Dawid Rachmajda
Ekspert ds. cyberbezpieczeństwa w PPBW
Łukasz Kielban
Starszy specjalista ds. komunikacji PPBW
Żeby zainteresować się twoją firmą, cyberprzestępcy potrzebują jedynie pewności, że brak dostępu do systemów i plików spowoduje dla niej poważne straty.
Werze powszechnej cyfryzacji internet jest nieodzownym narzędziem biznesowym, ale i źródłem zagrożeń. Dlatego żadna firma nie może dziś lekceważyć kwestii bezpieczeństwa ani rezygnować z edukacji pracowników. Jak pokazuje praktyka, za ochronę cyfrową odpowiada nie tylko dział IT, lecz każdy, kto ma dostęp do firmowych urządzeń i danych. To bowiem nie tyle techniczne luki, ile ludzka nieuwaga najczęściej prowadzi do incydentów: ataków, wycieków czy szyfrowania danych.
Według danych z 2021 roku aż 75 proc. cyberataków na polskie firmy stanowiły ataki typu ransomware, polegające na blokadzie danych i żądaniu okupu za ich odblokowanie. Skutki? Często długotrwałe zatrzymanie działalności i poważne straty finansowe. W takich sytuacjach przedsiębiorcy stają przed trudnym wyborem: zapłacić okup i mieć nadzieję na odzyskanie kontroli czy próbować ratować sytuację samodzielnie? Ta druga opcja bywa czasochłonna i kosztowna, dlatego – choć niechętnie się do tego przyznają – wiele firm wybiera zapłatę, traktując to jako mniejsze zło.
Straty mogą jednak iść znacznie dalej. Wycieki danych osobowych wiążą się z wysokimi karami administracyjnymi, a ujawnienie ataku – z poważnym uszczerbkiem na reputacji firmy.
Co ważne, cyberprzestępcy nie atakują wyłącznie firm z cennymi danymi do odsprzedaży. Często łatwiejszym i szybszym źródłem zysku jest okup od firmy, która nie może pozwolić sobie na przestój. Dlatego warto spojrzeć na własną organizację przez pryzmat jej podatności: jak kosztowna byłaby przerwa w działalności, jakie kary mogłyby zostać nałożone i ile warta byłaby możliwość odzyskania dostępu. To właśnie te czynniki sprawiają, że dana firma staje się celem.
Jak się przed tym chronić? Choć pokusa, by całą odpowiedzialność zrzucić na dział IT, wydaje się kusząca, w praktyce to człowiek, a nie technologia, najczęściej zawodzi. Każdy pracownik mający dostęp do firmowych urządzeń i danych, niezależnie od zajmowanego stanowiska – od prezesa po stażystę – może nieświadomie doprowadzić do poważnego incydentu. Wystarczy chwila nieuwagi, kliknięcie w zainfekowany link czy otwarcie fałszywego załącznika, by zainfekować system i narazić firmę na straty.
Cyberprzestępcy stosują dziś wyrafinowane techniki socjotechniczne, takie jak phishing czy whaling, często skierowane do precyzyjnie wybranych osób. Ich celem jest jedno: nakłonić ofiarę do działania, które otworzy drogę do ataku. Dlatego tak ważna jest znajomość tych metod oraz świadomość, jak łatwo dziś podszyć się pod zaufanego nadawcę. Dopiero połączenie zdrowej ostrożności, nawyków weryfikacji wiadomości i podejrzliwości wobec nietypowych treści pozwala realnie ograniczyć ryzyko.
Sama sprawność działu IT zatem nie wystarcza. Niezbędne są regularne szkolenia wszystkich pracowników. W tym duchu Polska Platforma Bezpieczeństwa Wewnętrznego angażuje się w inicjatywy zwiększające świadomość zagrożeń cyfrowych. Jedną z nich jest współfinansowany przez Unię Europejską projekt CYRUS, w ramach którego oferowany jest szeroki wybór bezpłatnych szkoleń – zarówno dla początkujących, jak i zaawansowanych użytkowników. Kursy te pomagają zrozumieć zagrożenia związane z działalnością hakerów i złośliwego oprogramowania oraz uczą skutecznych metod przeciwdziałania. Udział w szkoleniu wymaga jedynie rejestracji na platformie CYRUS.
