W świecie bezpieczeństwa informacji mijający 2015 r. to niekończące się pasmo cyberataków, dotykających, m.in. instytucje finansowe, duże sieci handlowe czy instytucje rządowe. Możemy spodziewać się, że w kolejnym roku wielkość, złożoność i dotkliwość cyberzagrożeń będzie nadal rosnąć. W tych kierunkach będziesz szedł rozwój zagrożeń, raczej nie należy spodziewać się pojawienia jakiś spektakularnych nowości.

Cyberprzestępczość

Obecnie cyberprzestępcy działają głównie z terenów byłego Związku Radzieckiego. Mają wysokie kompetencje i z reguły są świetnie wyposażeni. Dysponują najnowocześniejszymi narzędziami i atakują z ich wykorzystaniem nieco przestarzałe systemy komputerowe używane przez firmy. Nie bez powodu poziom technicznych umiejętności cyberprzestępców budzi obawy wielu dużych korporacji.

Zobacz również:

• Cyberobrona? Mamy w planach
• Apple musi się bronić. Pozew określa AirTagi narzędziem do prześladowania
• Najlepsze MDM-y do ochrony urządzeń mobilnych na 2023

W 2016 r. firmy muszą się przygotować na nieprzewidywalne zagrożenia, aby móc sobie poradzić z dużym negatywnym wpływem tych zdarzeń na ich działalność biznesową. Firmy powinny określić, które zasoby mają dla nich największe znacznie z punktu widzenia ciągłości biznesowej. Wtedy mogą się przygotować na wypadek ataku i minimalizować jego negatywne oddziaływanie.

Prywatność i regulacje

Większość rządów już stworzyła regulacje dotyczące prywatności i posługiwania się danymi osobowymi. Stosuje się, m.in. kary dla firm, które nie chronią przetwarzanych przez siebie danych we właściwy sposób. Dlatego firmy muszą podchodzić do prywatności zarówno jako do kwestii regulowanej prawnie, jak i do zagrożenia biznesowego. W ten sposób mogą zredukować ryzyko sankcji prawnych oraz kosztów biznesowych takich, jak utrata reputacji czy odpływ klientów na skutek włamania i kradzieży danych. Co więcej, widać trend do wprowadzania kolejnych regulacji oraz zaostrzania istniejących. Dla firm oznacza to konieczność podejmowania dodatkowych działań związanych z ochroną danych. Ustawodawcy starają się bowiem włączyć w walkę z cyberprzestępczością, czego skutkiem jest nakładanie na firmy dodatkowych obowiązków. Dlatego z jednej strony firmy muszą mieć zasoby, aby móc reagować na pojawiające się zagrożenia, a jednocześnie muszą śledzić zmiany w prawie. To niestety oznacza dodatkowe koszty usług prawniczych.

Kontrahenci źródłem zagrożeń

Sieć kontrahentów i dostawców to dla wielu firm bardzo ważny element działania. Jednakże eksperci od bezpieczeństwa wskazują, że jednocześnie jest to potencjalne źródło szeregu zagrożeń dla bezpieczeństwa. Przykładowo, wiele wartościowych lub poufnych informacji jest udostępnianych kontrahentom, co oznacza, że traci się nad nimi bezpośrednią kontrolę. Nawet wyglądające zupełnie niewinne połączenie może stać się źródłem ataku. Doskonałym przykładem jest pamiętny atak na amerykańską firmę Target. Włamywacze wykorzystali lukę w aplikacje webowej stosowanej przez producenta systemów klimatyzacji używanej przez Target.

W przyszłym roku i kolejnych latach tego typu próby ataków na kontrahentów będą podejmowane coraz częściej i nie ma sposobu, żeby zapewnić pełną poufność i spójność danych. Dlatego firmy powinny przyjrzeć się, co udostępniają swoim kontrahentom i zastanowić się nad możliwościami ograniczenia dostępu. Taką analizą należy objąć nie tylko dostawców czy partnerów zajmujących się dystrybucją, ale także wynajmowane firmy prawnicze czy dostawców różnych profesjonalnych usług.

Warte polecenia jest podejście projektowe – dostęp do informacji powinien być przydzielany na podstawie potrzeb w ramach mniejszych działań, a nie poziomie całej współpracy z określonym, zewnętrznym podmiotem.

Trendy BYOx w miejscu pracy

Koncepcje, aby zawodowo wykorzystywać różne, własne zasobowy, zataczają coraz szersze kręgi i nie da się tego powstrzymać, nawet jeśli część firm tego nie akceptuje. Chodzi nie tylko o urządzenia mobilne, ale również o usługi chmurowe, z których użytkownicy zaczynają korzystać samodzielnie, bez angażowania działu IT. To dla firm oznacza wystawienie na dodatkowe zagrożenia dla bezpieczeństwa informacji. Są to zagrożenia zewnętrzne i wewnętrzne, przykładowo niewłaściwe zarządzanie urządzeniem przez użytkownika, próby wykorzystania luk w oprogramowaniu czy też wdrożenie niedokładnie przetestowanej aplikacji biznesowej.

Jeśli firma uzna, że ryzyko związane z BYOD jest dla niej akceptowalne, powinna wdrożyć przemyślany program zarządzania takimi zasobami. Jeśli nie zrobi się tego solidnie, prywatne urządzenia użytkowników mogą doprowadzić do zatarcia granic między prywatnymi i firmowymi danymi. W efekcie rosnąca ilość firmowych danych będzie dostępna na urządzeniach pracowników w niezabezpieczony sposób.

Zaangażowanie pracowników

Ludzie to najważniejszy zasób każdej firmy, ale też najbardziej podatny z punktu widzenia bezpieczeństwa informacji. Firmy stale inwestują w programy i szkolenia mające budować wśród pracowników świadomość na temat zagrożeń. W ten sposób można ograniczyć wśród pracowników zachowania ryzykowne z punktu widzenia bezpieczeństwa danych. Eksperci wskazują, że jest to słuszna koncepcja, ale powinna być realizowana w inny sposób. Zamiast szkolić, bezpieczeństwo danych powinno być częścią procesów biznesowych tak, aby przekształcić pracowników ze źródła ryzyko w pierwszą linię obrony. Zamiast promować świadomość zagrożeń, należy tworzyć rozwiązania i wymuszać zachowania, które wpływają na obniżenie poziomu ryzyka.