Cyberincydenty uderzają w klientów. UODO i UOKiK wskazują największe problemy

Podczas Cyber24 Days Mirosław Wróblewski, prezes Urzędu Ochrony Danych Osobowych, oraz dr Daniel Mańkowski, wiceprezes Urzędu Ochrony Konkurencji i Konsumentów, rozmawiali o reagowaniu na incydenty, poziomie świadomości organizacji, ryzyku związanym z dostawcami technologii oraz konsekwencjach, jakie problemy z bezpieczeństwem wywołują po stronie klientów. Dyskusję moderowała Justyna Dąbrowska-Cydzik.

Firmy nadal mają problem z przygotowaniem na incydenty

Mirosław Wróblewski zwrócił uwagę, że wraz ze wzrostem liczby cyberincydentów coraz większego znaczenia nabiera przygotowanie organizacji na moment, w którym zabezpieczenia zawiodą.

„Incydentów bezpieczeństwa w przestrzeni cyfrowej jest dziś bardzo dużo. Wszyscy wiemy, że jest to niezwykle ważny problem i zapewne tych zdarzeń będzie coraz więcej. Coraz więcej z nich jest poważnych i skutkuje naruszeniami, niestety także w sektorze medycznym. ENISA przeprowadziła badanie obejmujące ponad tysiąc organizacji z Unii Europejskiej. Połowa z nich wskazała jako problem zarządzanie podatnościami i aktualizacjami. Czterdzieści dziewięć procent wskazało ciągłość działania i odtwarzanie po awarii, a trzydzieści siedem procent – zarządzanie ryzykiem łańcucha dostaw” – powiedział prezes UODO.

Problemem pozostaje również sama świadomość zagrożeń. Wróblewski podkreślił, że dojrzałe podejście do bezpieczeństwa wciąż nie jest standardem we wszystkich organizacjach.

Świadomość firm wciąż jest niewystarczająca. Oczywiście w wielu organizacjach istnieje odpowiednia kultura organizacyjna, ale nadal mamy co najmniej połowę organizacji, w których poziom świadomości jest absolutnie niewystarczający.
Mirosław Wróblewski, prezes Urzędu Ochrony Danych Osobowych

Klient podczas awarii często zostaje zagubiony

Dr Daniel Mańkowski zwrócił uwagę na inny wymiar reagowania na incydent. Organizacje często skupiają się na jego technicznej i prawnej obsłudze, podczas gdy z punktu widzenia użytkownika równie ważna jest szybka informacja, co właściwie się wydarzyło i co powinien zrobić.

„Kiedy myślimy o problematyce incydentu i nieciągłości działania, koncentrujemy się na kwestiach technicznych. W zespole mamy specjalistę od IT, specjalistę od spraw prawnych, a często brakuje osoby odpowiedzialnej za obsługę konsumenta czy klienta, która spojrzałaby na cały problem od drugiej strony. Klient w trakcie takiego incydentu jest często zagubiony, nie wie, jak się zachować. Czasami chodzi o drobną kwotę za bilet, ale czasami obawiamy się o całkiem istotne środki finansowe znajdujące się na naszych rachunkach albo o funkcjonowanie przedsiębiorstwa” – powiedział wiceprezes UOKiK.

Duży dostawca oznacza większą skalę ryzyka

Jednym z tematów dyskusji była też zależność organizacji od zewnętrznych dostawców. Wróblewski wskazał, że koncentracja usług i danych może prowadzić do sytuacji, w której jeden skuteczny atak lub poważna awaria oddziałuje jednocześnie na wiele podmiotów.

Koncentracja dostawców może powodować praktyczne problemy, szczególnie w sytuacji, kiedy mamy skoncentrowane zasoby danych. Łatwiej wtedy uderzyć jednocześnie w wiele podmiotów niż w tysiące mniejszych organizacji. Jeżeli bazy danych nie są zdekoncentrowane i nie ma rozproszenia informacji, ryzyko rośnie. Tym wyższe powinny więc być standardy bezpieczeństwa stawiane dużym dostawcom obsługującym ogromną liczbę podmiotów.
Mirosław Wróblewski, prezes Urzędu Ochrony Danych Osobowych

Z punktu widzenia przedsiębiorcy problemem może być także ustalenie, jak w praktyce wygląda cały łańcuch podmiotów odpowiedzialnych za wykorzystywane rozwiązanie.

Z perspektywy przedsiębiorcy korzystającego z określonego rozwiązania pojawia się pytanie, czy rzeczywiście ma on wiedzę o kolejnych poziomach infrastruktury: kto faktycznie jest operatorem, gdzie dane się znajdują, w jaki sposób są przetwarzane.
Daniel Mańkowski, wiceprezes Urzędu Ochrony Konkurencji i Konsumentów

Największa luka pojawia się po incydencie

Wiceprezes UOKiK zwrócił także uwagę, że w przypadku oszustw internetowych szczególne znaczenie ma czas. Samo działanie prowadzące do utraty kontroli nad rachunkiem czy udostępnienia danych może trwać bardzo krótko, podczas gdy dotarcie do skutecznej pomocy zajmuje znacznie więcej czasu.

„Dla mnie największą luką, z którą cały czas się mierzymy, jest luka czasowa pomiędzy momentem wystąpienia incydentu a chwilą, w której otrzymujemy realną pomoc. Incydent może polegać na tym, że nie do końca świadomy klient kliknie w jakiś link w internecie, udostępni komuś dostęp do rachunku bankowego albo da się w inny sposób zmanipulować. To często trwa chwilę. Później jednak uzyskanie pomocy, która pozwoli zapobiec stratom albo przynajmniej je zminimalizować, trwa zdecydowanie dłużej. I to jest najpoważniejszy problem” – powiedział dr Daniel Mańkowski.