„Barometr Cyberbezpieczeństwa 2021” KPMG wykazał, że 55 proc. polskich przedsiębiorców jest świadomych, że to, co się dzieje wokół COVID-19 przyczynia się do wzrostu ryzyka wystąpienia cyberataków. Co czwarty przedsiębiorca mógł nawet sam zaobserwować nasilenie się takich incydentów, a 64 proc. odnotowało co najmniej jeden cybernetyczny atak (wzrost o 10 p.p. 2020 do 2019 r.).
Zdalnie bywa niebezpiecznie
Co prawda, jak wynika z ankiety KPMG, aż 83 proc. firm wdrożyło w czasie pandemii COVID-19 pracę zdalną z wykorzystaniem służbowych laptopów z szyfrowaniem połączeń (VPN), ale jednocześnie aż połowa przedsiębiorców uważa, że przejście pracowników na zdalną pracę stało się nowym wyzwaniem. Chodzi też o wymiar tego wyzwania – nie zawsze dostrzegany albo nie doceniany, a związany z bezpieczeństwem informatycznym pracy. Gdy laptop zostaje wypięty z firmowego systemu i zabrany do domu, wzrasta ryzyko nieautoryzowanych działań i podatność pracownika na cyberataki.
Pracownicy – czasem z nieświadomości – popełniają wręcz szkolne błędy. Wynikają one przede wszystkim z niestosowania się do zasad firmy w zakresie bezpieczeństwa informatycznego (o ile firma taką politykę ma). Menadżerowie nie stosują się do nich, bo szkoda im czasu na przestrzeganie tych reguł lub po prostu bagatelizują zagrożenia. Podatnym miejscem na cyberataki są bardzo często skrzynki mailowe pracowników. Nie wszyscy zdają sobie sprawę z tego, że w czasie ataku phishingowego mogą one posłużyć hakerom jako swoista brama wejściowa do firmy.
Hakerzy wykorzystują przy tym niewiedzę i naiwność pracowników. Niebezpieczna bywa także nadmierna skłonność do autoprezentacji w mediach społecznościowych. – Pierwszą fazą takiego ataku jest weryfikacja pracownika i jego zainteresowań. Poprzez media społecznościowe cyberprzestępca może sprawdzić, czym on się zajmuje na co dzień, czym się interesuje, a następnie stworzyć maila w taki sposób, żeby pracownik bez zastanowienia zainteresował się jego treścią i kliknął w link, który został dla niego przygotowany. Po takiej akcji oczywiście infekcja jest gotowa – ostrzega Łukasz Miedziński, dyrektor Departamentu Cyber w ING Tech Poland.
Przedsiębiorcy muszą dołożyć starańi, by redukować ryzyko. Podstawowym zabiegiem jest tu zadbanie, by skrzynki pracowników były obsługiwane wewnątrz firmy, a jeśli to trudno w danym momencie przeprowadzić, by zawsze były szyfrowane połączeniem typu VPN.
Prywatny email nie dla służbowej korespondencji
Szczególnie ważne jest zabezpieczenie firmowej korespondencji przed „wyciekiem” na zewnątrz. Należy sklasyfikować ważność danych w firmie, dbając o to, by te sklasyfikowane wysoko nie wyszły poza firmę. Specjalny program skanujący może przechwytywać wiadomości zawierające treści niepożądane z punktu widzenia interesu firmy. Takie, których ujawnienie mogłoby ją narazić na straty – choćby wizerunkowe. Warto przy tym pamiętać, że korespondencja firmowa nie jest korespondencją prywatną i może podlegać inwigilacji.
Złą praktyką jest także przesyłanie służbowych danych na prywatne skrzynki lub przechowywanie ich na urządzeniach mobilnych, np. pendrive’ach. Firma może w ten sposób stracić kontrolę nad danymi. Firmowe skrzynki mailowe są chronione poprzez zaawansowane techniki i zabezpieczenia ochronne. Prywatne już tak dobrze chronione nie są i zainteresowany haker może z nich ściągnąć treści – co też pokazują związane z tym liczne ostatnio publiczne afery.
Nawet w małej firmie warto zorganizować przynajmniej jedno szkolenie z zakresu ochrony danych firmowych. Wydatek będzie naprawdę nieduży w porównaniu z możliwymi stratami, gdy atak hakera się uda.
