48 | O cyberbezpieczeństwie i zagrożeniach mówią Rafał Prabucki i Mateusz Jakubik

Cześć, witam was w podcaście Prawo na oko. Dzisiaj miłymi gośćmi są Rafał Prabucki, doktor nauk prawnych, adiunkt, inżynier, CEO Szostek Digital i Mateusz Jakubik, compliance officer w Bonier Business Polska, prawnik oraz audytor. Cześć chłopaki. Cześć. Słuchajcie, dlaczego prawnicy powinni interesować się cyberbezpieczeństwem? Cyberataki to raczej się kojarzą z branżą IT. Nie skojarzyłabym nigdy tego zagadnienia z prawnikami. Czemu? Czy tylko z branżą IT? Tak naprawdę dzisiaj, mając w dobie XXI wieku te wszystkie kwestie związane z cyberbezpieczeństwem, wszelkie branże są związane, narażone na cyberataki i cyberzagrożenia, które są coraz szersze, jest ich coraz więcej i coraz bardziej, nie chcę powiedzieć, że dostępne, ale łatwość, w jakich można tak naprawdę się z nimi spotkać i zderzyć,

To jest dobre pytanie. Może posłużę się fajnym przykładem. Niedawno, nie w Polsce, w Wielkiej Brytanii, co prawda ja już wiem, że Wielka Brytania nie jest częścią Unii Europejskiej, ale ciągle działa tam jeszcze ICO, czyli odpowiednik tak jakby naszego Urzędu Ochrony Danych Osobowych. I tutaj ICO ukarała jedną z kancelarii DPP karą na 60 tysięcy funtów w związku z tym, że kancelaria ta utraciła i nie poinformowała we właściwym czasie tego właśnie urzędu. 32 giga danych w ataku ransomware.

Super. Widzimy fajną składkę i potem tak naprawdę nie czytamy tego, co jest pod tym. I nagle się okazuje, że nie spełniamy tych wymagań. Albo nigdy ich nie spełnimy, w tym stanie rzeczy. I to też nawiązuje do tego, co przedtem zapytałaś, jakie są ryzyka, jeśli chodzi o kwestie związane z wdrożeniem, czy też podniesieniem świadomości. To jest brak specjalistów. Brak specjalistów, którzy budowaliby świadomości odnośnie cyberbezpieczeństwa. czy też cyberhigieny, jak to mówi NIS2, właśnie w organizacjach. Brak takich osób, które starają się, bo oczywiście mamy działy prawne, tak jak mówimy, mamy działy prawne, mamy działy IT, ale mamy, brakuje tak naprawdę osób, które będą się starały połączyć te dwa światy i jest tych osób bardzo mało.

Świadomości w kontekście compliance'u, bo to też trzeba sobie powiedzieć, że to było stricte skierowane do inżynierów, żeby im właśnie zwiększyć ich świadomość dotyczącą m.in. ochrony danych osobowych. Co do tego jeszcze uzupełniając, odpowiadając też na Twoje pytanie, to jest tak, że wyznacznikiem jest ustawa o Krajowym Systemie Cyberbezpieczeństwa i organizacje w Polsce dzisiaj się przyglądają. Czy my będziemy trochę podlegać pod to, czy nie będziemy? Gdzie będziemy mieli te wymagania nasze? I tak wszyscy trochę patrzą jeden na drugiego, w którym momencie, no bo tak jak już zostało tu powiedziane, to jest kwestia, przecież to są koszty. I to jest to, co jest chyba największym też zagrożeniem, to są koszty, których nie widać. Znaczy to są koszty, które widać, ale nie widać przełożenia ich na biznes.

Troszeczkę inaczej, aniżeli było. Więc tu trzeba być bardzo ostrożnym, starać się przede wszystkim budować te kampanie edukacyjne, bazując na potrzebach podmiotu czy osób, które zamawiają i zrozumieć ich potrzeby. No i wtedy można realnie rzeczywiście im pomóc i to będzie chyba bardziej skuteczne, aniżeli tam na siłę szukania jakichś też przykładów. I to, co Rafał powiedział, zobaczmy, że mówimy, żeby dostosować te wszystkie kwestie, do zamawiających, do osób, które chcą to wdrażać, bo to, że to się sprawdzi w danej jednej organizacji, coś się sprawdzi, niekoniecznie musi się sprawdzić w drugiej. Bo cały system, ekosystem, który jest zbudowany, może mieć super działać i np. wdrożenie kolejnego elementu podniesie nam poziom cyberbezpieczeństwa.

ale na przykład może nie wnieść nic, więc jakby ta analiza musi być dostosowana do potrzeb, do tego co mamy, czyli do software'u i hardware'u, które mamy, ale też musi być ciągła i to jest jedno z największych ryzyk, że nie możemy sobie zapominać, że to, że dzisiaj wdrożyliśmy, powiedzmy, nie wiem, różnego rodzaju system, system DLP, który będzie chronił nas przed wyciekami, czy monitorował wycieki danych, Za miesiąc może się okazać, że co z tego, że myśmy wdrożyli system, jak na przykład nie mamy osoby, która go będzie monitorowała, nie mamy osoby, która będzie go nawet umiała wdrożyć, bo przecież to też trzeba utrzymać. I to też jest znowu związane z podnoszeniem świadomości i brakiem tak naprawdę osób, które są albo dostępnością ich na rynku. Bardzo Wam dziękuję za dzisiejszą rozmowę.