Monitorowanie infrastruktury informatycznej pozwala na wychwycenie anomalii lub zapobieganie incydentom bezpieczeństwa. W tym celu można wykorzystać wiele rozmaitych narzędzi, które często nie wymagają dużych nakładów finansowych do wdrożenia w firmie. Pomaga to również w zachowaniu zgodności z aktami prawnymi, m.in. RODO.
Nie można chronić urządzeń bądź informacji, o których istnieniu nie zdajemy sobie sprawy. Jest to szczególnie ważne w przypadku danych osobowych. Nie inaczej stanowi RODO – motyw 49 stwierdza, że przetwarzanie danych osobowych w „zakresie bezwzględnie niezbędnym i proporcjonalnym do zapewnienia bezpieczeństwa sieci i informacji” to uzasadniony interes administratora, dopóki jest w zakresie bezwzględnie niezbędnym oraz proporcjonalnym. Obejmuje to m.in.:
- zapewnienie odporności sieci lub systemu informacyjnego;
- przeciwdziałanie zdarzeniom naruszających dostępność, autentyczność, integralność i poufność informacji;
- uniemożliwianie nieuprawnionego dostępu do sieci.
Odpowiednie środki techniczne to ważny element ochrony danych osobowych
Do odpowiednich środków technicznych bezpośrednio odnosi się art. 32 RODO. Punkty 1b oraz 1c nakazują posiadanie zdolności do zapewniania poufności, integralności, dostępności i odporności systemów oraz szybkiego przywrócenia dostępności do danych osobowych w przypadku incydentu – zarówno technicznego, jak i fizycznego.
Monitorowanie zdarzeń
Dobranie odpowiednich metod monitorowania zdarzeń w sieci to ważny element zachowania zgodności z regulacjami. Wśród nich warto wymienić:
- antywirus;
- EDR (ang. Endpoint Detection and Response) – wykrywanie i reagowanie na zagrożenia, wykorzystywany przez urządzenia końcowe (np. laptopy);
- XDR (ang. Extended Detection and Response) – wykrywanie i reagowanie na zagrożenia z wielu urządzeń;
- SIEM (ang. Security Information and Event Manager) – system pozwalający na monitoring zdarzeń w sieci. „Działa jak centralny system nadzoru, który zbiera dane z różnych źródeł” – stwierdził Krajowy Instytut Cyberbezpieczeństwa w opracowaniu z 22 listopada 2024 roku;
- IDS (ang. Intrusion Detection System) – systemy wykrywające potencjalne ataki. Jego rozszerzeniem jest IPS (ang. Intrusion Prevention System).
Powyższa lista obejmuje rozwiązania, które można wdrożyć niskim lub zerowym kosztem.
Choć antywirus i EDR wydają się bardzo podobne, ponieważ działają na urządzeniach końcowych (np. komputerach), to znacznie różnią się metodami działania – antywirus opiera się w dużej mierze na sygnaturach (np. hashach – unikalnych ciągów znaków dla danego pliku). EDR działa przede wszystkim na podstawie analizy tego, co dzieje się na danym urządzeniu.
Otwartoźródłowe oprogramowanie
Fundamentem funkcjonowania wielu dzisiejszych aplikacji jest oprogramowanie otwartoźródłowe (ang. open-source). Oznacza to, że jego kod jest publicznie dostępny. W wielu przypadkach zmiany w oprogramowaniu są wdrażane przez społeczność programistów.
Przykładem takiej aplikacji używanej powszechnie przez miliony osób może być ukraińska Diia (odpowiednik mObywatela) czy jądro Linuxa, które jest podstawą wielu systemów operacyjnych (np. Androida).
Ogólnodostępność kodu nie zawsze musi oznaczać, że można go swobodnie używać – konieczne jest zapoznanie się z wymogami licencyjnymi
Przykłady otwartoźródłowych rozwiązań
Wspomniane narzędzia są oferowane przez różnych producentów. Warto jednak wyróżnić otwartoźródłowe rozwiązania, które można wykorzystać w swojej firmie bez nakładów finansowych na subskrypcje bądź licencje.
- Wazuh – oprogramowanie typu SIEM oraz XDR. Instalacja go na lokalnych maszynach (tzw. on-premise) jest darmowa, a rozwiązanie chmurowe jest płatne;
- Suricata/Snort – oprogramowanie działające jako IDS/IPS (wykrywające niepożądaną aktywność w sieci oraz zapobiegające włamaniom). Wykorzystują licencję GPL 2.0, która umożliwia m.in. swobodne korzystanie i rozpowszechnianie;
- ClamAV – otwartoźródłowy antywirus, rozwijany przez Cisco.
Wśród darmowego i otwartoźródłowego oprogramowania warto również wyróżnić OpenVAS, które jest skanerem podatności.
Segmentacja sieci
Mówiąc o dobrych praktykach w cyberbezpieczeństwie, warto podkreślić, że wiele z nich można osiągnąć niskim lub znikomym kosztem. Jednocześnie do spełniania pewnych branżowych norm nie jest konieczny zakup sprzętu konkretnego producenta.
Jednym z zaleceń jest segmentacja sieci, która polega na odseparowaniu od siebie danych kategorii urządzeń. Bardzo niepożądaną sytuacją jest to, gdy np. goście korzystają z identycznego Wi-Fi co pracownicy.
Segmentacja sieci może odbywać się na dwa sposoby. Pierwszym z nich jest korzystanie z innych urządzeń sieciowych, natomiast drugim jest segmentacja logiczna, wykorzystująca VLAN-y, czyli wirtualne sieci lokalne. Tworzenie VLAN-ów możliwe jest na wielu switchach (przełącznikach), które posiadają firmy.
Urządzenia spoza organizacji powinny być traktowane jako niezaufane (tzw. zero-trust) i nie powinny być w tej samej sieci co urządzenia w firmie.
Warto również pamiętać o możliwości utworzenia DMZ (dosł. strefy zdemilitaryzowanej), czyli fragmentu sieci (np. zawierającego serwery lub inne urządzenia widoczne z poziomu Internetu), który nie ma dostępu do zasobów w sieci lokalnej. Dzięki temu przejęcie kontroli nad takim urządzeniem powoduje, że cyberprzestępcy nie mogą bezpośrednio włamać się do urządzeń sieciowych.
Przykład 1.
Firma udostępnia sieć Wi-Fi dla klientów. Powinna być ona przypisana do odrębnego VLAN‑u, aby była odseparowana od tej wykorzystywanej przez pracowników.
Kolejnym ważnym aspektem są zapory ogniowe (firewalle), które blokują niepożądane zapytania sieciowe.
Bezpieczeństwo danych w firmie -kopie zapasowe
Popularną metodą związaną z tworzeniem i przechowywaniem kopii zapasowych jest „3-2-1”, czyli: trzy kopie danych, znajdujące się na dwóch nośnikach, przy czym jeden jest poza siedzibą firmy.
Na poczet trzech kopii uwzględnia się również oryginalny zapis danych, co oznacza konieczność posiadania dwóch kopii zapasowych.
Posiadanie kopii zapasowych możliwych do odtworzenia jest szczególnie ważne pod kątem dostępności do danych osobowych, co podkreśla art. 32 RODO w pkt 1b i 1c. W przypadku ataku ransomware skutkującego zaszyfrowaniem plików bardzo często konieczne jest przywrócenie danych z backupów.
Przykład 2.
Firma postanawia wdrożyć kopie zapasowe zgodnie z zasadą „3-2-1”. W tym celu może posłużyć się serwerem NAS oraz zasobami w chmurze. Należy przy tym podkreślić, że konieczne jest szyfrowanie danych, testowanie odtwarzania oraz kontrola dostępu.
Kluczowym aspektem kopii zapasowych jest również to, czy tworzone są kopie przyrostowe, różnicowe czy pełne. Ponadto należy mieć na uwadze częstotliwość tworzenia kopii.
Przykład 3.
Firma posiada dwa rodzaje kopii zapasowych. Pierwsza z nich wykonywana jest codziennie oraz jest przyrostowa. Druga z nich to kopia miesięczna (lub tygodniowa), która jest pełna.
Kolejnym ważnym aspektem jest dostępność do kopii zapasowych z poziomu sieci. W tym celu można posłużyć się zasadą „3-2-1-1-0”, która narzuca konieczność przechowywania jednej kopii offline (tzw. air gap) oraz posiadania kopii bez błędów podczas odtwarzania.
Przypadki zaszyfrowania kopii zapasowych miały miejsce również w polskich organizacjach. W październiku 2024 roku podczas VIII Nadzwyczajnej Sesji Rady Powiatu w Jędrzejowie poinformowano o zaszyfrowaniu jednej z kopii zapasowych, która wykonywała się codziennie. Dzięki zewnętrznemu nośnikowi najprawdopodobniej udało się uniknąć utraty danych, ponieważ dane odtworzono z innej kopii.
Podsumowanie
Cyberbezpieczeństwo może być widziane jako koszt, lecz warto spojrzeć na nie jako inwestycję. Utrata danych wskutek ataku ransomware może wiązać się nie tylko ze stratami finansowymi, lecz także dużą skazą na wizerunku firmy.
Wdrażanie rozwiązań otwartoźródłowych oraz zmiana kultury organizacyjnej nie musi wiązać się z dużymi kosztami, a może oszczędzić wielu nieprzyjemności. Nieodpowiednie zabezpieczenia techniczne wraz z nierzetelną analizą ryzyka oraz brakiem regularnego testowania mogą skutkować karą od UODO, co pokazało orzeczenie „Nieskuteczne zabezpieczenia techniczne powodem nałożenia kary” z czerwca 2023 roku.
