48 | O cyberbezpieczeństwie i zagrożeniach mówią Rafał Prabucki i Mateusz Jakubik

Ta świadomość na pewno rośnie. Ze względu na liczbę aktów prawnych, które tak naprawdę mamy dzisiaj dotyczących kwestii cyberzagrożeń, cyberbezpieczeństwa, to na pewno tego jest więcej. Ta świadomość niestety rodzi się czasami z tym, jeśli mamy jakiś wyciek, mamy jakieś zdarzenie, Bo zazwyczaj to jest tak, że przecież mnie to nie dotyczy. My cały czas żyjemy w takiej świadomości, gdzie mówimy sobie o tym, że no dobrze, ktoś kliknął, przecież ja nie kliknę. Ktoś został zabezpieczony, informacje zostały wykradzione, jakieś informacje nie, u nas to nie będzie możliwe. I w momencie tak naprawdę, kiedy to zagrożenie się materializuje, pojawia się informacja o tym, że jednak myśmy w sumie trochę wiedzieli o tym, trochę nie wiedzieli. Ale teraz to musimy podnieść nasz poziom bezpieczeństwa, żeby być bezpieczni.

Więc jakby ta świadomość w mojej ocenie dopiero się kształtuje. Ona idzie w dobrym kierunku, tylko tym takim triggerem, który podnosi ten poziom świadomości są niestety zdarzenia, które nikt z nas nie chce mieć u siebie. No to jest duży problem. Ja pamiętam, że kiedyś jak jeszcze te kwestie związane z cyberzagrożeniami, cyberryzykami, w ogóle tym wszystkim, całym światem cyber nie były dość popularne, mówiło się, że ludzie dzielą się na dwie kategorie. Tych, którzy robią backup i tych, którzy jeszcze backupów nie robią. I to można fajnie przenieść też na grunt tego pytania. To znaczy, są ludzie, którzy mieli już jakieś przykre zdarzenie i robią teraz wszystko, żeby to się nie powtórzyło i tacy, którzy tak jakby wychodzą z założenia, że mi się krzywda stać nie może. A krzywda może stać się każdemu, bo oczywiście są takie ataki, które są stricte nakierowane na jakąś organizację, na jakąś osobę, ale są też takie ataki, gdzie próg wejścia takiego cyberprzestępcy jest niski, na przykład jakieś oszustwo internetowe, i gdzie po prostu, no niestety każdy z nas jest narażony, jeżeli posiada jakąś gotówkę, jeżeli posiada gdzieś jakąś aktywność w cyberprzestrzeni.

Gdzieś fajnie to się przepisało. Ostatnio też takie rzeczy zostały opisane jako dark patterns. A co do tego jeszcze twojego pytania, to trzeba zwrócić uwagę, że nawet jak prowadzimy zajęcia, gdzie staramy się pokazać tą część praktyczną, jak w łatwy sposób, jakimś tanim narzędziem, który możemy kupić w ogólnodostępnej sieci, możemy schakować różne rzeczy. Oczywiście to jest zabawka, która tak naprawdę ma służyć do nauki. No ale jeśli wiemy, że jeśli taką zabawkę możemy kupić w przeciągu tysiąca czy dwóch tysięcy i jest ona ogólnie dostępna i możemy ją wykorzystać w złych celach, to będą osoby, które będą się na tym poziomie uczyli i będą osoby tak naprawdę, które w żaden sposób nie będą się na tym uczyły, tylko będą się starały wykorzystać to w złym celu. I my na przykład na swoich zajęciach staramy się przynosić te zabawki, żeby pokazać właśnie naszym studentom, czy to właśnie po dyplomówkach, żeby pokazać, że to nie jest tak, że to żyje obok nas.

My już jakby żyjemy z tym, bo każdy z nas dzisiaj ma smartwatcha, ma nasz telefon, tak jak Rafał powiedział, korzystamy z bankowości elektronicznej, niejednokrotnie korzystamy z maili, które wysyłamy za pomocą telefonu, przecież łączymy się, wchodzimy do hotelu, mamy internet, nie działa nasz, łączymy się z inną siecią i jakby my musimy nauczyć się z tym żyć, ale jakby tych wzorców jest dość... mało, bo wielokrotnie jak właśnie nawet rozmawiamy z Rafałem, czy staramy się przygotować dla naszych studentów jakiś program, to wychodzimy z takiego założenia, że dzisiaj te akty prawne poszły trzy kroki do przodu, a my nie mamy podstawowej wiedzy. No bo przecież... Pytałaś o organizację. Niejednokrotnie organizacja mówi nam tak, okej, chcemy wdrożyć wyższy poziom zabezpieczeń, chcemy wdrożyć drugi wektor dotyczący, token dotyczący logowania, żeby nie było hasła.

I jak czasami jest odpowiedź? Okej, ale przecież to wydłuży nam czas. Będzie zabijało nam pracę. No, ale jakby nie widzi się tych... pozytywów zdrożenia tego systemu, tylko jednak te zagrożenia, że jednak to będzie dłużej. A co będzie, jeśli ja nie mam telefonu służbowego? Gdzie on to mi przyjdzie? Więc jakby my musimy zacząć budować tą świadomość, bo jeśli my zaczniemy skupiać się na aktach prawnych, które wymagają od nas wyższego poziomu cyberbezpieczeństwa, a nie będziemy mieli tych podstaw, to gdzieś się zagubimy. Tak mnie się wydaje. Pamiętajmy jeszcze, jak już dotknęliśmy kwestii aktów legislacyjnych, że na chwilę obecną najważniejszym aktem legislacyjnym, jeżeli chodzi o bezpieczeństwo informacji czy danych, ciągle pozostaje w branży prawniczej RODO. Bo UKSC, na które czekamy, czy też dyrektywa NIS-2, na chwilę obecną nie obejmują jeszcze kancelarii prawnych, jeżeli chodzi o kwestie cyberbezpieczeństwa.

Więc ciągle też bardzo duże tutaj pole do działania jest tak naprawdę przez świadomość samej kancelarii, świadomość osób, które tą kancelarię tworzą w kontekście tego, co może się niestety złego w cyberprzestrzeni wydarzyć. Co Rafał jeszcze powiedział odnośnie RODO, to sami musimy oceniać, dobrać odpowiednie zabezpieczenia. techniczne i organizacyjne, czyli my sami musimy oszacować, jakie te ryzyka dla nas są i jakie tak naprawdę zabezpieczenia możemy wdrożyć, uwzględniając koszty oczywiście, no bo to jest jedna z podstawowych kwestii, jeśli chcemy się skupiać na tych kwestiach. I tu nie ma wprost powiedziane, bo przecież ja ocenię jedno zagrożenie w taki sposób, ty ocenisz je inaczej, Rafał oceni je inaczej. I dla każdego z nas będzie odpowiedni poziom zabezpieczeń.

No ale dla osób, które będą starały się przełamać te zabezpieczenie, to już nie będzie ten sam poziom. To jak wygląda obecnie współpraca działu prawnego np. z działem IT? W mojej ocenie to jest dzisiaj bardzo duże pole, tak jak Rafał powiedział, bo dzisiaj nie mamy tych aktów, które jeszcze gdzieś tam będą wymagały stricte prawnie od nas pewnych działań. To jest tak naprawdę trochę rozmowa, która niejednokrotnie jest trudna ze względu tego, że prawnicy mówią swoim językiem, IT mówi swoim językiem i ta nić porozumienia, dzisiaj tym wyzwaniem, największym wyzwaniem jest znalezienie tej nici porozumienia. Bo ja z doświadczenia wychodzę, mam takie spostrzeżenie, że my mówimy o jednym i tym samym, tylko innymi słowami i każdy chce pokazać, że jednak jak mamy wymogi prawne, to musimy dostosować pewne standardy IT.

Ale jeszcze jedno wyzwanie, które tutaj tak jak pytałaś wcześniej pojawia się w mojej ocenie. to to, co zawsze też powtarzamy, w pełnym cyklu szkolenia prawników nie ma tak naprawdę dzisiaj prawa nowych technologii, kwestii cyberbezpieczeństwa. To wszystko jest robione na podyplomówkach, to jest wszystko robione na kursach, tego nie ma tak naprawdę. Więc jeśli osoby, przyszli prawnicy, adwokaci, radcowie prawni chcą pójść dalej w tym kierunku, to jakby kończąc cykl pięcioletniej edukacji, muszą wybrać na przykład podyplomówki z tego zakresu. I to jest też wyzwanie i pewnie to też czeka nas jakaś tam zmiana w tym kierunku, bo tak jak powiedzieliśmy na początku, to jest codzienność dzisiaj.

Albo, robiąc analogię do dyrektywy NIS-2, jak wspomniałeś o JOC-ie, chodzi o dane, ale tylko cyfrowe. Albo dane cyfrowe. Więc właśnie tutaj wychodzimy z takiego założenia, że najlepszym rozwiązaniem to jest zrobienie takiego zespołu. który na przykład będzie opiniował wdrożenie nowych rozwiązań dotyczących cyberzabezpieczeń. Jeśli będzie na przykład prowadzone szkolenie czy przygotowywane szkolenie, to będzie miało on i aspekty compliance, i aspekty prawne, i aspekty techniczne, bo tylko i wyłącznie w momencie, kiedy mamy tą interdyscyplinarność, możemy zaopiekować to horyzontalne cyberbezpieczeństwo, na które tak naprawdę dzisiaj kładzie Unia Europejska nacisk, bo jeśli będziemy się skupiać tylko i wyłącznie, czy to inspektor, czy to compliance officer, czy to właśnie CISO, to będziemy mieli tylko wycinek.

A chodzi o to, że jeśli będziemy mieli cały zespół, który na przykład będzie zarządowi rekomendował pewne kwestie, pokazywał pewne ścieżki, które nie będą ukierunkowane w jednym kierunku, tylko będą uwzględniały te wszystkie kwestie, to wtedy możemy mieć świadomość, że robimy to dobrze. A czy firmy już powołują takie zespoły, czy to jest wciąż taka po prostu wasza... Powiem tak. To zależy. To zależy, ale widać, że temat w związku z tym, że dyrektywa NIS-2 mówi o tej cyberhigienie nabiera, powiedziałbym tak, rumieńców, ponieważ może nie firmy, ale i NISA, czyli Europejska Agencja do Spraw Cyberbezpieczeństwa w Unii Europejskiej niedawno ogłosiła, że powołuje taką grupę roboczą. grupę roboczą, która właśnie ma się zajmować stricte kwestiami dotyczącymi awarenessu, czyli tego podnoszenia świadomości.

Bo w momencie, kiedy dostaniemy atakiem czy to ransomware i zostanie nam zablokowana baza naszych klientów czy kontrahentów, no to wtedy odczujemy, że nie jesteśmy w stanie zarabiać. I tylko wtedy to zdarzenie jest triggerem podnoszenia automatycznie świadomości, bo przecież musieliśmy zrobić coś lepiej. I wtedy tak naprawdę widzimy tę potrzebę. W momencie kiedy wszystko u nas działa, w momencie kiedy nic nie dzieje się nadzwyczajnego, to z doświadczenia robimy tyle, co musimy, nie staramy się być do przodu, no bo padnie jedno z podstawowych pytań, które pada, no to dobra, to powiedzcie mi, co my musimy zrobić, bo przecież nie mamy jeszcze przyjętej ustawy, która implementuje NIS 2, to dlaczego może się okazać, że ja dzisiaj poniosę koszty?

A za jakiś czas, jak wejdzie, zacznie obowiązywać ustawa, to ja nie będę pod to podlegał albo te, to co zrobiłem, ale będzie wyższy poziom świadomości. Ale ja nie chcę mieć wyższego poziomu świadomości, bo to są koszty. I to jest też jedno z wyzwań dotyczących właśnie cyberbezpieczeństwa, że za tym idą ogromne koszty. Nie tylko personalne, ale czy to software'u, hardware'u i to jest dość spore wyzwanie. A czy teraz firmy mogą zabezpieczyć się na przykład przez jakieś odpowiednie zapisy w umowach, na przykład z dostawcami technologii chociażby? One zawsze mogły, bo to nie jest tak, że tutaj zmieniamy, wymyślamy koło na nowo. One zawsze mogły, tylko kwestia jest też taka, że Znowu wracamy do poziomu świadomości, do punktu świadomości. I co ważne, coś o czym mówi NIS 2, czyli łańcuch dostaw.

Łańcuch dostaw, czyli tak naprawdę, że nie jest tylko tak, że będziemy my weryfikowani, ale też dostawcy naszych usług. I to wynika bezpośrednio z przepisów prawa. Więc te umowy, o które pytasz, na pewno będą musiały się zmienić, bo w większości tych zapisów nie ma w ogóle. albo one są na takim poziomie ogólności, że możemy wszystko albo nic. To jest trochę tak, jak kiedyś w umowach dotyczących powierzania przetwarzania danych osobowych z punktu widzenia inspektora ochrony danych były wpisane audyty, za które trzeba było na przykład zapłacić. Bo to było na zasadzie umownej kwestii. Więc myślę, że na dzień dzisiejszy oczywiście możemy powiedzieć, że chcemy przeprowadzić audyt, ale głównie to się sprowadza do tego, że dajemy ankietę, mamy oświadczenie i przyjmujemy oświadczenie.

To dajmy, że w dyrektywie NIS 2 nie jest napisane, że tylko cyfrowy. A więc powinniśmy przyjąć, że i fizyczny i cyfrowy ma być zabezpieczony, ale z drugiej strony unijny prawodawca od razu przygotowuje też rozporządzenie, gdzie mówi ty, producencie, dystrybutorze i tak dalej, przygotowujący na przykład właśnie coś, co tym elementem łańcucha dostaw będzie, software, hardware, komponent, musisz już na tym etapie przygotowania tego właśnie software'u czy hardware'u zadbać o cyber security in design, czy już tak projektować swoje rozwiązanie, czy to cyfrowe, czy fizyczne, żeby ono było bezpieczne z punktu widzenia cyberbezpieczeństwa. I na przykład takim fajnym elementem jest zapobieganie poprzez eliminowanie już wykrytych podatności

Inne akty prawne. Tak, tak. Akty legislacyjne stricte dotyczące cyberbezpieczeństwa. Albo w ogóle całej gospodarki cyfrowej. Tak, i to jest dość spore wezwanie. Od naszych studentów niejednokrotnie dostajemy pytania, jak to się zaczęło, że myśmy się zaczęli tym zajmować. Właśnie, w którym momencie zaczęliście się tym interesować? Bo trochę wyprzedziliście chyba czasy i zainteresowanie. Nie wiem, czy wyprzedziliśmy. Dla nas to jest takie naturalne, bo dla nas jakby to nadal jest prawo, ale z racji tego, że lubimy technologię, Rafał jest inżynierem, ja na przykład kończyłem technikum, gdzie programowałem różne rzeczy. Więc jakby te... Przyszło naturalnie. Tak, to dla nas przyszło naturalnie, bo dla nas to nie było coś takiego, że okej, będziemy prawnikami, siedzimy dzisiaj w kodeksach, w przepisach i nagle, nie wiem, trzeba przeinstalować system w komputerze, trzeba coś zrobić.

I wydaje mi się, że dla nas to właśnie było takie naturalne, bo myśmy z tą technologią w sumie żyli od zawsze. To było tak, że właśnie ona gdzieś była od samego początku z nami. I to nie było tak, że właśnie ona, okej, jest, mamy dzisiaj prawo nowych technologii, fajnie by było się tym zajmować. I wydaje mi się, że ta podstawa nawet właśnie, o tych podstawach kwestii technicznych, czy to właśnie inżynierskich, czy też kwestii, tak jak u mnie, technik elektronik, bo o takiej specjalizacji kończyłem technikum. pozwoliło nam jakby tak naturalnym krokiem wejść w ten obszar, bo myśmy wiedzieli, że te akty są, bo dla nas ta technologia była o tyle ważna, że my też sami z niej korzystamy na co dzień.

A dzisiaj, tak jak Rafał powiedział, mamy osoby, które czy to kończą technikum, czy to kończą liceum, idą na przykład na studia i oni dostają pakiet przepisów I oni nawet nie mają świadomości, że jest coś takiego jak NIS-2 albo, no dobra, medialnie może o tym wiedzą, ale na studiach okaże się, że nie ma możliwości. A są akty, które są mniej medialne. A są akty, które są mniej medialne. Bo my bardzo często mówimy, mówimy o tych aktach, to gdzieś możemy zaklasyfikować jako data, jako cyber security, a wyobraźmy sobie, że przecież w drugą stronę są też akty, które możemy zakwalifikować jako law enforcement, czyli na przykład rozporządzenia czy dyrektywy, które mają pozwolić chociażby zbierać dowody cyfrowe, o których myślę, że świadomość jest znikoma.

Jesteście tłumaczami na tym spotkaniu. Tak, i to się zaczyna robić problem, bo w sumie niejednokrotnie Idealny przykład, który zawsze się pojawia, co dla prawnika i co dla działu IT jest zdefiniowane pod stwierdzeniem administrator. To są w ogóle totalnie dwa różne pojęcia, ale jak się wytłumaczy, to jakby nie ma problemu, żeby to zrobić. Więc odpowiadając na twoje pytanie, wydaje mi się, że ten... próg wejścia dla nas o tyle był łatwiejszy, że dla nas to była normalna droga, normalna ścieżka. To nie było tak, że myśmy w pewnym momencie skręcili w całkowicie nową ścieżkę, bo myśmy wiedzieli, że ona jest. Nie wiem, jak ty to widzisz, Rafał. Że mi się też tak wydaje, że po prostu jeżeli się gdzieś w pewnych bańkach informacyjnych obracamy, to łatwiej nam jest na przykład pewną wiedzę gdzieś szybciej uzupełnić, gdzieś złapać jakiś wątek, który mógłby na przykład pozwolić nam wyjść do jakiegoś szerszego spektrum tego, czego szukamy, jeżeli chodzi o informacje.

To też nie o to chodzi. Ale no kwestia jest taka, że czy polecicie jakąś książkę? Nie wiemy, co mamy polecić tak naprawdę. Chociaż na rynku pojawiła się jedna książka, która jest dosyć gruba. Zresztą wydawana jest w kolejnych tomach. Już jest drugi tom, ma być i trzeci. A oczywiście, tu już Mateusz kiwa głową, bo wie, że znowu wracam do książki, która wychodzi pod szyldem Securitum, czyli tego podmiotu, który jest związany z Securakiem. I to nie jest książka może naukowa. I nie jest prawnicza. I nie jest prawnicza. Ale to jest taka książka, gdzie jak weźmiemy sobie pierwszy tom, nie mówię o drugim, ale weźmiemy sobie pierwszy tom i go otworzymy, to znajdziemy tam artykuły, które wprowadzą nas w bardzo przystępny sposób w wiele zagadnień.

ale na przykład może nie wnieść nic, więc jakby ta analiza musi być dostosowana do potrzeb, do tego co mamy, czyli do software'u i hardware'u, które mamy, ale też musi być ciągła i to jest jedno z największych ryzyk, że nie możemy sobie zapominać, że to, że dzisiaj wdrożyliśmy, powiedzmy, nie wiem, różnego rodzaju system, system DLP, który będzie chronił nas przed wyciekami, czy monitorował wycieki danych, Za miesiąc może się okazać, że co z tego, że myśmy wdrożyli system, jak na przykład nie mamy osoby, która go będzie monitorowała, nie mamy osoby, która będzie go nawet umiała wdrożyć, bo przecież to też trzeba utrzymać. I to też jest znowu związane z podnoszeniem świadomości i brakiem tak naprawdę osób, które są albo dostępnością ich na rynku. Bardzo Wam dziękuję za dzisiejszą rozmowę.