Trendy bezpieczeństwa w IT: co nam przyniesie 2017 rok

Cyberataków będzie coraz więcej, a przestępcy coraz częściej będą aktywni tam, gdzie się ich do tej pory nie spodziewaliśmy. Ich ofiarą padać będą przede wszystkim ci, którzy nie podejmą żadnych działań zapobiegawczych.

Przed atakami można się chronić poprzez wdrażanie coraz bardziej zaawansowanych rozwiązań technicznych, programów uświadamiających pracowników, ustanawianie odpowiednich procedur czy przeprowadzanie testów bezpieczeństwa. Nie wystarczy już jednak wdrożenie jednego rozwiązania. Konieczne jest kompleksowe podejście do bezpieczeństwa.

Od czego zacząć? Od identyfikacji kluczowych informacji. To podstawowa czynność, którą każda organizacja powinna przeprowadzić chcąc świadomie zarządzać biznesem. 2017 rok z pewnością postawi specjalistów wobec nowych wyzwań. Oto kilka zagadnień do rozważenia. Bezpiecznego Nowego Roku.

Wyzwania legislacyjne

Wraz z rozwojem technologii i towarzyszącym temu procesowi zagrożeniom zaczęto dostrzegać konieczność uregulowania i ustandaryzowania niektórych obszarów wirtualnego świata. Nie jest to łatwe zadanie, co potwierdza choćby długi proces adaptacji unijnej dyrektywy NIS (ang. Network and Information Security), czy wdrożenia ustaleń w zakresie ochrony danych osobowych (ang. General Data Protection Regulation).

Regulacje i przepisy nie nadążają za zmianami. Dynamiczny rozwój technologii wyprzedza wszelkie rozwiązanie prawne, które czasem dają tylko fałszywe poczucie bezpieczeństwa. Z drugiej strony - niektóre z wymogów zmierzają do jak najszerszego ingerowania w prawa do ochrony prywatności. Pojawiają się żądania uprzywilejowanego dostępu do określonych usług dla agencji rządowych aby mogły kontrolować przepływ informacji, czy jej deszyfrację. Najbardziej nagłośniona sprawa tego rodzaju to konflikt pomiędzy firmą Apple a FBI.

Wzrost rynku polis ubezpieczeniowych

Ubezpieczenia od cyberryzyka na dobre weszły już do oferty wielu towarzystw. Zainteresowanie na razie jest niewielkie, ale kolejne regulacje i koszty, jakie firmy i instytucje ponoszą w związku z utratą danych, czy ich wycieku (także wizerunkowe) sprawią, że ubezpieczenia tego rodzaju staną się coraz bardziej powszechne i dostępne.

Firmy ubezpieczeniowe będą naciskać, by zawarciu polisy towarzyszyło wprowadzenie określonych standardów bezpieczeństwa. To się jednak opłaci obu stronom - takie standardy przyczynią się do poprawy bezpieczeństwa.

Niedobór specjalistów bezpieczeństwa

W 2016 roku na rynku na świecie pojawiło się około miliona ofert pracy w obszarze cybersecurity. Globalny niedobór specjalistów sprawia, że firmy, instytucje finansowe czy rządowe będą coraz bardziej podatne na ataki. Można spodziewać się wiec, że te lukę będą wypełniać usługi outsourcingu - samodzielne zapewnienie właściwego poziomu bezpieczeństwa wiąże się ze znacznymi kosztami finansowymi.

Brak specjalistów wpłynie też na zainteresowanie automatyzacją określonych usług, zwłaszcza tych, które są powtarzalne i pracochłonne. Takie podejście pozwoli ograniczonej liczbie specjalistów skupić się na najważniejszych działaniach. Z usługi IT będą coraz bardziej zaawansowane, na pograniczu sztucznej inteligencji.

W polskich firmach i instytucjach bezpieczeństwo często rozumiane jest jako zakup oprogramowania antywirusowego, czy urządzenia typu firewall. Nie dostrzega się konieczności przeprowadzania cyklicznych testów infrastruktury i systemów. Głównym kryterium przy wyborze takich usług nadal jest cena. To błąd. Jeśli wybierzemy niewłaściwego dostawcę nasza czujność zostanie uśpiona pozornym zapewnieniem poczucia bezpieczeństwa, a realne zagrożenie może nie zostać wykryte.

Edukacja

Cyberprzestępcy każdego dnia opracowują nowe metody i narzędzia pozwalające przeprowadzać coraz bardziej złożone ataki. Zrozumienie ryzyka, jakie niesie z sobą korzystanie z nowoczesnych technologii powinno być kluczowe dla każdego użytkownika, zarówno w ujęciu zawodowym, jak i osobistym. Szczególnie ważnym dla wszystkich interesariuszy powinno być zajęcie się najsłabszym ogniwem w łańcuchu bezpieczeństwa, czyli użytkownikiem końcowym.

Na nic najnowsze rozwiązania proceduralne czy techniczne, gdy zawodzi czynnik ludzki. Prawie wszystkie zaawansowane ataki rozpoczynają się od phishingu. Mimo przeszkolenia pracowników wciąż są przeprowadzane z sukcesem. Dlaczego? Bo to nie mogą być jednorazowe szkolenia, ale cykl, który wyrobi pewne zachowania.

W przypadków głośnych medialnie awarii czy utraty danych nie zawiodła technika, ale człowiek. Dzięki odpowiednio przeszkolonej załodze możemy obniżyć koszty ochronę zasobów. Edukacja ma decydujące znaczenie w zmniejszaniu wpływu cyberprzestępców na otoczenie.

Manipulacja danymi

Dotychczas jednym z głównym źródeł zysków świata przestępczego była kradzież informacji. Coraz częściej mamy do czynienia ze zorganizowanymi grupami, często będącymi w strefie wpływów niektórych krajów. To nowy trend. Nowym trendem są także przestępstwa polegające na manipulacji danymi zamiast kradzieży.

Próby manipulacji danymi finansowymi mogą wpływać na zachowania uczestników giełdy. W innych obszarach mogą wymuszać określone postawy grup społecznych, a nawet być zarzewiem konfliktów. Dobrze skoordynowana akcja, a takie mechanizmy są już doskonale znane w postaci ataków APT, może przynieść dużo większe korzyści finansowe niż sama sprzedaż skradzionych danych.

W tego rodzaju manipulacji szczególną rolę należy przypisać phishingowi, który staje się coraz bardziej wyrafinowaną metodą ataku. Koszt jego przeprowadzenia jest niewspółmiernie niski do potencjalnych zysków - nie wymaga inwestycji w sprzęt. Liczą się zdolności socjotechniczne atakującego.

Internet Rzeczy „szkodliwych”

Internet Rzeczy (ang. Internet of Things) rozpala wyobraźnię ludzi na całym świecie. Jedni widzą w nim szansę na „lepsze jutro”, inni obawiają się postępującej cyfryzacji życia. Nie da się jednak zaprzeczyć, że liczba rozmaitych urządzeń podłączonych do sieci z roku na rok rośnie, niosąc za sobą znaczące zmiany w sposobie funkcjonowania fabryk, inteligentnych budynków, przedmiotów codziennego użytku, a także nas samych.

Internet Rzeczy oferuje wielu branżom ogromne możliwości, ale również stwarza zagrożenie zarówno dla producentów, jak i ich klientów. Nie myślimy już o połączeniu pomiędzy urządzeniami, ale o połączeniu informacji. Wszystkie końcówki (urządzenia, protokoły wymiany danych i aplikacje) muszą być dokładnie przeanalizowane zanim zostaną dopuszczaną do komunikacji w systemie IoT.

Być może w niedalekiej przyszłości wybierając określony produkt nie będziemy się kierowali już etykietą „Made in…” lecz „zaprojektowano bezpiecznie”. Obecnie niektórzy posługują się złowieszczo brzmiącym terminem „Internet Rzeczy szkodliwych’”, ale biorąc pod uwagę, że wiele organizacji nadal nie dokonuje weryfikacji tego typu urządzeń, często służących za punkty wejścia do sieci korporacyjnych, nie sposób odmówić słuszności zwolennikom tego poglądu.

IoT pozwala pozyskiwać wrażliwe informacje o klientach i ich zachowaniach. Spodziewać można się różnych prób uczynienia z tych urządzeń narzędzi dla cyberprzestępców, choćby jako pośrednik do realizacji ataków DDoS.

Co możemy zrobić? Zmienić sposób myślenia. Na bezpieczeństwo trzeba patrzeć nie przez pryzmat pojedynczych urządzeń, ale całego systemu, w którym mają być wykorzystywane. Każda z firm, czy organizacji przygotować się na nadchodzącą rewolucję nie tylko przez wdrożenia rozwiązań technicznym, ale przede wszystkim stosownych polityk.

Wzrost znaczenia podziemnego rynku

Wiemy już o istnieniu podziemia gdzie odbywa się handel nielegalnymi usługami. Do niedawna o istnieniu tak zwanego „ukrytej sieci” (ang. Deep Web) wiedziały wyłącznie osoby ze świata hakerów oraz agencje rządowe. Dziś nawet przeciętny obywatel jest w stanie dotrzeć do jej zasobów.

Wzrost dostępności wpłynie z pewnością na dostępność usług typu „jako-usługa” (ang. As-a-Service). Można zakładać wzrost usług typu DDoS, czy RAA (ang. Ransomware as Service), które stają się coraz bardziej dostępne i przyjazne dla „użytkownika”. Nie powinno nas szokować gdy wkrótce grupy świadczące tego rodzaju ataki niebawem będą oferować 24/7 call-center dla swych klientów. Tym bardziej, że istnieją rejony świata, gdzie nie funkcjonują żadne regulacje odnośnie tego rodzaju przestępstw co sprzyja ich niezakłóconemu rozwojowi.

Wraz ze świadczeniem ataków typu DDoS wkrótce pojawią się usługi anty-DDoS mogące polegać na identyfikacji botnetów biorących udział w ataku na klienta i ich neutralizacji. Świadczone oczywiście przez konkurujące między sobą grupy przestępcze.

Open source – otwarte drzwi do twojej firmy