Firma pod specjalnym nadzorem

Trzy najważniejsze wyzwania wynikające z informatyzacji firm to, według przedsiębiorców, zapewnienie ciągłości funkcjonowania systemów, edukacja pracowników oraz za małe budżety na infrastrukturę IT.

Bezpieczeństwo IT jest dla 69% ankietowanych prezesów i 80% dyrektorów finansowych kluczowym obszarem pozwalającym na ciągłość działania firmy – wynika z badania przeprowadzonego przez ICAN Research na zlecenie ORANGE Polska. Do podobnych wniosków prowadzą wyniki badania CERT ORANGE Polska. Z ankiet wynika, że liczba zagrożeń nie maleje, zmienia się co najwyżej ich profil. Cyberprzestrzeń to łakomy kąsek i przestrzeń, gdzie przestępcy wciąż liczą na łatwe i duże łupy.

Zagrożenia w sieci

W 2015 roku jedna z firm objętych ochroną ORANGE Polska stała się ofiarą spektakularnego ataku DDoS. Tuż przed świętami Bożego Narodzenia hakerzy zaatakowali znaną sieć handlową, jednego z największych sprzedawców sprzętu elektronicznego w Polsce. „Atak rozpoczął się po 18. i trwał prawie 5 godzin. Eksperci CERT Orange PolskaIndeks górny 1¹, w tym Security Operations Center (SOC) pracujący w trybie 24/7/365, zorientowali się natychmiast, że to początek zaplanowanej akcji. Przekierowaliśmy cały ruch do sklepów poprzez Scrubbing Center w sieci OPL, ponieważ przekraczał kilkanaście razy przepustowość łączy sklepów – opowiada Konrad Płachecki, ekspert ds. zabezpieczeń systemów teleinformatycznych ORANGE. – Zły ruch został zablokowany, a dobry przepuszczony. Klienci sklepów w ogóle nie odczuli różnicy w dostępie do aplikacji”.

Ataki wolumetryczne DDoS są najczęściej kierowane na banki oraz sklepy internetowe. Hakerom chodzi o przeciążenie łączy klienta, aby dostęp do aplikacji był niemożliwy lub co najmniej utrudniony. „Największe wolumeny osiągane są poprzez zaawansowane formy ataków Reflection DDoS przy użyciu protokołów DNS i NTP. W uproszczeniu, atakujący podmienia swój adres źródłowy na adres atakowanej strony, następnie przesyła tak zmodyfikowane zapytanie do serwera. Przez to wymusza odpowiedź, o dużo większym rozmiarze niż pytanie, odsyłaną do atakowanej strony” – wyjaśnia Konrad Płachecki. Ten mechanizm się ciągle powtarza, dzięki czemu uzyskuje się bardzo duże wzmocnienie wolumenu ataku. Zapychanie łączy gigantyczną liczbą zapytań kosztuje niewiele, zyski przestępców są ogromne, a wykrywalność takich przestępstw jest bardzo niska. „Nasze wyobrażenia o hakerach pochodzą z filmów. Tymczasem nie jest to ani piękna blondynka, ani pryszczaty nastolatek z zaburzonym ego. Hakerzy, z którymi ja się spotkałem, to zwykle osoby reprezentujące poważne instytucje, organizacje mafijne, które tworzą duży przemysł” – twierdzi Mariusz Żogała, CEE Consulting & SI Leader IBM Security Services.

Straty zaatakowanych organizacji bywają ogromne. Krzysztof Fołta, prezes spółki TIM, ocenił, że gdyby podobny atak jak opisany wyżej dotknął jego firmę, miesięczne zyski byłyby sporo niższe. „60% obrotu – przy kilkuset milionach rocznie – realizujemy przez nasz sklep internetowy. Daje to dzienną sprzedaż na poziomie 1,5–2 milionów złotych. Między 6.00 a 11.00 odbywa się 40% dobowej sprzedaży, a wartość obrotów sięga wtedy minimum 600 tysięcy. To znaczy, że godzina przestoju kosztuje nas 150 tysięcy utraconych przychodów. Poza tym nie wiadomo, ilu klientów, mając negatywne doświadczenie, wróci. Dlatego kwotę możemy pomnożyć razy dwa, trzy, nawet cztery” – wylicza.

Wyrafinowane zagrożenia tkwią w atakach phishingowych. Tych było w 2015 roku dużo więcej niż w poprzednim. Oprócz tradycyjnego phishingu, czyli podrabiania stron firmowych w celu wyłudzania danych, przestępcy coraz częściej wysyłają maile z załącznikami udającymi faktury, rachunki, dokumenty sądowe czy zawiadomienia.

Oprócz tradycyjnego i powszechnie stosowanego phishingu, czyli podrabiania stron firmowych w celu wyłudzania danych, przestępcy coraz częściej wysyłają maile z załącznikami udającymi faktury, rachunki, dokumenty sądowe czy zawiadomienia.

Jarosław Mastalerz, wiceprezes mBanku, dyrektor IT, zauważa, że w przypadku bezpieczeństwa IT nie sprawdza się wojskowa zasada, według której obrona jest trzy razy łatwiejsza niż atak. „W IT atak jest 30 razy tańszy i łatwiejszy niż obrona – jeden człowiek może wprowadzić coś do sieci komputerowej, co uruchamia narzędzia obronne setki razy większe. Zagrożenie może przyjść z wielu miejsc, w różnej formie; nie ma tu kilku, kilkunastu wielkich graczy, którzy mogą zaatakować. Trudność druga polega na mnogości incydentów, kreatywności ludzi, którzy je wymyślają, dlatego trzeba cały czas przewidywać przyszłe zdarzenia; nie można czerpać z doświadczeń minionych lat. Trzecim wyzwaniem jest czas reakcji” – mówi.

Maile są bardzo dobrze przygotowane pod kątem wywierania presji na odbiorcy, dlatego przynajmniej jeden na dziecięciu otwiera załącznik. Metoda jest prosta – niczego nie podejrzewający użytkownik otrzymuje wiadomość, że ma do zapłacenia na przykład fakturę albo paczkę do odebrania. Klikając w załącznik, automatycznie instaluje na swoim komputerze/tablecie/komórce złośliwe oprogramowanie, które może hakerom posłużyć bez wiedzy właściciela do wielu rzeczy – stworzenia sieci botnetowej, wykorzystywanej później do ataków DDos, uszkodzenia dysku twardego, uchylenia „drzwi” do zasobów sieciowych firmy, podmiany konta docelowego przy wysyłaniu przelewu lub wyłudzenia poufnych danych (na przykład loginy, hasła).

Dynamicznie (około 300% r./r.) rośnie też liczba ataków mających charakter wymuszenia. Ransomware, bo o nim mowa, po zainstalowaniu się w komputerze użytkownika (najczęściej przez otwarcie załącznika ze złośliwym oprogramowaniem) szyfruje dysk twardy. Na ekranie wyświetla komunikat informujący, że przesłanie kodów deszyfrujących nastąpi po zapłaceniu okupu. Konto bankowe, na które ma być skierowany przelew, jest zarejestrowane z reguły w państwach, z którymi Polska nie ma podpisanych stosownych umów, a kwoty na tyle niskie (średnio 500 złotych), że prawie nikt nie zgłasza przestępstwa na policję. Drugim powodem bezkarności hakerów jest strach – większość internautów korzysta z pirackiego oprogramowania (najczęściej nielegalnie są kopiowane: system operacyjny Windows, MS Office, programy graficzne Adobe, gry komputerowe, kolekcje filmów i muzyki). Ludzie ci boją się, że oddając policji do analizy twardy dysk, narażą się na bardziej przykre konsekwencje. Według specjalistów z katowickiego laboratorium informatyki śledczej Mediarecovery, przeciętny Kowalski ma w swoim komputerze nielegalne oprogramowanie o szacunkowej wartości 5 tysięcy złotych, rekordzista zgromadził pirackie oprogramowanie warte 3,6 milionów złotych. Trzecim powodem niezgłaszania przestępstwa jest mała wiara w skuteczność policyjnych działań.

Firma pod specjalnym nadzorem

Strategiczna ochrona

Kluczowym zadaniem każdego przedsiębiorstwa jest zapewnienie ciągłości działania. Żeby to osiągnąć, trzeba zadbać o bezpieczeństwo strategicznych informacji. Każda organizacja powinna być świadoma zagrożeń, ponieważ tylko wtedy będzie mogła identyfikować problemy i skutecznie z nimi walczyć. Powinniśmy pamiętać, że na bezpieczeństwo informatyczne składa się wiele czynników. To nie tylko dbałość o prawidłowe funkcjonowanie wszystkich urządzeń należących do firmy, ale też lojalność i duża świadomość pracowników na temat ochrony firmowych danych. Znaczna część naszych czynności odbywa się w sieci, korzystamy z wielu urządzeń mobilnych podłączonych do Internetu. Wszystkie informacje na temat firmy i nie tylko, które znajdują się w cyberprzestrzeni, są mocno narażone na ataki przestępców. W Orange, dzięki naszym ekspertom z Security Operations Center, możemy przeciwdziałać tym atakom. A w dodatku pomagamy przedsiębiorcom w zwiększeniu bezpieczeństwa korzystania z sieci i uniknięciu przykrych konsekwencji, przede wszystkim utraty poufnych danych.

Mariusz Gaca
wiceprezes zarządu ds. rynku biznesowego, Orange Polska

W sumie w 2015 roku do analityków CERT Orange Polska trafiało około 154 tysięcy sygnałów miesięcznie (dotyczyły podejrzenia występowania anomalii/incydentu), zaś systemy monitorowania rejestrowały średnio ponad 5,7 miliarda zdarzeń miesięcznie (zobacz ramkę Liczba zdarzeń i incydentów bezpieczeństwa obsługiwanych przez CERT Orange Polska). Kategorie zagrożeń właściwie się nie zmieniają, różni się natomiast ich natężenie (zobacz ramkę Rodzaje zagrożeń oraz ramkę Kategorie incydentów  obsłużonych przez CERT Orange Polska). Spam – mimo wielu narzędzi chroniących użytkowników – nadal stanowi znaczący problem. Efektem takiego ataku są nadmierne obciążenia nie tylko przejętego komputera, ale również sieci, w której się dany komputer znajduje, a także opóźnienia czy nawet niedostarczenie poczty do wielu odbiorców. Poza tym ogromna liczba ataków na prywatne systemy może być też zagrożeniem dla firm, których pracownicy korzystają z własnego sprzętu, siłą rzeczy gorzej zabezpieczonego.

Jak się bronić? Tomasz Matuła, dyrektor Infrastruktury ICT i Cyberbezpieczeństwa ORANGE Polska, radzi skorzystać z CyberTarczy ORANGE. I wcale nie jest to reklama usługi, jak przekonuje, tylko rzeczywista ocena możliwości rozwiązania. CyberTarcza to darmowa funkcja na poziomie sieci, dostępna automatycznie dla każdego użytkownika Neostrady od momentu jej wdrożenia. Nie zastępuje antywirusa, ale uzupełnia już zainstalowane zabezpieczenia w komputerach stacjonarnych i urządzeniach mobilnych, które mają dostęp do neostradowego Wi‑Fi. Jest jedyną taką usługą w Polsce. „Siłą CyberTarczy są przede wszystkim działania operacyjne CERT Orange Polska, których efekty widzimy potem na ekranie. Z miliardów zdarzeń przechodzących miesięcznie przez nasze systemy wyselekcjonowana część trafia do naszego laboratorium. Na tej podstawie eksperci dokładnie analizują cechy złośliwego oprogramowania, jego działanie wewnątrz systemu, a także to, z jakimi adresami usiłuje się łączyć” – wyjaśnia.

Mobilność pod obstrzałem

Od kilku lat ulubionym celem ataków są tablety, smartfony i zwykle telefony komórkowe. Ten trend ma dużą dynamikę wzrostową (o 60% w 2015 roku), bo też liczba urządzeń przenośnych jest gigantyczna, a zabezpieczenia systemów znikome. Najsłabiej są chronione te, w których jest zainstalowany Android. Złośliwe oprogramowanie, udające nierzadko potencjalnie bezpieczną aplikację, ma jeszcze większe możliwości niż malware ukierunkowany na komputery osobiste. Do kradzieży danych i plików dochodzi bowiem możliwość odbierania oraz wysyłania SMS‑ów i MMS‑ów, wykonywania połączeń, podsłuchiwania rozmów czy też przejęcia kontroli nad aparatem. Problem jest duży, ponieważ większość firm wyposaża swoich pracowników (głównie handlowców) w mobilny sprzęt z dostępem do własnej sieci, a nie wszystkie chronią ją wystarczająco dobrze. „Kiedy widzę, jak dynamicznie rośnie rynek użytkowników urządzeń mobilnych, znając zagrożenia, zaczynam się martwić nadchodzącym trendem zwanym Internet Rzeczy” – mówi dyrektor Matuła.

Twarda wiedza i miękkie kompetencje CIO

Zdecydowana większość firm badanych przez ICAN Research uważa, że ich systemy informatyczne są dobrze chronione przed atakami hakerów, ale zagrożeniem mogą być pracownicy. Należy się spodziewać, że w najbliższych latach wartość inwestycji w systemy bezpieczeństwa i edukację będzie rosnąć, ponieważ świat przestępczy nie zrezygnuje z łatwych i dużych pieniędzy.

ICAN Research przeprowadził badanie na temat informatyzacji przedsiębiorstw. Jednym z tematów było bezpieczeństwo IT, które dla 69% ankietowanych prezesów i 80% dyrektorów finansowych jest kluczowym obszarem pozwalającym na ciągłość działania firmy. Przedstawiciele dużych firm, proszeni o wskazanie trzech najważniejszych wyzwań w budowaniu bezpieczeństwa informatycznego przedsiębiorstwa, najczęściej wymieniali:

 •zapewnienie ciągłości funkcjonowania systemów – 35% wskazań;

 •budowanie świadomości dbania o bezpieczeństwo wśród pracowników – 18%;

 •zapewnienie wystarczających środków finansowych na bezpieczeństwo IT – 10%.

Jednocześnie zdecydowana większość ankietowanych – 86% – twierdzi, że właśnie zapewnienie ciągłości funkcjonowania systemów to obszar bezpieczeństwa informatycznego, w którym ich przedsiębiorstwa radzą sobie najlepiej. Aż 85% firm uważa, że równie dobrze radzi sobie z zabezpieczaniem danych, w tym danych osobowych, a 79% dobrze wywiązuje się z kontrolowania dostępu pracowników do systemów i informacji.

Największe zagrożenia

Z wypowiedzi badanych wynika, jakich zagrożeń w obszarze IT najbardziej obawiają się duże przedsiębiorstwa. Na pierwszym miejscu uplasowała się cyberprzestępczość wskazana przez ponad połowę respondentów (53%). Prawie tyle samo firm (52%) obawia się nieuczciwości pracowników, a 46% wskazało awarię serwerów/komputerów i łączy.

Poszczególne grupy respondentów inaczej identyfikują zagrożenia IT:

 •dla prezesów firm największym zagrożeniem są awarie systemów/komputerów i łączy (53%), cyberprzestępczość (52%) i nieuczciwość pracowników (40%);

 •według kierowników, kolejno: nieuczciwość pracowników (68%), cyberprzestępczość (62%) oraz mobilność, rozumiana jako korzystanie z laptopów, telefonów, smartfonów i tabletów (47%);

 •dyrektorzy finansowi obawiają się zagrożeń związanych z transmisją danych przez Internet (52%), awarią serwerów i łączy (47%) oraz mobilnością (42%).

Kategorią, w której zdania poszczególnych grup są znacząco podzielone, jest budowa świadomości zagrożeń wynikających z korzystania z IT wśród pracowników. Okazuje się, że prezesi firm mają większe zaufanie do ludzi niż specjaliści IT. Według 81% prezesów, ich firma dobrze radzi sobie w tym zakresie, podobne zdanie ma 67% dyrektorów finansowych i tylko 60% kierowników IT.

Na postawie badania można oczekiwać, że głównym trendem na nadchodzące lata będzie inwestowanie w środki zabezpieczające przed cyberatakami oraz nieuczciwością pracowników. Przyszłe trendy pokazują też odpowiedzi badanych na temat obszarów bezpieczeństwa informatycznego, z którymi radzą sobie najgorzej – bezpieczeństwo danych umieszczonych w sieci (61% dużych firm), zabezpieczanie urządzeń mobilnych przed atakami (problem w co drugiej firmie).

Budżet rośnie powoli

Większość firm (52%) stara się dostosowywać budżet na IT do sytuacji. Generalnym trendem jest jednak zwiększanie środków na bezpieczeństwo IT (39%). Badani nie są natomiast zgodni, jeżeli chodzi o możliwości finansowania wszystkich potrzeb w zakresie bezpieczeństwa danych – 38% twierdzi, że może je sfinansować całkowicie, 35% nie ma tylu pieniędzy.

Mimo wysokiej świadomości znaczenia kwestii bezpieczeństwa IT dla funkcjonowania przedsiębiorstwa duże firmy wcale nie ponoszą na nie dużych wydatków. Prawie połowa z nich wydaje tylko 1–10% budżetu IT. Co trzecia przeznacza 11–20%, a zaledwie 16% przekazuje na ten cel więcej niż 20%.

Fakt, że firmy nie przeznaczają dużych środków na bezpieczeństwo IT, potwierdzają dane obrazujące procentowy wzrost wydatków na bezpieczeństwo IT w ciągu ostatniego roku. Co prawda, wynika z nich, że firmy zaczęły traktować te kwestie poważniej niż dotychczas, ale nadal nie są to w liczbach bezwzględnych duże sumy. W przypadku 8% firm wydatki wzrosły o ponad 80%; co czwarta zwiększyła wydatki o 20–49%, niewiele mniej, bo 24%, zdecydowało się zwiększyć budżet bezpieczeństwa IT o 1 do 9%. Zdecydowana większość firm, bo aż 42%, powiększyło wydatki o 10 do 19%*.

O badaniu

Orange Insights jest już drugą edycją cyklu raportów przygotowanych na podstawie badań przeprowadzonych przez ICAN Research na zlecenie Orange Polska wśród działających w Polsce przedsiębiorców. 

Zrealizowano w niej łącznie 336 ankiet. W celu uzyskania reprezentatywności danych wyniki zostały przeważone według struktury branż PKD (po przeważeniu wielkość próby wyniosła 327 ankiet). Badanie zostało zrealizowane metodą CATI/CAWI. Wzięły w nim udział osoby decyzyjne w dużych firmach i korporacjach w zakresie inwestycji w sprzęt, oprogramowanie i technologie informatyczne – prezesi, właściciele, dyrektorzy finansowi, operacyjni oraz szefowie IT.

* Wyniki dla 75 firm, które zgodziły się udostępnić wewnętrze informacje na temat budżetów IT z podziałem na konkretne cele.

Państwo w państwie

Zagrożeniem innego rodzaju mogą być działy IT w przedsiębiorstwach. Administratorzy sieci, choć nie tylko oni, mają dostęp do pełnej informacji o firmie, procesach, kontraktach czy pracownikach. Założenie, że wszyscy będą uczciwi i lojalni, jest w tej sytuacji błędne, zawsze bowiem może znaleźć się osoba, która z różnych powodów skopiuje tajemnice handlowe pracodawcy czy tajemnice zatrudnionych przez niego ludzi. Sprawa komplikuje się jeszcze bardziej, kiedy firma oddaje IT w outsourcing. Jak chronić zasoby przed zagrożeniem wewnętrznym?

Firma pod specjalnym nadzorem

Poziom ryzyka jest bardzo duży, zresztą firmy zaczynają je już dostrzegać, bo rośnie zainteresowanie taką ochroną – informuje Tomasz Matuła. – W ORANGE Polska mamy rozwiązania, które monitorują aktywności oraz treści pobierane z bazy danych. Na przykład jeśli firma przygotowuje kampanię reklamową nowego produktu i jakiś pracownik chciałby te ściśle tajne informacje przesłać/wydrukować dla konkurencji – nie zrobi tego bezkarnie. Osobną kwestią jest opracowanie i wdrożenie polityki bezpieczeństwa. To skomplikowany i wieloaspektowy temat, ale na pewno taki dokument powinien dotyczyć na przykład procesów biznesowych, ochrony informacji i danych, więc wymiany, przetwarzania, udostępniania i kontroli. Dodatkowo koniecznie trzeba rozdzielić funkcje wykonawcze od kontrolnych, inaczej łatwo o patologie. Nie wolno też zapominać o edukacji wszystkich pracowników. Każdy z nich powinien przejść szkolenie z bezpieczeństwa i uzyskać dokument w rodzaju certyfikatu BHP. Bo co z tego, że nie skopiuje bazy kontaktów, jak przez niefrasobliwe zachowanie może w inny sposób zaszkodzić wizerunkowi pracodawcy.

Zagrożeniem wewnętrznym są działy IT w przedsiębiorstwach. Administratorzy sieci, choć nie tylko oni, mają dostęp do pełnej informacji o firmie i bywa, że to wykorzystują do własnych celów.

Grupa Integer w następujący sposób rozwiązała problem edukacji. „Zatrudniliśmy pełnomocnika zarządu do spraw wprowadzenia normy, który podlega bezpośrednio zarządowi, mając swobodę działania. Jego praca jest związana z budowaniem świadomości poprzez wewnętrzny portal, na którym są prezentowane dokumenty i postępy prac. Dodatkowo on sam albo jego zespół prowadzą szkolenia wewnętrzne dla kadry menedżerskiej i pracowników niższego szczebla, z których dokumentacja również trafia na portal, tworząc bazę wiedzy. Poza tym pracownicy mogą korzystać z ich wiedzy i porad” – wyjaśnia Marcin Welc, Chief Information Officer w Grupie Integer.pl, zarządzający IT na poziomie grupy.

1. 14 marca br. CERT ORANGE Polska dołączył do grona certyfikowanych zespołów w ramach paneuropejskiej inicjatywy Trusted Introducer. Jest jedyną w Polsce i jedną z szesnastu takich ekip w Europie.

Pobierz artykuł pdf niezabezpieczony

Pobierz artykuł pdf zabezpieczony