Organizacje muszą działać szybko, aby walczyć z zagrożeniami w zakresie cyberbezpieczeństwa spowodowanymi przez nagłe przejście na pracę zdalną.
Złagodzenie restrykcji związanych z wymuszoną przez COVID‑19 izolacją powoduje, że pracownicy zaczynają wracać do biur. Ale niepewność związana z pandemią pozostaje, dlatego wiele organizacji decyduje o utrzymaniu zdalnych (lub na wpół zdalnych) miejsc pracy przez kolejny rok, a może i na stałe. Facebook już zdecydował, że pozwoli swoim pracownikom stale pracować na odleglość, a kanadyjska platforma handlu elektronicznego Shopify ogłosiła, że staje się „domyślnie cyfrowa”.
Organizacje, które błyskawicznie przeszły na systemy pracy częściowo zdalnej, w tym samym tempie musiały wdrożyć rozwiązania ograniczające zagrożenia cybernetyczne spowodowane przez zwiększenie możliwych „przestrzeni ataków”, nieodłącznie towarzyszących modelom pracy „z dowolnego miejsca”. Aby jednak skutecznie stawić czoła zagrożeniu, organizacje muszą przeformułować własne strategie dotyczące cyberbezpieczeństwa i zapewnić pracownikom odpowiednie szkolenia oraz ćwiczenia. Jeśli tego nie zrobią, skutki przejścia na „pracę z domu” mogą być opłakane.
Organizacje muszą przeformułować własne strategie dotyczące cyberbezpieczeństwa i zapewnić pracownikom odpowiednie szkolenia oraz ćwiczenia.
Nowa cybernormalność
W duchu maksymy „nigdy nie należy pozwolić kryzysowi pójść na marne,” organizacje powinny przeformułować swoje modele działania. Biorąc pod uwagę fakt, że w tym nowym, na wpół zdalnym środowisku pracy pojawiło się pięć dodatkowych czynników cyberzagrożeń.
Większa liczba cyberataków. Od chwili wybuchu pandemii COVID‑19 liczba cyberataków gwałtownie wzrosła, ponieważ praca zdalna spowodowała pojawienie się większej liczby tzw. backdoorów w systemach korporacyjnych, które chętnie wykorzystywane są przez hakerów. Dodatkowo wydarzenia związane z COVID‑19 łatwo rozpraszają uwagę ludzi. FBI otrzymuje dziennie od 3000 do 4000 skarg na naruszenie cyberbezpieczeństwa, podczas gdy przed pandemią było to 1000 skarg dziennie. Hakerzy cały czas stawiają na celowniku kluczowe branże, takie jak opieka zdrowotna, produkcja, usługi finansowe oraz organizacje sektora publicznego, takie jak Światowa Organizacja Zdrowia. Banki odpierają obecnie prawie trzy razy więcej ataków, ponieważ cyberprzestępcy zalewają skrzynki e‑mailowe pracowników wiadomościami (będącymi w istocie atakami phishingowymi), aby nakłonić niczego niepodejrzewających pracowników do uruchomienia oprogramowania typu malware.
Zmiana przestrzeni ataków. Całkowite przejście na pracę zdalną może doprowadzić do wykorzystania słabości tkwiących w infrastrukturze służącej do pracy zdalnej. Agencje bezpieczeństwa zarówno w Stanach Zjednoczonych, jak i w Wielkiej Brytanii ostrzegają, że coraz więcej hakerów przeprowadza ataki typu malware na osoby i organizacje. Ponadto rosną zagrożenia cybernetyczne dokonywane za pośrednictwem niczego nieświadomych partnerów biznesowych i stron trzecich. Już teraz niełatwo jest przygotować organizację do prowadzenia na wpół zdalnego środowiska pracy, ale jeszcze trudniej jest zweryfikować stopień przygotowania dostawców produktów i usług, począwszy od dostawców usług informatycznych przez firmy zajmujące się outsourcingiem procesów biznesowych po kancelarie prawne.
Zdekoncentrowani pracownicy. Ogromna liczba udanych cyberataków jest spowodowana przez błąd ludzki – szacuje się, że odpowiadał on za 90% takich ataków przeprowadzonych w Wielkiej Brytanii w roku 2019. Pracownicy, coraz bardziej pochłonięci osobistymi problemami, są bardziej narażeni na zagrożenia cybernetyczne oraz cyberataki wykorzystujące „inżynierię społeczną”, zaprojektowane tak, aby wmanewrować ich w ujawnienie informacji wrażliwych. Uwięzieni w domach pracownicy stają się mnie czujni, więc liczba udanych ataków wynikających z ludzkiego błędu może jeszcze bardziej wzrosnąć.
Nieoczekiwane braki personelu. Pandemia spowodowała, że pracownicy (w tym eksperci od cyberbezpieczeństwa) biorą zwolnienia chorobowe lub urlopy, aby zająć się osobami będącymi na ich utrzymaniu (np. dziećmi w wieku szkolnym) lub sami chorują, a to jeszcze bardziej upośledza zdolność organizacji do reagowania na cyberzagrożenia. Wiele osób, które przed pandemią uważały, że praca z domu jest bardziej wydajna, teraz zauważyło, że wymuszona izolacja i wymagania związane z nauczaniem dzieci i opieką domową obniżają efektywność ich pracy. Od chwili masowego przejścia na pracę zdalną w wyniku pandemii zebrane dane pokazują spadek wydajności we wszystkich branżach w Stanach Zjednoczonych. Spadki wydajności dotyczą 11% pracowników biurowych i 17% pracowników przemysłu i usług.
Środowisko wielokryzysowe. Zespoły ds. bezpieczeństwa działają w sytuacji, w której nieustannie pojawiają się kolejne kryzysy, a każdy z nich wymaga uważności ze strony zespołów ds. cyberbezpieczeństwa i zespołów zarządzających. Dlatego wyzwania związane z COVID‑19 mogą w przewidywalnej przyszłości stanowić dobry punkt odniesienia. Oczywiście, nie tylko cyberzagrożenia są czynnikami kryzysu. Organizacje nadal muszą zarządzać innymi zdarzeniami wywołującymi niepokój, takimi jak huragany, pożary lasów czy rozlewające się ostatnio po Stanach Zjednoczonych protesty.
Ocena zmiany profilu ryzyka w zakresie cyberbezpieczeństwa Przejście na nowy sposób pracy wymaga zmiany profilu ryzyka firmy w zakresie cyberbezpieczeństwa, jego nieustannej oceny i monitorowania, a następnie aktywnego zarządzania.
Lista punktów wejścia dla ataków wynikających z rozległego miejsca pracy nieustannie rośnie. Hakerzy mają np. większą łatwość zbierania wrażliwych informacji o klientach, udostępnianych pracownikom obsługi klienta, odbierającym rozmowy na swoich telefonach komórkowych w domu, ponieważ rozmowy nie są prowadzone w bezpiecznych i monitorowanych centrach obsługi telefonicznej. Niedostatecznie przetestowane nowe technologie i produkty cyfrowe wdrożone błyskawicznie, aby zaspokoić potrzeby klientów podczas pandemii, takie jak chatboty obługi klienta czy aplikacje tarczy antykryzysowej, takie jak amerykański Paycheck Protection Program, mogą nieumyślnie wprowadzić nowe zagrożenia. Działania w ramach pracy zdalnej między połączonymi ze sobą dostawcami i klientami jeszcze bardziej zwiększają zagrożenia organizacyjne. Zespoły ds. cyberbezpieczeństwa są teraz zmuszone do wirtualnej mobilizacji i koordynacji zespołów interdyscyplinarnych dla ograniczenia potencjalnie złożonych ataków.
Dopasowana cyberstrategia
Powołane w organizacjach zespoły ds. zarządzania ryzykiem, składające się z kadry zarządzającej i ekspertów ds. bezpieczeństwa, powinny zmodyfikować budżet związany z utrzymaniem zasad cyberbezpieczeństwa i ustalić hierarchię inwestycji mających na celu poprawę cybernetycznej odporności firmy, zgodnie z jej tolerancją ryzyka.
Działaniami, które można wdrożyć natychmiast, są aktualizacja obowiązujących wytycznych i wymogów w zakresie zagrożeń cybernetycznych oraz zapewnienie rozwiązań umożliwiających kontrolowanie sposobów zdalnego dostępu do danych i sieci firmowej. Analiza zasad zachowania musi zostać dopasowana tak, aby wziąć pod uwagę zmiany w stosunku do „normalnych” zachowań pracowników, spośród których wielu pracuje obecnie poza standardowymi godzinami pracy; dzięki temu zespoły ds. bezpieczeństwa mogą skutecznie skoncentrować swoje działania. Następnie należy przeanalizować nowo wprowadzone narzędzia i wymogi bezpieczeństwa w zakresie udostępniania i trzymania prywatnych informacji w kontaktach z dostawcami. Na przykład może istnieć potrzeba, by organizacje przyjęły bardziej rygorystyczne środki kontroli danych, narzędzia analizy ruchu oraz ograniczenia w zakresie udzielania dostępu. Natomiast dostawcy, którzy w danej chwili sami nie są przygotowani na wzmożone ryzyko cyberataku, powinni zobowiązać się do wypracowania planów gotowości cybernetycznej, by bezpiecznie komunikować się z odbiorcą.
Niezbędna jest analiza zmian, które prowadzić będą do poprawy infrastruktury technologii i bezpieczeństwa, nawet jeśli w rzeczywistości potrzeba byłoby wielu lat na ich wdrożenie. Jednak w przypadku niektórych organizacji taka analiza może np. spowodować chęć przyspieszenia wdrożenia strategii związanych z chmurą obliczeniową. Wówczas ich zasoby informatyczne będą mogły błyskawicznie sprostać skokom zapotrzebowania ze strony pracy zdalnej. Inne powszechne ulepszenia to inwestycje w automatyzację i zaawansowaną analitykę w celu poprawy efektywności procesów bezpieczeństwa, wprowadzenie większej dyscypliny dotyczącej danych o znaczeniu cybernetycznym, optymalizacja narzędzi monitoringu i bezpieczeństwa w celu zarządzania kosztami związanymi z lawinowo rosnącymi zbiorami danych oraz koncentracja działań zespołów ds. cyberbezpieczeństwa na obszarach najwyższych zagrożeń.
Ważne jest też opracowanie mechanizmów pozwalających zrozumieć, czy i jak program bezpieczeństwa wprowadzony w organizacji zmniejsza zagrożenia w zakresie cyberbezpieczeństwa po wdrożeniu każdej kolejnej inicjatywy.
Niezbędna jest analiza zmian, które prowadzić będą do poprawy infrastruktury technologii i bezpieczeństwa, nawet jeśli w rzeczywistości potrzeba byłoby wielu lat na ich wdrożenie.
Szkolenie i ćwiczenia – cyberbezpieczeństwo w praktyce
Programy dotyczące świadomości zagrożeń pozwalają mierzyć, śledzić oraz ulepszać świadomość ryzyka cybernetycznego pracowników. Pracownicy muszą być informowani o nowych rodzajach ataków i trzeba im przypominać o tym, jaką ważną osobiście rolę odgrywają w skutecznym zapobieganiu, wykrywaniu, reagowaniu oraz przywracaniu normalnego działania po cyberatakach.
W celu podniesienia świadomości na każdym szczeblu w zakresie nowych i zmienionych zagrożeń cybernetycznych, które pojawiły się w związku ze zwiększeniem zakresu pracy zdalnej, warto stworzyć oparte na rolach programy szkoleniowe i ćwiczenia. Programy szkoleniowe powinny obejmować nowe zagrożenia, zasady zatwierdzonego korzystania z urządzeń i danych oraz procesy rządzące zgłaszaniem podejrzanych zdarzeń cybernetycznych.
Zespoły zarządzające powinny angażować się w analizy i symulacje dotyczące nowych scenariuszy cyberataków oraz zostać uzbrojone w instrukcje zapewniające jasne wskazówki odnośnie wymaganych działań, włączywszy w to informacje dotyczące tego, kiedy (i do kogo) należy eskalować decyzje. Te scenariusze powinny być uwzględniane w przyszłych cybernetycznych grach wojennych i symulacjach, tak aby przygotować zespoły zajmujące się cyberbezpieczeństwem, technologią i działalnością biznesową na przyszłe duże kryzysy.
Rozprzestrzenianiem się pandemii powoduje, że organizacje działają w rzeczywistym środowisku wielokryzysowym, musząc stawiać czoła – obok wielu innych wyzwań związanych z COVID‑19 – cyberatakom. Wiele spośród zmian operacyjnych, które nastąpiły w wyniku pandemii, będzie trwać dłużej niż sam kryzys i jego następstwa. Organizacje muszą wyciągnąć lekcje z obecnego kryzysu i stworzyć oraz wdrożyć nowy model operacyjny, który zawiera więcej elastyczności w zakresie pracy zdalnej. Aby tego dokonać w sposób bezpieczny, organizacje muszą zrozumieć, jak zmieniły się ich profile zagrożeń cybernetycznych i muszą podrasować swoje strategie, szkolenie oraz ćwiczenia w zakresie przeciwdziałania zagrożeniom i minimalizacji ryzyka.
