To nie jest dobry czas dla firm, jeśli chodzi o bezpieczeństwo cyfrowe. Mamy do czynienia ze zwiększoną aktywnością grup hakerskich i potężnym wzrostem zagrożeń e-mail. Dodatkowo kryzys energetyczny, który z pewnością uderzy po kieszeni nie tylko obywateli, lecz także przedsiębiorstwa. Czas na gruntowne przejrzenie stanu bezpieczeństwa w organizacji.

rozwiń ›

Dyrektywa NIS2 - regulacje ws cyberbezpieczeństwa muszą przyspieszyć

Europejskie firmy tuż po kryzysie pandemicznym i związanymi z nim cyfrowymi wyzwaniami oraz ogromnymi inwestycjami musiały się bardzo szybko zmierzyć z kolejną falą problemów – wojną w Ukrainie i kryzysem energetycznym. Nie trzeba dodawać, że tego typu zdarzenia nie wpływają dobrze na biznes. Dodatkowo wiele przedsiębiorstw będących częścią infrastruktury krytycznej może stać się celem cyberprzestępców/hakerów. W końcowym efekcie zagrożone są w zasadzie wszystkie firmy działające na rynkach europejskich czy rynku unijnym.

Jeszcze w styczniu 2022 r. firmy analityczne jako najważniejsze wyzwania dla firm i instytucji w obszarze cyberbezpieczeństwa na najbliższe lata wskazywały m.in. kwestie regulacyjne. Według EY jednym z kluczowych wyzwań jest choćby zapewnienie cyfrowej odporności operacyjnej, czyli zagwarantowanie ciągłości i utrzymanie jakości świadczonych usług w obliczu zagrożeń. Chodzi oczywiście o projekt rozporządzenia UE pod nazwą Digital Operational Resiliance Act, czyli DORA.

Drugim ważnym obszarem na przyszłość miała być opracowywana dyrektywa NIS2. To nowe prawo mające na celu usunięcie rozbieżności w zakresie sformułowania wymogów cyberbezpieczeństwa i ich wdrażania w różnych państwach członkowskich. Niewątpliwie wojna w Ukrainie nie tylko przyspieszyła te regulacje, lecz także pokazała, jak ważne jest zarówno utrzymanie usług, jak i wspólna strategia unijna w obszarze cyberbezpieczeństwa.

Ransomware coraz bardziej zagraża firmom - nie czas na oszczędności

Pandemia koronawirusa przyniosła zwiększenie wydatków firm w obszarze IT, co zaowocowało wprowadzeniem wielu innowacyjnych rozwiązań. Z kolei, jak twierdzą analitycy z IDC, wydatki na bezpieczeństwo IT powinny się zwiększyć w Europie o ok. 10 proc. w 2022 r. i powinny być traktowane jako inwestycja, a nie koszt. Pozostaje pytanie, czy kryzys energetyczny, wysoka inflacja i zapewne jakaś forma recesji, nie sprawią, że firmy będą szukać oszczędności. Z pewnością nie powinny ich szukać w tak kluczowym obszarze strategicznym jak cyberbezpieczeństwo.

Jeśli zrobią to kosztem zabezpieczenia infrastruktury IT i rozwiązań cybersec, może to nas wszystkich sporo kosztować. Jak wynika z danych IBM, w 2021 r. tylko ataki typu Business Email Compromise (BEC) kosztowały firmy średnio 5 mln dol. A nie jest to najbardziej wyrafinowana forma ataku na firmę ani najbardziej powszechna. Jeśli dodamy do tego ransomware, wycieki danych za pośrednictwem złośliwego oprogramowania czy powszechny phishing czy wyłudzenia danych, to ograniczenie kosztów na bezpieczeństwo IT może przynieść tylko straty. I to nie tylko dla przedsiębiorstw. Nie ma wątpliwości, że koszty udanych ataków mogą zostać przerzucone bezpośrednio na klientów, kontrahentów, a pośrednio też na konsumentów i usługobiorców. Stracimy wszyscy.

Cyberatak na firmę? To dziś powszechna praktyka

W zasadzie żadna firma nie może czuć się bezpieczna, choć część z nich jest bardziej narażona na cyberataki. Jak informuje ESET prawie 70 proc. firm z branży przemysłowej w Polsce w 2021 r. doświadczyło cyberataku. To pokazuje skalę problemu. W Polsce wciąż obowiązuje 3. stopień alertu CRP Charlie, który wprowadzany jest w przypadku wystąpienia zdarzenia potwierdzającego prawdopodobny atak o charakterze terrorystycznym w cyberprzestrzeni lub uzyskania wiarygodnych informacji o planowanym zdarzeniu.

- Badacze z ESET przedstawili niedawno wyniki dochodzenia dotyczącego grupy APT Lazarus i jej ataków na firmy z sektora obronnego na całym świecie. Do fałszywych kampanii rekrutacyjnych cyberprzestępcy wykorzystywali popularne serwisy i aplikacje takie jak LinkedIn i WhatsApp. Według danych telemetrycznych firmy ESET cele ataku znajdowały się m.in. w Europie (Francja, Włochy, Hiszpania, Niemcy, Czechy, Holandia, Polska i Ukraina), na Bliskim Wschodzie (Turcja, Katar) oraz w Ameryce Łacińskiej (Brazylia). To pokazuje, że w zasadzie żadna firma na świecie nie może czuć się bezpieczna – zauważa Beniamin Szczepankiewicz, starszy specjalista ds. cyberbezpieczeństwa z ESET.

Choć wydaje się, że najbardziej narażone na ataki są firmy z sektora zbrojeniowego, przemysłowego czy infrastruktury krytycznej, w tym przedsiębiorstwa telekomunikacyjne czy energetyczne, to mały i średni biznes, który wykorzystuje przecież mniej zaawansowane rozwiązania i zabezpieczenia, też jest na celowniku internetowych przestępców.

Cyberatak na firmę - pracownik nadal najsłabszym ogniwem

Według ostatniego raportu bezpieczeństwa ESET Threat Report T1 2022 zagrożenia e-mail odnotowały wzrost na poziomie niemal 40 proc. w pierwszych czterech miesiącach bieżącego roku, w porównaniu z czterema ostatnimi miesiącami 2021 r. Z kolei kampanie phishingowe też już nie dotyczą tylko użytkowników domowych. Na celowniku cyberprzestępców pojawiają się rządy, organizacje oraz przedsiębiorstwa.

Cyberatak na firmę - jak chronić się przed atakami?

Niezwykle prostym, ale i niebezpiecznym narzędziem hakerów są wspomniane ataki BEC. W wyniku skutecznego ataku może np. dojść do podszycia się pod szefa, kierownika, osobę zarządzającą w firmie i zmuszenie pracownika firmy do określonego zachowania. Efektem może być wyłudzenie danych, które pozwolą cyberprzestępcom dostać się do innych stref w organizacji. To może mieć fatalne skutki, zarówno operacyjne, jak i finansowe. Kiedy pracownik dostaje setną w ciągu dnia fakturę do realizacji, czasem nie sprawdzi już e-maila czy nie potwierdzi polecenia u źródła. Na to liczą przestępcy.

Jak nie dać się atakom socjotechnicznym? Przede wszystkim warto korzystać z zaufanych źródeł, nie wchodzić na podejrzane strony i nie klikać w nieznane linki. W przypadku kontaktu telefonicznego, jeżeli nie jesteś pewny rozmówcy, nie przekazuj żadnych informacji. Najlepiej w pierwszej kolejności zweryfikuj tożsamość rozmówcy.

Szczególną uwagę należy zwracać na wszystkie treści, gdzie jest wymagane logowanie lub konieczne jest wykonanie jakiegokolwiek przelewu. Zawsze trzeba weryfikować nadawcę wiadomości, zwracając uwagę nie tylko na osobę, lecz także na domenę, z jakiej otrzymano wiadomość. Jednak nawet najlepiej wyszkoleni pracownicy mogą się stać ofiarami cyberprzestępców. Dlatego konieczne są również odpowiednie mechanizmy kontroli bezpieczeństwa, regularne testowanie procedur reagowania na incydenty oraz sprawdzone oprogramowanie zabezpieczające.

Złośliwe oprogramowanie? - Antywirus to nie wszystko

Antywirus w firmie rozwiąże wiele problemów, ale warto rozszerzyć ochronę o narzędzie do podwójnej autoryzacji (2FA), szyfrowanie danych czy rozwiązania, które zabezpieczą serwery przed złośliwym oprogramowaniem i zweryfikują wiadomości e-mail przychodzące na firmowe skrzynki, czy nie stanowią zagrożeń. Warto zauważyć, że rozwiązania biznesowe ESET przy niezwykle wysokim poziomie skutecznej ochrony firm i instytucji mogą się pochwalić minimalnym wpływem na wydajność pracy komputerów.

Niezwykle ważne są także dobre praktyki. Poza skutecznym oprogramowaniem zabezpieczającym konieczne są regularne szkolenia pracowników i wykwalifikowany zespół administratorów. – Wydatki na bezpieczeństwo IT to w zasadzie inwestycja – skutecznie zabezpieczone dane na komputerach pracowników czy też w ogólne zabezpieczenie dostępu do ich komputerów to w gruncie rzeczy stabilność działania firmy, wyeliminowanie wielu ryzyk związanych z wyciekiem danych, a także ochrona wizerunku przedsiębiorstwa – podsumowuje Beniamin Szczepankiewicz.