AI, blockchain a może czynnik ludzki – co naprawdę zwiększa cyberbezpieczeństwo organizacji?

Kluczowe wyzwania dla biznesu i administracji w kontekście cyberzagrożeń

Jakie są obecnie największe wyzwania w zakresie cyberbezpieczeństwa, z którymi muszą mierzyć się przedsiębiorstwa i samorządy? Czy różnią się one w zależności od sektora?

Wyzwania są podobne, ale ich skutki i konsekwencje różnią się w zależności od tego, czy dotyczą sektora publicznego, czy prywatnego. Ataki na samorządy powodują przede wszystkim zakłócenia organizacyjne, takie jak paraliż urzędów czy brak dostępności usług publicznych. W sektorze prywatnym skutki ataków przekładają się głównie na straty finansowe.

Człowiek niezmiennie pozostaje najsłabszym ogniwem, co skutecznie dzieli środowisko „bezpieczników” na dwie grupy: tych, którzy wciąż się temu dziwią, i tych, którzy dziwią się tym pierwszym. Socjotechnika nadal pozostaje jednym z największych zagrożeń, choć silną konkurencją dla niej są ataki ransomware, DDoS czy zagrożenia związane z IoT, których skala rośnie wraz z upowszechnieniem urządzeń połączonych z siecią. Niezależnie od tego, które zagrożenie wysunie się na pierwszy plan, potrzeba budowania „cyber-świadomości” pozostaje kluczowa w obu sektorach.

Jakie rodzaje cyberataków zyskują obecnie na popularności i dlaczego?

Wraz z rozwojem nowych technologii pojawiają się nowe ryzyka. Spoofing wykorzystujący AI oraz deepfake to przykłady ataków, które już dziś charakteryzują się wysoką jakością i skutecznością. Ich efektywność sprawia, że cyberprzestępcy będą je nadal rozwijać. Coraz większym zagrożeniem staje się także zastosowanie inteligentnych urządzeń, które masowo trafiają do urzędów i firm. Byłoby naiwnością sądzić, że przestępcy nie będą tego wykorzystywać.

Jakie najważniejsze lekcje mogą wynieść organizacje z ostatnich dużych incydentów cyberbezpieczeństwa na świecie?

Przede wszystkim kluczowe są inwestycje w kapitał ludzki. Każda organizacja, niezależnie od swojej wielkości, powinna zadbać o odpowiednie zaplecze cyberbezpieczeństwa, czy to w postaci wewnętrznych zespołów, czy outsourcingu specjalistycznych usług. Cyberbezpieczeństwo powinno być traktowane jako standardowy element budżetowy, podobnie jak usługi księgowe czy BHP. Być może warto spojrzeć na ten obszar w sposób bardziej systemowy?

Jest takie powiedzenie: "Co, jeśli zainwestujemy w szkolenia naszych pracowników, a oni odejdą? A co, jeśli ich nie przeszkolimy - a zostaną?" W kontekście lekcji, które należałoby wynieść z incydentów cyberbezpieczeństwa chyba nie wymaga to dalszego komentarza.

Regulacje a cyberbezpieczeństwo – wsparcie czy przeszkoda?

Czy obecne regulacje prawne wspierają skuteczną ochronę przed cyberzagrożeniami, czy wręcz przeciwnie — powodują dodatkowe trudności?

Regulacje wpływają na dwa kluczowe obszary. Pierwszym jest wprowadzenie obowiązków, które — w zależności od skuteczności egzekwowania — „motywują” organizacje do zapewnienia zgodności. To z kolei (czasem niejako przy okazji) prowadzi do podniesienia poziomu ochrony. Dobrym przykładem jest RODO, które dzięki systemowi kar „przedostało się” do świadomości wielu organizacji. Z NIS2 zapewne będzie podobnie.

Drugim obszarem jest rosnąca świadomość i rozpowszechnianie dobrych praktyk w całym kraju. To niekwestionowana wartość, którą niektórzy postrzegają jako efekt uboczny regulacji. Należy jednak docenić ich rolę w kształtowaniu bezpieczniejszego środowiska cyfrowego.

W jaki sposób samorządy mogą sprostać wymogom prawnym, nie dysponując zasobami dostępnymi dla dużych korporacji?

Samorządy rzeczywiście znajdują się w szczególnej sytuacji. Nie tylko dysponują ograniczonymi budżetami, ale często brakuje im również wsparcia wykwalifikowanych specjalistów IT. Już samo spełnienie minimalnych wymagań dotyczących bezpieczeństwa systemów stanowi wyzwanie, nie mówiąc o analizie ryzyka czy skutecznym zarządzaniu incydentami — a są to procesy wymagające specjalistycznej wiedzy, której na poziomie gmin i powiatów często brakuje.

Jednym z rozwiązań może być outsourcing usług bezpieczeństwa informacji. Pozwala on na dostęp do profesjonalnych usług w przystępnych cenach. Oczywiście, niska cena w tej branży często oznacza niższą jakość, ale sprytniejsze samorządy potrafią znaleźć dostawców oferujących rozsądny kompromis między kosztem a jakością.

Zarządzanie cyberbezpieczeństwem – najczęstsze błędy i dobre praktyki

Jakie błędy w zarządzaniu ryzykiem cybernetycznym najczęściej popełniają liderzy biznesu i administracji?

Podstawowym błędem jest przekonanie, że to inni padną ofiarą ataku. Niedocenianie zagrożeń to najczęstsza przyczyna porażek w świecie cyberbezpieczeństwa. Kolejnym problemem jest poczucie samowystarczalności. Liderzy organizacji rzadko są ekspertami od cyberbezpieczeństwa, dlatego powinni opierać się na wiedzy specjalistów. To jednak wiąże się z kosztami, a tutaj pojawia się kolejny powszechny błąd – „sztuczna oszczędność”. Unikanie inwestycji w cyberbezpieczeństwo to problem zarówno w biznesie, jak i administracji.

Nieprzypadkowo wszystkie błędy w zarządzaniu cyberbezpieczeństwem jakie wskazałem, leżą poza warstwą techniczną. Oczywiście, infrastruktura i wdrożone rozwiązania również mogą mieć słabe punkty, jednak właściwe zaprojektowanie procesów przez osoby posiadające odpowiednią wiedzę to, moim zdaniem, absolutna podstawa oraz punkt wyjścia do dalszych działań.

W jaki sposób firmy mogą lepiej integrować zarządzanie cyberbezpieczeństwem z innymi obszarami swojej działalności, np. finansami czy HR?

Przede wszystkim zarządzanie cyberbezpieczeństwem powinno być systemowo uregulowane – tak jak BHP, prawo pracy czy przepisy o rachunkowości. Skoro przepisy określają wysokość biurka pracownika i nakładają obowiązek przerw w pracy przy komputerze, dlaczego nie ma obowiązku przeprowadzania szkoleń z cyberbezpieczeństwa na wzór instruktażu stanowiskowego?

Cyberbezpieczeństwo przenika wszystkie obszary działalności firmy i powinno być priorytetem dla każdego przedsiębiorcy.

Sztuczna inteligencja i blockchain – przyszłość cyberbezpieczeństwa?

Czy technologie oparte na sztucznej inteligencji są wystarczająco dojrzałe, aby znacząco podnieść poziom bezpieczeństwa w organizacjach?

Algorytmy tzw. sztucznej inteligencji jeszcze przez długi czas nie osiągną pełnej dojrzałości. Nie oznacza to jednak, że nie można ich skutecznie wykorzystać do zwiększenia poziomu bezpieczeństwa. Pamiętajmy jednak, aby wszelkie plusy AI nie zasłoniły nam minusów. Jak mówią: „kontrola najwyższą forma zaufania”...

Czy technologia blockchain może w przyszłości odgrywać większą rolę w ochronie przed cyberatakami?

Każda technologia zwiększająca poziom bezpieczeństwa odgrywa kluczową rolę w ochronie przed cyberatakami — dopóki nie zostanie skompromitowana. Blockchain cieszy się dziś opinią technologii „niehakowalnej”, dlatego stanowi solidne ogniwo w ekosystemie cyberbezpieczeństwa.

Czynnik ludzki – edukacja i kompetencje przyszłości

W jaki sposób organizacje mogą skutecznie podnosić świadomość cyberzagrożeń wśród swoich pracowników, nie zniechęcając ich nadmiarem informacji?

Budowanie kompetencji cyfrowych i zwiększanie świadomości cyberzagrożeń to dziś jeden z priorytetów. Cyberbezpieczeństwo można śmiało nazwać kompetencją przyszłości. Jak jednak przekazywać tę wiedzę w sposób ciekawy i bez nadmiernego przeciążenia informacjami? Wszystko zależy od kreatywności prowadzącego.

Na rynku nie brakuje dziś szkoleniowców z pasją, którzy stosują nieszablonowe metody — od angażujących warsztatów po wykorzystanie nowoczesnych technologii, takich jak wirtualna rzeczywistość. Znalezienie odpowiedniej oferty nie jest dziś dużym wyzwaniem.

Jakie umiejętności powinni rozwijać specjaliści ds. cyberbezpieczeństwa, aby sprostać wyzwaniom najbliższych lat?

Żyjemy w świecie, w którym liczą się przede wszystkim umiejętności praktyczne. Specjaliści ds. cyberbezpieczeństwa powinni więc szukać okazji do rozwoju, które pozwalają na zdobycie realnych kompetencji. Zarządzanie bezpieczeństwem z wykorzystaniem AI będzie w nadchodzących latach jednym z wiodącyh tematów – i warto już teraz rozwijać umiejętności w tym zakresie.

Piotr Czubaty, inspektor ochrony danych, ekspert ds. bezpieczeństwa informacji, konsultant ds. cyberbezpieczeństwa. Członek Stowarzyszenia ekspertów ds. bezpieczeństwa informacji ISSA Polska. 

W trakcie Kongresu IN.SE.CON będziecie mogli wysłuchać jego prelekcji:  Cyberbezpieczny samorząd vs. cyberbezpieczna firma: budżety, podatności, świadomość kadr.