Poradnik po cyberbezpieczeństwie: spostrzeżenia i wskazówki

W miarę jak nasze życie coraz bardziej splata się ze światem cyfrowym, potrzeba solidnego cyberbezpieczeństwa nigdy nie była większa. Od ochrony wrażliwych danych firmowych po zabezpieczanie naszych danych osobowych – stawka nigdy nie była wyższa.  

Porozmawialiśmy z Nielem Harperem, byłym dyrektorem ds. bezpieczeństwa informacji i inspektorem ochrony danych w firmie Doodle, żeby lepiej zrozumieć tę nieustannie zmieniającą się sytuację.

W tym wywiadzie porozmawiamy o jego doświadczeniu i roli w firmie Doodle, trendach w cyberbezpieczeństwie, sposobach zabezpieczania danych klientów oraz o tym, jak małe i średnie firmy (MŚP) mogą się chronić w tym nieustannie zmieniającym się środowisku. 

Najpilniejsze zagrożenia dla cyberbezpieczeństwa

Jakie są według ciebie najpilniejsze zagrożenia dla cyberbezpieczeństwa, z którymi borykają się dziś firmy?

Oprogramowanie typu ransomware – czyli złośliwe oprogramowanie, które blokuje lub szyfruje dane ofiary i żąda okupu za przywrócenie dostępu – nadal stanowi poważne zagrożenie. Stało się ono jednak jeszcze bardziej powszechne, ponieważ cyberprzestępcy skupiają swoją uwagę na cyberwymuszeniach. 

Obecna sytuacja geopolityczna też przyczynia się do tego, że organizacje coraz częściej stają się celem ataków ze strony bardzo doświadczonych i dobrze zorganizowanych przeciwników wspieranych przez państwa. 

Ponadto wiele firm wciąż nie jest przygotowanych na radzenie sobie z ryzykiem ze strony podmiotów zewnętrznych (np. atakami na łańcuch dostaw). 

Wreszcie, wykorzystanie generatywnej sztucznej inteligencji przez pracowników i zewnętrznych cyberprzestępców to zarówno szansa, jak i zagrożenie, ale wiele firm wciąż nie do końca rozumie, co to oznacza.

Dbanie o bezpieczeństwo danych naszych klientów

Jak Doodle dba o bezpieczeństwo danych swoich klientów, zwłaszcza w kontekście swoich produktów?

W Doodle nie polegamy na narzędziach bezpieczeństwa jako substytutach solidnych mechanizmów zabezpieczeń. Skupiamy się przede wszystkim na prawidłowym wdrożeniu podstaw cyberbezpieczeństwa – między innymi zarządzania tożsamością i dostępem (IAM), zarządzania konfiguracją, zarządzania zasobami, zarządzania podatnościami, testów penetracyjnych oraz zarządzania ryzykiem związanym z podmiotami zewnętrznymi. Wszelkie narzędzia są nakładane na te podstawy, aby wspierać koordynację, automatyzację i wielopoziomową ochronę. 

W firmie panuje nastawienie na ryzyko, które wyznacza kierownictwo najwyższego szczebla – cyberzagrożenia to stały temat na posiedzeniach zarządu i kierownictwa oraz kluczowy element ram zarządzania ryzykiem przedsiębiorstwa (ERM). Doodle przechodzi też coroczne audyty SOC 2 Type II, Cyber Verify i zgodności z RODO. 

Budowanie kultury świadomości bezpieczeństwa

Co jest kluczem do stworzenia kultury świadomości bezpieczeństwa wśród pracowników? 

Najważniejszym aspektem budowania kultury świadomości bezpieczeństwa jest silny „signal z góry”. Świadomość bezpieczeństwa powinna zaczynać się od kierownictwa, które wpływa na kulturę firmy i wyznacza kierunek działań swoich zespołów.

Na przykład w Doodle zarząd i kierownictwo wyższego szczebla są wyczuleni na potencjalny wpływ cyberzagrożeń na różne obszary działalności firmy. Ich wsparcie w zakresie odpowiedzialności za ryzyko, skutecznego komunikowania, odpowiedniego finansowania oraz dawania dobrego przykładu jest kluczowe dla wpajania pracownikom właściwych praktyk bezpieczeństwa. 

Prowadzimy też dynamiczny program szkoleń z zakresu świadomości bezpieczeństwa, który łączy naukę online, regularne porady i wskazówki, symulacje phishingu, ćwiczenia symulacyjne oraz szkolenia dostosowane do konkretnych stanowisk. 

Nowe trendy w cyberbezpieczeństwie 

Które z pojawiających się trendów lub technologii w cyberbezpieczeństwie najbardziej Cię ekscytują, a które budzą największe obawy? 

Szczególnie cieszy mnie ogromne zainteresowanie budowaniem potencjału w zakresie cyberbezpieczeństwa. Obserwujemy, jak znaczne zasoby są przeznaczane na wzmacnianie zdolności poszczególnych państw do lepszej ochrony przed zagrożeniami internetowymi. 

Muszę pochwalić kluczowych graczy, takich jak Global Forum for Cyber Expertise (GFCE), Bank Światowy, Unia Europejska, Światowe Forum Ekonomiczne, Organizacja Państw Amerykańskich (OAS), Cyber Peace Institute i inne organizacje za ich pracę w tej dziedzinie. 

Jeśli chodzi o zagrożenia, które najbardziej mnie niepokoją, to na pierwszym planie są dla mnie ryzyka związane z dużymi modelami językowymi (LLM) i sztuczną inteligencją, Internetem rzeczy (np. inteligentne urządzenia, połączone samochody, inteligentne miasta itp.), kryptografią odporną na ataki kwantowe oraz sponsorowaną przez państwa cyberwojną i cyberszpiegostwem.

Wnioski i porady dla firm

Jaką radę dałbyś firmom, zwłaszcza małym i średnim przedsiębiorstwom (MŚP), żeby lepiej chroniły swoje dane i utrzymały zaufanie klientów?

Małe i średnie firmy muszą mieć kogoś na szczeblu kierowniczym i operacyjnym, kto rozumie cyberzagrożenia i traktuje je jako strategiczne ryzyko biznesowe. Chodzi mi o to, że odpowiedzialność za cyberbezpieczeństwo nie powinna być zrzucana na kierownika IT czy administratora systemu, bo to coś znacznie więcej niż tylko ryzyko technologiczne.

Nad opracowaniem i wdrażaniem planu działania firmy w zakresie cyberbezpieczeństwa powinna pracować wykwalifikowana i doświadczona osoba. Jeśli nie masz kogoś z takimi umiejętnościami w firmie, warto rozważyć zatrudnienie wirtualnego lub dorywczego dyrektora ds. bezpieczeństwa informacji (CISO), który będzie nadzorował zarządzanie ryzykiem cybernetycznym. 

Jak wspomniałem w poprzednim komentarzu, organizacje nie mogą traktować wymyślnych narzędzi jako panaceum ani zamiennika skutecznego cyberbezpieczeństwa. Muszą stworzyć spis swoich krytycznych systemów i danych („klejnotów korony”) oraz wdrożyć solidne mechanizmy kontroli w oparciu o znaczenie tych systemów i zasobów informacyjnych dla firmy.

Dzięki, Niel, za podzielenie się swoimi spostrzeżeniami i wiedzą!