Czego powinny się obawiać instytucje finansowe?

Przeczytaj także: 5 sposobów na obronę przed ransomware w 2023 roku

Wyspecjalizowana w audytach finansowych i doradztwie podatkowym firma RSM zrealizowała swój raport, bazując na liczbie incydentów, które brytyjskie instytucje finansowe zgłaszają Urzędowi ds. Postępowania Finansowego (ang. Financial Conduct Authority, FCA). Wyłaniający się z niego obraz może napawać niepokojem - zdaniem autorów opracowania mamy obecnie do czynienia z niemal 10-procentowym wzrostem ilości zdarzeń prowadzących do naruszenia bezpieczeństwa danych. Problem ten dotyczy przede wszystkim podmiotów z sektora bankowości detalicznej, które to zgłosiły blisko 60% wszystkich incydentów.

Wśród najczęściej pojawiających się przyczyn naruszeń danych 21% respondentów wskazała na „błąd podmiotu zewnętrznego”. Kolejne pozycje należały do problemów leżących po stronie sprzętu i oprogramowania oraz błędów w zarządzaniu zmianami. Nieustająco groźne pozostają również cyberataki, w szczególności te z wykorzystaniem phishingu i ransomware, które są źródłem co dziesiątego zgłoszenia ujętego w raporcie.

Poważny problem, także lokalnie

Choć dane ujęte w raporcie RSM odnoszą się do rynku brytyjskiego, zdaniem Jarosława Mackiewicza, kierownika zespołu ds. audytów w firmie DAGMA, problem jest poważny i dotyczy także Polski.

- Nasza praktyka potwierdza, że problemy opisane w raporcie RSM znajdują odzwierciedlenie także na rynku polskim. Wśród firm brakuje świadomości, ile różnych czynników może zagrażać bezpieczeństwu danych i narażać je np. na wyciek. To naturalnie prowadzi do coraz większej liczby incydentów bezpieczeństwa IT – tłumaczy Jarosław Mackiewicz.

Groźne konsekwencje

Rosnącą liczbę incydentów bezpieczeństwa warto rozpatrywać przez pryzmat wprowadzonego przed rokiem Ogólnego Rozporządzenia o Ochronie Danych (RODO). Przewiduje ono bardzo wysokie kary dla firm, które nie zadbały o bezpieczeństwo danych. Przykładem może być wynosząca 400 tys. euro grzywna dla szpitala Centro Hospitalar Barreiro Montijo. Została ona wymierzona za pozornie niewielkie przewinienia, dotyczące m.in. niestosowanie odpowiednich zabezpieczeń technicznych i organizacyjnych oraz dopuszczania do wrażliwych danych nadmiernej liczby użytkowników. Podobne grzechy ma na sumieniu wiele innych organizacji, dla których opisywany przypadek powinien stanowić przestrogę. Przykłady kar wymierzonych za naruszenie bezpieczeństwa danych zdarzają się także na polskim podwórku. Przykładowo, Dolnośląski Związek Piłki Nożnej musi zapłacić ponad 55 tys. zł grzywny za ujawnienie w sieci danych osobowych 585 osób, którym przyznano licencje sędziowskie. Co w takim razie powinny zrobić firmy, żeby uniknąć podobnych konsekwencji?

- Nie ma na to pytanie jednej odpowiedzi, gdyż wszystko zależy od specyfiki danej organizacji, rodzaju przetwarzanych danych oraz potencjalnego ryzyka. Wszystkie działania warto w związku z tym poprzedzić szczegółowym audytem bezpieczeństwa, który wykaże potencjalne zagrożenia zarówno po stronie infrastruktury technicznej, jak i organizacji pracy w danej firmie. Dopiero mając takie informacje można podjąć skuteczne kroki zmierzające do eliminacji słabych punktów – radzi Jarosław Mackiewicz z firmy DAGMA.