Bezpieczeństwo informacji w korporacji

W tym materiale opowiadamy, jak zapewnia się bezpieczeństwo informacji w korporacji w erze cyfrowej.

Przyjrzyjmy się podstawowym definicjom.

Korporacja — to zbiór osób lub spółek uprawnionych do działania jako jeden podmiot i prawnie za taki podmiot uznanych, powołany do realizacji wspólnych celów. Opiera się na współwłasności oraz na rozdzieleniu funkcji właściciela i zarządzającego. Z reguły korporacje mają złożoną strukturę i mogą obejmować wiele oddziałów albo całe grupy spółek zależnych.

Korporacyjne bezpieczeństwo informacji to ochrona danych w korporacji przed nieuprawnionym dostępem, wykorzystaniem, ujawnieniem, sabotażem, modyfikacją lub zniszczeniem. Obejmuje metody, narzędzia i działania, które organizacje wdrażają, aby chronić własne zasoby informacyjne

Dlaczego trzeba zapewniać bezpieczeństwo informacji w korporacji?

W szerokim ujęciu bezpieczeństwo korporacyjne to działania podejmowane wewnątrz korporacji w celu ochrony aktywów fizycznych, finansowych, intelektualnych i innych przed zagrożeniami wewnętrznymi i zewnętrznymi. Zagrożenia te mogą dotyczyć defraudacji, oszustw, cyberataków, wykorzystywania informacji poufnych w obrocie, wycieków danych poufnych, klęsk żywiołowych, ataków terrorystycznych i innych zdarzeń.

Niestety wiele sytuacji może doprowadzić do realizacji zagrożeń wewnętrznych i zewnętrznych, i właśnie dlatego ochrona informacji korporacyjnych powinna być priorytetem dla organizacji każdej wielkości.

Realizacja niektórych zagrożeń w szczególnie dużych zakładach produkcyjnych, a także w obiektach krytycznej infrastruktury informacyjnej (CII), może prowadzić do katastrofalnych skutków: uszczerbku na zdrowiu i życiu ludzi, szkód w środowisku naturalnym itp.

Poniżej omawiamy powody, dla których warto wdrożyć w korporacji skuteczny system bezpieczeństwa informacji.

Ochrona aktywów fizycznych i intelektualnych

Zwykle korporacyjny system bezpieczeństwa informacji ma chronić aktywa fizyczne i intelektualne: sprzęt, obiekty, tajemnice handlowe, patenty, prawa autorskie i znaki towarowe. Wdrażając solidne środki ochrony, przedsiębiorstwa mogą zminimalizować ryzyko kradzieży, szpiegostwa przemysłowego i nieuprawnionego wykorzystania własności intelektualnej. Taka ochrona istotnie zmniejsza ryzyko realizacji zagrożeń dla bezpieczeństwa informacji. Pomaga to utrzymać przewagę konkurencyjną i stabilną pozycję na rynku.

Zapobieganie wyciekom danych osobowych

Bez skutecznych zabezpieczeń wycieki zdarzają się łatwo i pozostają niezauważone.

Jednocześnie cyberprzestępcy coraz skuteczniej i sprawniej kradną dane osobowe (dalej — "DO"), omijając sieci ze słabymi systemami zabezpieczeń. Według niektórych źródeł komercyjnych liczba naruszeń ochrony danych ma wzrosnąć w 2024 roku o 7.76%, mimo poważnego zaostrzenia przepisów dotyczących DO. 

Jeśli dane osobowe przetwarzane przez korporację trafią do osób trzecich, może to skutkować stratami finansowymi i wizerunkowymi, a także postępowaniami sądowymi i karami ze strony regulatorów. 

Ochrona informacji wrażliwych

W czasach, gdy dane są cennym zasobem, zachowanie poufności informacji wrażliwych ma pierwszorzędne znaczenie. Środki bezpieczeństwa informacji pozwalają zapobiec nieuprawnionemu dostępowi do danych korporacyjnych, informacji o klientach i dokumentacji finansowej. 

Ponadto klienci i kontrahenci ufają, że firmy ochronią ich dane — a każde nadużycie tego zaufania może prowadzić do utraty reputacji, pozycji rynkowej oraz do konsekwencji prawnych. Wdrożenie solidnych środków bezpieczeństwa informacji pomaga utrzymać zaufanie i chronić informacje wrażliwe korporacji, jej klientów oraz pozostałych interesariuszy.

Ograniczenie strat finansowych

Bezpieczeństwo korporacyjne pomaga firmom ograniczać straty finansowe, które mogą wynikać z realizacji różnych ryzyk dla bezpieczeństwa informacji. Na przykład skuteczna ochrona fizyczna odstrasza intruzów i oczywiście zmniejsza prawdopodobieństwo kradzieży, uszkodzenia lub zniszczenia produktów, sprzętu czy zapasów. Podobnie sprawdzone metody cyberbezpieczeństwa minimalizują ryzyko wyprowadzenia danych, które może prowadzić do znacznych strat pieniężnych, kosztów prawnych i erozji zaufania klientów. Inwestycja w bezpieczeństwo korporacyjne pozwala więc firmom zaoszczędzić w dłuższej perspektywie znaczne kwoty.

Zapewnienie ciągłości procesów

Nieprzewidziane zdarzenia, takie jak klęski żywiołowe, cyberataki czy awarie, mogą zakłócić działalność firmy lub zatrzymać produkcję. Wdrożenie planów ciągłości działania w ramach bezpieczeństwa korporacyjnego sprawia, że firmy potrafią skutecznie reagować na incydenty, ograniczać przestoje i jak najszybciej wracać do pełnej działalności. Utrzymując ciągłość procesów, firmy chronią swoje przychody, dbają o zadowolenie klientów i unikają potencjalnych strat finansowych oraz wizerunkowych.

Zagrożenia dla bezpieczeństwa informacji w korporacjach

Popularne modele zagrożeń dla bezpieczeństwa informacji proponują następującą ich kategoryzację.

Zagrożenia zewnętrzne

Pochodzą z zewnątrz: od oszustów, grup cyberprzestępczych, wirusów, botów. Typowym przykładem zagrożenia zewnętrznego jest atak DDoS. To wirtualny atak na zasoby informacyjne firmy, który blokuje ich dostępność oraz spowalnia lub całkowicie zatrzymuje pracę tych zasobów albo całego systemu informacyjnego (dalej — SI).

Z punktu widzenia zasady działania atak DDoS wygląda tak, jakby tysiące użytkowników jednocześnie próbowały uzyskać dostęp do zasobu informacyjnego. Serwer, na którym znajduje się zasób, nie nadąża z obsługą tak dużej liczby żądań — i przestaje działać. Żądań nie wysyłają jednak realni ludzie, lecz boty. Grupy cyberprzestępcze mogą atakować zarówno serwery, jak i kanały komunikacji wykorzystywane wewnątrz obwodu bezpieczeństwa organizacji.

Cele ataków DDoS bywają różne, zależnie od intencji atakujących: konkurenci uruchamiają je, aby wyłączyć zasoby internetowe, a oszuści robią to, by szantażem wymusić okup od właścicieli firmy albo po prostu dla zabawy.

Innym rodzajem zagrożenia są wirusy. Przenikają na stacje robocze i do zautomatyzowanych systemów sterowania, a następnie:

• szpiegują, przekazując dane z systemów korporacyjnych zainteresowanym stronom;

• niszczą lub unieruchamiają sprzęt;

• modyfikują lub niszczą dane;

• szyfrują informacje, po czym cyberprzestępcy żądają okupu.

Zagrożenia wewnętrzne

Z reguły są to zagrożenia związane z działaniami personelu wewnątrz korporacji. Dzieli się je na przypadkowe i celowe.

Zagrożenia przypadkowe. Zwykle wiążą się z niską świadomością bezpieczeństwa informacji i cyberhigieny wśród pracowników korporacji. 

Wśród przypadkowych zagrożeń dla bezpieczeństwa informacji wyróżnia się między innymi poniższe.

• Błędy przy wprowadzaniu danych. Pracownicy mogą przypadkowo wprowadzić nieprawidłowe dane, co prowadzi do błędnych informacji lub awarii systemu.

• Nieumyślne ujawnienie informacji. Pracownicy mogą nieświadomie ujawnić informacje poufne osobom trzecim albo przypadkowo lub przez zaniedbanie opublikować je w miejscu ogólnodostępnym.

• Nieprzestrzeganie korporacyjnych polityk bezpieczeństwa. Pracownicy mogą nie stosować się do zasad bezpieczeństwa przy pracy z danymi, na przykład korzystać z niebezpiecznych sposobów przesyłania informacji albo zostawiać służbowe urządzenia swobodnie dostępne dla osób nieuprawnionych.

• Korzystanie z niebezpiecznych aplikacji i urządzeń, odwiedzanie niebezpiecznych stron i serwisów. Pracownicy mogą używać niezaufanych aplikacji lub podłączać niesprawdzone urządzenia do pracy z danymi korporacyjnymi, co może prowadzić do wyprowadzenia danych.

• Naruszenie polityk dostępu do informacji. Pracownicy mogą naruszać polityki dostępu do informacji, udzielając dostępu osobom nieuprawnionym lub korzystając z cudzych kont.

Zagrożenia celowe

Pracownicy mogą świadomie łamać zasady bezpieczeństwa informacji obowiązujące w korporacji. Motywy bywają różne: często dzieje się to podczas konfliktów między współpracownikami albo przy rozwiązywaniu stosunku pracy, gdy pracownicy zabierają ze sobą część bazy klientów lub sprzedają ją konkurencji. Takie zagrożenia łączy jedno — ich inicjatorzy są świadomi konsekwencji incydentów.

Autorami takich zagrożeń mogą być konkurenci, niezadowoleni udziałowcy, kadra kierownicza i zarząd oraz pracownicy nielojalni wobec korporacji.

Trzeba pamiętać, że celowe zagrożenie może pochodzić od zaufanego pracownika, który wcale nie sprawia wrażenia insidera ani potencjalnego sprawcy. 

Wśród celowych zagrożeń dla bezpieczeństwa informacji wymienia się między innymi poniższe.

• Kradzież, uszkodzenie lub zniszczenie sprzętu — nośników danych, serwerów itp.

• Niewłaściwe wykorzystanie zasobów korporacyjnych, nadużycie uprawnień: nieracjonalne korzystanie z zasobów firmy (internet, drukarki, komputery) — do celów prywatnych.

• Kradzież informacji poufnych i baz danych osobowych ze złych pobudek albo w celu sprzedaży lub przekazania ich osobom trzecim.

• Nieuprawnione kopiowanie, modyfikowanie i niszczenie informacji należących do korporacji. 

• Korupcja, łapówki od dostawców i wykonawców. 

• Szpiegostwo przemysłowe.

Przykłady korporacyjnych incydentów bezpieczeństwa informacji

Poniżej przedstawiamy przykłady incydentów bezpieczeństwa informacji, które system Anexet DLP zdołał wykryć i powstrzymać. 

Wyciek informacji przy zwolnieniu pracownika 

Specjalista z firmy klienta, w której wdrożono system Anexet DLP, postanowił zakończyć zatrudnienie. Przed odejściem zaczął pobierać bazę klientów, aby wykorzystać ją w nowej firmie. System w porę powiadomił oficera bezpieczeństwa o tej operacji (kopiowaniu plików na pamięć flash) i tym samym zapobiegł wyciekowi bardzo wrażliwych informacji z bazy.

Potencjalne szkody mogłyby sięgnąć milionów, a ryzyko wizerunkowe jest nie do oszacowania.

Nieracjonalne rozdysponowanie czasu pracy w organizacji

W firmie klienta wdrożono system Anexet. Na podstawie obserwacji ekranów monitorów ustalono, że menedżerowie poświęcają 30% czasu pracy na nieracjonalne czynności w programie 1C. W związku z tym zdecydowano się przeprowadzić szkolenia z obsługi programu. Pracownicy przeszli szkolenie i mogli poświęcić więcej czasu na sprzedaż, co przełożyło się na wzrost zysku firmy o 15%. Nakłady finansowe i czas poświęcony na szkolenie przyczyniły się do efektywniejszego wykorzystania programu 1C. Zysk firmy w ciągu 1 miesiąca jest większy niż koszt wdrożenia systemu.

Brak wystarczająco skutecznych mechanizmów wczesnego wykrywania nielojalnych i ekstremistycznie nastawionych pracowników

Dzięki wdrożonemu systemowi DLP w dużym zakładzie produkcji lotniczej wykryto pracownika o poglądach ekstremistycznych, który był w trakcie werbunku do zdelegalizowanej organizacji terrorystycznej. Konsekwencje dla przedsiębiorstwa mogłyby być katastrofalne.

Specyfika zapewniania bezpieczeństwa informacji w korporacjach

Korporacje mają zwykle złożoną strukturę, a ich jednostki są rozproszone po różnych oddziałach, a czasem także po odrębnych podmiotach prawnych. Rodzi to szczególne wyzwania dla bezpieczeństwa, ponieważ wiele sieci lokalnych trzeba połączyć w jeden obwód kontroli.

Trzeba mieć świadomość, że SI w korporacji  niemal zawsze będzie złożony i wielopoziomowy: z wieloma sieciami komputerowymi, jednostkami, urządzeniami i zdalnymi stacjami roboczymi.

Cechy korporacyjnego SI w kontekście bezpieczeństwa informacji:

• złożoność strukturalna SI oraz konieczność bardzo precyzyjnego dostrojenia jego komponentów;

• co najmniej trzy poziomy wymiany danych: między oddziałami a centralą, między samymi oddziałami oraz między jednostkami organizacyjnymi a końcowymi odbiorcami danych (klientami, pracownikami, partnerami, kontrahentami itp.);

• duża ilość danych do przetworzenia, wynikająca z komunikacji między działami.

Korporacje muszą wdrożyć i utrzymywać wysoki poziom bezpieczeństwa danych, również w spółkach zależnych i powiązanych. 

Zasady zapewniania bezpieczeństwa informacji w korporacjach

Zasady te sformułowano na podstawie międzynarodowej normy ISO 27014:

• bezpieczeństwo informacji na poziomie firmy powinno być kompleksowe, wielowarstwowe i obejmować całą organizację;

• każda decyzja powinna opierać się na korporacyjnej polityce bezpieczeństwa informacji;

• strategia zakupów i inwestycji w bezpieczeństwo informacji powinna być spójna z wymaganiami biznesu, a koszt zorganizowania systemu bezpieczeństwa informacji nie powinien przewyższać wartości chronionych aktywów. 

• przestrzeganie wymagań prawnych i regulacyjnych opisanych w normach międzynarodowych. 

• kształtowanie pozytywnego nastawienia do środków bezpieczeństwa wśród wszystkich interesariuszy oraz ciągły proces edukacyjny podnoszący świadomość zagadnień cyberbezpieczeństwa.

• podejmowane środki nie powinny utrudniać działalności korporacji, zakłócać procesów itp.

Kluczowe elementy bezpieczeństwa korporacyjnego

Poniżej wymieniono kluczowe elementy przemyślanej korporacyjnej polityki bezpieczeństwa.

Wdrożenie środków prawnych

Jak już wspomniano, przy niewystarczających środkach bezpieczeństwa informacji korporacja może zostać ukarana grzywną. Aby uniknąć sankcji i kar ze strony regulatorów, trzeba spełniać wymagania opisane w przepisach.

Normy międzynarodowe opracowują organizacje takie jak ISO (International Organization for Standardisation) i IEC (International Electrotechnical Commission). Oto niektóre z nich:

• ISO/IEC 27001:2022 "Technika informacyjna. Metody zapewniania bezpieczeństwa. Systemy zarządzania bezpieczeństwem informacji. Wymagania".

• ISO/IEC TR 19791:2018 "Technika informacyjna. Przetwarzanie w chmurze. Architektura referencyjna ochrony danych".

W związku z powyższym oficer bezpieczeństwa musi dobrze orientować się w specyfice przepisów dotyczących bezpieczeństwa informacji. Dlatego często konieczne jest skorzystanie z profesjonalnego wsparcia.

Kontrola incydentów bezpieczeństwa informacji

Bezpieczeństwo korporacyjne jest bezpośrednio powiązane z zarządzaniem incydentami. Zalicza się do nich w szczególności naruszenia obowiązującej korporacyjnej polityki bezpieczeństwa, utratę (lub kradzież) sprzętu, nieuprawnione zmiany w działaniu systemów i usług, wycieki informacji wrażliwych i tak dalej.

Niestety, dziś nie istnieją metody ani rozwiązania sprzętowe zapewniające 100% ochrony przed wystąpieniem incydentów bezpieczeństwa informacji. Ich szybkie wykrycie, obsługa i usunięcie skutków znacząco ograniczają jednak możliwe straty materialne, finansowe i wizerunkowe.

Poza zachowaniem integralności, dostępności i poufności zasobów informacyjnych korporacji niezbędna jest solidna polityka bezpieczeństwa, która opisuje między innymi wyprzedzające reakcje na różne zagrożenia.

Uświadamianie personelu w zakresie bezpieczeństwa

Każda jednostka biznesowa, każdy dział i każdy pracownik powinni poważnie traktować kwestie bezpieczeństwa informacji w korporacji.

Uświadamianie, czyli szkolenie pracowników z podstaw bezpiecznego zachowania w sieci, potrafi istotnie zmniejszyć ryzyko cyberincydentów powodowanych przez personel.

Zwykle taki system szkoleń obejmuje:

• organizację seminariów, webinarów i szkoleń, opracowywanie poradników i materiałów informacyjnych;

• regularne mailingi opisujące nowe lub aktualne schematy oszustw internetowych;

• prowadzenie tzw. cybertreningów, czyli sprawdzanie, jak dobrze pracownicy korporacji orientują się w zagadnieniach cyberbezpieczeństwa itp.

Współpraca między jednostkami

Ogólny poziom bezpieczeństwa informacji w korporacji można ocenić po spójności środków wdrożonych w najsłabiej chronionym dziale lub oddziale należącym do SI.

Dlatego współpraca w skali całej korporacji ma kluczowe znaczenie dla solidnej strategii bezpieczeństwa.

Kluczowe mechanizmy zapewniania bezpieczeństwa informacji

Przy opracowywaniu i wdrażaniu systemu bezpieczeństwa informacji w korporacji stosuje się z reguły środki organizacyjne oraz programowo-techniczne. Wdrożone mechanizmy i zasadę ich działania należy szczegółowo opisać w korporacyjnej polityce bezpieczeństwa.

Wyróżnia się  między innymi następujące mechanizmy zapewniania bezpieczeństwa informacji.

1. Zapory sieciowe i oprogramowanie antywirusowe. To pierwsza linia obrony przed cyberzagrożeniami. Zapory kontrolują ruch przychodzący i wychodzący, blokując podejrzaną aktywność, a oprogramowanie antywirusowe wykrywa i usuwa złośliwe oprogramowanie z urządzeń.

2. Szyfrowanie danych. Polega na zamianie danych na szyfr, aby uniemożliwić nieuprawniony dostęp. Nawet jeśli hakerom uda się przechwycić zaszyfrowane dane, nie odczytają ich bez klucza deszyfrującego.

3. Wdrożenie systemów SIEM i DLP. Systemy SIEM agregują dane o zdarzeniach bezpieczeństwa i pozwalają zarządzać wyprzedzającymi działaniami, które eliminują incydenty i ograniczają szkody wynikające z ich realizacji. Systemy DLP umożliwiają kontrolę aktywności pracowników na stacjach roboczych i znacząco zmniejszają prawdopodobieństwo wycieku chronionych informacji z winy personelu.

4. Rozgraniczenie i kontrola dostępu. Nie każdy w korporacji potrzebuje jednoczesnego dostępu do wszystkich danych. Ścisła kontrola dostępu gwarantuje, że informacje wrażliwe mogą przeglądać lub modyfikować wyłącznie osoby uprawnione. Z kolei wdrożenie zasady zero trust ograniczy ryzyko nieuprawnionego dostępu do chronionych danych.

5. Terminowe aktualizacje i poprawki. Cyberprzestępcy nieustannie wykorzystują podatności przestarzałego oprogramowania. Regularne aktualizowanie systemów i instalowanie poprawek pomaga zamykać te luki bezpieczeństwa.

6. Ograniczenie środowiska programowego. Usuwanie oprogramowania, usług i komponentów nieużywanych przez pracowników, zarządzanie plikami tymczasowymi, kontrola instalacji programów i usług itp.

7. I inne.

Podsumowanie

Bezpieczeństwo korporacyjne odgrywa kluczową rolę w ochronie aktywów, reputacji i konkurencyjności firmy. Wdrażając kompleksowe środki, korporacje mogą zmniejszyć prawdopodobieństwo ryzyk i zagrożeń, a także ograniczyć ich potencjalne skutki, zabezpieczając aktywa fizyczne, poufność informacji wrażliwych oraz ciągłość działalności. 

Znaczenia bezpieczeństwa korporacyjnego nie da się przecenić, ponieważ dosłownie decyduje ono o rentowności, reputacji i wiarygodności korporacji w oczach klientów, partnerów i pozostałych interesariuszy. Inwestycja w niezawodne bezpieczeństwo informacji nie jest więc wyłącznie koniecznością — to zadanie strategiczne dla każdej korporacji.