Cyberbezpieczeństwo

Ministerstwo Cyfryzacji zmienia strategię i wprowadza bezkompromisowe przepisy w odpowiedzi na kolejne cyberataki w Polsce. Wicepremier Krzysztof Gawkowski zapowiedział nie tylko drastyczne kary finansowe dla podmiotów, które zaniedbały procedury, ale także nową, bolesną dla wizerunku firm metodę dyscyplinowania. Na celowniku urzędników znalazły się przede wszystkim podmioty przetwarzające jeden konkretny rodzaj wrażliwych informacji. Oto co dokładnie czeka przedsiębiorców i jakie nowe prawa zyskają obywatele.

Z badań wynika, że większość firm nie testuje aż 4 spośród 10 aplikacji wypuszczonych na rynek. Procedury bezpieczeństwa są pomijane przede wszystkim dlatego, że ich przeprowadzenie jest zbyt żmudne i czasochłonne. A ponad 45 proc. firm nadal realizuje procesy z tego obszaru ręcznie. Skutkiem takiej praktyki może być pogorszenie reputacji firmy, utrata przychodów, a także kary finansowe spowodowane niespełnieniem wymogów regulacyjnych.

Wyciek danych z MyDr jest potężnym ostrzeżeniem dla biznesu. To zdarzenie pokazało, że cyberprzestępcy coraz rzadziej atakują same firmy, a uderzają w ich zewnętrznych dostawców. W obszarze księgowości i kadr taki atak to nie tylko kryzys wizerunkowy, ale natychmiastowy paraliż operacyjny, brak wypłat i ryzyko wysokich kar od UODO czy KAS. Słowne obietnice i deklaracje o „dbaniu o bezpieczeństwo” przestały mieć znaczenie. W świecie cyfrowym i pracy zdalnej liczą się twarde normy (ISO 27001, ISO 9001), zasada Zero Trust oraz sprawdzone procedury reagowania na kryzys. Jak więc chronić finanse, kadry i księgowość przed atakami łańcucha dostaw i jak krok po kroku działać, gdy dane już wyciekną?

Szybko zachodząca cyfrowa transformacja, automatyzacja, integracja środowisk IT i OT oraz Przemysł 4.0 na nowo definiują krajobraz branży przemysłowej, przynosząc nowe wyzwania i możliwości. Odpowiedzią na ten fakt jest m.in. przygotowane przez Komisję Europejską Rozporządzenie 2023/1230 w sprawie maszyn. Firmy działające na terenie UE muszą dołożyć starań, aby sprostać nowym, wynikającym z tego dokumentu standardom przed 14 stycznia 2027 roku.

W komunikacie z 4 kwietnia 2025 r. Ministerstwo Finansów ostrzegło przed nową formą oszustwa, której ofiarami mogą paść osoby zainteresowane elektronicznymi sprawozdaniami finansowymi. Próba oszustwa polega na tym, że cyberprzestępcy wysyłają wiadomości e-mail z linkami do fałszywej strony na temat e-Sprawozdań Finansowych i chcą w ten sposób wyłudzać dane osobowe, czy firmowe. Ministerstwo Finansów wyraźnie informuje, że jego pracownicy nie wysyłają tego typu wiadomości. A korzystanie z ministerialnej aplikacji e-Sprawozdania Finansowe nie wymaga podawania loginu ani hasła do poczty elektronicznej.

Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) opublikowała pierwszy raport z zakresu cyberbezpieczeństwa w krajach członkowskich UE. Dokument powstały na podstawie art. 18 dyrektywy NIS 2 zawiera informacje o dojrzałości Europy w zakresie bezpieczeństwa cyfrowego oraz zalecenia polityczne dotyczące eliminacji potencjalnych zagrożeń. Raport dostarcza również informacji o tym, z jakich metod najczęściej korzystają cyberprzestępcy. Okazuje się, że w większości przypadków są to ataki typu DoS / DDoS / RDoS, które stanowiły ponad 41 proc. wszystkich incydentów przeprowadzonych na terenie UE od lipca 2023 do czerwca 2024 roku. Co więcej, na celowniku cyberprzestępców znajduje się przede wszystkim administracja publiczna. O tym, jak bronić się przed cyberzagrożeniami, opowiadają eksperci Linux Polska.

Od 17 stycznia 2025 r. w Unii Europejskiej zaczęło obowiązywać Rozporządzenie DORA. Objęte nim podmioty finansowe miały 2 lata na dostosowanie się do nowych przepisów w zakresie zarządzania ryzykiem ICT. Na niespełna miesiąc przed ostatecznym terminem wdrożenia zmian Europejski Bank Centralny opublikował raport SREP (Supervisory Review and Evaluation Process) za 2024 rok, w którym ze wszystkich badanych aspektów związanych z działalnością banków to właśnie ryzyko operacyjne i teleinformatyczne uzyskało najgorsze średnie wyniki. Czy Rozporządzenie DORA zmieni coś w tym zakresie? Na to pytanie odpowiadają eksperci Linux Polska.

Obecnie już prawie co drugi Polak (49%) przyznaje, że otrzymuje podejrzane wiadomości drogą mailową. Tak wynika z najnowszego raportu SMSAPI „Bezpieczeństwo Cyfrowe Polaków 2024”. Ok. 20% Polaków niestety klika w linki zawarte w mailu, gdy wiadomość dotyczy ważnych spraw. Jak zauważa Leszek Tasiemski, VP w firmie WithSecure – ostatnie dni składania zeznań podatkowych to idealna okazja dla oszustów do przeprowadzenia ataków phishingowych i polowania na nieuważnych podatników.

Pełnomocnik Rządu ds. Cyberbezpieczeństwa w komunikacie z 15 marca 2023 r. poinformował, że Microsoft opublikował informację o krytycznej (czyli łatwej do wykorzystania i o szerokich skutkach) podatności w aplikacji Outlook na systemie Windows. Może ona prowadzić do zdalnego przejęcia konta, bez udziału użytkownika. Podatność była aktywnie używana w atakach przeprowadzanych przez jedną z grup powiązanych z rosyjskim rządem od kwietnia 2022 roku, w tym także w Polsce. Zalecane jest podjęcie natychmiastowych działań przez administratorów wszystkich organizacji, których użytkownicy korzystają z poczty poprzez klienta Microsoft Outlook.