Rok wyzwań w cyberbezpieczeństwie – od ataków po niedostateczną ochronę
Dwa głośne przypadki nim minęła pierwsza połowa stycznia – tak rozpoczął się 2024 rok w cyberbezpieczeństwie. Mowa o incydentach na Uniwersytecie w Zielonej Górze (UZ) oraz COS Zakopane. Pod koniec 2023 roku podobna sytuacja miała miejsce w związku z atakiem na laboratoria ALAB. Łączna liczba wrażliwych danych, które trafiły w niepowołane ręce liczona jest w setkach gigabajtów i obejmuje miliony rekordów, a ich charakter może posłużyć przestępcom do tworzenia scenariuszy ataków, wymierzonych w klientów tych instytucji.
Jak zwracają uwagę eksperci Stormshield, nawet 60 proc. podmiotów nie jest jeszcze gotowa na wymogi ujęte w dyrektywie NIS2, nie mając wdrożonych odpowiednich rozwiązań w obszarze wykorzystywanych systemów przemysłowych. Dodatkowo w najbliższej przyszłości coraz większy problem stanowić będą ataki na łańcuchy dostaw.
Wzrośnie popyt na usługi Security Operations Center a administracja publiczna zostanie w tyle
Kluczowym wyzwaniem dla przedsiębiorstw wciąż pozostaje zbliżająca się implementacja założeń Dyrektywy NIS2 do krajowego prawodawstwa. W ocenie eksperta Stormshield, nawet 60 proc. podmiotów nie jest przygotowana na jej wymogi, nie mając wdrożonych odpowiednich rozwiązań w obszarze wykorzystywanych systemów przemysłowych. W szczególności dotyczy to mniejszych operatorów infrastruktury krytycznej, z branż takich jak ciepłownictwo czy sieci wodociągowe.
– W Polsce jest niemal 2,5 tysiąca gmin, a w większości z nich działają lokalne przedsiębiorstwa wodociągowe czy ciepłownia. Te liczby unaoczniają skalę wyzwania. Uwagę zwraca brak podstawowej wiedzy na temat cyberbezpieczeństwa wśród zarządzających tymi podmiotami, którzy tę wiedzę powinny mieć, ponieważ z jednej strony osoba działająca w charakterze przedstawiciela prawnego danego przedsiębiorstwa będzie mogła być pociągnięta do odpowiedzialności za niewywiązanie się z obowiązku zapewnienia przestrzegania dyrektywy. Z drugiej, gdyż ewentualny „rachunek” za błędy czy niedopatrzenia zapłacą również mieszkańcy – mówi Piotr Zielaskiewicz z DAGMA Bezpieczeństwo IT i Stormshield.
Wyzwania związane z NIS2, w połączeniu z niedoborem specjalistów cyberbezpieczeństwa, przełożą się na wzrost zainteresowania usługami profesjonalnymi w tym obszarze.
– Uwzględniony w Dyrektywie obowiązek zarządzania kryzysowego sprawia, że należy spodziewać się tworzenia jednostek typu Security Operations Center. SOC nie tylko pozwalają monitorować zagrożenia, podnosząc o kilka stopni poziom bezpieczeństwa, lecz co dodatkowo warte podkreślenia, w przypadku incydentu wydatnie pomagają ustalić co i jak się stało oraz zaplanować działania likwidujące przyczynę oraz poprawiające bezpieczeństwo na przyszłość. To z pewnością krok w dobrą stronę – ocenia Piotr Zielaskiewicz.
Jednakże zdaniem eksperta, wobec wspomnianego niedoboru specjalistów można spodziewać się, że koszty SOC jako usługi nie będą małe. A fakt, że dostawcy tych usług mają swoje ograniczenia może sprawić, że podmioty, które już teraz mają słabszą pozycję na rynku (np. administracja publiczna, która nie jest w stanie konkurować finansowo z firmami prywatnymi) znajdą się w gorszej sytuacji. Samorząd i administracja publiczna dysponują przy tym największym zbiorem wrażliwych danych, dlatego taka sytuacja będzie niekorzystna z perspektywy społecznej. W tej sytuacji, zdaniem specjalistów, szczególnie ważne jest wdrożenie działań po stronie tej kategorii podmiotów, które mogą wzmocnić ich bezpieczeństwo. Podstawowymi są kopie bezpieczeństwa i aktualizacja oprogramowania, wraz z wieloskładnikowym uwierzytelnianiem.
Nauczmy się mówić o cyberbezpieczeństwie – wiele osób nieświadoma obowiązków
Opisane okoliczności to przesłanka by kontynuować działania edukacyjne, gdyż nie wszyscy zainteresowani są świadomi przełomowych wydarzeń.
– Niestety problem „jak mówić o cyberbezpieczeństwie i cyberprzestępczości” pozostaje niezwykle aktualny, będąc jednym z wyzwań na 2024 rok – komentuje Aleksander Kostuch, ekspert Stormshield. – Poza dbałością o minimalizowanie szans, by ataki, na przykład ransomware, były skuteczne, firmy powinny uwzględnić w swoich strategiach przygotowanie kryzysowego scenariusza działań. Z jednej strony powinien on dotyczyć likwidacji skutków w infrastrukturze firmy, a z drugiej komunikacji i działań skierowanych do pracowników oraz klientów, którzy również mogą stać się ofiarami przestępców – dodaje.
Jak wynika z wypowiedzi potencjalnie poszkodowanych studentów UZ, reakcja uczelni była w ich opinii spóźniona. „Jestem wkurzona na uczelnię. Uniwersytet zamiast od razu przestrzec przed wyciekiem danych i zalecać zastrzeżenie numerów PESEL, uspokajał, że właściwie nic się nie dzieje” komentowała jedna ze studentek, cytowana przez lokalne media. Zgodnie z prawem podmiot, który nie zapewnił właściwej ochrony danych osobowych będących w jego posiadaniu, może otrzymać karę finansową. Jednak skutkiem udanego ataku mogą być również szkody wizerunkowe, w tym utrata reputacji i zaufania ze strony osób, które w jego efekcie są narażone na ataki cyberprzestępców. Ważnym aspektem jest przy tym wzrost świadomości klientów co do możliwości dochodzenia przez nich praw na drodze sądowej. Według przewidywań magazynu Forbes, do 2026 roku wśród spółek globalnych standardem stanie się obecność w ich zarządach osób odpowiedzialnych za cybersec, mających dbać o tę sferę funkcjonowania. Ten przewidywany globalny trend, w połączeniu z programami sektorowymi, pokazuje że świadomość zagrożeń i ich potencjalnych skutków jest dostrzegana.
Łańcuch dostaw – po nitce do kłębka
W najbliższej przyszłości coraz większy problem stanowić będą ataki na łańcuchy dostaw, skoncentrowane na wykorzystaniu podatności w systemach dostawców, w celu uzyskania dostępu do systemów organizacji docelowej. Mogą one mieć dla nich poważne konsekwencje.
– Najlepszą rekomendacją w kontekście spodziewanego wzrostu złożoności ataków jest wdrożenie odpowiednich systemów bezpieczeństwa, jak firewalle na brzegu sieci partnerów. Rozwiązań, które mają możliwości silnego szyfrowania danych w połączeniu sieci, co pozwala zapewnić bezpieczne kanały komunikacji z dostawcami. Również w tym obszarze liczą się uwierzytelnianie wieloskładnikowe i ścisła kontrola dostępu wraz z zaawansowanym monitorowaniem i wysyłaniem tych informacji do SOC, a także regularne stosowanie poprawek do oprogramowania. Użyty do zabezpieczeń łańcucha dostaw produkt powinien spełnić normy i standardy określone poprzez certyfikacje branżowe, jak np. EAL4+ oraz rekomendacje Unii Europejskiej lub NATO. Ważnym elementem systemu bezpieczeństwa są też polityka udostępniania dostawcom jedynie tych danych, które są niezbędne do wykonania usługi oraz regularne audyty i przygotowanie procedur reagowania na incydenty – rekomenduje Aleksander Kostuch, ekspert Stormshield, wytwórcy rozwiązań cybersecurity.