#cyberbezpieczeństwo

Cyberbezpieczeństwo to ogół rozwiązań i nawyków, które mają nie dopuścić do tego, żeby ktoś niepowołany dostał się do firmowych danych, zaszyfrował je, wykradł albo zatrzymał pracę systemów. Punktem odniesienia niech będzie zabezpieczenie budynku. Zamek w drzwiach, alarm, sejf na dokumenty i ubezpieczenie to cztery różne rzeczy, żadna nie zastępuje pozostałych i nikt rozsądny nie pyta, która z nich jest tą jedną właściwą.

Warstwy, z których to się składa

Pierwsza to brzeg sieci: firewall rozstrzygający, co wchodzi i wychodzi, oraz sposób, w jaki pracownicy łączą się z firmą spoza biura.

Druga to urządzenia końcowe: ochrona komputerów i serwerów, aktualizacje systemów i programów, szyfrowanie dysków w laptopach, które wychodzą z budynku.

Trzecia to tożsamość, czyli kto się loguje i czym potwierdza, że jest sobą. Tu mieszczą się hasła, drugi składnik logowania i przyznane uprawnienia, w tym zasada, że pracownik ma dostęp do tego, czego używa, a nie do wszystkiego.

Czwarta to kopie zapasowe, które niczego nie blokują, za to jako jedyne pozwalają wrócić do pracy, gdy trzy poprzednie zawiodły.

Piąta to ludzie, bo znaczna część udanych włamań zaczyna się od kliknięcia, a nie od złamania zabezpieczeń.

Jak wygląda typowy atak na małą firmę

Wyobrażenie o włamywaczu, który wybiera cel i studiuje go tygodniami, dotyczy dużych organizacji. Mała firma zwykle spotyka coś innego: automat, który przeszukuje internet i sprawdza kolejne adresy pod kątem znanej dziury, niezaktualizowanej usługi wystawionej na świat albo panelu logowania z prostym hasłem. Automatowi jest obojętne, czym firma się zajmuje.

Drugą drogą jest wiadomość. Fałszywa faktura, prośba o pilny przelew, podrobiona strona logowania do poczty. Nie ma tam nic, co dałoby się rozpoznać jako szkodliwy program, jest za to człowiek działający w pośpiechu, i właśnie dlatego szkolenie zespołu jest warstwą, nie dodatkiem.

Trzecią jest hasło, które wyciekło gdzie indziej. Ten sam ciąg znaków użyty w sklepie internetowym i w firmowej poczcie sprawia, że wyciek z tamtego sklepu staje się problemem firmy.

Cyberbezpieczeństwo a bezpieczeństwo informacji

Te dwa pojęcia bywają brane za jedno, a różnią się zasięgiem. Bezpieczeństwo informacji obejmuje wszystko, co chroni wiedzę firmy niezależnie od nośnika: szafę z dokumentami, klucz do serwerowni, umowy o poufności, to, co pracownik powie przez telefon obcej osobie podającej się za kuriera.

Cyberbezpieczeństwo jest jego częścią zajmującą się systemami i danymi w postaci cyfrowej. Firma potrafi mieć w porządku jedno i bałagan w drugim, a najczęstszy udany atak na małą firmę korzysta właśnie ze styku obu obszarów, czyli z człowieka.

Zegar, który rusza po włamaniu

Zaskoczeniem po incydencie bywa nie technika, tylko kalendarz. Przepisy o ochronie danych osobowych wymagają zgłoszenia naruszenia organowi nadzorczemu bez zbędnej zwłoki, nie później niż w ciągu siedemdziesięciu dwóch godzin od jego stwierdzenia. Zegar rusza w chwili, gdy ktokolwiek w firmie zorientuje się, że coś się stało, a nie w chwili, gdy analiza jest skończona.

Termin wypada więc zwykle wtedy, kiedy systemy dopiero wracają do pracy i nikt jeszcze nie umie powiedzieć, czyje dane wypłynęły. Odpowiedzieć trzeba mimo to, a firmy, które zawczasu ustaliły, kto zgłasza i na jakim formularzu, tracą na tym godziny zamiast dni. Osobne obowiązki, z krótszymi terminami, mają podmioty objęte przepisami sektorowymi.

Czego nie da się kupić jako produkt

Nie ma urządzenia, które zamyka temat. Każdy produkt zamyka jedną warstwę i przesuwa problem do następnej: ochrona stacji roboczych nie pomoże, gdy pracownik sam poda hasło, a najlepszy firewall nie zatrzyma kogoś, kto loguje się prawidłowymi danymi.

Nie da się też kupić uprzątnięcia po incydencie. Odtworzenie danych to godziny, ale ustalenie, co wypłynęło, wymaga zapisów zdarzeń sprzed ataku, a te mają zwykle krótkie okno przechowywania, które zdąży się przewinąć, zanim ktokolwiek zacznie je czytać. Dlatego pierwszym krokiem nie jest zakup, tylko spis: co firma ma, kto ma do tego dostęp i skąd wracają dane, gdy zniknie wszystko.