Jak polskie firmy tracą dane przez brak podstawowych zabezpieczeń?

Hasło „firma123” do konta administratora, arkusz z danymi klientów wysyłany mailem bez szyfrowania i serwer, na którym nikt od miesięcy nie instalował aktualizacji, to nie scenariusz z filmu o hakerach, tylko codzienność wielu polskich firm. Większość wycieków danych nie wynika z wyrafinowanego ataku, tylko z prostych zaniedbań, które można było naprawić jednym kliknięciem. Skala problemu rośnie razem z liczbą firm działających dziś online. Zgodnie z danymi CERT Polska, liczba zgłoszonych incydentów bezpieczeństwa w polskich firmach rośnie z roku na rok, a znaczna ich część dotyczy właśnie tak podstawowych zaniedbań.

Słabe hasła wciąż są najczęstszym problemem

Mimo powszechnej wiedzy o zagrożeniach, proste, powtarzane w wielu miejscach hasła nadal dominują w firmowych systemach. Pracownicy używają tego samego hasła do poczty, systemu CRM i konta w mediach społecznościowych firmy, co oznacza, że jeden wyciek otwiera drzwi do wszystkiego naraz. Brak dwuskładnikowego uwierzytelniania pogłębia problem, bo samo hasło, nawet skradzione przypadkiem, wystarcza wtedy do pełnego dostępu. Wiele małych firm traktuje takie zabezpieczenia jako coś przeznaczonego dla dużych korporacji, choć atakującym często łatwiej jest wejść właśnie przez firmę z luźną polityką haseł. W Polsce problem ten dotyka szczególnie sektor MŚP, gdzie za IT często odpowiada jedna osoba zajmująca się jednocześnie kilkoma innymi obszarami firmy. Menedżerowie IT w mniejszych firmach często sami przyznają, że wprowadzenie prostego menedżera haseł dla całego zespołu zajęłoby mniej czasu niż sprzątanie skutków jednego wycieku.

Phishing pracowniczy jako główna brama ataku

Fałszywy mail od „dostawcy” z prośbą o pilną płatność albo wiadomość podszywająca się pod prezesa firmy to dziś jeden z najskuteczniejszych sposobów wejścia do firmowej sieci. Przestępcy coraz rzadziej próbują łamać zabezpieczenia technicznie, bo o wiele łatwiej jest skłonić jednego zmęczonego pracownika do kliknięcia w link po długim dniu pracy. W Polsce szczególnie skuteczne okazują się wiadomości podszywające się pod firmy kurierskie czy urzędy, takie jak ZUS lub urząd skarbowy, bo pracownicy rzadko podejrzewają w nich zagrożenie. Szkolenia z rozpoznawania phishingu wciąż są traktowane w wielu firmach jako formalność do odhaczenia raz w roku, zamiast regularnej praktyki. Symulowane ataki phishingowe pokazują zwykle znacznie gorsze wyniki, niż menedżerowie się spodziewają.

Przestarzałe systemy zostawiają otwarte drzwi

Oprogramowanie, które przestało otrzymywać aktualizacje bezpieczeństwa, ale wciąż działa, bo „jakoś działa”, to jeden z najczęstszych powodów udanych ataków na małe i średnie firmy. Aktualizacje bywają odkładane, bo wymagają przestoju systemu, a firmy nie chcą przerywać bieżącej pracy nawet na kilka minut. Starsze wersje systemów operacyjnych czy oprogramowania księgowego mają udokumentowane luki, co ułatwia zadanie każdemu, kto chce je wykorzystać. Wiele polskich firm, zwłaszcza rodzinnych, wciąż korzysta z systemów wdrożonych kilkanaście lat temu, bo wymiana oprogramowania wiąże się z kosztami, na które trudno się zdecydować bez wyraźnego bodźca.

Brak backupów zamienia mały problem w katastrofę

Sam atak, nawet skuteczny, rzadko musi kończyć się trwałą utratą danych, o ile firma ma aktualną, przetestowaną kopię zapasową. W praktyce wiele firm robi backup nieregularnie albo przechowuje go na tym samym serwerze, który pada ofiarą ataku. W Polsce dodatkowym ryzykiem są kary nakładane przez Urząd Ochrony Danych Osobowych za niedopełnienie obowiązków wynikających z RODO. Konsekwencje braku porządnej strategii backupu widać najlepiej w kilku typowych sytuacjach, które powtarzają się w raportach po incydentach:

• Firma płaci okup za odzyskanie danych, bo backup okazuje się nieaktualny lub w ogóle nie istnieje.

• Odtworzenie systemu trwa tygodnie zamiast godzin, bo procedura przywracania nigdy wcześniej nie była testowana.

• Część danych klientów przepada bezpowrotnie, co rodzi dodatkowe konsekwencje prawne związane z ochroną danych osobowych.

• Zaufanie klientów spada na długo po samym incydencie, nawet jeśli techniczne skutki uda się w końcu naprawić.

Każdy z tych scenariuszy da się realnie ograniczyć jednym, stosunkowo tanim nawykiem: regularnym, testowanym backupem przechowywanym poza główną infrastrukturą firmy.

Bezpieczeństwo jako element zaufania, nie tylko IT

Firmy, które klienci traktują jako godne zaufania, zwykle traktują bezpieczeństwo danych jako część swojej oferty, a nie ukryty koszt techniczny. YepCasino, obsługując transakcje finansowe użytkowników na co dzień, musi utrzymywać zabezpieczenia na poziomie porównywalnym z instytucjami finansowymi, bo nawet chwilowa luka oznacza natychmiastową utratę zaufania graczy. Ten sam standard mógłby chronić dane zwykłych klientów w niemal każdej branży, gdyby firmy traktowały bezpieczeństwo równie poważnie jak samą obsługę czy marketing.

Co realnie poprawia bezpieczeństwo bez wielkiego budżetu?

Wbrew pozorom, większość podstawowych zabezpieczeń nie wymaga dużych inwestycji, tylko konsekwencji we wdrożeniu:

• wprowadzenie dwuskładnikowego uwierzytelniania dla wszystkich kont z dostępem do danych klientów;

• regularne, automatyczne aktualizacje systemów zamiast ręcznego odkładania ich w nieskończoność;

• testowany backup przechowywany fizycznie poza główną siecią firmy;

• krótkie, cykliczne szkolenia z rozpoznawania phishingu, zamiast jednorazowej prezentacji raz do roku.

Wdrożenie tych czterech elementów nie eliminuje ryzyka całkowicie, ale realnie zmniejsza szanse poważnego incydentu.

Dlaczego małe firmy bagatelizują ten problem?

Właściciele małych firm często zakładają, że są zbyt mali, by stać się celem ataku, co paradoksalnie czyni ich łatwiejszym celem niż duże korporacje. Budżet na cyberbezpieczeństwo bywa jednym z pierwszych, który znika przy cięciu kosztów, bo efekty inwestycji w zabezpieczenia nie są widoczne na co dzień, dopóki nie dojdzie do incydentu. Brak dedykowanej osoby odpowiedzialnej za bezpieczeństwo sprawia, że nikt w firmie nie czuje się realnie odpowiedzialny za wdrożenie nawet podstawowych zmian. Badania przeprowadzane wśród polskich przedsiębiorców pokazują, że temat cyberbezpieczeństwa trafia na listę priorytetów zwykle dopiero po pierwszym poważnym incydencie, nie wcześniej.

Autor zdjęcia: Pixabay