Cyberbezpieczeństwo - jak chronić swój cyfrowy świat?

Dzień dobry, witam bardzo serdecznie. Ja nazywam się Artur Kurasieński, a to jest podcast Technofobia, w którym opowiadam o tym, jak technologia wpływa na nas i nasze życia. A dzisiaj z nami jest pan Krzysztof Szczepański, dyrektor Departamentu Bezpieczeństwa i Ryzyka KIR. w firmie, która buduje rozwiązania na miarę wyzwań cyfrowej przyszłości. Dzień dobry Panie Krzysztofie. Dzień dobry Panu Dziwiowi Państwu. Porozmawiamy dzisiaj o cyberbezpieczeństwie i mam w związku z tym pierwsze pytanie. Jakie są obecnie największe zagrożenia w dziedzinie cyberbezpieczeństwa? i jak one wpływają na przeciętnego użytkownika, powiedzmy, że internetu, ale także takiej osoby, która korzysta z finansów online, z bankowości i z różnego typu innych elektronicznych bramek dostępu.

Bardzo dużo pojawiło się też takiej typowej korespondencji niechcianej czy ataków DDoS na usługodawców różnego typu, którzy wspierają właśnie współdziałanie człowieka, obywatela w ramach środowiska cyfrowego. Jak to wpływa na przeciętnego użytkownika internetu? Bardzo mocno, dlatego że każdy z nas, z obywateli, z osób, które korzystają z technologii w kraju ma pewny poziom zaufania do instytucji, z którymi współpracuje. Dlatego bardzo istotne jest tutaj utrzymanie wysokiego poziomu zabezpieczeń i identyfikacji użytkownika, bo to z czym się teraz zmierzamy to tak naprawdę

I to, co... było kiedyś, jeszcze przed atakiem właśnie na Ukrainę, przed rozpoczęciem wojny w Ukrainie, takie ataki zdarzały nam się sporadycznie. Tego było naprawdę niewiele i każdy taki atak był przez nas mocno rozpracowywany. Natomiast teraz widzimy po prostu tych ataków na tyle dużo, że one są już takim chlebem powszednim. działamy już według standardowych metod, dosyć dobrze przygotowani jesteśmy na tego typu interakcje, co zupełnie zmieniło paradygmat ochrony firmy właśnie z tej perspektywy. Także doświadczenia, które przyniosła nam wojna w Ukrainie, najchętniej byśmy ich nie zdobywali, ale jak zdobyliśmy, to faktycznie podniosło nam też ten poziom bezpieczeństwa, który...

Oczywiście w perspektywie finansowej podmioty z sektora finansowego są dosyć często atakowane. To jest skala, która przed agresją Rosji na Ukrainę była niespotykana. W chwili obecnej wszystkie te działania, które są podejmowane przez takie spółki jak nasza, zwiążą się z znaczącym podniesieniem poziomu bezpieczeństwa. w kontekście właśnie realizowanych ataków. Początkowo te ataki były przez nas zdecydowanie bardziej obejmowane atencją, natomiast teraz przygotowaliśmy się do tego i one są już dosyć łatwo i precyzyjnie namierzane i mitygowane. Także to przeszło zupełnie do nowych struktur takich działania standardowego.

To są takie standardowe rzeczy, które mają podnieść poziom bezpieczeństwa nas, naszych klientów. na wyższy poziom. A jakie są najczęstsze błędy popełnione przez użytkowników, które zwiększają ryzyko cyberataków i jak można im zapobiegać? Cyberataki ogólnie trzeba podzielić na takie dwie kategorie. Takie, które wiążą się z wykorzystaniem technologii informatycznych stosowanych w przedsiębiorstwie i ataki poprzez właśnie ludzkie działania, najczęściej faktycznie inspirowane przez przestępców, ale wykonywane przez pracowników. Jeżeli chodzi o pierwszą grupę, czyli te technologiczne, no to stosowanie odpowiednich narzędzi i utrzymanie ich w odpowiedniej higienie jak najbardziej jest wystarczające.

Takie standardowe rzeczy, które próbujemy w takiej działalności użytkownika zawrzeć, to duża podejrzliwość, jeżeli chodzi o otrzymywaną korespondencję mailową z zewnątrz, ale z wewnątrz również. To znaczy, jeżeli nie jesteśmy do końca pewni, pracownik nie jest pewien, użytkownik nie jest pewien, czy dana wiadomość faktycznie jest prawidłowa, czy nie zabiera linków do rzeczy, które są na zewnątrz i są... Taki użytkownik powinien to zweryfikować właśnie ze słowami bezpieczeństwa. Bardzo dużą uwagę należy zwracać na dane osobowe i dane poufne, jakie są przekazywane w ramach korespondencji. To jest działanie, które ma na celu uchronienie nas jako podmiotu, jako poszczególnych użytkowników przed ujawnieniem informacji chronionych.

Otwieranie swojej własnej sieci domowej na przykład Posiadanie tam słabych zabezpieczeń, słabych haseł powoduje, że przestępcy w dosyć łatwy sposób mogą dostać się do naszych domowych zasobów. Także takie rzeczy są dosyć kluczowe, ale tak z perspektywy specjalisty w dziedzinie bezpieczeństwa, patrząc na to, co się dzieje w populacji u nas w kraju, to jeszcze to wymaga sporego nakładu sił, środków w ramach edukacji. Mogę to potwierdzić, bardzo często spotykam się nadal, że znajdując się na przykład w jakimś hotelu i prosząc o dostęp do Wi-Fi otrzymuję hasło, które jest złożone z kilku znaków. Oczywiście to jest dla wygody użytkowników, ale potem się okazuje też, że urządzenia, które są routerami na przykład, posiadają...

Najczęściej w takim wypadku firmy, które są poszkodowane w ramach współpracy z poszkodowanymi, czyli tymi osobami, których dane wyciekły, prowadzą takie akcje, na przykład wykupienia w BIK-u alertów, czyli to jest bardzo dobra usługa u nas, naszych kolegów. z firmy takiej podobnej do KIR-u, a świadczącej usługi dla sektora finansowego, które właśnie pozwalają na informowanie o próbie pobrania czy dostępu do danych o kredytach. co by sugerowało, że ktoś próbuje wziąć na taką osobę pożyczkę. Tego typu reakcja oczywiście to jest już post factum i to chodzi o to, żeby zmniejszyć potencjalne ryzyka wykorzystania tych danych pozyskanych przez przestępców.

Natomiast kluczowe staje się branie przykładu tego. co się stało i dlaczego przestępcy uzyskali ten dostęp. Tak jak powiedziałem, w pierwszym przypadku to jest phishing i udostępnienie, właściwie inspiracja pracownika do wykonania pewnych czynności na swoim własnym komputerze podłączonym do sieci. W drugim przypadku to jest wykorzystanie technologicznej podatności do tego, by... wykorzystać dalej słabości systemów informatycznych. Jestem bardzo zbudowany informacjami dotyczącymi Bika, związanymi z informacją o tym, czy ktoś właśnie nie pobiera jakiegoś na nas kredytu i włączyłem sobie tę usługę i naprawdę... wielokrotnie już przekonałem się, że warto ją mieć, bo okazuje się, że bardzo wiele instytucji czasami chce mieć dostęp do naszych danych i czasami są to elementy, takie czerwone flaki, które się pojawiają i naprawdę wtedy można szybko zareagować, zanim coś takiego się wydarzy i wiem też, że w przyszłym roku będzie możliwość, znaczy można zrobić to teraz, ale on aktywna, no będzie dopiero w przyszłym roku, możliwość zastrzeżenia swojego PESEL-a.

Tutaj od pewnego czasu też obserwuję taki trend, żeby wykorzystywać narzędzia, które mają za sobą... zdecydowanie więcej tzw. komputingu chmurowego, bo współdziałanie czy wymiana informacji o zagrożeniach tak naprawdę powoduje wzrost efektywności tych zabezpieczeń, z których my korzystamy. Także to, co się oferuje w ostatnich czasach, a właściwie co regulacje, pierwsze NIS czy teraz NIS II już wymaga od spółek, które są kategoryzowane jako kluczowe. czyli wymiana informacji, staje się naprawdę kluczowe po to, żeby właśnie wykorzystać ten potencjał, który bierzemy z doświadczeń, z ataków, które się odbywają.

Natomiast po drugiej stronie oczywiście również... wykorzystanie tej technologii jest dosyć powszechne. Od pewnego czasu machine learning jest już szeroko stosowany po to właśnie, żeby wykrywać pewnego rodzaju wzorce zachowań czy wzorce w ruchu sieciowym, który jest oczekiwany, a który mógłby zostać właśnie zmanipulowany. Podobnie jak budowanie reguł czy korelacji pomiędzy tymi zdarzeniami, też wykorzystaniem machine learningu jest dużo lepsze. Jeżeli chodzi o samą sztuczną inteligencję, ja tutaj bardzo staram się mocno to rozgraniczyć, dlatego że ta sztuczna inteligencja jest dla nas jeszcze z perspektywy takiego bezpieczeństwa do rozpoznania.

że zabezpieczenie danych powinno również uwzględniać to, na jaki czas te dane zabezpieczamy i jaka jest właśnie perspektywa w przyszłości. Bo jeżeli zakładamy, że dane musimy udostępnić na zewnątrz i zabezpieczymy je hasłem, które wiemy, że komputery kwantowe będą łamały w ciągu kilkunastu sekund na przykład za dwa lata, no to sami musimy sobie odpowiedzieć na pytanie, Czy to jest prawidłowe? Świat pędzi do przodu. Myślę, że tak jak pan, tak jak wszyscy, którzy nas słuchają, jesteśmy zaskakiwani kolejnymi nieprawdopodobnymi zmianami związanymi z technologią, ale tak jak pan powiedział, bardzo ważne jest to, aby edukować, abyśmy nie odkładali tego... nie bali się i nie wrzucali tego pod dywan, tylko żebyśmy byli w stanie po prostu o tym porozmawiać, nad tym się zastanowić i spowodować, żebyśmy podjęli jakieś decyzje, bo nie możemy żyć jako przedsiębiorcy, jako firmy, jako też obywatele w takiej rzeczywistości, w której ponieważ coś wydaje nam się skomplikowane i być może taki jest nasz pogląd, nas nie dotyczy, no bo przecież kim jesteśmy, żeby nas ktoś tutaj hakował, wchodził na nasze komputery i dostawał się do naszych plików,

o ich skomplikowanie. To znaczy, ja pamiętam takie trendy, żeby właściwie hasła składały się z nic nieznaczących ciągów, znaków, które nawierają właśnie małe, duże litery, znaki specjalne, cyfry. Dużo cięższe do złamania są naprawdę długie hasła, takie dwudziestokilkuznakowe, które nawet zawierają ciągi słów, które są normalnie wykorzystywane, które łatwo zapamiętać i je po prostu stosować. Bo trudność złamania hasła właśnie polega na jego długości, a wykorzystanie tutaj już z zakresu znaków, liczb czy symboli oczywiście warto, natomiast rzeczową moim zdaniem jest ta długość tego hasła.

I cały czas podkreślam, to zawsze w takich rozmowach, że dla najbardziej ważnych dla nas zasobów to uwierzytelnie niedwuskładnikowe, czyli coś, co wiem, coś, co mam, albo czym jestem, jeżeli chodzi o biometrię, jest naprawdę kluczowe. Wykorzystywanie tego typu mechanizmów naprawdę dużo mocniej podnosi nasz poziom bezpieczeństwa niż wydłużanie w nieskończoność samych haseł. Natomiast jeżeli chodzi o hasła, to ważną praktyką jest niestosowanie tych samych haseł w różnych serwisach, zwłaszcza takich, które są dla nas bardzo kluczowe i takich, które są bardzo mało istotne.