fbpx

Jak chronić swoją firmę w internecie?

 

 

 

 

 

 

 

 

Gościem odcinka jest Przemysław Bańko – wieloletni dyrektor bezpieczeństwa IT, certyfikowany menedżer zarządzania ciągłością działania i kryzysami.

Jak chronić swoją firmę w internecie? | Odc. 11

W jaki sposób cyberzłodzieje działają najczęściej i kto potencjalnie jest najbardziej narażony na ich atak? Co jest najbardziej łakomym kąskiem? Pieniądze Twojej firmy czy wiedza i patenty? Jeśli szukasz wskazówek, jak zminimalizować ryzyko zostania ofiarą cyberprzestępców, to koniecznie zapoznaj się z tym odcinkiem.

W tym odcinku dowiesz się:

  • Na co polują cyberprzestępcy?
  • W jaki sposób zminimalizować ryzyko działania w internecie?
  • Od czego rozpocząć budowanie cyberbezpieczeństwa w firmie?

Kamil Nowak: Nie mam dla ciebie dobrych informacji. Każdy z nas może być celem cyberprzestępców, którzy polują na twoje pieniądze, dane lub po prostu chcą ci napsuć krwi. W jednej chwili możesz stracić naprawdę wiele, ale z drugiej strony, wystarczy zaledwie kilka chwil aby to ryzyko zminimalizować. Jakie są złote zasady bezpieczeństwa firmy w sieci? Co najbardziej kusi cyberprzestępców? No, i z jakich narzędzi korzystać aby skutecznie chronić swoje zasoby? Właśnie o tym będziemy rozmawiali.

To oczywiście kolejny odcinek podcastu Przyspiesz Biznes. Ja, czyli Kamil Nowak, pytam naszych ekspertów o to, co dla przedsiębiorców ważne i dzisiaj na tapet bierzemy temat cyberbezpieczeństwa. Naszym gościem, ekspertem jest Pan Przemysław Bańko.

Przemysław Bańko: Dzień dobry, bardzo dziękuję za zaproszenie.

KN: Bardzo się cieszymy, że Pan je przyjął i zawitał w naszym studiu. Zacznijmy od tego, jak najczęściej wyglądają obecnie ataki cyberprzestępców? Co jest najbardziej łakomym kąskiem dla nich teraz, obecnie?

PB: Może wydawać się, tak naprawdę, że chodzi o pieniądze, ale pieniądze to też biznes, to też know how, to też projekty, to też różnego typu informacje, tajemnice przedsiębiorstwa, to wszystko co uda się przestępcom zmonetaryzować jest dla nich ciekawe. Ja chciałbym tylko powiedzieć jedno słowo o bogactwie tego kraju, który nazywa się „cyberprzestępczością”. To jest trzecia gospodarka świata, zaraz po Stanach Zjednoczonych i Chinach. Czyli to jest jedno z najbogatszych „państw”. Przestępcze „państwo”, które uderza w cały biznes: mały, średni i duży.

KN: No, bo właśnie tak kojarzymy, że złodziej włamuje się na konto, zabiera nam nasze pieniądze. Ale, przecież informacja też jest walutą, informacja też jest w cenie. Są takie ataki typowo przeznaczone na takiej szpiegostwo inżynieryjne?

PB: Oczywiście że tak. To jest rynek konkurencyjny. Widzimy to teraz w trakcie obecnej wojny na Ukrainie. Broń z różnych państw jest prawie identyczna. Dochodzi do szpiegostwa. Do wykradania pewnych technologii, do przejęcia osób, i ich wiedzy. To już nie tylko wojny takie tradycyjne, z użyciem czołgów, ale to są wojny z użyciem cyberprzestępczych narzędzi. Myślę, że to jest coraz częstsza wojna niż ta taka tradycyjna, konwencjonalna.

KN: A my teraz: Polska 2022 jesteśmy w fazie takiej, można powiedzieć właśnie, wojny?

PB: Tak dokładnie w marcu Federacja Rosyjska, cyberprzestępcy federacji Rosyjskiej, ogłosiły wprost, uruchomiły wojnę cybernetyczną dla dziesięciu państw, wymieniając w tym również Polskę, całą Polskę. Tak jak mówię, to nie chodzi, tylko i wyłącznie o duży biznes, to nie chodzi, tylko i wyłącznie o infrastrukturę krytyczną. Tu chodzi o po prostu uniemożliwienie nam normalnej pracy, funkcjonowania i życia.

KN: To w jaki sposób, nie tylko oczywiście ci wspomniani cyberprzestępcy z tego kraju, o którym pan powiedział, ale w ogóle na świecie: jak najczęściej działają, jak atakują, czy to jest włamywanie się. na konta, czy to jest jakiś taki phishing, pozyskiwanie informacji?

PB: Tak tutaj trzeba powiedzieć że to jest taki wyświechtany slogan konferencyjny. „Najsłabszym ogniwem bezpieczeństwa jest człowiek”. Najprościej dostać się do informacji poprzez zainfekowanie czyjegoś komputerka, poprzez przekazanie mu linku z jakimiś szpiegowskim narzędziem. Wykonują to roboty. To nie są ludzie, to nie jest już czas z lat dziewięćdziesiątych, gdzie mówiono o tym, że jest potrzebny to bardzo duży koszt, bardzo duży czas, żeby pozyskać jakieś informacje. Teraz uruchamia się tak naprawdę roboty szpiegowskie które wyłapują luki w naszych zabezpieczeniach. Czym mniej bezpieczny każdy z naszych komputerów, tym mniej bezpieczny nasz biznes.

KN: I to jest właśnie ten pishing? Bo wytłumaczmy też…

PB: Tak. Phising polega tak naprawdę na zbiciu dwóch słów: password i fishing, czyli łowienie haseł. Łowienie haseł przy użyciu podejścia do social mediów, pozyskanie hasła do Facebooka, Twittera, LinkedIna, kiedy to hasło jest takie samo, jak w pracy, umożliwia nam wejście do dowolnego miejsca z dowolnego człowieka. Stąd tak zmasowany atak właśnie na social media. Codziennie mamy informację o tym, że jest próba wyłudzenia danych, próba podmiany naszych, naszych kont internetowych. To się dzieje, bo to jest najprostsze. Niestety my mamy brak takiej jakby samokontroli o tym, co robimy w sieci. Ktoś kto zachęci nas: kliknij, zrób to szybko, zrobimy, wykonamy dla ciebie jakąś usługę, ale potrzebujemy twojej decyzji natychmiast – powoduje, że przestajemy często myśleć.

KN: Powiedział pan, że kliknij, daj jakąś informację, daj jakieś swoje dane, podaj nr telefonu, oddzwonimy, podaj jeszcze jednego maila, i tak dalej, i tak dalej. To właśnie, czy naruszeniem naszego bezpieczeństwa nie jest już to, kiedy wchodzimy na jakąś stronę, a ta strona chce od nas troszeczkę za dużo.

PB: Bardzo, bardzo często. To są najprostsze ataki. Ja to nazywam ogólnie socjotechniką, to co nas będzie czekało lada moment. W grudniu rzucimy się do sklepów internetowych. Będziemy starali się pozyskać prezenty dla najbliższych. Wyłączamy myślenie, bo potrzebny jest czas. Chcemy zrobić szybko, tanio. Nie zwrócimy uwagę na to, czy sklep jest dobrze zabezpieczony, czy jest to w ogóle sklep, czy ten sklep istnieje, czy sam o nim jakieś opinie, czy potrafi w sposób bezpieczny logować, czy potrafi w sposób bezpieczny przekierować nas do naszego banku. Stracimy tą czujność i znowu będzie wysyp kradzieży, wysyp naszych pieniędzy. To mówimy tak naprawdę o prywatnych miejscach. ale bardzo często w firmach pojawiają się maile typu: „Kończy się miejsce w skrzynce odbiorczej, – Kliknij – powiększymy ci dostęp” i ktoś, kto przegapi ten moment, tak kto żyje w stresie, ma swoją pracę, wykonuję jakiś projekt, jest w stanie kliknąć. Jeżeli klikniesz w ten link, to właściwie wszystkie twoje zabezpieczenia, które są w firmie nie są ważne, Tak, ich już po prostu nie ma.

KN: Czyli ta czerwona lampka powinna się włączać bardzo często, już w przypadku takiej sytuacji, kiedy po prostu ktoś chce więcej od nas niż powinien.

PB: Bardzo fajne jest to kiedy mamy jakiekolwiek procedurki, nawet takie nieudokumentowane, kiedy wiem, że dział IT występuje zawsze za pomocą maila, przy użyciu jeszcze telefonu. Tak, jeżeli jest jakiekolwiek odstępstwo, coś co nakazuje nam przyspieszenie naszej decyzji, kto mówi nam: prześlij pieniądze. Bardzo często podszywane są prawdziwe konta prezesów firm, które wysyłają maile do dyrektorów finansowych z informacją: przelej 30-40 000 € do tego kontrahenta natychmiast. Jeżeli nie ma procedur to dyrektor finansowy może przelać te pieniądze, Jeżeli są i wie, że to jest odstępstwo od codziennego życia, to będzie wiedział, że to tak naprawdę ktoś próbuje wyłudzić jego informacje. W tym momencie jest potwierdzenie do prezesa: „wysłałeś takiego maila?” „Nie, oczywiście, że nie wysłałem, bo, przecież mamy od zawsze inne procedury”, czyli ten świat techniczny musi też troszkę iść z takim światem wyobraźni i organizacji.

KN: Interesuje mnie to, kto jest najbardziej narażony na ataki? No, bo tak naprawdę każdy z nas, czy to jako osoba prywatna, czy też jako przedsiębiorstwo. Ale czy to są duże firmy którym, no mówiąc kolokwialnie, można ukraść wielkie pieniądze, czy to są, jednak małe firmy, które nie inwestują w cyberbezpieczeństwo?

PB: Na pewno, atakom podlegają wszystkie organizacje: duże, średnie, małe przedsiębiorstwa, urzędy, samorządy, szpitale. Oczywiście z dużej firmy to, jak pan powiedział, można ukraść więcej: więcej patentów, więcej pomysłów, więcej prototypów. Ale każda mała firma żyje z tego, co zarobi. Z tego co wykonuje w postaci produktów lub usług. Warto zawsze rozmawiać z przedsiębiorcami każdej wielkości: Czy twój biznes poradzi sobie bez dostępu do Internetu, do komputera, do telefonu, do pieniędzy? Czy stać cię na to, żeby ktoś za hasłował ci dostęp do twojego środowiska? Bardzo często jest tak, że firma mówi: „wiesz co, ja tak naprawdę na 2 tygodnie mógłbym wyłączyć prąd, wyłączyć Internet, bo ja typową produkcję robię, to jest nie potrzebne mi” – mamy mniejsze parametry bezpieczeństwa. Ale wielu przedsiębiorców z którymi rozmawiam mówi: „słuchaj, ja sobie nie wyobrażam dnia bez Internetu. Nie złożę zamówienia, nie zrobię dostawy, nie zamówię towaru, nie wykonam jakiejś dokumentacji magazynowej, jestem bezradny”. W tym momencie każdy biznes powinien pomyśleć o tym, jak długo jest w stanie wytrzymać z zaszyfrowanymi danymi czy brakiem dostępności do produkcji. Jeżeli będą mieli tą wiedzę i okaże się, że niezbędne jest zabezpieczenie, należy pomóc im wdrożyć pewne zabezpieczenia, niezależnie czy to jest mała, średnia czy duża firma, bo rozwiązania są i dla małych i dla dużych i przeszkodą nie są finanse, na pewno.

KN: Właśnie, to są drogie rozwiązania? O jakich perspektywach kwotowych w ogóle mówimy?

PB: Można mówić oczywiście o setkach tysięcy złotych dla dużych. Jeżeli ktoś samodzielnie prowadzi centrum przetwarzania danych, buduje centrum operacyjne bezpieczeństwa, zatrudnia tabun informatyków i bezpieczniaków to są drogie rozwiązania. Ale dla małej firmy często wystarczy pracownik zewnętrzny, być może rozwiązanie chmurowe które wymusi tak naprawdę na organizacjach dających te usługi zabezpieczenia w imieniu przedsiębiorcy. To się nazywa mitygacją ryzyka czy przeniesieniem tak naprawdę ryzyk na stronę zewnętrzną. Warto skorzystać z doświadczeń dużych firm informatycznych, profesjonalnych specjalistów w zakresie bezpieczeństwa, by przenieść troszkę tą odpowiedzialność. Przedsiębiorcy już mają dość na głowie podatki, finanse, zamówienia, waluty i tak dalej. Czym więcej uda im się przerzucić na zewnątrz tego typu działalności, tym wygodniej dla nich. Spójrzmy na usługi typu księgowość, kadry. Przedsiębiorstwa bardzo często outsource’ują te usługi. Wydaje mi się, że czas już też na IT i na bezpieczeństwo w chmurze.

KN: Zaczęliśmy już poruszać ten temat chmury, o to też chciałem zapytać. To hasło, że „coś mam w chmurze”, „pracuję w chmurze”, „nie spotykamy się, nie ma nas w biurze, no bo my pracujemy chmurowo, wszystko mamy w sieci”. To się bardzo często pojawia, ale niektórzy przedsiębiorcy jeszcze są z tym niezaznajomieni i jeszcze być może się nawet tego obawiają. To czy jest się czego obawiać? Jak taka chmura może zapewnić nam bezpieczeństwo?

PB: Ja myślę, że wielu przedsiębiorców startowało w latach osiemdziesiątych, dziewięćdziesiątych. Wtedy mieliśmy swój serwer pod naszym stołem, swojego switcha nad biurkiem. To było nasze, mieliśmy nad tym pewną władzę. Podzielenie się tymi informacjami z chmurą wydaje się niebezpieczne, natomiast zabezpieczenia które oferuje chmura- oczywiście profesjonalna chmura, bo też to należy sobie zdawać sprawę, że są chmury bardziej profesjonalne i mniej profesjonalne. Są firmy wyspecjalizowane w zakresie bezpieczeństwa i są firmy przypadkowe. Tu nie może decydować cena, ale warto pójść do dużej chmury, bo nam oferuje 24h/7 dni w tygodniu bezpieczeństwo. To ta chmura tak naprawdę zarządza incydentami, jeżeli by były. Ta chmura wyłapuje pewne podatności. Ta chmura jest w stanie nasz biznes ostrzec: „coś się dzieje!” Być może wyłączcie produkcję na pół godzinki, odseparujcie się od sieci, będziecie bezpieczni – samodzielnie tego nigdy nie zrobimy. Ja zalecam chmurę, sam pracuję w chmurze. Też mnie było trudno przekonać. Ja też jestem człowiekiem, który startował w latach dziewięćdziesiątych. Też wydawało mi się średnio bezpieczne. Po paru latach użytkowania chmury wiem, że mam więcej korzyści w zakresie bezpieczeństwa z chmury niż ewentualnych moich rozterek czy obaw.

KN: Tak, jak już też pan tutaj wspomniał, są dobre chmury, złe chmury, lepszej jakości i słabszej czyli takie rozwiązania chmurowe- lepszej jakości, też nas powiadamiają tak o takich prewencyjnych zachowaniach: co powinniśmy zrobić aby no, nie paść ofiarą ataku właśnie teraz.

PB: Dokładnie. Warto patrzeć też na rynek, który wiąże się z przepisami prawa. W Polsce nie tak dawno, parę lat temu, weszła ustawa o krajowym systemie cyberbezpieczeństwa. Oczywiście ona dotyczy dużych, głównie infrastruktury krytycznej, energetyki, transportu, gazownictwa, szpitali. Ale to jest świetna marszuta dla małego przedsiębiorcy co należy wiedzieć. Mały przedsiębiorca z tej ustawy może wiedzieć, że powinien rozważyć pewne ryzyka wystąpienia problemów, które wyłączą jego biznes. Mały przedsiębiorca czy średni przedsiębiorca wie, że powinien badać pewne podatności, czyli coś co może docelowo wywołać zagrożenie czy też utratę możliwości pracy. Samodzielnie bardzo rzadko to zrobi. Tak jak mówię w małych i średnich firmach często to jest jeden informatyk dobiegający na dwie, trzy godzinki, który zajmuje się pełną administracją: „wyciągnę zszywacz z drukarki, podepnę nowego użytkownika do sieci”. To są te rzeczy, które zajmują czas. W chmurze siedzą specjaliści. To są najczęściej dwa, trzy ogniwa grupy wsparcia. Pierwsza grupa, która bezpieczeństwo bada na poziomie takiej pomocy, takiego help desku. Druga, która rozwiązuje większe problemy i trzecia, która jest ekspertami, łącznie z informatyką śledczą, która jest w stanie przedsiębiorcy pomóc, tak bo chmura nie oznacza, że nie istnieją zagrożenia. Oczywiście w chmurze również istnieją. Natomiast chmura ma możliwość tak naprawdę zweryfikowania: coś się stało, w jaki sposób się stało i pomocy przedsiębiorcy w odzyskaniu pieniędzy.

KN: To też, po prostu, czasem można sobie napsuć krwi nie zabezpieczając systemu, nie zabezpieczając swojej pracy. Bo być może nic nie zostanie wykradzione, być może nic nie zostanie popsute, ale na ileś godzin przyprawia nam stres i eliminuje nas z rynku.

PB: Dokładnie to jest jedna rzecz. Ale proszę pamiętać, że bezpieczeństwo to prestiż. Ktoś o kim przeczytamy, że wyciekły od niego informacje o klientach, wyciekła baza danych kontrahentów, już w naszym odczuciu jest taki średnio bezpieczny, już chyba bym nie chciał korzystać z jego usług. Tak naprawdę zastanowiłbym się sto razy zanim poszedł bym do takiego przedsiębiorcy. W związku z tym to jest prestiż. Jest oczywiście też strach. Przedsiębiorca który dostał już po łapach, mówiąc tak kolokwialnie, któremu zaszyfrowano dyski, któremu wykradziono bazę klientów, któremu skradziono pomysł nad którym pracował dwa, trzy lata, on wie ile stracił. Ile czasu, ile godzin pracy. Oczywiście mały przedsiębiorca i w średnim przedsiębiorstwie w stanie wyliczyć każdą godzinę pracy nad projektem. W dużym przedsiębiorstwie tych projektów jest wiele. W związku z tym, jak jeden troszkę słabiej idzie, można drugim tak naprawdę podreperować sobie budżet. W małym przedsiębiorstwie to jest często jeden projekt nad którym pracuje szereg osób i utrata dostępności do tego projektu, utrata tego projektu – czyli poszedł projekt w rynek – i już przestalibyśmy być konkurencyjni. To jest problem, tak naprawdę być albo nie być dla małej czy średniej firmy.

KN: To co taka mała firma powinna zrobić? Takie pierwsze kroki, złote zasady, żeby rozpocząć w ogóle, że tak powiem, tę przygodę z cyberbezpieczeństwem, która być może do tej pory była, raczej takim tematem pobocznym?

PB: Ja myślę, że powinno się zacząć od szkoleń, Tak naprawdę szkoleń kadry kierowniczej w każdym przedsiębiorstwie… I pracowników! Proszę pamiętać, że do projektu mają dostęp praktykanci, stażyści, studenci, nie tylko pracownicy. Najsłabsze ogniwo potrafi rozbić system bezpieczeństwa całej firmy. Kiedy pracownicy zrozumieją kilka dobrych praktyk, praktyk w jaki sposób zabezpieczać komputer, w jaki sposób stosować hasła, jakiej długości, jak często zmieniane, czy użytkować system antywirusowy czy wykorzystywać inne systemy które wspierają, będą zdecydowanie lepiej pracowali. Będą pracowali tak naprawdę bezpiecznie, bez myślenia o bezpieczeństwie. Ktoś mi mówi: często w trakcie audytu mówił, że „nie on nie ma czasu, żeby myśleć o tym”. Procedury trzeba tak wdrożyć, żeby nie trzeba myśleć. Ja muszę mieć to wbite do głowy, że przychodzę do firmy, włączam komputer, używam swojego hasła, nie zapisanego nigdzie, że przekazuje dokumenty na dyski sieciowe, a te podlegają backup’owaniu. Proste czynności tak naprawdę, o których często zapominamy. W wielu firmach jest problem z tym, że pracownicy zapisują na własnych komputerach dokumenty. Utrata dysku twardego, awaria dysku twardego, jednego laptopa może również projekt rozsadzić i oczywiście, że da się odzyskać dane. Tylko w tym momencie trzeba przeliczyć sobie bezpieczeństwa. Często obsługa takiego zewnętrznego SOCa. To jest być może kilka tysięcy złotych miesięcznie, ale odzyskanie danych z jednego dysku twardego to jest kilkanaście tysięcy jednorazowo. Także tutaj warto myśleć o bezpieczeństwie nie jak o koszcie, ale o pewnym dodatkowym przychodzie.. docelowym przychodzie. Bo ciągłość działania, bezpieczeństwo nasze i naszych klientów, bezpieczeństwo informacji pokazuje nasz prestiż, pozwala nam więcej zarobić, więcej kontaktów złapać, więcej kontrahentów obsłużyć. Także tu zachęcam zawsze żeby zejść z tego poziomu kosztogennego bo to w głowie, jest często właśnie koszt jedynie. Na te właśnie pokazanie, że bezpieczeństwo naszego biznesu oferuje nam pewne rozwiązania i możliwości na przyszłość.

KN: I stabilizację tego dochodu, który mamy

PB: Dokładnie. Proszę zauważyć, są takie rynki jak rynki motoryzacyjne. Na rynku motoryzacyjnym, każda firma która chce uczestniczyć w produkcji dla dużych korporacji musi mieć pewien system bezpieczeństwa. Musi, to nie jest chce, tylko musi, jeżeli chcesz być na tym rynku musisz. Ja myślę, że to jest takie bardzo fajne podejście do tematu. Bardzo podobnie banki w Polsce pracują. One informują się o bieżących zagrożeniach na co dzień. Zagrożenie jednego banku jest rozważane przez wszystkie inne banki. Oczywiście mówimy o dużych tutaj, instytucjach finansowych, ale myślę, że na poziomie izb rzemieślniczych, izb gospodarczych również można mówić o bezpieczeństwie i dzielić się pewnymi doświadczeniami, i nawet tymi złymi tam, bo doświadczenie złe w naszej firmie może uchronić inne firmy. Także myślę że tutaj jest świadomość szkolenia to jest ten pierwszy etap i później pójście w zabezpieczenia i pójście docelowo w chmurę. To jest ten kolejny etap.

KN: Ale też, żeby wiedzieć, z czego się szkolić, trzeba chyba zrobić najpierw audyt, czyli sprawdzić w firmie jak my działamy

PB: Myślę że warto. Przedsiębiorcy są przyzwyczajeni do audytów. Bardzo często przedsiębiorca oferujący jakieś usługi zgadza się na audyt prowadzony przez kontrahenta, bo kontrahent chce wiedzieć o jakości magazynów, o temperatura w magazynach, o czystość w przedsiębiorstwie. Można to rozszerzyć również o audyt informatyczny lub quasi informatyczny. Można porozmawiać o bezpieczeństwie. Ja myślę, że też wymagania prawne, często obudowane w zakresie ochrony danych osobowych, tajemnicy przedsiębiorstwa, Tak, to jest taka podpowiedź, która powinna sugerować przedsiębiorcy: Sprawdź, czy jesteś bezpieczny, jeżeli masz możliwość sprawdzić to własnoręcznie. Jeżeli nie wynajmij kogoś wyspecjalizowanego, kto sprawdzi czego brakuje, żeby być bezpiecznym. Nie da się ryzyka wyzerować. Nie da się powiedzieć: przedsiębiorco, wykonałem audyt, kupiłem ci urządzenia, jesteś bezpieczny. Ale mamy możliwość mitygacji ryzyka, minimalizacji do poziomu do którego każdy z nas musi być przyzwyczajony. Każdy z nas ponosi te ryzyka.

KN: Czyli też my, przystępując do jakiejś współpracy z kontrahentem, możemy go zapytać o to z jakich zabezpieczeń korzystać, z jakich programów, w jakim środowisku pracy pracuje?

PB: Oczywiście, że tak. Bardzo często wymuszamy tak naprawdę na dostawcy usług, że chcemy z tobą korespondować przy użyciu maila, ale załączniki mają być szyfrowane. i to jest jakby nasza podpowiedź dla przedsiębiorcy. Już wskazuje mu, że oczekujemy pewnego parametru bezpieczeństwa, do którego jesteśmy przyzwyczajeni, i w związku z tym tego typu zapisy w umowach się pojawiają. Informowanie się telefoniczne, współpraca tylko z osobami kontaktowymi, które są wpisane do umowy. To jest Wszystko bezpieczeństwo. Każdy z nas podpisuje NDA – klauzulę poufności. Często w kontraktach wskazujemy: ten pracownik, ten pracownik, ten pracownik będzie miał dostęp do tej informacji. A jeżeli będę chciał zmienić pracownika, To poinformuję cię, żebyś wiedział że kolejna osoba ma również do niej dostęp. To są takie organizacyjne aspekty, tak, ale jesteśmy w stanie również zaprosić naszego usługodawcę do bezpieczeństwa na wyższym poziomie niż dotychczas.

KN: Przedsiębiorca, który słucha tej naszej rozmowy, co może zrobić? Oczywiście, program antywirusowy koniecznie?

PB: Program antywirusowy koniecznie. Tak, ja często dowiaduję się właśnie: ktoś, kto pamięta lata dziewięćdziesiąte, dwutysięczne, mówi: Jezus, to są takie drogie rozwiązania. Ja prywatnie kupuję tego typu programy. Kupiłem taką licencję ostatnio, pół roku temu, trzy komputerki i trzy urządzenia mobilne. Sześć urządzeń, koszt na rok: sto złotych, czyli na jedno urządzenie około szesnastu, siedemnastu, czyli miesięcznie złoty dwadzieścia złotych, trzydzieści na jedno urządzenie. Jest tam bezpieczny? Tak, bo każda informacja, każda strona na którą wejdę ja lub moje dziecko pokazuje się: „potencjalne zagrożenie! Nie wchodź na stronę, wykryto wirusa” czyli sześć urządzeń za „stówę” można oczywiście mieć. Tak samo w przedsiębiorstwach. To już nie są systemy warte kilkadziesiąt tysięcy złotych, tak jak pamiętam ktoś mówił o systemach monitoringu. „Ojej, takie były drogie kamery, takie były drogie urządzenia”. W chwili obecnej to jest po prostu tanie. taniutkie rozwiązanie. Pendrivy, z których korzystamy: można kupić szyfrowanego pendriva również. Ceny są niższe i ja wiem że my się spodziewamy że wszystko, wszystkie ceny rosną. Ale akurat na etapie bezpieczeństwa, firmy budujące bezpieczeństwo stwierdziły, że chcą dać dostęp tym małym również. Tak że nie chcą budować, tylko enterprise’owych rozwiązań dla dużych, bo chcą również zabezpieczać tych małych. Dlaczego? Bo zaszyfrowany mały może zaszkodzić dużemu. To jest kula śnieżna. Przejęcie tak naprawdę zawiadywania jedną stacją roboczą w małej spółce może mieć wpływ na funkcjonowanie dużej spółki, bo ta mała spółka przesyła maile, bo ta mała spółka coś podaje za pomocą pendriva. To jest rynek naczyń powiązanych. Warto inwestować w bezpieczeństwo, bo, tak jak mówię, to już nie są koszty z lat 90 czy początku lat dwutysięcznych.

KN: Czy jeszcze oprócz tego, oczywiście, ta świadomość klikania, w co klikamy, jakie linki. Sprawdzamy zabezpieczenia, zawsze https?

PB: Tak, oczywiście, bo proszę zwrócić uwagę że najwięcej takich popularnych informacji jest o tym, że jest jakaś akcja phishingowa dotycząca niezapłaconego rachunku za energię, niedopłaty do paczki u jakiegoś kuriera: kliknij zapłać, dostarczymy szybciej. Tak to są te informacje, które których my się być może spodziewamy. Bo jeżeli korzystamy w danym momencie kuriera, grudzień będzie fantastycznym momentem dla nas wszystkich, bo wielu z nas będzie z tego korzystało w związku z tym, my często nie pamiętamy co zamówiliśmy, gdzie zamówiliśmy, i nieopacznie i szybko coś wykonujemy. Tak warto pamiętać o tym, bo to może zniszczyć tak naprawdę dorobek naszego życia prywatnie. Może wyczyścić nasze konto, a w firmie po prostu może dorobek kilku pokoleń pracujących na dobre imię firmy zniszczyć. Świadomość jest najważniejsza. Tak, co, gdzie, kiedy wolno.

KN: Bo rozumiem, że cyberprzestępcy również przyglądają się tej naszej sytuacji. To znaczy, no, w grudniu wszyscy będziemy, czy to osoby fizyczne czy przedsiębiorcy- jakieś zakupy robić. Ale rozumiem, że ten monitoring naszej firmy może trwać, możemy być obserwowani, i właśnie wtedy będzie temu cyberprzestępcy łatwiej podszyć się pod kogoś, z kim akurat faktycznie mamy kontakt.

PB: Ale proszę też pamiętać o tym, że my nie każdy incydent wyłapujemy natychmiast. To nie jest tak że zdarza się coś i wiemy. Istnieje taka metoda monetaryzacji przestępstw komputerowych czyli możemy mieć komputer zainfekowany od roku, od dwóch lat, a przestępca zastanawia się w jaki sposób zmonetyzować to, czyli zarobić pieniądze. W wielu firmach z którymi pracuje okazuje się, że dowiedzieli się, że po roku tak naprawdę naruszono ich bezpieczeństwo. Zaczęły rosnąć w sposób diametralny faktury za telefon, na przykład w jednej z firm, z którymi pracuje. To okazało się, że rok wcześniej była infekcja. Tylko przestępca uczył się firmy. Właśnie to, co pan powiedział: patrzył jak wykonujemy pewne czynności, gdzie zaglądamy, gdzie logujemy się, żeby wyciągnąć jak najwięcej dla siebie. Także tutaj warto pamiętać, że nie o grudniu. To prywatnie w grudniu, później Święta Wielkiej nocy, ale później z okres komunijny, cały rok coś się dzieje. Tak naprawdę mamy potrzebę kupowania pewnych rzeczy. Zresztą, mówiłem, część zakupów już dzieje się w Internecie w chwili obecnej także w związku z tym, to jest już pewna rzecz normalna, że i kupujemy opony i wczasy i wszystkie, tak naprawdę, usługi w Internecie. W związku z tym to jest taki ruch ciągły. Natomiast są takie okresy, typowe właśnie świąteczne, które, jakby podnoszą ten poziom cyberzagrożeń. Natomiast w firmie musimy spodziewać się zawsze czegoś złego. Taki wyświechtany, taki komunał. „Wypadek, to dziwna rzecz. Nigdy go nie ma, dopóki się nie wydarzy” to jest cytat z Kubusia Puchatka. No, i to jest cytat, który dużo pokazuje. Bardzo wielu przedsiębiorców mówi: „Słuchaj, u mnie nigdy nic się nie stało, nikt nie ukradł mi danych”. A to już nie są czasy czy, tylko kiedy, bo wcześniej czy później atak na naszą firmą nastąpi.

KN: Bardzo dziękuję za podzielenie się tą wiedzą i wskazówkami.

PB: Dziękuję ślicznie za zaproszenie

KN: A Tobie słuchaczu dziękujemy za wysłuchanie tej rozmowy do końca. Jeśli interesuje cię właśnie wiedza taka jak ta praktyczna, pomagająca rozwiązywać codzienne problemy polskich przedsiębiorców, to oczywiście zachęcam cię do sprawdzenia innych rozmów na kanale Przyspiesz Biznes. A teraz bądźmy w kontakcie, do usłyszenia i do zobaczenia.