Cyberbezpieczeństwo jest dziś jednym z najczęściej omawianych tematów w biznesie. Jednocześnie jednym z najbardziej niezrozumianych. Powód jest prosty: cyberzagrożenia działają inaczej niż zagrożenia fizyczne – informacja jest bowiem niematerialna. I właśnie dlatego organizacje często reagują na nie zbyt późno. Ludzie w naturalny sposób chronią to, co widzą. Łatwo zrozumieć wartość budynku, samochodu czy magazynu. Znacznie trudniej zrozumieć wartość bazy danych, repozytorium kodu czy modelu AI. W nowoczesnych organizacjach to właśnie te elementy często mają największą wartość.

Baza danych klientów może być warta więcej niż cały sprzęt w biurze. Kod źródłowy produktu to często lata pracy zespołu. Model AI może zawierać wiedzę, która budowała przewagę firmy przez dekadę. Problem polega na tym, że mózg człowieka nie jest przystosowany do postrzegania wartości rzeczy niematerialnych. Dlatego wiele organizacji chroni drzwi do serwerowni znacznie lepiej niż dostęp do danych.

Największym zagrożeniem nie są hakerzy. To brak świadomości zarządu i brak natychmiastowych skutków. Jeśli ktoś ukradnie samochód, strata jest natychmiastowa. Wiadomo co się stało i kiedy. Jeśli ktoś ukradnie dane, organizacja może nie wiedzieć o tym przez miesiące lub nawet lata. Dane mogą zostać skopiowane bez żadnego śladu. Nie ma rozbitej szyby. Nie ma wyłamanych drzwi.

Dopiero po czasie okazuje się, że dane klientów wyciekły, konkurencja poznała know-how, a atakujący od miesięcy ma dostęp do infrastruktury. Ten brak natychmiastowych skutków sprawia, że cyberzagrożenia są psychologicznie najtrudniejsze do zrozumienia i do wyceny.

Prawdziwe zagrożenie: utrata zdolności działania

Największym problemem cyberataków rzadko jest sama kradzież danych. Największym problemem jest utrata zdolności działania organizacji. Dobrym przykładem jest ransomware, który działa według przewidywalnego scenariusza: phishing, przejęcie konta, dostęp do sieci, eskalacja uprawnień, szyfrowanie systemów.

Efekt pojawia się nagle. System ERP nie działa. Produkcja stoi. Logistyka zatrzymana. Obsługa klientów sparaliżowana. Firma nadal ma pracowników, budynki i maszyny, ale przestaje działać. W wielu branżach kilka dni takiego przestoju oznacza poważny kryzys biznesowy, straty liczone w milionach i utratę klientów, których trudno odzyskać.

Co ciekawe, państwa zrozumiały znaczenie informacji szybciej niż wiele firm. Cyberatak może zatrzymać elektrownię, zakłócić transport, sparaliżować banki i przerwać łańcuchy dostaw. Dlatego cyberprzestrzeń jest dziś uznawana za piątą domenę konfliktu, obok lądu, morza, powietrza i kosmosu. Skala inwestycji państwowych w cyberzdolności ofensywne i defensywne nie ma precedensu w historii.

Co naprawdę chroni organizację

Cyberbezpieczeństwo nie zaczyna się od technologii. Technologia jest jedynie narzędziem. Bez strategii i świadomości nawet najbardziej zaawansowane systemy ochrony nie będą działać skutecznie. Najsilniejsza ochrona opiera się na czterech filarach, czyli: świadomości zarządu, zarządzaniu ryzykiem, dobrze zaprojektowanych procesach oraz kulturze bezpieczeństwa w całej organizacji.

Jeśli zarząd nie rozumie ryzyka, nie powstaje strategia, nie ma budżetu i nie powstają procesy zarządzania ryzykiem. Bezpieczeństwo staje się wtedy wyłącznie działaniem reaktywnym. W praktyce w wielu firmach wygląda to tak: najpierw pojawia się incydent, dopiero potem pojawia się budżet.

W świecie cyfrowym najcenniejsze aktywa firmy są niewidzialne. To dane, wiedza, kod i modele AI. Firmy, które nauczą się traktować informację jak realny majątek, będą miały ogromną przewagę konkurencyjną. Reszta zrozumie jej wartość dopiero wtedy, gdy ją straci.

Łukasz Kokoszka Łukasz Kokoszka  

Autor pełni rolę Cybersecurity Consultant w Sisoft.