Baner - Higiena cyfrowa i polisa cyber na dobry początek Baner - Higiena cyfrowa i polisa cyber na dobry początek

Higiena cyfrowa i polisa cyber na dobry początek

Komunikacja, zakupy, bankowość, praca zdalna to tylko niektóre z obszarów, w których intensywnie korzystamy z sieci. Jednakże wraz z wygodami jakie niesie ze sobą technologia, pojawiają się również liczne zagrożenia, często przez nas niezauważane, ale również (mając ich świadomość) niestety ignorowane. Zrozumienie i wdrażanie zasad bezpieczeństwa cyfrowego oraz świadomość znaczenia ubezpieczenia od ryzyk cybernetycznych znacząco zwiększają nasze bezpieczeństwo w sieci, oszczędzają sporo czasu, pieniędzy i zdrowia.

Zagrożenia w sieci

Wśród najczęściej spotykanych zagrożeń internetowych wymienia się phishing, malware, ataki typu ransomware czy wycieki danych. Phishing polega na podszywaniu się pod zaufane osoby lub instytucje w celu wyłudzenia poufnych informacji takich jak dane logowania czy numery kart kredytowych. Ataki malware to wprowadzenie złośliwego oprogramowania na komputer ofiary, co może prowadzić do kradzieży danych, monitorowania aktywności lub uszkodzenia systemu. Ransomware to forma ataku, w której hakerzy szyfrują dane ofiary i żądają okupu za ich odblokowanie. Wycieki danych mogą nastąpić w wyniku błędów ludzkich lub celowych działań cyberprzestępców, co może prowadzić do nieuprawnionego dostępu do wrażliwych informacji.

Aktualna sytuacja

Z raportu Cisco Cybersecurity Readiness Index 2024, który analizuje gotowość organizacji na całym świecie do stawienia czoła współczesnym zagrożeniom cybernetycznym, wynika, że 88% polskich firm jest w początkowej fazie „dojrzałości” gotowości na cyberzagrożenia, a tylko 1% (przy 3% na świecie) określa się jako gotowe na tego typu zagrożenia. Blisko 3 na 4 badane firmy wyrażają obawę, że incydent cybernetyczny zakłóci ich działalność w ciągu najbliższych 12-24 miesięcy, co jest również zbieżne z globalnymi obawami. Pomimo tego stanu, aż 31% firm czuje się pewna swoich zdolności do zachowania odporności w sytuacji kryzysu cyberbezpieczeństwa. Dane te pokazują, że polskie firmy mogą przesadnie wierzyć w swoje możliwości obrony przed zagrożeniem cybernetycznym i niewłaściwie oceniają rzeczywistość oraz skalę wyzwań, przed którymi stoją, żeby nie powiedzieć dosadniej – lekceważą je.

Higiena cyfrowa jako fundament bezpieczeństwa

Jak zatem zabrać się za poprawę tego stanu rzeczy?

Pierwszym elementem poprawy stanu cyberświadomości powinno być zadbanie o swoją higienę cyfrową, rozumianą jako zbiór praktyk mających na celu ochronę naszych danych i urządzeń przed zagrożeniami cybernetycznymi. Obejmuje ona zarówno techniczne, jak i behawioralne aspekty korzystania z technologii.

Podstawą „technicznej” e-higieny powinno być stosowanie silnych i unikatowych haseł do różnych kont. O sile hasła decyduje jego długość i oryginalność. Możliwości pamięciowe przeciętnego ludzkiego mózgu oscylują w granicach kilkunastu haseł. Jednak przy niezliczonej liczbie kont online i dostępowych do infrastruktury służbowej nie jest możliwe zapamiętanie ich wszystkich. Z pomocą przychodzą nam menedżery haseł, które służą do ich przechowywania. Można powiedzieć, że są to cyfrowe sejfy na notatniki z hasłami.

Coś co praktycznie nie wymaga żadnego wysiłku od użytkownika i można zastosować to właściwie od zaraz to uwierzytelnianie dwuskładnikowe (2FA). Jest to metoda zabezpieczania dostępu do kont online poprzez wymaganie dwóch odrębnych form potwierdzenia tożsamości użytkownika. Tradycyjnie polega to na połączeniu czegoś, co użytkownik zna (jak hasło), z czymś co posiada (np. telefon komórkowy). Dzięki 2FA, nawet jeśli cyberprzestępca zdobędzie hasło do konta, nie będzie mógł uzyskać dostępu do niego bez drugiego składnika uwierzytelnienia. Znacząco zwiększa to poziom bezpieczeństwa, chroniąc przed atakami m.in. phishingowymi.

Kolejnym ważnym elementem jest aktualizowanie na bieżąco używanego oprogramowania – systemów operacyjnych i aplikacji. Aktualizacje często zawierają poprawki bezpieczeństwa, które eliminują wykryte luki.

Jednym z kluczowych działań, które pozwolą utrzymać ciągłość biznesową i zmniejszą skutki ewentualnego cyberataku, jest wykonywanie regularnych kopii zapasowych. Utrata wskutek cyberataku lub nawet zdarzenia losowego takiego jak awaria serwera, kluczowych danych może oznaczać poważne przestoje, straty finansowe i uszczerbek na reputacji. Regularne backupy umożliwiają szybkie odzyskanie danych i kontynuowanie działalności bez większych zakłóceń. Robienie kopii zapasowych jest fundamentalnym elementem strategii ochrony danych, niezależnie od tego czy dotyczy to użytkowników prywatnych, czy komercyjnych.

Cyberpolisa jako dodatkowa warstwa ochrony

Mimo zachowania wszelkich środków ostrożności nie jesteśmy w stanie całkowicie wyeliminować ryzyka ataku. W takich sytuacjach zbawienne może okazać się ubezpieczenie od ryzyk cybernetycznych. Polisa może obejmować różne scenariusze, takie jak odpowiedzialność cywilną i administracyjną za naruszenie prywatności, koszty obsługi incydentu informatycznego np. ekspertów z zakresu informatyki śledczej, koszty związane z odzyskaniem danych po ataku ransomware, czy pokrycie strat finansowych wynikających z przerw w działalności biznesowej. Dodatkowo polisa może zapewnić wsparcie np. prawne i marketingowe w zakresie zarządzania kryzysowego w celu minimalizacji skutków incydentu.

Znaczenie świadomości i edukacji

Właściwa higiena cyfrowa oraz dobra cyberpolisa stanowią kluczowe elementy skutecznej strategii ochrony w Internecie. Odpowiednia kombinacja środków technicznych, zachowań użytkowników oraz wsparcia finansowego może znacząco zredukować ryzyko i konsekwencje ataków cybernetycznych. W świecie, gdzie technologia odgrywa coraz większą rolę, dbałość o bezpieczeństwo cyfrowe staje się nieodzownym elementem codziennego życia.

artykuł opublikowany w tygodniku Gazeta Ubezpieczeniowa nr 27-28/2024 (1303)

Przemysław Burdach

zastępca dyrektora biura analiz i projektów ubezpieczeniowych
broker ubezpieczeniowy

POWRÓT
Baner - Nie taki podpis straszny… Baner - Nie taki podpis straszny…

Nie taki podpis straszny…

Elektronizacja jest z nami już od jakiegoś czasu i wydawać by się mogło, że w związku tym zdążyliśmy się do niej przyzwyczaić, zaakceptowaliśmy i co istotne stosujemy ją wszędzie, gdzie się da – cudowny „wynalazek” nowoczesnego świata pozwalający, przynajmniej w teorii, oszczędzić papier i zadbać chociaż w niewielkim stopniu o naszą Matkę Ziemię.

Niestety, to co dobre nie zawsze przekłada się na praktyczne działanie. Temat szeroki i można by o nim napisać niejeden artykuł lub pracę naukową. Ja chciałbym skupić się na jednym aspekcie tego procesu – zaawansowanych podpisach elektronicznych.

W 2014 roku Parlament Europejski wydał Rozporządzenie nr 910/2014 w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym, zwane eIDAS. Jest to dokument regulujący normy prawne m.in. dla szeregu usług zaufania, w tym zaawansowanych podpisów elektronicznych.

Czym w ogóle jest podpis elektroniczny? W dużym skrócie jest to narzędzie, które pozwala opatrzyć unikatowymi danymi dokument elektroniczny oraz po jego złożeniu umożliwia identyfikację tożsamości osoby, która taki podpis złożyła.

Występuje szereg różnych podpisów elektronicznych w zależności od poziomu ich bezpieczeństwa i zaawansowania. W Polsce w obrocie prawnym najczęściej stosowane są trzy rodzaje podpisów zaawansowanych: osobisty, zaufany i kwalifikowany.

DO URZĘDU TO NIE WSZYSTKO

W 2019 roku zaczęto wydawać tzw. e-dowody, będące nowym rodzajem dowodu osobistego z dodatkową warstwą elektroniczną, która zawiera certyfikat poświadczający autentyczność danych właściciela dowodu. To rozwiązanie umożliwia potwierdzanie swojej tożsamości w kontaktach z administracją publiczną. Dzięki temu posiadacz e-dowodu może uzyskać dostęp do podpisu osobistego, który wywołuje dla urzędu taki sam skutek prawny jak podpis własnoręczny. Do jego stosowania potrzebne są jednak specjalne czytniki oraz oczywiście oprogramowanie.

Kolejnym zaawansowanym podpisem, który ma szerokie zastosowanie, jest podpis zaufany – bardzo dobre, co istotne bezpłatne, narzędzie do komunikacji na poziomie przede wszystkim administracja-obywatel. Każda osoba posiadająca Profil Zaufany może złożyć na dokumencie zaufany podpis elektroniczny, który jest równoważny podpisowi własnoręcznemu w relacjach z administracją publiczną. Niestety podpis zaufany ma pewne ograniczenia technologiczne. Jedną w głównych wad tego rozwiązania jest możliwość podpisywania plików o maksymalnej wielkości do 10 MB. W zdecydowanej większości codziennych działań i kontaktów z urzędami jest to wystarczająca wielkość pliku, ale nie zawsze.

Oba te podpisy można wykorzystywać również w kontaktach z podmiotami innymi niż publiczne, z zastrzeżeniem, że tylko w przypadkach, gdy obie strony wyrażą na to zgodę.

TEN MA SZCZEGÓLNĄ MOC

„Kwalifikowany podpis elektroniczny ma skutek prawny równoważny podpisowi własnoręcznemu” to zdanie zawarte jest w rozporządzeniu eIDAS w art. 25 ust. 2. Uważam je za kluczowe w kontekście elektronizacji naszego życia w sferze biznesowej, ale również administracyjnej oraz prywatnej. Dlaczego? Ponieważ dostaliśmy narzędzie, które dosłownie pozwala nam się cyfrowo podpisać na dokumencie elektronicznym, bez konieczności drukowania tego dokumentu.

Skoro mamy takie narzędzie, które pozwala nam zawierać umowy, dokładnie tak jakby były wydrukowane, zaparafowane na każdej stronie i podpisane własnoręcznie, to dlaczego z tego nie korzystamy w powszechnym obrocie? A właściwie doprecyzowując to pytanie – tak rzadko korzystamy w powszechnym obrocie?

Jakkolwiek to banalnie nie zabrzmi, jedną z przyczyn, jest nasze przyzwyczajenie do namacalnego materiału pisarskiego. Zapewne każdy słyszał o papirusie (nie wspominając o piśmie klinowym), który stosowany był w starożytnym Egipcie już prawdopodobnie ok. 2,5 tys. lat p.n.e.. Szybko można policzyć ile lat tradycji mamy w utrwalaniu tekstów w takiej właśnie postaci. Kilkudziesięcioletnie doświadczenie w digitalizacji naszego świata chcąc nie chcąc wypada tutaj dość blado. I nie ma co się dziwić Kowalskiej czy Nowakowi, że woli wziąć do ręki dokument i stanowi on dla niej/niego coś bardziej realnego, prawdziwego, a przede wszystkim ważniejszego, niż taki sam dokument widoczny na ekranie komputera. Ile razy słyszeliśmy stwierdzenie „papier, to przecież papier”?

Wielu z nas jednak nie zdaje sobie sprawy z faktu, że przecież codziennie zawieramy umowy w postaci elektronicznej, kupując chociażby bilet komunikacji miejskiej w aplikacji na smartfonie, instalując nowe oprogramowanie na swoim komputerze czy wykupując usługę telewizji cyfrowej na popularnej platformie streamingowej. Dlaczego więc nie chcemy pójść dalej i zawierać umów biznesowych czy tworzyć dokumentacji tylko w wersji cyfrowej?

Potrzebna jest tu zmiana sposobu myślenia. Żeby do tego doszło, konieczna jest przede wszystkim edukacja i promocja tego typu rozwiązań na szeroką skalę – ciężka praca u podstaw ustawodawcy, administracji publicznej, firm z branży technologicznej i finansowej, uczestników rynku w relacjach B2B oraz B2C.

BARIERY NIE DO POKONANIA?

Kolejnym czynnikiem jest kwestia odpłatności usługi kwalifikowanego podpisu elektronicznego oraz „trudności” uzyskania takiego podpisu. Na polskim rynku, aktualnie mamy pięciu kwalifikowanych dostawców usług zaufania, który mogą wydawać tego rodzaju podpisy. Każdy z tych podmiotów, w zależności od wybranego wariantu kwalifikowanego podpisu elektronicznego, pobiera opłatę, która waha się w okolicy kilkuset złotych.

Co więcej, certyfikat wydawany jest z reguły na dwa lata, chociaż należy zaznaczyć, że mamy tutaj niewielkie pole manewru i okres ważności certyfikatu możemy nieco wydłużyć w zależności od naszych potrzeb. Do tego dochodzi jeszcze konieczność udania się do punktu weryfikującego tożsamość wnioskodawcy, który może być zlokalizowany w mieście oddalonym nawet o kilkanaście kilometrów od miejsca zamieszkania. Dla wielu te kwestie są barierą nie do przejścia. Jeżeli w biznesie jeszcze nie stanowi to większego problemu, to w życiu prywatnym jest to już bariera praktycznie nie do przeskoczenia.

Nieraz słyszałem stwierdzenia, że to jest nieopłacalne albo po co płacić za swój własny podpis skoro podpisując ręcznie, podpisuje się za darmo. I znowu – jestem przekonany, że gdyby edukacja o elektronizacji i zaangażowanie uczestników rynku było większe, tego typu argumenty byłyby rzadkością.

ŚWIATEŁKO W TUNELU

Spółka brokerska, którą reprezentuję, specjalizuje się w ubezpieczeniach jednostek sektora finansów publicznych. Jest to niezwykle specyficzna i bardzo mocno sformalizowana grupa klientów. Ich działalność regulowana jesteś szeregiem ustaw m.in. Prawo zamówień publicznych. Elektronizacja zamówień publicznych wymusiła na klientach odpowiednie przygotowanie się do tego procesu. Konieczność stosowania podpisów elektronicznych w wielu dziedzinach działalności spowodowała pewien nawyk, który z moich obserwacji jest dobrym prognostykiem do rozwoju tego sposobu obiegu dokumentacji w przyszłości. Gdyby tylko nie te nieszczęsne procedury i skostniały system działania… Dla przykładu: w pewnym urzędzie przychodzi kontrola w celu zbadania konkretnego postępowania, udzielonego w ramach zamówienia publicznego. Kontrola oczekuje pełnej dokumentacji elektronicznego postępowania… na papierze!, z poświadczeniem dokumentacji za zgodność z oryginałem!!!. Dopóki elektroedukacja nie zacznie się bardziej rozwijać takie historie będą się ciągle zdarzały.

A zagrożenia? Oczywiście, że są i z rozwojem technologii oraz cyber zagrożeń będą się pojawiać nowe. Jednak wraz z odpowiednimi uwarunkowaniami prawnymi oraz zaangażowaniem rynku technologicznego w dynamiczny rozwój tego obszaru, obieg dokumentów z zastosowaniem zaawansowanych podpisów elektronicznych, w szczególności kwalifikowanych, w jeszcze większym stopniu da nam swobodę działania i możliwość większego rozwoju. A przecież to dobry i pożądany kierunek.

artykuł opublikowany w tygodniku Gazeta Ubezpieczeniowa nr 18/2022 (1194)

Przemysław Burdach

zastępca dyrektora biura analiz i projektów ubezpieczeniowych
broker ubezpieczeniowy

POWRÓT