Cybersecurity 2023

Znowu się mnie czepiasz, no cały czas nie mam tego kodu PIN-u. A powinnaś, a powinni nasi słuchacze również powinni zadbać o to, żeby każdy element bezpieczeństwa był wdrożony i zabezpieczony. Inną taką rzeczą, o której warto też powiedzieć, która była już w 2022 roku i teraz też widzimy, że w 2023 będzie ważna, to zmiany w prawie. W prawie dotyczącym naszych danych i tutaj mam na myśli również to, że rządy się angażują w to. I zawsze takim wyznacznikiem dla nas było to, co się dzieje w Stanach. No i tutaj w Stanach też jakby administracja Bidena mocno powiedziała, że potrzeba zrobić Zero Trust Architecture, co oznacza, że nie bierzemy już pod uwagę, tak jak kiedyś, Ufamy, że nasz użytkownik to nasz użytkownik i potem dopiero możemy ewentualnie coś posprawdzać, zweryfikować.

Teraz mamy działać w drugą stronę, czyli najpierw wszystko sprawdzić, dokładnie zweryfikować i to powinno się dziać na każdym etapie, a także w sposób ciągły. I te zmiany legislacyjne są również wprowadzane tutaj u nas w Europie, a więc to nie tylko Stany. Oczywiście tego nie da się szybko zrobić. To trwa, to są długotrwałe procesy. Przeczytałam w jednym z raportów, że Zero Trust ma zastąpić VPN-y. Co to będzie konkretnie oznaczało? Jakie ty masz na ten temat zdanie? Wiesz co, no przede wszystkim nie wiem, czy tak się faktycznie wydarzy, bo nie wiem jak ty, ale na przykład ja mam VPN-a nawet na swoim telefonie, drugiego mam na swoim laptopie służbowym. No ich wykorzystuję i myślę, że nasi słuchacze, ponieważ są właśnie w takiej grupie wiekowej, która korzysta często z VPN-ów, chociażby po to, żeby sobie zainstalować jakąś aplikację, która nie jest dostępna na nasz rynek, albo żeby sobie obejrzeć jakiś film, albo ściągnąć jakieś dane, które no naszym tutaj rejonie nie są dostępne.

Więc myślę, że może nie, może nie będzie aż tak, że całkowicie je zastąpimy. Natomiast to, co się wydarzyło w Stanach, czyli to, że Biden i jego administracja powiedziała, że to Zero Trust powinno być wdrożone, spowodowało, że firmy technologiczne również bardzo mocno w to poszły. One się posługują takim amerykańskim standardem NIST-owskim, bardzo często go wykorzystują, no bo to jest, można byłoby powiedzieć, taki framework gotowy dla tych wszystkich firm, stworzony przez amerykańską administrację, ale może być też wykorzystywany w firmach prywatnych. Problemem w całym z tym Zero Trust jest to, że jak firma jest duża i ma duży budżet, to może sobie na to pozwolić i może to dosyć szybko wdrożyć i implementować. Natomiast te mniejsze firmy no gorzej sobie z tym radzą, ale z drugiej strony mamy problem taki, że po covidzie i pandemii mamy teraz bardzo dużo pracy hybrydowej albo wręcz pracy zdalnej.

No ale ostatecznie, jak już ten Biden powiedział, że trzeba zrobić coś innego, no to weszło to Zero Trust. Czyli w tej chwili mamy za zadanie sprawdzić najpierw użytkownika, jak już zweryfikujemy, że to jest na pewno ten użytkownik, to dopiero wtedy dać mu pewne dostępy do tego, do czego powinien mieć dostęp, a w dalszej kolejności jeszcze sprawdzać cały czas. Czyli nie tylko, że raz dajemy i już fajnie to już do końca życia, kiedy u nas pracujesz, to masz te dostępy, tylko weryfikować to i sprawdzać. Drugim aspektem tego Zero Trust jest to… Czyli zero zaufania. No zero zaufania, tak jak nazwa mówi, no zero trust, no niestety. Ja trochę muszę tak powiedzieć ze strony jako eksperty, że sami użytkownicy do tego doprowadzili, bo gdyby pilnowali, gdyby wdrażali te rzeczy, o których my ciągle powtarzamy, czyli te porządne hasła,

Niezapisywanie na karteczkach żółtych, dostęp do tego, co faktycznie jest mi potrzebne, to być może nie trzeba byłoby tego wszystkiego robić. Oczywiście działy techniczne też nie są bez winy, bo gdyby patchować odpowiednio szybko, gdyby te luki wszystkie naprawiać i gdyby reagować odpowiednio szybko, to też wszystko to byłoby mniejsze. No i do tego wszystkiego jeszcze, właśnie to prowadzi do tego Zero Trust Blast Radius, to się ładnie nazywa. Czyli jeżeli już dojdzie do jakiegoś ataku, czyli tak, to IT tam nie zrobiło wszystkiego tak, jak powinno, ten użytkownik też tych haseł nie ma, no i do czegoś doszło, to Zero Trust założenie jest takie, żeby jak najmniejszy obszar był. Czyli tak, jak użytkownik ma mało praw dostępu, no to ten atakujący nie dostanie się do jakichś super danych i do jakichś super serwerów.

Tylko kawałeczek, jak najmniejszy, tak. I z drugiej strony, jak on też nie ma super uprawnień, ma jakieś podstawowe konto użytkownika, to na jego koncie też nie będzie można dużo rzeczy zrobić i wielu rzeczy osiągnąć. No, czym samym zmniejszymy zasięg takiego ataku. No i to też jest takie właśnie założenie tego zero trust, czyli tego zero zaufania do użytkowników. I nie tylko użytkowników, bo jakby przede wszystkim mamy się bronić przed tymi atakującymi. Więc to jest taki trend i taka rzecz, która trwa od 2022 roku na 2023, równocześnie jest przewidziana. I tak jak wspomniałam wcześniej, te duże firmy, duże korporacje radzą sobie z tym szybciej i wdrażają to dużo szybciej, już to widać. Natomiast te mniejsze, które to ryzyko szacują na mniejsze wartości albo nawet go nie szacują, bo nie wszyscy są ekspertami, no to im to idzie znacznie wolniej.