eGospodarka.pl

eGospodarka.plWiadomościTechnologieInternet › Czy polskie firmy są gotowe na ochronę cyberbezpieczeństwa?

Czy polskie firmy są gotowe na ochronę cyberbezpieczeństwa?

2019-08-09 09:30

Czy polskie firmy są gotowe na ochronę cyberbezpieczeństwa?

Cyberataki © pixabay

Jak wynika z danych CERT Polska, miniony rok przyniósł ponad 17-procentowy wzrost incydentów cyberbezpieczeństwa. Z opracowanego przez badania PwC badania pt. „Cyber-ruletka po polsku. Dlaczego firmy w walce z cyberprzestępcami liczą na szczęście” wynika z kolei, że niemal 2/3 firm doświadczyło związanych z aktywnością cyberprzestępców zakłóceń i przestojów. Skala problemu jest zatem spora. Zagrożeniem są nie tylko same cyberataki, ale i brak przygotowania na nie. Tymczasem strategię cyberbezpieczeństwa posiada zaledwie 35 proc. przedsiębiorstw.
Polskie firmy muszą jeszcze lepiej zrozumieć, jak duże zagrożenie dla funkcjonowania całej gospodarki stanowią cyberataki. Świadomość zagrożeń jest kluczowa. Jednakże, aby się przed nimi chronić, niezbędne jest także podjęcie konkretnych działań przez podmioty publiczne, we współpracy z prywatnymi, zarówno na poziomie krajowym, jak i międzynarodowym – wskazuje Izabela Albrycht, prezes Instytutu Kościuszki.

W opracowanym przez Instytut Kościuszki raporcie pt.: „Wyzwania w cyberprzestrzeni. Przykłady rozwiązań, zagrożenia, regulacje” wskazano przykładowe zagrożenia, które tylko czekają na słabość systemu cyberbezpieczeństwa firmy czy instytucji państwowej. Są to malware, phishing, DDoS oraz zaawansowane ataki APT (Advanced Persistent Threat). Statystyki pokazują, że złośliwe oprogramowanie kryje się już w co 13 e-mailu. W minionym roku przeszło co 4. internauta padł ofiarą phishingu polegającego na podstępnym wyłudzeniu od użytkowników ich danych osobistych, takich jak hasła, numery kart kredytowych czy dane kont bankowych. Mimo że ataki DDoS w większym stopniu dotykają USA i Chiny niż Polskę, to tendencja ich występowania na rodzimym rynku, podobnie jak na rynku światowym, jest cały czas wzrostowa.

Najbardziej zaawansowanym atakiem jest jednak APT. Najczęściej jest to starannie zaplanowany, często wyrafinowany i wymierzony w konkretny cel atak sieciowy na daną organizację, którego celem jest cyberszpiegostwo. Jednym z najsłynniejszych ataków APT jest odkryta w 2009 roku operacja GhostNet, która zdążyła zinfiltrować sieci w 103 krajach, przy czym najdłuższa infekcja utrzymywała się przez 660 dni. Podobne ataki oznaczają realne straty finansowe nie tylko dla przedsiębiorców, ale i całych gospodarek. Według danych McAfee i CSIS, tylko w 2017 r. gospodarka światowa straciła ponad 600 miliardów dolarów, natomiast Zurich Insurance przewiduje, że w 2030 r. straty mogą sięgnąć nawet 1,2 biliona dolarów, co będzie się równać 0,9 proc. światowego PKB.
W kontekście tych alarmujących danych, wyraźnie widać, że sektor prywatny musi stać się bardziej istotnym elementem budowania cyberbezpieczeństwa, także poprzez tworzenie rozwiązań na coraz to nowe typy ataków wykorzystujących nowe technologie, jak np. uczenie maszynowe czy sztuczną inteligencję – komentuje Izabela Albrycht.

Firmy technologiczne odpowiedziały na zagrożenia m.in. poprzez podejmowanie działań samoregulacyjnych, takich jak Global Internet Forum to Counter Terrorism (GIFCT), którego celem jest przeciwdziałanie szerzeniu się w sieci propagandy produkowanej przez terrorystów czy inicjatywa The Cybersecurity Tech Accord (Tech Accord) – publiczne zobowiązanie, podpisane przez ponad 80 firm, w ramach którego sygnatariusze deklarują podejmowanie działań zwiększających bezpieczeństwo i stabilność w cyberprzestrzeni. Takie inicjatywy stanowią wyrażenie potrzeby rozwijania tak zwanych norm odpowiedzialnego zachowania w cyberprzestrzeni.

Do tego dochodzą regulacje prawne podejmowane przez Unię Europejską i państwa członkowskie, których głównym przykładem jest Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. (Dyrektywa NIS). Wspomniany akt prawny nakłada na wszystkie państwa członkowskie obowiązek przyjęcia krajowej strategii w zakresie bezpieczeństwa sieci i systemów informatycznych, ustanawia wymogi dotyczące bezpieczeństwa i zgłaszania incydentów dla operatorów usług kluczowych i dostawców usług cyfrowych, a ponadto tworzy grupę współpracy służącą rozpowszechnianiu dobrych praktyk i doświadczeń w obszarze cyberbezpieczeństwa oraz sieć zespołów reagowania na incydenty bezpieczeństwa komputerowego (sieć CSIRT). Polska ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (UKSC) wdrażająca unijną dyrektywę, wskazuje trzy zespoły reagowania na incydenty bezpieczeństwa komputerowego – CSIRT GOV prowadzony przez Szefa Agencji Bezpieczeństwa Wewnętrznego, CSIRT MON prowadzony przez Ministra Obrony Narodowej oraz CSRIT NASK prowadzony przez Naukową i Akademicką Sieć Komputerową – Państwowy Instytut Badawczy. Ustawa ta określa również organy właściwe do wyznaczenia operatorów usług kluczowych, zasady ich wyznaczania, a także szczegółowe obowiązki operatorów, do których należą m.in.:
  • Systematyczne szacowanie ryzyka wystąpienia incydentu i zarządzanie ryzykiem,
  • Wdrożenie odpowiednich i proporcjonalnych środków technicznych i organizacyjnych,
  • Zbieranie informacji o zagrożeniach i podatności na incydenty systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej,
  • Zarządzanie incydentami,
  • Stosowanie środków zapobiegających i ograniczających wpływ incydentów na bezpieczeństwo systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej,
  • Stosowanie środków łączności umożliwiających prawidłową i bezpieczną komunikację w ramach krajowego systemu cyberbezpieczeństwa.

Cyberataki

Tylko 35 proc. przedsiębiorstw na polskim rynku posiada strategię cyberbezpieczeństwa.


UKSC nakłada na operatorów usług kluczowych obowiązek prowadzenia dokumentacji dotyczącej bezpieczeństwa systemu informacyjnego oraz powołania wewnętrznej struktury odpowiedzialnej za cyberbezpieczeństwo lub zlecenia takich usług podmiotom trzecim. Dodatkowo, operatorzy muszą co najmniej raz na dwa lata przeprowadzać audyt bezpieczeństwa cybernetycznego.

Z całą pewnością powyższe rozwiązania przyczyniają się do zwiększenia poziomu bezpieczeństwa cyberprzestrzeni. Jednak niezbędne jest podejmowanie dalszych inicjatyw, a także dbanie o bezpieczeństwo rozwiązań już na etapie ich projektowania w myśl zasady security by design i privacy by design.
Jedną z inicjatyw, która od przeszło pięciu lat buduje świadomość w zakresie cyberzagrożeń dla firm i instytucji publicznych jest Europejskie Forum Cyberbezpieczeństwa CYBERSEC, podczas którego już w październiku światowi eksperci zaproponują kolejny zestaw rekomendacji służących wzmocnieniu bezpieczeństwa zarówno sektora prywatnego, jak i publicznego, obrazowo rzecz ujmując: cyfrowego DNA świata. W tym roku odbędą się też praktyczne sesje warsztatowe dla firm, które przybliżą dobre praktyki wdrażania zapisów ustawy o KSC – konkluduje Izabela Albrycht, prezes Instytutu Kościuszki.

oprac. : eGospodarka.pl

Oceń

0 0

Podziel się

Poleć na Wykopie Poleć w Google+

Poleć artykuł znajomemu Wydrukuj

Skomentuj artykuł Opcja dostępna dla zalogowanych użytkowników - ZALOGUJ SIĘ / ZAREJESTRUJ SIĘ

Komentarze (0)

DODAJ SWÓJ KOMENTARZ

Eksperci egospodarka.pl

1 1 1

Wpisz nazwę miasta, dla którego chcesz znaleźć jednostkę ZUS.

Wzory dokumentów

Bezpłatne wzory dokumentów i formularzy.
Wyszukaj i pobierz za darmo: