Cyberbezpieczeństwo w nowym wydaniu

Materiał przygotowany przez Dagma Bezpieczeństwo IT

Jak podaje Stowarzyszenie ISACA zajmujące się audytem i kontrolą systemów IT, w 2023 r. 38 proc. organizacji na świecie odnotowało znaczny wzrost ataków. Niestety, żadna firma nie może dziś czuć się bezpieczna, bo cyberprzestępcy coraz częściej biorą na cel mniejsze, gorzej zabezpieczone podmioty w łańcuchu dostaw, by przejąć nad nimi kontrolę i dotrzeć tą drogą do końcowej ofiary.

Nad kwestią cyberbezpieczeństwa intensywnie pracują regulatorzy rynku. Niedługo podmioty określone jako kluczowe i ważne w dyrektywie NIS2, której celem jest wzmocnienie cyberbezpieczeństwa w UE, będą musiały dostosować się do jej wymogów. Termin implementacji NIS2 do krajowego porządku prawnego mija 18 października 2024 r. Rząd przedstawił 23 kwietnia br. projekt ustawy dotyczącej wdrożenia dyrektywy w Polsce, poszerzając na rynku krajowym skalę zawartych w podstawowym dokumencie obowiązków. Szacuje się, że nowymi, unijnymi przepisami zostanie objętych blisko 40 tys. podmiotów, co pokazuję skalę wdrożeniowego wyzwania.

Sektor finansowy czeka natomiast na rozporządzenie DORA, do którego będzie musiał się dostosować w 2025 r. Zarówno DORA, jak i NIS2 wymagają szybkiego zgłaszania incydentów, testowania operacji, monitorowania środowiska IT, zarządzania ryzykiem stron trzecich i działań prewencyjnych, ukierunkowanych na zapobieganie atakom. Brak dostosowań do wymagań w zakresie cybersecurity przez objęte regulacjami organizacje może skutkować ogromnymi karami (w przypadku NIS2 do 2 proc. rocznego obrotu, w przypadku DORA do 10 proc.).

W Polsce mamy też od lat rekomendację D KNF, która zawiera wytyczne do zarządzania ryzykami w bankowych systemach informatycznych. Wspólnym mianownikiem tych regulacji jest zbudowanie jak największej cyfrowej odporności środowisk IT.

Nawet jeśli firma im nie podlega, warto potraktować je jako zbiór dobrych praktyk, które można wykorzystać, tworząc politykę cyberbezpieczeństwa.

Jedną z najważniejszych rzeczy, które według raportu „Global Economic Forum Cybersecurity Outlook 2023” będą miały wpływ na strategie ryzyka cybernetycznego w ciągu najbliższych dwóch lat, jest – obok sztucznej inteligencji i uczenia maszynowego (20 proc. wskazań) – zarządzanie tożsamością i dostępem użytkowników (15 proc.).

Szczególną uwagę należy zwrócić na tzw. konta uprzywilejowane, które posiadają szerokie uprawnienia i mogą potencjalnie zagrozić całej firmie, jeśli zostaną wykorzystane przez złośliwe podmioty czy samych pracowników. Ponieważ konta te bardzo często stają się wrotami do ataku, muszą być odpowiednio chronione. Do zarządzania dostępem uprzywilejowanym warto wykorzystać systemy PAM (Privileged Access Management), które pomogą wzmocnić system ochrony. PAM zapewnia organizacjom wgląd w to, kto uzyskuje dostęp do konta, oraz monitoruje wszelkie działania na koncie, wychwytując te podejrzane.

– Nikomu nie trzeba przypominać, że tak naprawdę cała nasza tożsamość jest „w sieci”, stąd istotne jest, aby pozostała ona tam, gdzie być powinna. Wiąże się to również z kosztami i koniecznością kontroli wielu aplikacji. Ważne jest, aby te nakłady możliwie zoptymalizować. Rozwiązania klasy PAM, czyli Privileged Access Management poprzez scentralizowane zarządzanie dostępem zmniejszają koszty ponoszone na zapewnienie bezpieczeństwa – tłumaczy Łukasz Krysiak z DAGMA Bezpieczeństwo IT.

Rozwiązania PAM stają się niezbędnym elementem w stale zmieniającym się środowisku IT. Mapują i identyfikują wszystkie zasoby, w tym poświadczenia i certyfikaty cyfrowe, minimalizują ryzyko zewnętrznych cyberataków i zapobiegają wewnętrznym nadużyciom czy zaniedbaniom.

PAM nie tylko zwiększa poziom bezpieczeństwa cybernetycznego w organizacji, ale także ułatwia dostosowanie się do regulacji NIS2 i DORA. Narzędzia te posiadają wiele funkcji, które zajmują się obszarami wymienionymi w paragrafie 44 dyrektywy NIS2, jak monitorowanie własnych lub należących do innych obiektów aktywów IT, oraz w paragrafie 49 dotyczącym cyfrowej higieny, obejmującej zestaw takich praktyk, jak zmiana haseł czy ograniczanie dostępu na poziomie administratora.