Wywiad

Stanisław Zasada: Dzisiaj moim i Państwa gościem jest Michał Sajdak – założyciel firmy Securitum i portalu Sekurak, ekspert od cyberbezpieczeństwa, autor książek oraz prelegent na największych konferencjach branżowych. O tym, jak zmienia się świat cyberzagrożeń i dlaczego kancelarie prawne powinny traktować bezpieczeństwo cyfrowe priorytetowo, porozmawiamy właśnie dzisiaj.

Michał, znamy się już od kilku lat. Jak oceniasz zmiany, które zaszły w cyberbezpieczeństwie w ostatnim czasie?

Michał Sajdak: Zanim odpowiem, cześć wszystkim! Zawsze miło usłyszeć takie przedstawienie, bo czasem sam zapominam, czym się zajmuję.

A odpowiadając na pytanie – nie zmieniło się aż tak wiele. Mówiąc wprost: wcześniej nie było zbyt różowo, a teraz jest po prostu trochę gorzej. Duży wpływ ma na to rozwój sztucznej inteligencji. Nie chodzi o to, że osoby bez wiedzy nagle stały się ekspertami od cyberataków. Bardziej o to, że ci, którzy już wcześniej mieli odpowiednie kompetencje – zarówno po stronie obrońców, jak i przestępców – potrafią dziś działać znacznie szybciej i skuteczniej. AI po prostu zwiększyła ich możliwości.

Stanisław Zasada: Wasza firma zajmuje się między innymi sprawdzaniem bezpieczeństwa organizacji. Często używa się określenia pentester. Kim właściwie jest taka osoba?

Michał Sajdak: Pentester, czyli penetration tester, to inaczej etyczny haker. W praktyce oznacza to specjalistę, który – za zgodą klienta – próbuje włamać się do jego systemów informatycznych. Brzmi groźnie, ale celem nie jest wyrządzenie szkody. Wręcz przeciwnie. Chodzi o sprawdzenie, czy prawdziwy cyberprzestępca byłby w stanie dostać się do systemów firmy. Sprawdzamy, czy wejście jest możliwe, ile czasu by zajęło i jakie konsekwencje mogłoby mieć. To bardzo ważna różnica. Jeżeli do systemu można dostać się w godzinę, ryzyko jest zupełnie inne niż wtedy, gdy wymagałoby to tygodnia intensywnej pracy. Na końcu klient otrzymuje szczegółowy raport z listą wykrytych podatności oraz rekomendacjami, co należy poprawić. Dzięki temu, kiedy pojawią się prawdziwi atakujący, większość drzwi będzie już dla nich zamknięta.

Stanisław Zasada: Kiedy myślimy o cyberatakach, zwykle przychodzą nam do głowy banki albo administracja publiczna. Tam są pieniądze albo strategiczne dane. Dlaczego więc przestępcy mieliby atakować kancelarie prawne czy firmy doradztwa podatkowego?

Michał Sajdak: To częste przekonanie, ale rzeczywistość wygląda trochę inaczej. Paradoksalnie banki są stosunkowo rzadko celem ataków ransomware. Cyberprzestępcy wiedzą, że takie instytucje dysponują rozbudowanymi działami bezpieczeństwa, szybko reagują na incydenty, współpracują ze służbami i znacznie trudniej osiągnąć tam sukces. Znacznie atrakcyjniejszym celem są średniej wielkości organizacje. Nie są już na tyle małe, żeby okup był nieopłacalny, ale jednocześnie zwykle nie dysponują tak zaawansowanymi zabezpieczeniami jak największe instytucje. I właśnie do tej grupy często należą kancelarie prawne oraz firmy doradcze.

Stanisław Zasada: Ransomware kojarzy się przede wszystkim z zaszyfrowaniem danych i żądaniem okupu za ich odblokowanie. Ale przecież wiele firm posiada kopie zapasowe. Czy to nie rozwiązuje problemu?

Michał Sajdak: Kiedyś rzeczywiście tak było. Przestępcy blokowali dostęp do danych i liczyli, że firma zapłaci za ich odszyfrowanie. Dzisiaj ataki wyglądają inaczej. Najpierw cyberprzestępcy kradną dane, a dopiero później szyfrują systemy. Oznacza to, że nawet jeśli organizacja odtworzy wszystko z kopii zapasowych, nadal pozostaje drugi problem. Przestępcy grożą publikacją wykradzionych informacji. To właśnie tzw. podwójny szantaż (doubleextortion). W przypadku kancelarii prawnych mogą to być dane osobowe klientów, informacje finansowe, projekty umów, dokumenty objęte tajemnicą zawodową czy poufne informacje dotyczące transakcji biznesowych. Dla wielu organizacji ujawnienie takich danych może być znacznie bardziej dotkliwe niż sam przestój spowodowany zaszyfrowaniem systemów.

Stanisław Zasada: Właśnie to wydaje mi się największym zagrożeniem. Kancelarie przechowują ogromne ilości poufnych informacji. Często są to dane dotyczące fuzji, przejęć, wejść na giełdę czy planowanych inwestycji. Ich ujawnienie może mieć ogromne konsekwencje.

Michał Sajdak: Dokładnie tak.

W firmie produkcyjnej głównym problemem jest zwykle przestój. Produkcja staje, firma traci pieniądze. W kancelarii prawnej konsekwencje mogą być znacznie poważniejsze. Ujawnienie poufnych informacji może oznaczać utratę zaufania klientów, odpowiedzialność prawną, a w skrajnych przypadkach nawet zakończenie działalności. To właśnie wartość przechowywanych informacji sprawia, że kancelarie są dla cyberprzestępców bardzo atrakcyjnym celem.

Stanisław Zasada: Kiedy słucham tego wszystkiego, od razu przychodzą mi na myśl osoby pracujące na pierwszej linii kontaktu z klientem. Asystentki, asystenci, office managerowie. To przez ich ręce przechodzi ogromna część korespondencji, dokumentów i informacji. Nie są członkami zarządu, ale często mają dostęp do najważniejszych danych w firmie. Mam wrażenie, że właśnie te osoby powinny być szczególnie szkolone z cyberbezpieczeństwa.

Michał Sajdak: Zdecydowanie tak.

Takie szkolenia prowadzimy bardzo często. Organizujemy zarówno otwarte, bezpłatne webinary, jak i zamknięte szkolenia dla konkretnych firm. Te drugie zawsze dopasowujemy do specyfiki organizacji. Inne zagrożenia dotyczą szpitala, inne banku, jeszcze inne kancelarii prawnej czy firmy doradczej. Natomiast masz rację — osoby, które na co dzień odbierają telefony, obsługują ogólną skrzynkę mailową i prowadzą pierwszą komunikację z klientami, są dla cyberprzestępców niezwykle atrakcyjnym celem. To właśnie przez nie najłatwiej dostać się do organizacji

Stanisław Zasada: Jak długo trwa takie szkolenie?

Michał Sajdak: To zależy od zakresu, ale jeśli mówimy o szkoleniach dla osób nietechnicznych, to minimum, które ma sens, to około 45 minut. Najczęściej prowadzimy szkolenia trwające około godziny, a później jeszcze odpowiadamy na pytania uczestników. I tych pytań zawsze jest bardzo dużo. Ludzie pytają nie tylko o sytuacje firmowe. Bardzo często chcą wiedzieć, co zrobić, jeśli kliknęli podejrzany link na telefonie, otworzyli dziwny załącznik albo obawiają się, że ktoś przejął ich skrzynkę pocztową. Cyberbezpieczeństwo dawno przestało być wyłącznie problemem działów IT.

Stanisław Zasada: Mam wrażenie, że największym problemem jest po prostu tempo pracy. Nie czytamy wiadomości dokładnie. My je skanujemy wzrokiem. Patrzymy na nadawcę, temat, kilka pierwszych zdań i klikamy.

Michał Sajdak: Dokładnie.

I właśnie na tym bazują cyberprzestępcy.Dlatego warto pamiętać o jednej rzeczy. Samo kliknięcie w link najczęściej jeszcze niczego nie powoduje. Dopiero jeśli podasz swoje dane logowania, numer karty, PESEL albo uruchomisz złośliwy plik, dochodzi do przejęcia informacji lub infekcji komputera. Oczywiście istnieją bardzo zaawansowane ataki wykorzystujące nieznane luki bezpieczeństwa, jak choćby Pegasus, ale są one stosowane niezwykle rzadko i dotyczą przede wszystkim osób publicznych. Dla zdecydowanej większości użytkowników największym zagrożeniem nadal pozostaje własna nieuwaga.

Stanisław Zasada: Załóżmy najgorszy scenariusz. Przychodzicie rano do kancelarii i okazuje się, że wszystkie dokumenty są zaszyfrowane. Co powinno wydarzyć się w pierwszej kolejności?

Michał Sajdak: To jedno z najczęściej zadawanych pytań. I niestety nie ma na nie jednej prostej odpowiedzi. Obsługa poważnego incydentu bezpieczeństwa potrafi trwać tygodniami, a nawet miesiącami. Dobrym przykładem jest atak na Jaguar Land Rover. Mimo ogromnych zasobów firmy część zakładów produkcyjnych była sparaliżowana przez wiele tygodni. Dlatego pierwszym błędem jest przekonanie, że wystarczy przywrócić kopię zapasową i po dwóch dniach wszystko wróci do normy. Tak to zwykle nie wygląda. Zanim zaczniemy odtwarzać systemy, musimy odpowiedzieć sobie na podstawowe pytanie: W jaki sposób przestępcy dostali się do organizacji?

Jeżeli tego nie ustalimy, może się okazać, że po przywróceniu danych wykorzystają dokładnie tę samą lukę i zaatakują ponownie. Dlatego analiza przyczyny jest równie ważna jak samo odzyskanie danych.

Stanisław Zasada: Wiele firm uważa, że skoro wykonuje kopie zapasowe, to problem jest rozwiązany.

Michał Sajdak: To bardzo częsty błąd. Samo wykonywanie backupów nie wystarczy. Trzeba jeszcze regularnie sprawdzać, czy rzeczywiście da się z nich odtworzyć dane. Zdarza się, że firma przez lata wykonuje kopie zapasowe, ale nikt nigdy nie próbował ich odzyskać. Dopiero podczas awarii okazuje się, że backup jest uszkodzony, zaszyfrowany albo nikt nie pamięta hasła potrzebnego do jego odszyfrowania. Jest jeszcze jeden problem. Nawet jeśli kopia działa poprawnie, proces odtworzenia całej infrastruktury może potrwać wiele dni, a czasami nawet tygodnie. I przez cały ten czas firma praktycznie nie funkcjonuje.

Stanisław Zasada: Większość kancelarii, szczególnie tych mniejszych, nie ma własnego działu bezpieczeństwa IT. Co powinien zrobić partner zarządzający albo prezes w pierwszej godzinie od wykrycia ataku?

Michał Sajdak: Przede wszystkim nie próbowałbym rozwiązywać problemu samodzielnie. Tak samo jak przedsiębiorca nie prowadzi sam skomplikowanego procesu sądowego, tylko korzysta z pomocy prawników, tak w przypadku cyberataku warto jak najszybciej wezwać specjalistów od reagowania na incydenty. Ich zadaniem jest ustalenie skali problemu, sposobu włamania, zakresu wycieku danych oraz przygotowanie planu odzyskania kontroli nad środowiskiem. Im szybciej zostaną zaangażowani, tym większa szansa na ograniczenie strat.

Stanisław Zasada: Załóżmy, że mamy piętnastoosobową kancelarię. W poniedziałek rano pracownicy przychodzą do biura i okazuje się, że wszystkie pliki są zaszyfrowane. Co robić dosłownie w pierwszych minutach?

Michał Sajdak: Pierwszy krok to odłączenie organizacji od internetu. Jeżeli dane są nadal wykradane, chcemy jak najszybciej przerwać komunikację z atakującymi. Druga rzecz — nie pracować dalej na zainfekowanych komputerach. Nie wiemy, co dzieje się w systemie. Każda dodatkowa aktywność może utrudnić późniejszą analizę albo zniszczyć ślady potrzebne do ustalenia sposobu włamania. Nie warto również wchodzić na strony wskazane przez przestępców w komunikacie z żądaniem okupu. Bardzo często od momentu wejścia na taki adres zaczyna być odliczany czas do publikacji skradzionych danych albo wzrostu wysokości okupu. Najważniejsze jest zachowanie spokoju i jak najszybszy kontakt z firmą specjalizującą się w obsłudze incydentów bezpieczeństwa.

Stanisław Zasada: W przypadku kancelarii pojawia się jeszcze kwestia ochrony danych osobowych. Co z obowiązkiem zgłoszenia incydentu do Prezesa Urzędu Ochrony Danych Osobowych?

Michał Sajdak: Jeżeli doszło do naruszenia ochrony danych osobowych, taki obowiązek rzeczywiście może istnieć. Problem polega na tym, że na początku bardzo często nie wiadomo jeszcze, czy dane wyciekły i jaki był zakres incydentu. Dlatego jednym z pierwszych etapów analizy jest właśnie ustalenie, co zostało przejęte przez atakujących. Dopiero wtedy można prawidłowo ocenić obowiązki wynikające z przepisów.

Stanisław Zasada: Kiedy słyszy się o cyberbezpieczeństwie, łatwo odnieść wrażenie, że wymaga ono ogromnych budżetów i skomplikowanych systemów. A gdybyś miał wskazać kilka działań, które kancelaria może wdrożyć już w ciągu najbliższego tygodnia, od czego warto zacząć?

Michał Sajdak: Największym problemem, jaki obserwuję od lat, nie jest technologia. To brak świadomości. Jeżeli pracownicy nie wiedzą, jakie zagrożenia istnieją, nie będą potrafili ich rozpoznać. Dlatego zacząłbym właśnie od edukacji. Regularne szkolenia są znacznie skuteczniejsze niż jednorazowy kurs raz na kilka lat. Nawet krótkie, trzydziesto- czy czterdziestopięciominutowe spotkania organizowane co kilka miesięcy pozwalają utrwalić dobre nawyki. To naprawdę robi różnicę.

Stanisław Zasada: Gdybyś miał zostawić naszym czytelnikom krótką listę najważniejszych działań, co by się na niej znalazło?

Michał Sajdak:

1. Regularnie szkolić pracowników. To człowiek najczęściej staje się pierwszym celem ataku.
2. Włączyć uwierzytelnianie wieloskładnikowe (MFA). To jedna z najprostszych i jednocześnie najskuteczniejszych metod ograniczenia ryzyka przejęcia kont.
3. Regularnie aktualizować systemy i oprogramowanie. Większość udanych ataków wykorzystuje znane, od dawna załatane podatności.
4. Wykonywać i testować kopie zapasowe. Backup, którego nie da się odtworzyć, nie jest żadnym zabezpieczeniem.
5. Przygotować plan reagowania na incydenty. W sytuacji kryzysowej nie ma czasu na zastanawianie się, kto ma zadzwonić, jakie systemy wyłączyć i jakie obowiązki prawne należy spełnić. To wszystko powinno być ustalone wcześniej.

Stanisław Zasada: Gdybyś miał przekazać właścicielom kancelarii tylko jedno zdanie na temat cyberbezpieczeństwa, co by to było?

Michał Sajdak: Cyberbezpieczeństwo nie polega na tym, żeby zbudować twierdzę nie do zdobycia. Polega na tym, żeby być lepiej przygotowanym od większości innych organizacji. Przestępcy niemal zawsze wybierają najłatwiejszy cel. Jeżeli zadbamy o podstawowe zabezpieczenia, przeszkolimy ludzi i będziemy świadomi zagrożeń, ryzyko skutecznego ataku znacząco spada.