemów DLP

Problem bezpieczeństwa informacji w nowoczesnym przedsiębiorstwie jest bardzo dotkliwy. Dziś podejście do procesów biznesowych się zmieniło i pojawiło się więcej elementów infrastruktury, które są wykorzystywane w pracy, ale nie znajdują się bezpośrednio w obwodzie bezpieczeństwa i ochrony informacji. Na przykład usługi chmurowe, zdalne stanowiska pracy, korzystanie z dużej liczby serwisów społecznościowych i komunikatorów i tak dalej. Z tego powodu wycieki informacji stały się bardziej prawdopodobne, a wyjaśnianie incydentów bezpieczeństwa informacji przekształciło się w czasochłonny i skomplikowany proces.

Głównym celem stosowania systemów DLP w takiej sytuacji jest zapobieganie każdemu incydentowi niewłaściwego wykorzystania informacji poufnych, niezależnie od przyczyny i źródła zagrożenia bezpieczeństwa.

Jak działa system DLP?

Z reguły algorytm działania systemów DLP można podzielić na cztery etapy: przechwytywanie i pozyskiwanie informacji, przekazywanie ich do bazy danych w celu przechowywania, indeksowanie całego zbioru danych oraz końcową analizę.

Pierwszy etap to przechwytywanie i pozyskiwanie informacji z maksymalnej liczby źródeł i w maksymalnej liczbie formatów, zgodnie z tym, co wykorzystuje przedsiębiorstwo. Wskaźnikiem jakościowym jest w tym przypadku liczba wykorzystywanych źródeł informacji, a zaawansowane systemy DLP potrafią przechwytywać informacje ze wszystkich głównych kanałów komunikacji używanych w firmie:

• wewnętrzne i zewnętrzne usługi pocztowe (MS Outlook, Thunderbird, yahoo.com, gmail.com);

• przesyłanie plików przez FTP/FTPS, HTTP/HTTPS, SSL dla POP3, SMTP;

• wiadomości w komunikatorach, takich jak ICQ, Google Talk, Yahoo! Messenger, Viber, Telegram;

• zarządzanie treścią baz danych PostgreSQL, MySQL, SQLite, Microsoft SQL Server, IBM;

• drukowanie i kopiowanie informacji na drukarkach i skanerach lokalnych oraz sieciowych;

• nagrania audio i wideo z komputera służbowego, zrzuty ekranu z monitora.

Po przechwyceniu cała objętość danych trafia do bazy danych (BD) i jest indeksowana. Indeksowanie to przypisanie obiektowi danych unikalnego atrybutu wyszukiwania (indeksu), aby przyspieszyć jego późniejsze wyszukiwanie w bazie.

Ostatnim krokiem jest analiza. Systemy DLP wykorzystują różne sposoby analizy przechwyconych danych. Podobnie jak w analogii z liczbą źródeł przechwytywania, im bardziej różnorodne możliwości analizy są dostępne w systemie, tym szersza i bardziej niezawodna będzie ogólna ochrona informacji. Najczęściej stosuje się cztery rodzaje analizy: treściową, atrybutową, statystyczną i zdarzeniową. Przyjrzyjmy się im bliżej.

1. Analiza treściowa to analiza treści tekstowej z uwzględnieniem morfologii i transliteracji języka (według słów, wyrażeń, fraz).
2. Atrybutowa – analiza oparta na atrybutach nośników (urządzeń, dokumentów, plików).
3. Zdarzeniowa – analiza wykonywana w momencie wystąpienia z góry określonego zdarzenia (uruchomienie aplikacji, wejście na stronę internetową, próba dostępu do informacji chronionych hasłem i tak dalej);
4. Statystyczna – po osiągnięciu określonej liczby zdarzeń (liczba wejść na stronę, liczba wiadomości e-mail przesłanych w ciągu dnia i tak dalej).

Jak wybrać system DLP?

Jeszcze kilka lat temu uważano, że korzystanie z systemów DLP jest dostępne tylko dla dużych przedsiębiorstw. Głównym argumentem za ich stosowaniem była skala, złożoność zarządzania i organizacji wewnętrznych procesów korporacyjnych. Dziś opinia się zmieniła. O zastosowaniu systemów DLP decyduje obecnie nie wielkość firmy, lecz wewnętrzne procesy wymiany informacji, konieczność zapewnienia niezawodnego obwodu ochrony danych, coraz częstsze przypadki wycieków oraz duża liczba źródeł zagrożeń dla bezpieczeństwa informacji. Rynek potrzebuje elastycznego, dostępnego cenowo oprogramowania o szerokiej funkcjonalności. Aby wybrać system DLP dla przedsiębiorstwa, trzeba odpowiedzieć na kilka pytań:

Ile kanałów komunikacji trzeba monitorować?

Przedsiębiorstwo powinno ustalić, które kanały komunikacji są wykorzystywane w godzinach pracy, które z nich mogą stanowić potencjalne zagrożenie dla bezpieczeństwa informacji, a które mogą być źródłem niewłaściwego marnowania czasu pracy personelu.

Jakie narzędzia oferuje oprogramowanie? Jakie możliwości analityczne są dostępne?

Czy system DLP ogranicza się wyłącznie do monitorowania informacji, czy ma również moduł analityki, reagowania i blokowania incydentów.

Jakie wymagania techniczne trzeba spełnić, aby wdrożyć oprogramowanie zabezpieczające?

Przed instalacją systemu DLP warto upewnić się, że nie ma ograniczeń systemowych dla tego typu oprogramowania, oraz sprawdzić, czy konieczne będzie zakupienie dodatkowego sprzętu lub dodatkowych zasobów obliczeniowych.

Wiarygodność dostawcy i jakość komunikacji. Czy potrzebne jest wsparcie techniczne?

Sprawdź wiarygodność dostawcy oprogramowania. Jakie opinie krążą o jego pracy i produkcie? Czy posiada licencje i certyfikaty pozwalające świadczyć takie usługi? Poproś o prezentację produktu, a jeśli jest dostępny – o okres testowy korzystania z oprogramowania. Warto też zwrócić uwagę na informację zwrotną ze strony firmy. Czy nie zostaniesz sam z nowym oprogramowaniem? Zwróć uwagę na to, jak szybko i kompetentnie działa dział wsparcia technicznego.

Czy personel trzeba wcześniej przeszkolić i czy pojawią się dodatkowe koszty rozbudowy zespołu do obsługi oprogramowania?

Z pomocą konsultantów oceń zakres wdrożenia oprogramowania. Poza wymaganiami technicznymi dotyczącymi eksploatacji dowiedz się, czy konieczne jest szkolenie specjalistów ds. bezpieczeństwa w zakresie obsługi i konfiguracji oprogramowania, jak zostanie przeszkolony i zabezpieczony obecny personel oraz jakie będą koszty finansowe i pracochłonność.

No i oczywiście koszt produktu z uwzględnieniem wszystkich potrzeb. Na jaki okres chcesz kupić licencję?

Kolejna ważna kwestia przy wyborze systemu DLP.

Celowość zakupu systemu DLP

Każda firma sama określa celowość zakupu systemu DLP. Składa się na to zespół czynników: potrzeba rozwiązania problemów z bezpieczeństwem informacji, konieczność automatyzacji systemów ochrony i pracy działu bezpieczeństwa, obecność dużej ilości poufnych, wrażliwych danych wymagających ochrony, wcześniejsze incydenty związane z bezpieczeństwem i tak dalej. Ważnym czynnikiem jest również koszt oprogramowania oraz liczba pracowników zatrudnionych w firmie.

Każdy z tych czynników firma ocenia indywidualnie. Możemy jedynie powiedzieć, że dziś żaden biznes nie rozwinie się bez bezpieczeństwa informacji.

Co wpływa na koszt systemu DLP

Koszt tego typu oprogramowania może zależeć od modelu, w jakim dostawca oferuje produkt: jako jeden produkt (z całą funkcjonalnością) albo modułowo (nabywca sam określa priorytetowy dla siebie pakiet usług i za niego płaci). Na koszt systemu DLP może też wpływać okres użytkowania zawarty w oprogramowaniu (na cały czas lub na czas ograniczony) oraz liczba usług towarzyszących i zakres wsparcia.

Rola systemów DLP w procesach biznesowych

Systemy DLP to nie tylko narzędzie cyberbezpieczeństwa, ale również skuteczny mechanizm optymalizacji procesów biznesowych. Ich głównym zadaniem jest zapobieganie wyciekom danych poufnych, co pomaga zminimalizować ryzyko reputacyjne i finansowe. Możliwości DLP nie ograniczają się jednak do ochrony informacji.

Optymalizacja procesów biznesowych za pomocą systemu DLP

Analiza bezpieczeństwa i korekta procesów

Systemy DLP pomagają ocenić skuteczność obecnych środków ochrony, wykryć luki i wprowadzić korekty w politykach bezpieczeństwa. Dzięki temu stają się nie tylko narzędziem obrony, ale też strategicznym narzędziem zarządzania bezpieczeństwem informacji.

Archiwum komunikacji biznesowej

Aby wygodnie pracować z archiwami danych, system DLP oferuje intuicyjny interfejs oraz zaawansowane narzędzia wyszukiwania i przeglądania dokumentów. Ułatwia to wyjaśnianie incydentów i analizę luk, które doprowadziły do wycieków danych.

Wykrywanie zagrożeń wewnętrznych

Systemy DLP monitorują szeroki zakres kanałów komunikacji, analizują przesyłane dane i zapobiegają nieuprawnionym wyciekom informacji poufnych. Potrafią rozpoznawać dokumenty poufne, kontrolować komunikację pracowników i wykrywać potencjalne zagrożenia.

Zwiększenie efektywności działu bezpieczeństwa

Nowoczesne rozwiązania DLP automatyzują kontrolę bezpieczeństwa informacji w przedsiębiorstwie, zmniejszając obciążenie pracowników działu bezpieczeństwa. Pomagają w tym funkcje:

• konfigurowanie elastycznych reguł bezpieczeństwa pod unikalne potrzeby każdej firmy;
• system powiadamiania o incydentach w czasie rzeczywistym;
• automatyczne raporty i analityczne pulpity nawigacyjne.

Zarządzanie ryzykiem reputacyjnym i kontrola lojalności pracowników

Systemy DLP pomagają monitorować kulturę korporacyjną, wykrywać nastroje antykorporacyjne i minimalizować ryzyko ataków reputacyjnych.

Monitorowanie produktywności pracowników

Systemy bezpieczeństwa pozwalają analizować wykorzystanie czasu pracy, kontrolować aktywność sieciową i oceniać wpływ różnych zasobów (serwisów społecznościowych, komunikatorów itp.) na efektywność pracy.

Nowoczesne systemy DLP to nie tylko ochrona danych, ale też uniwersalne narzędzie do zarządzania ryzykiem, analizy procesów biznesowych i podnoszenia efektywności firmy. Zapewniają kompleksowe podejście do bezpieczeństwa informacji i umożliwiają kadrze zarządzającej podejmowanie świadomych decyzji w zakresie polityki kadrowej, strategii konkurencyjnej i planowania zasobów.

Rynek systemów DLP

Rynek systemów DLP w ostatnich latach otrzymał silny impuls wzrostu. Do tego wzmożonego zainteresowania w dużej mierze przyczyniły się globalne procesy, które w wielu krajach zachodziły w latach 2019-2024: pandemia COVID-19, kryzys finansowy, powszechna cyfryzacja gospodarki oraz przejście na hybrydowy lub zdalny tryb pracy. Wpływ miały również wysoki poziom penetracji internetu, pojawienie się zależności wielu firm i osób prywatnych od dostępności takiej usługi oraz wiele innych czynników. Na rynku istnieje realna potrzeba zapewnienia bezpieczeństwa informacji przy wielu źródłach zagrożeń.

Systemy DLP mają swoje produkty we wszystkich regionach świata: Ameryka Północna (USA, Kanada), Europa (Wielka Brytania, Niemcy, Francja, Włochy, Hiszpania, Rosja), region Azji i Pacyfiku (Chiny, Japonia, Indie, Australia, Korea Południowa), Ameryka Łacińska, Bliski Wschód, Afryka. Najwięksi gracze na rynku systemów DLP pochodzą z dwóch krajów: Stanów Zjednoczonych (IBM, Palo Alto Networks, Microsoft, McAfee) oraz Japonii (Trend Micro).

Oczywiście, jak każdy produkt, a szczególnie w branży oprogramowania, systemy DLP mają swoje zalety i wady. Przyjrzyjmy się im bliżej.

Zalety systemów DLP

• zapewnienie bezpiecznego obwodu rejestrowania i wymiany informacji poufnych w przedsiębiorstwie;

• kontrola pracowników i ich efektywności;

• zapobieganie wyciekom danych i reagowanie na incydenty zgodnie ze standardami cyberbezpieczeństwa;

• dostosowanie reguł bezpieczeństwa cyfrowego i scenariuszy reagowania do potrzeb firmy;

• system jako narzędzie analityczne i raportowe dla bezpieczeństwa informacji i analityki.

Do wad należą

• zakłócenia procesów biznesowych i pracy systemów przy nieprawidłowej konfiguracji DLP;

• złożoność konfiguracji i zarządzania (w przypadku niektórych produktów);

• dodatkowe koszty sprzętu i usług przechowywania danych w chmurze.

Kluczowe funkcje SIEM

Do najważniejszych funkcji systemów SIEM należą:

• Zbieranie danych. SIEM gromadzi dane o bezpieczeństwie z różnych źródeł w sieci komputerowej: ze stacji klienckich, urządzeń sieciowych, systemów zarządzania bezpieczeństwem i innych źródeł;

• Przechowywanie danych i zarządzanie nimi. System porządkuje zgromadzone dane, dzięki czemu można sprawnie zarządzać dużą ilością informacji i w razie potrzeby przeprowadzić audyt;

• Analiza i wykrywanie zagrożeń. SIEM analizuje zdarzenia bezpieczeństwa i monitoruje incydenty;

• Korelacja i analiza zdarzeń. System bada zdarzenia pod kątem powiązań i powtarzalnych wzorców, co pozwala  wykryć nieoczywiste zagrożenia i podatności;

• Wykrywanie incydentów i alerty w czasie rzeczywistym. Po wykryciu incydentu automatycznie uruchamiany jest scenariusz reakcji: zablokowanie dostępu, wysłanie powiadomień i inne działania;

• Audyt i raportowanie. Systemy SIEM pozwalają śledzić i rejestrować działania użytkowników oraz inne zdarzenia związane z bezpieczeństwem, dając administratorom podstawę do wniosków i analiz.

Zasada działania

SIEM pracuje w ciągłym cyklu: zbiera informacje, analizuje je i reaguje w czasie rzeczywistym. Po wykryciu potencjalnego zagrożenia system uruchamia alarm, wysyła powiadomienia i podejmuje działania konieczne, aby nie dopuścić do incydentu. Zarejestrowane zdarzenia są następnie analizowane, a na ich podstawie powstają raporty, które ułatwiają zrozumienie bieżącej sytuacji i udoskonalenie strategii bezpieczeństwa.

Zalety

Główną zaletą systemów SIEM jest ich wielofunkcyjność, która pozwala rozwiązywać kilka istotnych zadań jednocześnie. Do kluczowych korzyści należą:

• scentralizowane przechowywanie i analiza danych: system zbiera dane z różnych źródeł i zapisuje je w bazie, co umożliwia pogłębioną analizę;

• wczesne wykrywanie zagrożeń i zapobieganie im: SIEM monitoruje aktywność w czasie rzeczywistym oraz korzysta z alertów i mechanizmów reakcji, aby natychmiast blokować incydenty;

• scentralizowane raportowanie: systemy SIEM dostarczają raportów, które pomagają organizacji spełnić wymagania norm bezpieczeństwa i przepisów;

• optymalizacja zasobów i wyższa efektywność: systemy SIEM pozwalają lepiej wykorzystać zasoby oraz obniżyć koszty monitorowania i analityki bezpieczeństwa;

• integracja z innymi systemami ochrony: SIEM współpracuje z systemami DLP, takimi jak Anexet, co dostarcza dodatkowych informacji o bezpieczeństwie z wielu źródeł.

Anexet to znakomite rozwiązanie klasy DLP, które zapewnia dodatkową ochronę informacji w organizacji i kontrolę nad nimi. W połączeniu z systemem SIEM tworzy spójny i kompletny system zarządzania bezpieczeństwem informacji, gotowy na dzisiejsze wyzwania cyberbezpieczeństwa.

Podsumowanie

Jest kilka powodów, dla których warto poważnie rozważyć wdrożenie systemu SIEM:

• rozbudowa infrastruktury;

• potrzeba kontroli specjalistycznych źródeł;

• rosnąca liczba incydentów bezpieczeństwa informacji;

• wymóg regulacyjny.

Wniosek: system SIEM to dobre rozwiązanie nie tylko dla dużych firm, ale też dla małych przedsiębiorstw i każdej organizacji, w której bezpieczeństwo informacji nie stoi na ostatnim miejscu. Wdrożenie SIEM to inwestycja w potężne narzędzie do zarządzania bezpieczeństwem informacji i wykrywania incydentów.

Swój plan uczeń zrealizował jednak przy użyciu tylko jednego komputera. W 1999 roku ktoś wpadł na pomysł, by połączyć 114 komputerów do ataku na Uniwersytet Minnesoty. Metoda szybko znalazła naśladowców i tak powstały ataki DDoS w dzisiejszej postaci. DDoS to skrót od Distributed Denial-of-Service, natomiast DoS oznacza po prostu Denial-of-Service.

Innymi słowy: jeśli Twój serwer nagle otrzymuje ogromną liczbę żądań, powtarzanych BARDZO często, i w efekcie przestaje odpowiadać, mamy do czynienia z atakiem DDoS. To tak, jakby wszystkie babcie w mieście postanowiły w tej samej chwili dodzwonić się do jedynej przychodni.

A teraz poważnie. Do przeprowadzenia ataku DDoS przestępcy wykorzystują urządzenia podłączone do internetu. Często są to urządzenia internetu rzeczy, zainfekowane złośliwym oprogramowaniem i pozostające pod kontrolą hakera. Tak powstają botnety. Zwykle liczą one nie 2 czy 3 urządzenia, lecz tysiące, a nawet miliony. Gdy taka armia jednocześnie wysyła żądania na adres IP ofiary, ta nie wytrzymuje obciążenia i przestaje działać.

Gdy serwer przestaje działać albo działa bardzo wolno, firma traci klientów. Właśnie dlatego do ataków DDoS często sięga konkurencja. Zamawia atak na rywali i w czasie, gdy ci walczą ze skutkami, przejmuje ich klientów, a wraz z nimi zyski.

Pod koniec marca 2021 roku eksperci StormWall informowali, że  liczba ataków DDoS w 2021 roku wzrośnie o 20% w porównaniu z rokiem poprzednim. Wiążą to z faktem, że wiele osób pracuje i uczy się zdalnie, co zwiększa liczbę początkujących hakerów wśród studentów i uczniów. Powszechna praca zdalna podnosi też krytyczność usług internetowych.

Eksperci zwracają również uwagę, że rozwój sieci 5G może wywołać wzrost liczby ataków typu odmowa usługi, ponieważ taki atak da się przeprowadzić nawet z urządzenia mobilnego.

Rodzaje ataków DDoS

Przyjrzyjmy się głównym rodzajom ataków DDoS.

1. Ataki na poziomie sieci (L3/L4) – wykorzystują ogromną liczbę pakietów, aby przeciążyć łącze lub zasoby serwera. Należą do nich SYN Flood, UDP Flood i ICMP Flood.

2. Ataki na warstwę aplikacji (L7) – naśladują zachowanie zwykłych użytkowników, przez co trudniej je wykryć. Na przykład atak HTTP Flood potrafi przeciążyć serwer WWW setkami tysięcy żądań.

3. Ataki wzmacniające (amplification). Wykorzystują podatności otwartych usług do zwielokrotnienia złośliwego ruchu. Należą do nich DNS Amplification, NTP Amplification i Memcached Amplification.

4. Ataki botnetowe wykorzystują sieć zainfekowanych urządzeń (botnet) do masowego generowania ruchu.

Przykłady głośnych ataków DDoS

Rok 2016: botnet Mirai zaatakował dostawców internetu i duże serwisy, takie jak Twitter, Netflix czy Reddit, wykorzystując zainfekowane urządzenia IoT.

Rok 2018: GitHub padł ofiarą jednego z największych ataków DDoS w historii, o szczytowym natężeniu ruchu 1,3 Tb/s.

Rok 2020: Google poinformował o ataku DDoS o natężeniu 2,54 Tb/s, wymierzonym w jednego ze swoich klientów.

Nie ma znaczenia, którą metodę wybierzesz. Ważne, aby podjąć działania ograniczające skutki ataku. Dział analityczny Scinero Software Limited podpowiada, jakie minimum wystarczy, aby atak DDoS nie osiągnął swojego celu.

Jak zapobiec atakowi DDoS?

Zwiększ przepustowość łącza

Najprostsze, co możesz zrobić dla zwiększenia odporności na ataki DDoS, to zadbać o to, by Twój wirtualny serwer dedykowany miał zapas przepustowości pozwalający obsłużyć skok ruchu.

Zbuduj rozproszoną infrastrukturę

Stwórz system równoważenia obciążenia, który rozdzieli ruch pomiędzy kilka serwerów. Utrudni to napastnikowi osiągnięcie celu. Jeśli to możliwe, korzystaj z centrów danych w różnych krajach. W razie ataku przestępca wyłączy tylko część Twoich serwerów, a pozostałe będą nadal działać. Dzięki temu straty dla biznesu będą mniejsze.

Wprowadź specjalne ustawienia

Prawidłowo skonfigurowane zapory sieciowe (firewalle) potrafią rozpoznać i zablokować atak. Na przykład po wykryciu próby ataku przestaną przyjmować pakiety ICMP albo zablokują odpowiedzi z serwera DNS spoza sieci firmowej.

Ochrona po stronie dostawcy DNS

Ochronę infrastruktury możesz powierzyć swojemu dostawcy DNS. Powinien on dysponować wiedzą i możliwościami pozwalającymi zabezpieczyć Cię przed atakami DDoS. Lepiej jednak omówić to z nim osobno.

Korzystaj z rozwiązań chmurowych 

Usługi chmurowe, takie jak Cloudflare, AWS Shield, Akamai czy Imperva, skutecznie filtrują złośliwy ruch i zmniejszają ryzyko powodzenia ataku.

Monitoruj ruch w czasie rzeczywistym

Śledzenie nietypowych skoków aktywności pozwoli szybko zareagować na potencjalne zagrożenia i z wyprzedzeniem wdrożyć środki ochronne.

Przeprowadź segmentację sieci

Podział sieci na odizolowane segmenty ogranicza obszar objęty atakiem DDoS, a tym samym minimalizuje jego skutki.

Wykorzystaj do obrony zaawansowane technologie AI 

Dostawcy rozwiązań bezpieczeństwa oferują specjalne narzędzia przeciw atakom DDoS, wykorzystujące sztuczną inteligencję. Analizują one ruch przychodzący i automatycznie blokują podejrzane żądania.

Przygotuj plan działania na wypadek ataku, który już się wydarzył

Firmy powinny przeanalizować, gdzie mogą uderzyć napastnicy, i przygotować plan reagowania ograniczający skutki ataków. Część organizacji utrzymuje zespół specjalistów, którzy wiedzą, jak postąpić w razie incydentu.

Ważne, by podejmować działania zarówno zapobiegawcze, jak i te wymierzone w trwający atak, ponieważ minimalizują one prawdopodobieństwo włamania i negatywnych następstw dla firmy.

 

Zautomatyzowany system sterowania (ACS) — to usystematyzowany zestaw metod, oprogramowania i sprzętu służący do regulowania i kontrolowania różnych operacji w pracy organizacji. Wyróżnia się następujące systemy zautomatyzowane:

• obiektów — ACSO;

• procesu technologicznego — ACSTP;

• branży — ACSI;

• przedsiębiorstwa — ACSE;

• wojsk — ACST;

• ruchu drogowego — ACSRT;

• itd.

Bezpieczeństwo informacji (IS) — to stan systemu informacyjnego, w którym zapewniona jest poufność, dostępność i integralność krążących w nim danych.

Zalety stosowania ACS w przemyśle

Zautomatyzowany system sterowania składa się zazwyczaj z trzech poziomów: pulpitu sterowniczego, sprzętu do przetwarzania danych oraz typowych elementów automatyki, czyli różnego rodzaju czujników, routerów, urządzeń sterujących itp.

Warto zaznaczyć, że udział człowieka w pracy z ACS jest zminimalizowany, ale nadal występuje: na etapie konfiguracji systemu i przy podejmowaniu ważnych decyzji.

Stosowanie ACS pozwala firmom znacząco obniżyć koszty operacyjne, zwiększyć wielkość produkcji bez utraty jakości oraz podnieść poziom bezpieczeństwa w przedsiębiorstwie dzięki ograniczeniu wpływu czynnika ludzkiego, czyli zmniejszeniu liczby błędów w procesie produkcyjnym. Zalety ACS są powodem ich rosnącej popularności we wszystkich branżach.

Według Fortune Business Insights globalny rynek automatyki przemysłowej został wyceniony w 2022 roku na około 206 mld USD i ma osiągnąć 395 mld USD do 2029 roku, co odpowiada średniorocznemu tempu wzrostu na poziomie blisko 10%.

Oczekuje się przy tym, że innowacje takie jak cyfryzacja, pojawienie się technologii bezprzewodowej 5G, rozwój rzeczywistości rozszerzonej (AR), wykorzystanie technologii cyfrowych bliźniaków oraz przemysłowego internetu rzeczy (IIoT) dodatkowo przyspieszą wzrost globalnego rynku automatyki przemysłowej.

Dziś systemy zautomatyzowane służą nie tylko do sterowania urządzeniami przemysłowymi. ACS sprawdziły się w energetyce, logistyce, medycynie, edukacji, systemach oświetlenia, systemach ruchu drogowego oraz praktycznie we wszystkich obszarach rolnictwa i przemysłu.

Ponadto wiele systemów zautomatyzowanych obsługuje funkcje zbierania i przetwarzania danych bezpośrednio z obiektu. Przyspiesza to podejmowanie decyzji i jeszcze bardziej ogranicza udział człowieka w operacjach produkcyjnych.

Mimo to znaczny wzrost złożoności systemów informacyjnych w przedsiębiorstwach przemysłowych, a także architektury ich technologii operacyjnych, w tym ACS, poszerzył skalę zagrożeń, których zmaterializowanie się może prowadzić do katastrofalnych skutków.

Po co bezpieczeństwo informacji w ACS?

Cyfryzacja przemysłu charakteryzuje się wysokim poziomem automatyzacji i coraz szerszym połączeniem z sieciami zewnętrznymi, co otwiera nowe podatności na zagrożenia informacyjne: sabotaż, cyberataki, kradzież danych poufnych itd.  Wszystko to sprawia, że kwestia zapewnienia bezpieczeństwa zautomatyzowanych systemów sterowania i przetwarzanych w nich danych staje się szczególnie aktualna.

Dlaczego jest to konieczne?

Jak wspomniano powyżej, oprócz szkód ekonomicznych i wizerunkowych cyberataki oraz wycieki danych w zautomatyzowanych systemach sterowania mogą wywołać poważne, czasem katastrofalne zdarzenia (np. uwolnienie substancji niebezpiecznych do atmosfery, pożary, wybuchy) o dotkliwych konsekwencjach dla pracowników, ludności i środowiska. Jednocześnie wiele przedsiębiorstw, w tym z sektora energetycznego, to obiekty krytycznej infrastruktury informacyjnej (CII), a zapewnienie bezpieczeństwa informacji w takich przedsiębiorstwach jest obowiązkowe na mocy przepisów prawa. 

Wycieki informacji w instytucjach, które za pomocą zautomatyzowanych systemów sterowania przetwarzają ogromne ilości danych osobowych, grożą stratami finansowymi i wizerunkowymi. Dane osobowe użytkowników lub obywateli, czasem wrażliwe, są przedmiotem szczególnego zainteresowania grup przestępczych. Pracownicy mogą udostępnić osobom trzecim dostęp do danych poufnych nieumyślnie, przez pomyłkę lub w wyniku ataku phishingowego, albo świadomie, działając dla własnej korzyści lub w złych zamiarach.

Każdy incydent IS może prowadzić do zakłócenia procesów technologicznych realizowanych za pomocą ACS.

Specyfika działania zautomatyzowanych systemów sterowania w kontekście bezpieczeństwa informacji

Większość ACS jest rozproszona terytorialnie i komunikuje się między sobą, wymieniając duże ilości danych.

Wyróżnia się następujące cechy rozproszonych ACS:

• stosuje się wiele różnych metod przesyłania i przechowywania informacji;

• dane z różnych źródeł są łączone w bazy danych, przy czym część z nich znajduje się w rozproszonych węzłach sieci;

• z informacji przetwarzanych przez ACS korzysta bardzo wielu użytkowników;

• dziś odczuwalny jest dotkliwy brak kadr i specjalistycznego oprogramowania do ochrony ACS przed cyberzagrożeniami.

Jak omówiono powyżej, technologie operacyjne optymalizują procesy produkcyjne, jednocześnie otwierając nowe wektory cyberzagrożeń. 

Ryzyko incydentów bezpieczeństwa informacji znacząco zwiększają zatem następujące podatności ACS.

• Długi okres eksploatacji systemów sterowania. Zwykle systemy sterowania służą od 15 do 30 lat. Oznacza to, że część z nich powstała ponad dekadę temu, a atakujący mieli dość czasu, aby dokładnie zbadać wszystkie podatności.

• Dostęp zdalny. Podłączenie ACS do sieci bezprzewodowych oraz możliwość łączenia się z nimi zdalnie uprościły procesy zarządzania, ale znacznie poszerzyły krajobraz zagrożeń. 

• Informacje o działaniu systemów zautomatyzowanych są łatwo dostępne. Zwykle z systemami pracuje wiele osób: inżynierowie, operatorzy, kierownicy, a także stażyści i inni specjaliści. To znacznie zwiększa prawdopodobieństwo wycieku informacji o systemach zautomatyzowanych, zwłaszcza w porównaniu z czasami, gdy dostęp do systemów miało bardzo wąskie grono osób, które podpisały umowy o zachowaniu poufności.

• Czynnik ludzki. Chodzi o pracowników, którzy świadomie lub nieświadomie naruszają politykę bezpieczeństwa informacji firmy, na przykład używając niesprawdzonych nośników wymiennych itp.

• Dostęp fizyczny. Jeśli środki ograniczające fizyczny dostęp do sprzętu są niewystarczające, pojawia się ryzyko sabotażu lub nieumyślnego uszkodzenia ACS.

Uwzględnienie opisanych powyżej podatności pozwoli znacząco zmniejszyć ryzyko zagrożeń przy budowie systemu bezpieczeństwa informacji w przedsiębiorstwie. Jednocześnie, jak pokazuje praktyka, większość przedsiębiorstw skupia się na ochronie przed zagrożeniami zewnętrznymi i często nie zwraca uwagi na zagrożenia związane z ryzykiem wewnętrznym — wycieki danych z winy pracowników, zmianę lub zniszczenie ważnych informacji, a także sabotaż czy nieumyślne uszkodzenie sprzętu. Praktyka pokazuje, że sprawcami wycieków najczęściej są właśnie pracownicy i kierownicy organizacji. Ponadto również kontrahenci firmy nierzadko podejmują działania prowadzące do nieuprawnionego rozpowszechnienia informacji poufnych.

Dlaczego tak się dzieje? 

Najczęściej wycieki ważnych informacji o pracy ACS wiążą się z krytycznie niskim poziomem świadomości zasad bezpieczeństwa informacji wśród personelu. Pracownicy stosują słabe hasła, nie rozpoznają różnych schematów oszustw, lekkomyślnie przekazują ważne informacje i dokumenty osobom trzecim oraz używają niesprawdzonych nośników wymiennych.

Zapobiegaj wyciekom informacji poufnych z winy pracowników za pomocą systemu Anexet DLP. Sprawdź możliwości systemu w bezpłatnej wersji 30-dniowej.

Zagrożenia bezpieczeństwa informacji dla ACS

Zautomatyzowane systemy sterowania, w tym te zainstalowane na obiektach CII, są szczególnie wrażliwe nawet na minimalne zagrożenia bezpieczeństwa informacji, które w innych obszarach nie zostałyby uznane za naruszenie.  Jednocześnie obserwujemy dziś dotkliwy brak kadr i oprogramowania wyspecjalizowanego w bezpieczeństwie systemów informacyjnych, a stosowane obecnie w organizacjach środki są w większości przypadków zawodne i nie zapewniają właściwego poziomu ochrony. 

Budując system bezpieczeństwa informacji, wielu wciąż skupia się głównie na wdrożeniu systemów wykrywania i zapobiegania włamaniom. Warto jednak zwrócić uwagę także na inne wektory ataku.

Przyjrzyjmy się im bliżej.

Wektory ataku na systemy zautomatyzowane

1. Jeszcze niedawno bezpieczeństwo informacji ACS zapewniano między innymi przez ograniczenie dostępu fizycznego, czyli za pomocą tzw. air gap. Dziś większość ACS jest w taki czy inny sposób podłączona do sieci, aby realizować zadania operacyjne. Jeśli intruz uzyska dostęp do sieci firmowej, może dostać się także do sieci technologicznej, do systemu zautomatyzowanego.

2. Niedbalstwo. Używanie niesprawdzonych nośników wymiennych i podłączanie zewnętrznych modemów. Nośnik może być zainfekowany złośliwym oprogramowaniem, a modem może otworzyć dostęp z sieci technologicznej do publicznego internetu, czego być nie powinno.

3. Łańcuchy dostaw i firmy podwykonawcze. Kolejnym wektorem ataku są firmy podwykonawcze, które serwisują systemy zautomatyzowane i sprzęt technologiczny oraz mają możliwość zdalnego łączenia się z ACS. Jeśli podwykonawcy nie mają dopracowanego systemu bezpieczeństwa informacji, atakujący mogą przeniknąć do sieci technologicznej ACS, omijając wszystkie — nawet najbardziej drobiazgowe — środki ochrony informacji.

Na podstawie opisanych powyżej wektorów można wskazać najczęstsze zagrożenia bezpieczeństwa informacji dla systemów zautomatyzowanych.

Zagrożenie nr 1. Naruszenie perymetru sieci technologicznej. Większość ACS projektowano przy założeniu, że będą odizolowane od internetu, a nawet od sieci firmowych. Taki air gap dość skutecznie chroni przed złośliwymi działaniami w miejscach, w których najczęściej dochodzi do zdarzeń prowadzących do incydentów: na serwerach SCADA, stacjach roboczych personelu, sterownikach programowalnych PLC itd.

Zagrożenie nr 2. Ataki na systemy operacyjne i oprogramowanie. Z reguły zagrożenie to wiąże się z naruszaniem polityki bezpieczeństwa przez personel przedsiębiorstwa: klikaniem linków phishingowych, używaniem niezarejestrowanych nośników wymiennych, instalowaniem niepewnego oprogramowania na stacjach roboczych, korzystaniem z niezabezpieczonego systemu dostępu zdalnego itd.

Aby zminimalizować skutki tego zagrożenia, zaleca się wdrożenie systemu szkolenia personelu z podstaw bezpieczeństwa informacji oraz terminowe aktualizowanie oprogramowania używanego w przedsiębiorstwie.

Zagrożenie nr 3. Przeniknięcie przez dostęp zdalny. Nowoczesne ACS są coraz częściej podłączane do sieci globalnej, co znacznie upraszcza zarządzanie, ale otwiera nowe drogi nieuprawnionego dostępu do infrastruktury przedsiębiorstwa. Kolejną podatnością prowadzącą do zmaterializowania się tego zagrożenia jest stosowanie niezabezpieczonych protokołów połączeń zdalnych.

Zagrożenie nr 4. Bezprawne odłączenie sprzętu od sieci. Materializuje się wtedy, gdy środki ograniczające fizyczny dostęp do elementów ACS są niewystarczające.

Zagrożenie nr 5. Korzystanie z niezarejestrowanego oprogramowania. Niezarejestrowane oprogramowanie mogą instalować pracownicy naruszający firmowe zasady bezpieczeństwa informacji. Niezabezpieczone, niesprawdzone oprogramowanie oraz jego komponenty mogą zawierać podatności, które dają cyberprzestępcom dostęp do elementów systemu.

Zagrożenie nr 6. Ujawnienie, utrata lub przekazanie dostępu do systemu. Zdarza się z winy personelu organizacji. Dane autoryzacyjne mogą trafić do osób trzecich celowo albo przez pomyłkę.

Zagrożenie nr 7. Fizyczna awaria lub zniszczenie komponentu systemu. Materializuje się przy niewystarczających środkach ograniczających fizyczny dostęp do elementów ACS.

Zagrożenie nr 8. Werbowanie pracowników mających określone uprawnienia lub dostęp do informacji chronionych. Może odbywać się przez szantaż, przekupstwo itp.

Zagrożenie nr 9. Kradzież nośników danych: dysków, pamięci flash, urządzeń z pamięcią wewnętrzną oraz całych komputerów.

Zagrożenie nr 10. Wykorzystanie informacji szczątkowych z pamięci RAM i zewnętrznych nośników danych, a także z sektorów pamięci RAM używanych przez system operacyjny.

Zagrożenie nr 11. Kradzież zużytych nośników danych, których nie zniszczono na czas zgodnie z przepisami: różnych dokumentów, pamięci flash, dysków magnetycznych itp.

Zagrożenie nr 12. Stosowanie urządzeń podsłuchowych i środków przechwytywania, obserwacja oraz nieuprawnione fotografowanie i nagrywanie wideo.

Zagrożenie nr 13. Wprowadzenie do zespołu insiderów lub agentów, a następnie kradzież informacji chronionych albo sabotaż.

Zagrożenie nr 14. Różne działania wymierzone w zakłócenie pracy przedsiębiorstwa, np. tworzenie napiętej atmosfery w zespole przez nielojalnych pracowników, strajki, a także zmiany trybów pracy zautomatyzowanych systemów sterowania czy instalowanie sprzętu wytwarzającego zakłócenia radiowe na częstotliwościach, na których pracują systemy zautomatyzowane.

Zagrożenie nr 15. Przechwytywanie informacji przesyłanych kanałami elektromagnetycznymi, akustycznymi i innymi.

Ważne! Z reguły, aby osiągnąć cel, atakujący korzystają nie z jednej, lecz od razu z kilku dróg przeniknięcia do systemu.

Jak widać z powyższej listy, większość zagrożeń bezpieczeństwa informacji dla systemów zautomatyzowanych opiera się na czynniku ludzkim i ma charakter umyślny. Dlatego budując system bezpieczeństwa informacji dla systemów zautomatyzowanych, warto zwrócić uwagę nie tylko na środki ochrony przed zagrożeniami zewnętrznymi, lecz także na ochronę systemów przed nieumyślnym uszkodzeniem i sabotażem oraz na ochronę przetwarzanych w nich danych przed wyprowadzeniem — z winy pracowników.

---

Chroń swoje dane przed wyciekiem, zmianą i zniszczeniem za pomocą Anexet DLP.

---

Prawdziwy incydent w ACS: 1 000 000 USD strat w EnerVest wskutek sabotażu

Inżynier sieciowy amerykańskiej firmy energetycznej EnerVest z Wirginii Zachodniej dowiedział się, że ma zostać zwolniony, po czym przywrócił wszystkie serwery sieciowe do ustawień fabrycznych i wyłączył zdalne kopie zapasowe. Wiadomo, że za ten czyn odpowiadał przed sądem karnym. Mimo to w rezultacie EnerVest przez 30 dni nie mógł prowadzić działalności i poniósł straty przekraczające 1 mln USD.

Środki zapewniające bezpieczeństwo ACS

Wyróżnia się trzy rodzaje środków zapewniających bezpieczeństwo systemów zautomatyzowanych: fizyczne, organizacyjne oraz programowo-sprzętowe.

Środki organizacyjne mają niwelować wpływ czynnika ludzkiego na bezpieczeństwo informacji:

• opracowanie, zatwierdzenie i wdrożenie polityki bezpieczeństwa (dalej — PB);

• wyznaczenie osób odpowiedzialnych za zapewnienie bezpieczeństwa informacji;

• rozgraniczenie dostępu pracowników do ACS i jego komponentów.

Zapewnienie ochrony fizycznej

Ograniczenie dostępu do sprzętu i komponentów ACS oraz do stacji roboczych za pomocą ogrodzeń, systemów kontroli dostępu i monitoringu wideo. Instalacja punktów kontrolnych i alarmów bezpieczeństwa. Zapewnienie bezpieczeństwa komponentów systemu na wypadek klęsk żywiołowych: pożarów, trzęsień ziemi, powodzi itp.

Szyfrowanie danych

Stosowanie metod kryptograficznych do ochrony przesyłanych i przechowywanych danych przed nieuprawnionym dostępem.

Kopie zapasowe

Tworzenie kopii zapasowych krytycznych danych i oprogramowania, aby szybko je odtworzyć w razie awarii, sabotażu lub ataku.

Terminowe aktualizacje oprogramowania

Instalowanie poprawek i aktualizacji, które usuwają podatności i podnoszą bezpieczeństwo systemu.

Monitoring i audyt

Zbieranie i analizowanie informacji o zdarzeniach systemowych w celu wykrycia podejrzanej aktywności i potencjalnych zagrożeń.

Szkolenie personelu 

Prowadzenie tzw. cyberedukacji, szkoleń i seminariów z zakresu bezpieczeństwa informacji dla personelu pracującego z ACS.

Stosowanie programów antywirusowych i innych narzędzi chroniących przed złośliwym oprogramowaniem 

Trzeba nie dopuścić do zainfekowania ACS wirusami i innym złośliwym oprogramowaniem.

Wdrażając środki ochrony systemów zautomatyzowanych, trzeba uwzględnić wymagania opisane w aktach prawnych organów nadzoru, a także opierać się na światowych standardach bezpieczeństwa, o których piszemy poniżej.

Rodzina norm IEC 62443

Normy opierają się na podejściu opartym na ryzyku i określają wymagania wobec bezpieczeństwa przemysłowych systemów sterowania. Dokumenty opisują bezpieczeństwo informacji jako zestaw działań, które należy prowadzić regularnie na wszystkich etapach cyklu życia ACS.

Podsumowanie

Zapewniając bezpieczeństwo informacji ACS, trzeba wdrażać środki przeciwdziałające nie tylko zagrożeniom zewnętrznym, lecz także wewnętrznym. Jak pokazuje praktyka, to właśnie działalność człowieka stwarza największe ryzyko dla zautomatyzowanych systemów sterowania: niedbalstwo pracowników przy wykonywaniu zadań służbowych, działania insiderów i osób nielojalnych wobec organizacji, szpiegostwo przemysłowe itd.

Jednocześnie potencjalne ryzyko dla środowiska i obywateli, wynikające ze wstrzymania procesów technologicznych lub uszkodzenia sprzętu w przedsiębiorstwach, może być przedmiotem zainteresowania służb obcych państw, zwłaszcza w obecnej sytuacji geopolitycznej na świecie. Sprawia to, że kwestia zapewnienia IS systemów zautomatyzowanych jest szczególnie aktualna.

W tym materiale opowiadamy, jak zapewnia się bezpieczeństwo informacji w korporacji w erze cyfrowej.

Przyjrzyjmy się podstawowym definicjom.

Korporacja — to zbiór osób lub spółek uprawnionych do działania jako jeden podmiot i prawnie za taki podmiot uznanych, powołany do realizacji wspólnych celów. Opiera się na współwłasności oraz na rozdzieleniu funkcji właściciela i zarządzającego. Z reguły korporacje mają złożoną strukturę i mogą obejmować wiele oddziałów albo całe grupy spółek zależnych.

Korporacyjne bezpieczeństwo informacji to ochrona danych w korporacji przed nieuprawnionym dostępem, wykorzystaniem, ujawnieniem, sabotażem, modyfikacją lub zniszczeniem. Obejmuje metody, narzędzia i działania, które organizacje wdrażają, aby chronić własne zasoby informacyjne

Dlaczego trzeba zapewniać bezpieczeństwo informacji w korporacji?

W szerokim ujęciu bezpieczeństwo korporacyjne to działania podejmowane wewnątrz korporacji w celu ochrony aktywów fizycznych, finansowych, intelektualnych i innych przed zagrożeniami wewnętrznymi i zewnętrznymi. Zagrożenia te mogą dotyczyć defraudacji, oszustw, cyberataków, wykorzystywania informacji poufnych w obrocie, wycieków danych poufnych, klęsk żywiołowych, ataków terrorystycznych i innych zdarzeń.

Niestety wiele sytuacji może doprowadzić do realizacji zagrożeń wewnętrznych i zewnętrznych, i właśnie dlatego ochrona informacji korporacyjnych powinna być priorytetem dla organizacji każdej wielkości.

Realizacja niektórych zagrożeń w szczególnie dużych zakładach produkcyjnych, a także w obiektach krytycznej infrastruktury informacyjnej (CII), może prowadzić do katastrofalnych skutków: uszczerbku na zdrowiu i życiu ludzi, szkód w środowisku naturalnym itp.

Poniżej omawiamy powody, dla których warto wdrożyć w korporacji skuteczny system bezpieczeństwa informacji.

Ochrona aktywów fizycznych i intelektualnych

Zwykle korporacyjny system bezpieczeństwa informacji ma chronić aktywa fizyczne i intelektualne: sprzęt, obiekty, tajemnice handlowe, patenty, prawa autorskie i znaki towarowe. Wdrażając solidne środki ochrony, przedsiębiorstwa mogą zminimalizować ryzyko kradzieży, szpiegostwa przemysłowego i nieuprawnionego wykorzystania własności intelektualnej. Taka ochrona istotnie zmniejsza ryzyko realizacji zagrożeń dla bezpieczeństwa informacji. Pomaga to utrzymać przewagę konkurencyjną i stabilną pozycję na rynku.

Zapobieganie wyciekom danych osobowych

Bez skutecznych zabezpieczeń wycieki zdarzają się łatwo i pozostają niezauważone.

Jednocześnie cyberprzestępcy coraz skuteczniej i sprawniej kradną dane osobowe (dalej — "DO"), omijając sieci ze słabymi systemami zabezpieczeń. Według niektórych źródeł komercyjnych liczba naruszeń ochrony danych ma wzrosnąć w 2024 roku o 7.76%, mimo poważnego zaostrzenia przepisów dotyczących DO. 

Jeśli dane osobowe przetwarzane przez korporację trafią do osób trzecich, może to skutkować stratami finansowymi i wizerunkowymi, a także postępowaniami sądowymi i karami ze strony regulatorów. 

Ochrona informacji wrażliwych

W czasach, gdy dane są cennym zasobem, zachowanie poufności informacji wrażliwych ma pierwszorzędne znaczenie. Środki bezpieczeństwa informacji pozwalają zapobiec nieuprawnionemu dostępowi do danych korporacyjnych, informacji o klientach i dokumentacji finansowej. 

Ponadto klienci i kontrahenci ufają, że firmy ochronią ich dane — a każde nadużycie tego zaufania może prowadzić do utraty reputacji, pozycji rynkowej oraz do konsekwencji prawnych. Wdrożenie solidnych środków bezpieczeństwa informacji pomaga utrzymać zaufanie i chronić informacje wrażliwe korporacji, jej klientów oraz pozostałych interesariuszy.

Ograniczenie strat finansowych

Bezpieczeństwo korporacyjne pomaga firmom ograniczać straty finansowe, które mogą wynikać z realizacji różnych ryzyk dla bezpieczeństwa informacji. Na przykład skuteczna ochrona fizyczna odstrasza intruzów i oczywiście zmniejsza prawdopodobieństwo kradzieży, uszkodzenia lub zniszczenia produktów, sprzętu czy zapasów. Podobnie sprawdzone metody cyberbezpieczeństwa minimalizują ryzyko wyprowadzenia danych, które może prowadzić do znacznych strat pieniężnych, kosztów prawnych i erozji zaufania klientów. Inwestycja w bezpieczeństwo korporacyjne pozwala więc firmom zaoszczędzić w dłuższej perspektywie znaczne kwoty.

Zapewnienie ciągłości procesów

Nieprzewidziane zdarzenia, takie jak klęski żywiołowe, cyberataki czy awarie, mogą zakłócić działalność firmy lub zatrzymać produkcję. Wdrożenie planów ciągłości działania w ramach bezpieczeństwa korporacyjnego sprawia, że firmy potrafią skutecznie reagować na incydenty, ograniczać przestoje i jak najszybciej wracać do pełnej działalności. Utrzymując ciągłość procesów, firmy chronią swoje przychody, dbają o zadowolenie klientów i unikają potencjalnych strat finansowych oraz wizerunkowych.

Zagrożenia dla bezpieczeństwa informacji w korporacjach

Popularne modele zagrożeń dla bezpieczeństwa informacji proponują następującą ich kategoryzację.

Zagrożenia zewnętrzne

Pochodzą z zewnątrz: od oszustów, grup cyberprzestępczych, wirusów, botów. Typowym przykładem zagrożenia zewnętrznego jest atak DDoS. To wirtualny atak na zasoby informacyjne firmy, który blokuje ich dostępność oraz spowalnia lub całkowicie zatrzymuje pracę tych zasobów albo całego systemu informacyjnego (dalej — SI).

Z punktu widzenia zasady działania atak DDoS wygląda tak, jakby tysiące użytkowników jednocześnie próbowały uzyskać dostęp do zasobu informacyjnego. Serwer, na którym znajduje się zasób, nie nadąża z obsługą tak dużej liczby żądań — i przestaje działać. Żądań nie wysyłają jednak realni ludzie, lecz boty. Grupy cyberprzestępcze mogą atakować zarówno serwery, jak i kanały komunikacji wykorzystywane wewnątrz obwodu bezpieczeństwa organizacji.

Cele ataków DDoS bywają różne, zależnie od intencji atakujących: konkurenci uruchamiają je, aby wyłączyć zasoby internetowe, a oszuści robią to, by szantażem wymusić okup od właścicieli firmy albo po prostu dla zabawy.

Innym rodzajem zagrożenia są wirusy. Przenikają na stacje robocze i do zautomatyzowanych systemów sterowania, a następnie:

• szpiegują, przekazując dane z systemów korporacyjnych zainteresowanym stronom;

• niszczą lub unieruchamiają sprzęt;

• modyfikują lub niszczą dane;

• szyfrują informacje, po czym cyberprzestępcy żądają okupu.

Zagrożenia wewnętrzne

Z reguły są to zagrożenia związane z działaniami personelu wewnątrz korporacji. Dzieli się je na przypadkowe i celowe.

Zagrożenia przypadkowe. Zwykle wiążą się z niską świadomością bezpieczeństwa informacji i cyberhigieny wśród pracowników korporacji. 

Wśród przypadkowych zagrożeń dla bezpieczeństwa informacji wyróżnia się między innymi poniższe.

• Błędy przy wprowadzaniu danych. Pracownicy mogą przypadkowo wprowadzić nieprawidłowe dane, co prowadzi do błędnych informacji lub awarii systemu.

• Nieumyślne ujawnienie informacji. Pracownicy mogą nieświadomie ujawnić informacje poufne osobom trzecim albo przypadkowo lub przez zaniedbanie opublikować je w miejscu ogólnodostępnym.

• Nieprzestrzeganie korporacyjnych polityk bezpieczeństwa. Pracownicy mogą nie stosować się do zasad bezpieczeństwa przy pracy z danymi, na przykład korzystać z niebezpiecznych sposobów przesyłania informacji albo zostawiać służbowe urządzenia swobodnie dostępne dla osób nieuprawnionych.

• Korzystanie z niebezpiecznych aplikacji i urządzeń, odwiedzanie niebezpiecznych stron i serwisów. Pracownicy mogą używać niezaufanych aplikacji lub podłączać niesprawdzone urządzenia do pracy z danymi korporacyjnymi, co może prowadzić do wyprowadzenia danych.

• Naruszenie polityk dostępu do informacji. Pracownicy mogą naruszać polityki dostępu do informacji, udzielając dostępu osobom nieuprawnionym lub korzystając z cudzych kont.

Zagrożenia celowe

Pracownicy mogą świadomie łamać zasady bezpieczeństwa informacji obowiązujące w korporacji. Motywy bywają różne: często dzieje się to podczas konfliktów między współpracownikami albo przy rozwiązywaniu stosunku pracy, gdy pracownicy zabierają ze sobą część bazy klientów lub sprzedają ją konkurencji. Takie zagrożenia łączy jedno — ich inicjatorzy są świadomi konsekwencji incydentów.

Autorami takich zagrożeń mogą być konkurenci, niezadowoleni udziałowcy, kadra kierownicza i zarząd oraz pracownicy nielojalni wobec korporacji.

Trzeba pamiętać, że celowe zagrożenie może pochodzić od zaufanego pracownika, który wcale nie sprawia wrażenia insidera ani potencjalnego sprawcy. 

Wśród celowych zagrożeń dla bezpieczeństwa informacji wymienia się między innymi poniższe.

• Kradzież, uszkodzenie lub zniszczenie sprzętu — nośników danych, serwerów itp.

• Niewłaściwe wykorzystanie zasobów korporacyjnych, nadużycie uprawnień: nieracjonalne korzystanie z zasobów firmy (internet, drukarki, komputery) — do celów prywatnych.

• Kradzież informacji poufnych i baz danych osobowych ze złych pobudek albo w celu sprzedaży lub przekazania ich osobom trzecim.

• Nieuprawnione kopiowanie, modyfikowanie i niszczenie informacji należących do korporacji. 

• Korupcja, łapówki od dostawców i wykonawców. 

• Szpiegostwo przemysłowe.

Przykłady korporacyjnych incydentów bezpieczeństwa informacji

Poniżej przedstawiamy przykłady incydentów bezpieczeństwa informacji, które system Anexet DLP zdołał wykryć i powstrzymać. 

Wyciek informacji przy zwolnieniu pracownika 

Specjalista z firmy klienta, w której wdrożono system Anexet DLP, postanowił zakończyć zatrudnienie. Przed odejściem zaczął pobierać bazę klientów, aby wykorzystać ją w nowej firmie. System w porę powiadomił oficera bezpieczeństwa o tej operacji (kopiowaniu plików na pamięć flash) i tym samym zapobiegł wyciekowi bardzo wrażliwych informacji z bazy.

Potencjalne szkody mogłyby sięgnąć milionów, a ryzyko wizerunkowe jest nie do oszacowania.

Nieracjonalne rozdysponowanie czasu pracy w organizacji

W firmie klienta wdrożono system Anexet. Na podstawie obserwacji ekranów monitorów ustalono, że menedżerowie poświęcają 30% czasu pracy na nieracjonalne czynności w programie 1C. W związku z tym zdecydowano się przeprowadzić szkolenia z obsługi programu. Pracownicy przeszli szkolenie i mogli poświęcić więcej czasu na sprzedaż, co przełożyło się na wzrost zysku firmy o 15%. Nakłady finansowe i czas poświęcony na szkolenie przyczyniły się do efektywniejszego wykorzystania programu 1C. Zysk firmy w ciągu 1 miesiąca jest większy niż koszt wdrożenia systemu.

Brak wystarczająco skutecznych mechanizmów wczesnego wykrywania nielojalnych i ekstremistycznie nastawionych pracowników

Dzięki wdrożonemu systemowi DLP w dużym zakładzie produkcji lotniczej wykryto pracownika o poglądach ekstremistycznych, który był w trakcie werbunku do zdelegalizowanej organizacji terrorystycznej. Konsekwencje dla przedsiębiorstwa mogłyby być katastrofalne.

Specyfika zapewniania bezpieczeństwa informacji w korporacjach

Korporacje mają zwykle złożoną strukturę, a ich jednostki są rozproszone po różnych oddziałach, a czasem także po odrębnych podmiotach prawnych. Rodzi to szczególne wyzwania dla bezpieczeństwa, ponieważ wiele sieci lokalnych trzeba połączyć w jeden obwód kontroli.

Trzeba mieć świadomość, że SI w korporacji  niemal zawsze będzie złożony i wielopoziomowy: z wieloma sieciami komputerowymi, jednostkami, urządzeniami i zdalnymi stacjami roboczymi.

Cechy korporacyjnego SI w kontekście bezpieczeństwa informacji:

• złożoność strukturalna SI oraz konieczność bardzo precyzyjnego dostrojenia jego komponentów;

• co najmniej trzy poziomy wymiany danych: między oddziałami a centralą, między samymi oddziałami oraz między jednostkami organizacyjnymi a końcowymi odbiorcami danych (klientami, pracownikami, partnerami, kontrahentami itp.);

• duża ilość danych do przetworzenia, wynikająca z komunikacji między działami.

Korporacje muszą wdrożyć i utrzymywać wysoki poziom bezpieczeństwa danych, również w spółkach zależnych i powiązanych. 

Zasady zapewniania bezpieczeństwa informacji w korporacjach

Zasady te sformułowano na podstawie międzynarodowej normy ISO 27014:

• bezpieczeństwo informacji na poziomie firmy powinno być kompleksowe, wielowarstwowe i obejmować całą organizację;

• każda decyzja powinna opierać się na korporacyjnej polityce bezpieczeństwa informacji;

• strategia zakupów i inwestycji w bezpieczeństwo informacji powinna być spójna z wymaganiami biznesu, a koszt zorganizowania systemu bezpieczeństwa informacji nie powinien przewyższać wartości chronionych aktywów. 

• przestrzeganie wymagań prawnych i regulacyjnych opisanych w normach międzynarodowych. 

• kształtowanie pozytywnego nastawienia do środków bezpieczeństwa wśród wszystkich interesariuszy oraz ciągły proces edukacyjny podnoszący świadomość zagadnień cyberbezpieczeństwa.

• podejmowane środki nie powinny utrudniać działalności korporacji, zakłócać procesów itp.

Kluczowe elementy bezpieczeństwa korporacyjnego

Poniżej wymieniono kluczowe elementy przemyślanej korporacyjnej polityki bezpieczeństwa.

Wdrożenie środków prawnych

Jak już wspomniano, przy niewystarczających środkach bezpieczeństwa informacji korporacja może zostać ukarana grzywną. Aby uniknąć sankcji i kar ze strony regulatorów, trzeba spełniać wymagania opisane w przepisach.

Normy międzynarodowe opracowują organizacje takie jak ISO (International Organization for Standardisation) i IEC (International Electrotechnical Commission). Oto niektóre z nich:

• ISO/IEC 27001:2022 "Technika informacyjna. Metody zapewniania bezpieczeństwa. Systemy zarządzania bezpieczeństwem informacji. Wymagania".

• ISO/IEC TR 19791:2018 "Technika informacyjna. Przetwarzanie w chmurze. Architektura referencyjna ochrony danych".

W związku z powyższym oficer bezpieczeństwa musi dobrze orientować się w specyfice przepisów dotyczących bezpieczeństwa informacji. Dlatego często konieczne jest skorzystanie z profesjonalnego wsparcia.

Kontrola incydentów bezpieczeństwa informacji

Bezpieczeństwo korporacyjne jest bezpośrednio powiązane z zarządzaniem incydentami. Zalicza się do nich w szczególności naruszenia obowiązującej korporacyjnej polityki bezpieczeństwa, utratę (lub kradzież) sprzętu, nieuprawnione zmiany w działaniu systemów i usług, wycieki informacji wrażliwych i tak dalej.

Niestety, dziś nie istnieją metody ani rozwiązania sprzętowe zapewniające 100% ochrony przed wystąpieniem incydentów bezpieczeństwa informacji. Ich szybkie wykrycie, obsługa i usunięcie skutków znacząco ograniczają jednak możliwe straty materialne, finansowe i wizerunkowe.

Poza zachowaniem integralności, dostępności i poufności zasobów informacyjnych korporacji niezbędna jest solidna polityka bezpieczeństwa, która opisuje między innymi wyprzedzające reakcje na różne zagrożenia.

Uświadamianie personelu w zakresie bezpieczeństwa

Każda jednostka biznesowa, każdy dział i każdy pracownik powinni poważnie traktować kwestie bezpieczeństwa informacji w korporacji.

Uświadamianie, czyli szkolenie pracowników z podstaw bezpiecznego zachowania w sieci, potrafi istotnie zmniejszyć ryzyko cyberincydentów powodowanych przez personel.

Zwykle taki system szkoleń obejmuje:

• organizację seminariów, webinarów i szkoleń, opracowywanie poradników i materiałów informacyjnych;

• regularne mailingi opisujące nowe lub aktualne schematy oszustw internetowych;

• prowadzenie tzw. cybertreningów, czyli sprawdzanie, jak dobrze pracownicy korporacji orientują się w zagadnieniach cyberbezpieczeństwa itp.

Współpraca między jednostkami

Ogólny poziom bezpieczeństwa informacji w korporacji można ocenić po spójności środków wdrożonych w najsłabiej chronionym dziale lub oddziale należącym do SI.

Dlatego współpraca w skali całej korporacji ma kluczowe znaczenie dla solidnej strategii bezpieczeństwa.

Kluczowe mechanizmy zapewniania bezpieczeństwa informacji

Przy opracowywaniu i wdrażaniu systemu bezpieczeństwa informacji w korporacji stosuje się z reguły środki organizacyjne oraz programowo-techniczne. Wdrożone mechanizmy i zasadę ich działania należy szczegółowo opisać w korporacyjnej polityce bezpieczeństwa.

Wyróżnia się  między innymi następujące mechanizmy zapewniania bezpieczeństwa informacji.

1. Zapory sieciowe i oprogramowanie antywirusowe. To pierwsza linia obrony przed cyberzagrożeniami. Zapory kontrolują ruch przychodzący i wychodzący, blokując podejrzaną aktywność, a oprogramowanie antywirusowe wykrywa i usuwa złośliwe oprogramowanie z urządzeń.

2. Szyfrowanie danych. Polega na zamianie danych na szyfr, aby uniemożliwić nieuprawniony dostęp. Nawet jeśli hakerom uda się przechwycić zaszyfrowane dane, nie odczytają ich bez klucza deszyfrującego.

3. Wdrożenie systemów SIEM i DLP. Systemy SIEM agregują dane o zdarzeniach bezpieczeństwa i pozwalają zarządzać wyprzedzającymi działaniami, które eliminują incydenty i ograniczają szkody wynikające z ich realizacji. Systemy DLP umożliwiają kontrolę aktywności pracowników na stacjach roboczych i znacząco zmniejszają prawdopodobieństwo wycieku chronionych informacji z winy personelu.

4. Rozgraniczenie i kontrola dostępu. Nie każdy w korporacji potrzebuje jednoczesnego dostępu do wszystkich danych. Ścisła kontrola dostępu gwarantuje, że informacje wrażliwe mogą przeglądać lub modyfikować wyłącznie osoby uprawnione. Z kolei wdrożenie zasady zero trust ograniczy ryzyko nieuprawnionego dostępu do chronionych danych.

5. Terminowe aktualizacje i poprawki. Cyberprzestępcy nieustannie wykorzystują podatności przestarzałego oprogramowania. Regularne aktualizowanie systemów i instalowanie poprawek pomaga zamykać te luki bezpieczeństwa.

6. Ograniczenie środowiska programowego. Usuwanie oprogramowania, usług i komponentów nieużywanych przez pracowników, zarządzanie plikami tymczasowymi, kontrola instalacji programów i usług itp.

7. I inne.

Podsumowanie

Bezpieczeństwo korporacyjne odgrywa kluczową rolę w ochronie aktywów, reputacji i konkurencyjności firmy. Wdrażając kompleksowe środki, korporacje mogą zmniejszyć prawdopodobieństwo ryzyk i zagrożeń, a także ograniczyć ich potencjalne skutki, zabezpieczając aktywa fizyczne, poufność informacji wrażliwych oraz ciągłość działalności. 

Znaczenia bezpieczeństwa korporacyjnego nie da się przecenić, ponieważ dosłownie decyduje ono o rentowności, reputacji i wiarygodności korporacji w oczach klientów, partnerów i pozostałych interesariuszy. Inwestycja w niezawodne bezpieczeństwo informacji nie jest więc wyłącznie koniecznością — to zadanie strategiczne dla każdej korporacji.

Czym jest system telekomunikacyjny?

System telekomunikacyjny (dalej — ST) to sieć kanałów łączności służąca do wymiany informacji między użytkownikami za pomocą różnych środków, takich jak telefonia IP, poczta elektroniczna, telewizja i inne.

Dzięki telekomunikacji możesz śledzić wiadomości w telewizji i radiu, dzwonić, wysyłać wiadomości tekstowe i głosowe oraz e-maile, a także korzystać z zasobów internetu i platform społecznościowych. Telekomunikacja sprawiła, że przekazywanie informacji między użytkownikami i abonentami stało się wydajniejsze, tańsze i wygodniejsze.

Dziś sieci telekomunikacyjne są aktywnie wykorzystywane we wszystkich dziedzinach działalności człowieka: w biznesie, bankowości, przemyśle, ochronie zdrowia, energetyce, mediach itd.

Wśród sieci telekomunikacyjnych wyróżnia się między innymi:

Problemy bezpieczeństwa systemów telekomunikacyjnych

Sieci telekomunikacyjne najczęściej są dużymi i złożonymi infrastrukturami, ponieważ rozwijały się organicznie przez długi czas.

Rodzaje zagrożeń dla systemów telekomunikacyjnych

Zagrożenia dla systemów telekomunikacyjnych mogą prowadzić do naruszenia integralności, dostępności i poufności przesyłanych informacji. Wyróżnia się zagrożenia fizyczne i informacyjne.

Zagrożenia fizyczne

Nieprawidłowe warunki eksploatacji. To naruszenie zasad i wytycznych dotyczących użytkowania sprzętu, oprogramowania i pozostałych komponentów sieci. Może prowadzić do spadku wydajności, usterek, uszkodzeń sprzętu i innych problemów. Nieprawidłowa eksploatacja systemów telekomunikacyjnych obejmuje między innymi: brak utrzymania właściwej temperatury i wilgotności, stosowanie niekompatybilnego lub niskiej jakości sprzętu, niewłaściwe podłączenie i konfigurację urządzeń, brak regularnej konserwacji i inne.

Zagrożenia informacyjne

Cyberzagrożenia wymierzone w sieci telekomunikacyjne nie są niczym nowym. Telekomunikacja to niezbędne narzędzie w codziennej działalności człowieka. Jest swoistym «mostem», który łączy organizacje, przedsiębiorstwa, a nawet całe branże i zapewnia ich współdziałanie. W obecnej sytuacji geopolitycznej zakłócenie łączności informacyjnej wewnątrz kraju staje się celem grup cyberprzestępczych.

Ponadto informacje przesyłane przez ST bywają szczególnie cenne dla cyberprzestępców. Mogą oni wykorzystywać podatności do kradzieży danych osobowych i korporacyjnych oraz innych informacji wrażliwych. Wycieki danych powodują nie tylko straty finansowe, lecz także szkodzą reputacji przedsiębiorstwa.

Wyróżnia się następujące rodzaje zagrożeń informacyjnych dla ST.

Zagrożenia wewnętrzne. To celowe lub niezamierzone działania albo zaniechania pracowników, które mogą powodować awarie systemu bądź naruszać integralność, poufność lub dostępność przesyłanych informacji. 

Ważne! Choć część ataków na system ma charakter złośliwy, wielu lojalnych pracowników nie zdaje sobie sprawy, że ich działania zagrażają bezpieczeństwu informacji organizacji. Aby ograniczyć ryzyko wyprowadzenia lub zniszczenia chronionych informacji z winy personelu, warto wdrożyć system szkoleń z cyberbezpieczeństwa.

Ataki DDoS. Ataki typu Distributed Denial of Service (DDoS) są w telekomunikacji powszechne. Zalewają sieci lawiną ruchu internetowego, unieruchamiają je i odcinają uprawnionym użytkownikom dostęp do zasobów informacyjnych. 

Ataki Man-in-the-Middle (MitM). Atakujący przechwytują i modyfikują komunikację między dwiema stronami bez ich wiedzy. W telekomunikacji może to zagrozić integralności informacji przesyłanych w sieciach, w tym rozmów głosowych.

Oprogramowanie ransomware. Ten rodzaj złośliwego oprogramowania blokuje uprawnionym użytkownikom dostęp do systemów lub plików osobistych i żąda okupu za przywrócenie dostępu. Sieci telekomunikacyjne są szczególnie podatne na ataki ransomware ze względu na swoje krytyczne znaczenie i powszechną dostępność.

Wykorzystywanie luk w infrastrukturze 5G. Wdrażając sieci 5G, operatorzy telekomunikacyjni muszą mierzyć się z nowymi podatnościami związanymi z tą technologią. Należą do nich ryzyka wynikające z szerszego stosowania oprogramowania do zarządzania pracą sieci oraz z integrowania urządzeń IoT z siecią.

Internet rzeczy (IoT). Jednym z największych problemów telekomunikacji na obecnym poziomie technologii jest internet rzeczy. IoT stworzył kolejne punkty wejścia dla działań atakujących. Nie wszystkie z nich są odpowiednio zabezpieczone poprawkami, przez co konta użytkowników, klientów i firm pozostają narażone.

Terroryści i zagraniczne struktury państwowe również mogą stanowić zagrożenie dla systemów telekomunikacyjnych. Mogą wykorzystywać różne metody, takie jak cyberataki, sabotaż lub inne formy ingerencji, aby zakłócić działanie systemów albo zdobyć cenne informacje o własności intelektualnej, umowach handlowych i danych osobowych.

Część tych ataków jest bezcelowa i pochodzi od drobnych przestępców, ale w wielu przypadkach sieci telekomunikacyjne stają się celem wysoko zorganizowanych grup cyberprzestępczych. 

Zadania specjalisty ds. bezpieczeństwa informacji w systemach telekomunikacyjnych

Zapewnienie bezpieczeństwa informacji w systemach telekomunikacyjnych to jedno z kluczowych zadań, które powierza się wyspecjalizowanej jednostce — służbie bezpieczeństwa informacji. Specjaliści ds. bezpieczeństwa informacji muszą dobrze znać przepisy regulujące kwestie ochrony informacji, a także umieć szybko i skutecznie wdrażać środki programowe, sprzętowe i techniczne oraz kontrolować działania pracowników firmy.

Metody ochrony informacji w systemach telekomunikacyjnych

Niestety, nie sposób całkowicie wykluczyć nieuprawnionego dostępu do komponentów systemu telekomunikacyjnego ani ich modyfikacji lub zniszczenia. Można jednak podjąć działania, które pomogą zmniejszyć ryzyko wycieku informacji poufnych.

Poniższe metody ochrony informacji pomagają zabezpieczyć systemy telekomunikacyjne i zapobiec wyciekowi informacji poufnych.

Chodzi o wykorzystanie poniższych środków i metod technicznych do ochrony informacji. 

• Zapory sieciowe. Niezbędne do kontroli ruchu sieciowego i filtrowania danych przechodzących przez sieć. Do ochrony wykorzystuje się zwykle routery filtrujące, bramy sesyjne, serwery proxy i zapory osobiste.

• Kopie zapasowe danych są potrzebne do przywrócenia działania systemu po awariach lub usterkach. Wyróżnia się kopie pełne, kopie przyrostowe (czyli dodatkowe), obejmujące wyłącznie dane dodane lub zmienione od ostatniej kopii pełnej albo przyrostowej, oraz kopie różnicowe, obejmujące wyłącznie dane zmienione od czasu wykonania kopii pełnej.

• Wirtualne sieci prywatne (VPN) — zapewniają bezpieczne połączenia zdalne pracownikom pracującym zdalnie i w podróży.

Działania służące zapewnieniu bezpieczeństwa informacji poprzez uregulowanie pracy personelu i korzystania z zasobów systemu. 

• Opracowanie polityki bezpieczeństwa: opracowanie i wdrożenie zasad bezpieczeństwa, wskazanie zasobów informacyjnych podlegających ochronie, określenie zakresu odpowiedzialności personelu za naruszenia.
• Wprowadzenie reżimu tajemnicy przedsiębiorstwa. 
• Kontrola dostępu. Reguluje dostęp do sieci i systemów dzięki silnemu uwierzytelnianiu, autoryzacji i rozliczalności. Techniki takie jak uwierzytelnianie wieloskładnikowe i dostęp oparty na rolach uniemożliwiają osobom trzecim sięgnięcie po chronione zasoby.
• Monitorowanie aktywności użytkowników i przestrzegania zasad bezpieczeństwa informacji. Można je prowadzić za pomocą systemu Anexet DLP.  
• Wdrożenie systemu szkoleń personelu z podstaw bezpieczeństwa informacji.
• Opracowanie planu reagowania na incydenty. Żadna pojedyncza metoda ochrony informacji nie zredukuje ryzyk dla bezpieczeństwa informacji do zera, dlatego warto opracować plan reagowania na incydenty, czyli instrukcje szczegółowo opisujące role, obowiązki i działania niezbędne do skutecznego ograniczenia skutków naruszeń.

Organizując system bezpieczeństwa informacji dla systemów telekomunikacyjnych, trzeba zadbać o fizyczne bezpieczeństwo infrastruktury telekomunikacyjnej, ponieważ jest ona narażona na ataki, wandalizm i kradzieże. Ochrona infrastruktury łączności obejmuje poniższe działania.

• Ograniczenie fizycznego dostępu do sprzętu. Można to osiągnąć, montując ogrodzenia, systemy kontroli dostępu (SKD), monitoring wizyjny, systemy alarmowe i inne środki techniczne.

• Zapewnienie niezawodności i bezpieczeństwa budynków i budowli. Budynki, w których mieszczą się systemy telekomunikacyjne, muszą spełniać wymagania ochrony przeciwpożarowej, odporności sejsmicznej oraz inne przepisy.

• Ochrona przed klęskami żywiołowymi. Systemy telekomunikacyjne należy chronić przed zagrożeniami naturalnymi, takimi jak trzęsienia ziemi, powodzie, huragany i pożary. Wymaga to regularnych przeglądów stanu sprzętu, opracowania procedur reagowania kryzysowego oraz instalacji systemów sygnalizacji pożarowej. 

Systemy DLP mogą być przydatne w zabezpieczaniu systemów telekomunikacyjnych z następujących powodów: 

• Chronią przed zagrożeniami wewnętrznymi. Pomagają zapobiegać wyciekom danych powodowanym przez personel organizacji. Ma to szczególne znaczenie dla systemów telekomunikacyjnych, które przesyłają duże ilości danych osobowych i wrażliwych.

• Pomagają spełniać wymagania przepisów prawa, w tym wymagania przepisów o ochronie danych osobowych.

• Stale monitorują aktywność pracowników na stacjach roboczych. Systemy DLP nieprzerwanie przechwytują i analizują dane przesyłane wszystkimi kanałami komunikacji wykorzystywanymi w organizacjach. Pozwala to firmom z wyprzedzeniem wykrywać niewiarygodnych i potencjalnie niebezpiecznych pracowników oraz zapobiegać oszustwom i sabotażowi ze strony personelu.

Podsumowanie

Żadna z omówionych metod stosowana osobno nie usunie całkowicie wszystkich ryzyk dla bezpieczeństwa informacji. Dopiero ich łączne wykorzystanie pozwala znacząco ograniczyć ryzyko utraty dostępności, zniszczenia, modyfikacji i wycieku danych z systemów telekomunikacyjnych.

Skuteczne zapewnienie bezpieczeństwa informacji wymaga zaangażowania najwyższego kierownictwa firmy, opracowania i wdrożenia rygorystycznych polityk bezpieczeństwa, oceny ryzyka, szkoleń pracowników, testów podatności, audytów systemu informacyjnego, korzystania ze specjalistycznego oprogramowania itp.

---