5 mitów dotyczących cyberbezpieczeństwa
Choć zapewnienie odpowiedniego poziomu bezpieczeństwa to obowiązek każdej firmy to znalezienie konkretnych i sprawdzonych informacji w gąszczu tych marketingowych to nie lada wyzwanie. W efekcie wielu decyduje się na przyjęcie strategii budowy zabezpieczeń w oparciu o własne odczucia i ogólne założenia czy szczątkowe dane dostępne w sieci. Takie działania choć czasem okazują się skuteczne to wpływają na powstawanie wielu mitów, z którymi warto się zmierzyć.
1. Mój biznes jest zbyt mały i nie przetwarza wartościowych danych – po co ktoś miałby mnie atakować?
Skala cyberataków i ich różnorodność sprawiają, że każda firma jest w ogromnym stopniu narażona na zagrożenia świata wirtualnego. Celem ataku może być kradzież cennych danych, takich jak np. dane osobowe pracowników czy informacje dotyczące kontrahentów, jednak coraz częściej obserwowane są kampanie realizowane przez cyberprzestępców po to, aby uniemożliwić kontynuację pracy ofierze lub wpłynąć na ocenę organizacji przez potencjalnych klientów. Wielkość firmy i zakres posiadanych danych ma niewielkie znaczenie w kontekście oceny ryzyka ataku.
2. Cyberbezpieczeństwo to problem działu IT! Mnie to nie dotyczy!
Narzędzia wykorzystywane przez działy IT do budowy systemów zabezpieczeń mogą przeciwdziałać wielu znanym zagrożeniom, pozwalać na szczegółowy wgląd w infrastrukturę i zapewniać wysoką dostępność usług dostarczanych pracownikom, jednak ich skuteczność w ogromnej mierze zależy od praktyk stosowanych przez użytkowników.
Każdy pracownik, który w codziennych działaniach wykorzystuje systemy informatyczne może uchronić firmę przed atakiem, zaś wskutek błędnych decyzji doprowadzić do incydentu. Dlatego też budowanie cyberochrony powinno być postrzegane jako wspólna odpowiedzialność całej firmy, a nie jedynie jej części.
3. Procedury i regulaminy są skomplikowane i mają niewielkie znaczenie. Trzeba skupić się na narzędziach do ochrony!
Właściwie skonstruowana dokumentacja taka jak system zarządzania bezpieczeństwem informacji, wewnętrzne regulaminy dotyczące obsługi potencjalnego incydentu czy plan Disaster Recovery stanowią podstawę działań podejmowanych w sytuacjach awaryjnych. Najbardziej zaawansowany technologicznie system zabezpieczeń, który nie jest poparty właściwymi uregulowaniami wewnętrznymi może nie tylko nie osiągać zamierzonej skuteczności, ale również stanowić zagrożenie dla integralności danych w firmie.
Organizacyjna warstwa zabezpieczeń jest nie mniej istotnym elementem niż narzędzia do ochrony stosowane w infrastrukturze sprzętowej czy programowej. Nie należy jej bagatelizować.
4. Często zmieniam hasła, więc jestem bezpieczny.
Każdy z nas dąży do tego, aby skutecznie zabezpieczać dostępy do swoich kont w kolejnych systemach. Regularna zmiana haseł, które nie zostały złamane nie jest jednak dobrą praktyką. Udowodniono, że użytkownik, który musi często modyfikować swoje poświadczenia ma tendencje do uproszczania ich kolejnych odmian i stosowania schematów tak, żeby łatwiej było mu zapamiętać nowy ciąg znaków.
Siłę haseł „Firma2023” oraz „Firma2024” możemy uznać za zbliżone, zaś ich złamanie zajmie podobną ilość czasu. Zamiast zatem skupić się na częstej zmianie poświadczeń, lepiej zadbać o ich jakość.
5. Całe IT mam w chmurze, więc nie muszę dbać o bezpieczeństwo - dostawca chmury robi to za mnie.
Szerokie stosowanie rozwiązań chmurowych w organizacji to zapewne słuszny kierunek, który pozwala nam na optymalizację kosztów czy wydajności i lepszego dopasowania IT do chwilowych potrzeb firmy. Dostawcy usług chmurowych zapewniają pewien standard ochrony, jednak to usługobiorca odpowiada za spójność i bezpieczeństwo danych, które przetwarza w ramach dostarczonych narzędzi. Warto zauważyć, że zgodnie z najnowszymi zaleceniami, krytyczne dla przedsiębiorstwa usługi i systemy nie powinny być separowane od centrum produkcyjnego, gdyż taka architektura uzależnia ich dostępność od kolejnego czynnika – jakości łącza internetowego.
Podsumowanie
Nieprawdziwych informacji dotyczących nie tylko metod ochrony, ale również skali czy rodzajów zagrożeń jest niestety znacznie więcej. Te, które opisane zostały powyżej należy jednak uznać za najbardziej popularne, a jednocześnie najbardziej szkodliwe. Osoby odpowiedzialne za cyberbezpieczeństwo w organizacji muszą łączyć ekspercką wiedzę na temat technicznych aspektów budowy IT, uregulowań prawnych czy tematów z obszaru psychologii tak, aby skutecznie minimalizować ryzyka ataków socjotechnicznych. To szerokie spektrum zagadnień sprawia, że warto rozważyć zewnętrzne wsparcie już na etapie planowania inwestycji w zabezpieczenia, gdyż taka pomoc może okazać się nieoceniona i przynieść wiele korzyści.
Powiązane wpisy
-
Dyrektywa NIS2. O nowych zasadach dotyczących cyberbezpieczeństwa. [Wywiad]
Wobec wzrostu liczby cyberzagrożeń, a zarazem wysokiej skuteczności dokonywanych ataków, pojawiła się konieczność zmiany podejścia do (...)
-
Dyrektywa NIS2. Nowe wytyczne w zakresie cyberbezpieczeństwa – dyrektywa NIS2
Network and Information Security 2 to nowelizacja dyrektywy NIS opisującej zagadnienia związane z cyberbezpieczeństwem. Choć drugie wydanie weszło (...)