Jak instytucje publiczne mogą zadbać o bezpieczeństwo w internecie?
Wyłudzenie danych, złośliwe oprogramowanie, phishing – to tylko niektóre z zagrożeń, które czyhają w internecie. Na pracownikach urzędów, instytucji publicznych, jednostek samorządu terytorialnego czy organizacji spoczywa szczególna odpowiedzialność, ponieważ w ich rękach często znajdują się wrażliwe dane tysięcy osób. Dlatego w takich miejscach konieczne jest wprowadzenie jasnych zasad korzystania z internetu. Jak zadbać o bezpieczeństwo w sieci? Przedstawiamy działania, które warto podjąć, aby zminimalizować ryzyko wycieku danych i zadbać o cyberbezpieczeństwo w codziennej pracy.
W Polsce zasady bezpieczeństwa w internecie, wraz z podmiotami, które powinny o nie zadbać, określa Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Zgodnie z jej treścią obowiązek przeciwdziałania incydentom i zarządzania nimi według procedur dotyczy m.in. operatorów usług kluczowych, dostawców usług cyfrowych i podmiotów publicznych. Poszczególne jednostki powinny zgłaszać poważne problemy z bezpieczeństwem do Zespołu Reagowania Na Incydenty Bezpieczeństwa CSIRT MON, CSIRT NASK lub CSIRT GOV. Wymienione ośrodki zajmują się zapobieganiem, aby zgłoszony problem nie eskalował.
Jakie są zagrożenia bezpieczeństwa w sieci?
Internet stanowi ogromne ułatwienie w pracy, ale niesie też ryzyko wielu zagrożeń. Najczęstszym problemem jest wyciek danych, czyli nieautoryzowany dostęp do poufnych informacji (danych osobowych, numerów PESEL czy dokumentów finansowych, które mogą być wykorzystane przez przestępców). W celu ich pozyskania hakerzy korzystają z technik, takich jak:
- phishing – oszustwa polegające na podszywaniu się pod zaufane instytucje w celu wyłudzenia danych logowania lub innych informacji;
- ransomware – złośliwe oprogramowanie szyfrujące dane i żądające okupu za ich odblokowanie;
- malware – programy szpiegowskie i wirusy, które mogą uszkodzić systemy, kraść dane lub śledzić aktywność użytkownika;
- ataki DDoS – przeciążenie serwera organizacji, uniemożliwiające jego działanie. Tego typu ataki są szczególnie groźne dla urzędów, które muszą zapewniać ciągły dostęp do swoich usług;
- man-in-the-middle – ataki polegające na przechwytywaniu komunikacji między użytkownikiem a serwerem, co umożliwia kradzież poufnych informacji.
Z biegiem lat, takie ataki są coraz bardziej powszechne. Dla porównania, w 2023 r. było ich ponad 20 razy więcej niż w 2018 r.
Co to jest bezpieczeństwo w internecie?
ezpieczeństwo w internecie oznacza stosowanie zasad i technologii, które chronią dane oraz systemy przed nieautoryzowanym dostępem. W praktyce polega to na minimalizowaniu ryzyka poprzez umiejętne korzystanie z narzędzi internetowych.
Najlepiej ilustruje to poniższy przykład: pracownik instytucji publicznej odebrał e-mail od „banku”, proszący o potwierdzenie danych logowania. Zlekceważenie zasad bezpieczeństwa w internecie i kliknięcie w link z wiadomości skutkowałoby ujawnieniem danych służbowych, a to doprowadziłoby do utraty wielu prywatnych informacji. Takich incydentów można uniknąć, stosując odpowiednie procedury.
Kto najbardziej jest narażony na cyberatak?
Na pierwszym miejscu znajdują się instytucje publiczne, takie jak urzędy, JST czy instytucje zdrowotne. Obsługują one ogromne ilości poufnych danych obywateli, co sprawia, że cyberprzestępcy postrzegają je jako łatwy cel.
Na celowniku są również przedsiębiorstwa z sektora finansowego, takie jak banki czy firmy ubezpieczeniowe. Przestępcy chętnie atakują te podmioty, ponieważ dostęp do ich systemów pozwala na uzyskanie danych finansowych klientów.
Kolejną grupą wysokiego ryzyka są małe i średnie przedsiębiorstwa. Nierzadko ignorują one zagrożenia, wierząc, że są nieistotnym celem dla cyberprzestępców. Tymczasem to właśnie takie firmy często padają ofiarą ataków ze względu na swoje słabe zabezpieczenia i brak procedur bezpieczeństwa.
Zasady bezpieczeństwa w internecie
Aby ograniczyć ryzyko incydentów, należy wprowadzić w miejscu pracy konkretne zasady:
Silne hasła
Hasła to pierwsza linia obrony przed cyberatakami. Silne hasło powinno być unikalne, długie (minimum 12 znaków) i zawierać litery, cyfry oraz znaki specjalne. Do jego tworzenia warto wykorzystywać specjalistyczne generatory silnych haseł.
Słabym hasłem będzie np.: 123456. Lepiej postawić na trudniejsze do rozszyfrowania hasła, wyglądające w ten sposób: K0mp£x#B6i3cQH78fDw0!
Poza tym, służbowe hasła powinny być przechowywane w menedżerach haseł, a nie w przeglądarkowych chmurach czy na kartkach.
Weryfikacja kilkuetapowa
Logowanie wymaga kilku elementów, np. hasła i kodu z aplikacji lub wiadomości SMS. Dzięki temu nawet w przypadku wycieku hasła konto pozostaje chronione. Ta metoda jest szczególnie ważna w przypadku osób zarządzających mediami społecznościowymi czy dostępem do najważniejszych systemów (np. bankowych).
Korzystanie z programu antywirusowego
Silny program antywirusowy wykrywa złośliwe oprogramowanie i blokuje podejrzane działania. Uzupełnieniem może być firewall, który chroni przed nieautoryzowanym dostępem do sieci.
Unikanie stron bez certyfikatu SSL
Certyfikat SSL (kłódka w pasku adresu) zapewnia szyfrowanie połączenia. Strony bez niego mogą być fałszywe. Należy jednak pamiętać, że nawet witryny z SSL mogą być niebezpieczne – warto sprawdzać, czy wyglądają autentycznie.
Zwracanie uwagi na podejrzane linki i spam
Nie należy klikać w linki z podejrzanych e-maili, które często imitują wiadomości od zaufanych instytucji. Warto zwracać uwagę na literówki w adresach nadawców oraz unikać załączników od nieznanych osób.
Regularne aktualizacje oprogramowania
Aktualizacje często zawierają poprawki w systemach bezpieczeństwa, które eliminują luki wykorzystywane przez cyberprzestępców. Ignorowanie ich naraża urząd, instytucje czy firmę na ataki. Dlatego warto regularnie wykonywać aktualizacje oprogramowania sprzętu oraz poszczególnych programów.
Szyfrowanie sieci i urządzeń służbowych
Szyfrowanie chroni dane przed nieuprawnionym dostępem. Pracownicy powinni korzystać wyłącznie z zabezpieczonych sieci firmowych, a nie publicznych hotspotów Wi-Fi.
Prawidłowe korzystanie z chmur
Chmury szyfrowane hasłem lub chronione samodzielnie przyznawanymi uprawnieniami dostępu zapewniają większą kontrolę nad przechowywanymi danymi, zwłaszcza przy pracy zdalnej. Dzięki nim ryzyko wycieku informacji jest mniejsze.
Co zrobić, kto dojdzie do incydentu?
Gdy dochodzi do incydentu zagrażającemu bezpieczeństwu, ważne jest zminimalizowanie potencjalnych szkód i ponowne zabezpieczenie danych. Pierwszym krokiem jest identyfikacja rodzaju zagrożenia. W przypadku phishingu należy natychmiast poinformować dział IT o podejrzanych wiadomościach. Jeśli incydent dotyczy ransomware, warto odłączyć zainfekowane urządzenie od sieci, aby zapobiec rozprzestrzenianiu się zagrożenia. W przypadku ataku DDoS niezbędne będzie szybkie przekierowanie ruchu sieciowego na zapasowe serwery.
Po wstępnej identyfikacji należy podjąć działania izolujące zagrożenie. Odłączenie urządzeń i zablokowanie kont, które mogły zostać przejęte, to podstawowe kroki. Ważne jest również zabezpieczenie dowodów ataku.
Kolejnym krokiem jest zgłoszenie incydentu. Pracownicy powinni natychmiast powiadomić dział IT oraz przełożonych. W przypadku poważnych incydentów, zgodnie z Ustawą o krajowym systemie cyberbezpieczeństwa, należy zgłosić zdarzenie do właściwego CSIRT. Zgłoszenie powinno zawierać szczegółowe informacje o charakterze i skali problemu.
Równolegle konieczna jest dokładna analiza incydentu, w tym określenie jego zasięgu i potencjalnych skutków. Należy oszacować, jakie dane mogły zostać naruszone i jaki wpływ na funkcjonowanie organizacji może mieć dany incydent. Działania naprawcze obejmują usunięcie zagrożenia poprzez skanowanie systemów i eliminację złośliwego oprogramowania, przywrócenie danych z kopii zapasowych oraz wymuszenie zmiany haseł na kontach dotkniętych atakiem.
Na końcu niezbędne jest sporządzenie szczegółowego raportu, który dokumentuje przebieg zdarzenia i podjęte działania oraz zawiera wnioski na przyszłość. Jeśli incydent dotyczył danych osobowych, należy rozważyć konieczność poinformowania osób, których dane mogły zostać naruszone, zgodnie z przepisami RODO.
Konsekwencje cyberataków
Gdy dochodzi do przejęcia poufnych informacji, organizacja staje przed problemem utraty zaufania ze strony swoich interesariuszy. Dodatkowo, wyciek danych może prowadzić do naruszenia przepisów o ochronie danych osobowych.
Dlatego na skutek cyberataku podmiot musi liczyć się z poniesieniem kosztów finansowych. Poza możliwymi grzywnami, instytucje i firmy muszą inwestować w przywracanie systemów do stanu pierwotnego, usuwanie skutków ataku czy wdrażanie nowych zabezpieczeń. Straty wynikają też z tego, że przez pewien czas usługi nie działają prawidłowo.
Kompetencje osób pracujących w miejscu narażonym na cyberatak
Osoby zatrudnione w urzędach, instytucjach publicznych i przedsiębiorstwach oferujących usługi kluczowe powinny odbywać regularne szkolenia z zakresu cyberbezpieczeństwa. W przypadku tego typu pracowników ważna jest nie tylko wiedza o tym, jak wzmacniać bezpieczeństwo w sieci, ale też umiejętność rozpoznawania potencjalnych zagrożeń.
Należy znać charakterystykę poszczególnych rodzajów cyberataków i schematy wykorzystywane przy próbach ich wykonania. Wiedza powinna być aktualizowana, bo hakerzy często udoskonalają dotychczasowe metody pozyskania danych lub tworzą zupełnie nowe.
Poza tym, ważną umiejętnością jest właściwe reagowanie na zaistniałe incydenty – zgodnie z opracowanymi procedurami. Warto uświadamiać pracowników, że im szybciej zgłoszą problem z naruszeniem bezpieczeństwa w internecie, tym lepiej.
Dobrze, jeśli o cyberbezpieczeństwo będzie dbać każda firma, bo wyciek danych to utrata reputacji, a często też dodatkowy koszt z powodu braku działania usługi. Z punktu widzenia przepisów, przed cyberatakami w szczególności powinny zabezpieczyć się podmioty przetwarzające prywatne dane. Urzędy, instytucje, JST są częstym celem przestępców. Dlatego warto, aby podmioty publiczne znajdujące się w grupie zagrożenia wiedziały, jak przeciwdziałać atakom, a w razie potrzeby szybko je zidentyfikowały i zapobiegły negatywnym skutkom.