Kongres FTB o cyberzagrożeniach
W debacie, moderowanej przez Dariusza Piotrowskiego, VP, General Managera w Dell Technologies Polska, wzięli udział Joanna Erdman, prezeska Fundacji Polska Bezgotówkowa, Joanna Seklecka, prezeska firmy eService, Sławomir Soszyński, wiceprezes ING Banku Śląskiego i Robert Trętowski, wiceprezes zarządu KIR.
Instytucje finansowe od lat tworzą plany ciągłości działania, rzecz w tym, że odnoszą się one głównie do znanych zagrożeń, gdyż przyszłość, także w zakresie rozwoju cyberprzestępczości, jest niezmiernie trudna do przewidzenia – podkreślał Dariusz Piotrowski.
W jaki sposób banki mogą antycypować nieznane ryzyka, by uwzględniać je w swoich planach przetrwania? Zdaniem Joanny Sekleckiej, najistotniejsze znaczenie w tej materii ma współpraca i działanie zespołowe. Sprawna komunikacja między członkami zespołu, podparta zaufaniem pomiędzy nimi, umożliwia szybka wymianę informacji o ewentualnych zagrożeniach, dzięki czemu łatwiej uzyskać wsparcie ze strony osób najbardziej doświadczonych w konkretnych sytuacjach.
Prezeska eService zwróciła uwagę na istotne znaczenie ćwiczeń z zakresu cyberbezpieczeństwa przypominając wszakże, że symulowane scenariusze jedynie w części odpowiadają realnym sytuacjom kryzysowym.
Treningi stanowią jednak w znacznym stopniu sprawdzian skuteczności działania całego systemu, pozwalają też na rozwój kompetencji zespołowych, tak przydatnych by skutecznie stawiać czoła zagrożeniom cyfrowym. Joanna Seklecka przypomniała, iż system cyberbezpieczeństwa funkcjonuje w znacznym stopniu na zasadzie domina, zatem wystarczy, że jedna część systemu nie działa, by wpływało to ujemnie na każdy kolejny element tego łańcucha.
Czytaj także: Kongres FTB 2025 o współdziałaniu sektora bankowego i technologicznego
Człowiek najsłabszym ogniwem
Na potrzebę współpracy, zarówno w sferze czysto technologicznej jak i procedur bezpieczeństwa, wskazywał też Robert Trętowski. Przypomniał on, iż minione lata przyniosły wiele nowych doświadczeń w zakresie zwiększania odporności cyfrowej instytucji finansowych, poczynając od konieczności zabezpieczenia pracy hybrydowej po wybuchu pandemii COVID-19 aż po dyskurs na temat centrów awaryjnych i backupów, jaki rozgorzał pod wpływem rosyjskiej inwazji na Ukrainę.
Największym problemem pozostaje jednak socjotechnika, w tym ataki phishingowe zarówno na pracowników, jak i klientów banków.
– Nie powiem nic odkrywczego, ale na tym polega moim zdaniem największe wyzwanie dla departamentów bezpieczeństwa. Muszą one na bieżąco pogłębiać wiedzę o nowych wektorach ataku, nakierowanych na czynnik ludzki – dodał wiceprezes KIR.
Nawiązując do przedmówcy, Joanna Erdman zwróciła uwagę na poważne wyzwanie, jakie wiąże się ze współpracą pomiędzy bankami a firmami outsourcingowymi. Wiele cyberataków wymierzonych jest wszak w poddostawców, będących najsłabszymi ogniwami w całym łańcuchu cyberbezpieczeństwa.
Kwestia ta powinna być uwzględniana m.in. podczas ćwiczeń, tak, by w ich toku weryfikować podatności na ataki. Prezeska Fundacji Polska Bezgotówkowa zwróciła uwagę, iż procesowi migracji do pracy hybrydowej podczas pandemii nie towarzyszyło odpowiednie szkolenie pracowników w zakresie bezpieczeństwa IT.
– My wszyscy powinniśmy być dzisiaj częścią tej infrastruktury bezpieczeństwa, wszyscy powinniśmy mieć świadomość zagrożeń, ale i określonych procedur – dodała Joanna Erdman, wskazując, iż na potrzebę takiej permanentnej edukacji wskazuje też rozporządzenie DORA.
Czytaj także: Deepfake jednym z głównych wyzwań w cyberświecie
FTB 2025: DORA, plusy i minusy
W sytuacji, kiedy to ludzie, nie systemy są najczęstszym wektorem ataku kwestia ta nabiera szczególnego znaczenia. Sławomir Soszyński zgodził się z przedmówcami, iż wszelkie procedury i schematy działania mogą w pewnej mierze ograniczyć podatności instytucji, natomiast rzadko kiedy sprawdzają się w sytuacji faktycznego cyberataku.
Dlatego w ING Banku Śląskim realizowane są losowo niezaplanowane testy, obejmujące zarówno poszczególne zespoły operacyjne, jak i władze banku. Takie symulowane scenariusze obejmować mogą np. atak ransomware, ale również inne schematy, łącznie z interwencją służb antyterrorystycznych.
Poddawane treningom osoby nie są świadome, iż uczestniczą tylko w symulacjach, dzięki czemu można zbadać ich zdolność do podejmowania właściwych decyzji w sytuacjach kryzysowych. Wiceprezes ING Banku Śląskiego przypomniał, iż przestępcy atakujący systemy bankowe mają różne motywy działania – obok sieciowych oszustów czy szantażystów mamy do czynienia chociażby z tzw. haktywistami, kierującymi się ideologią.
Uczestnicy dyskusji odnieśli się też do rozporządzenia DORA, które od stycznia br. stanowi główny dokument, regulujący cyfrową odporność banków. Ich zdaniem obowiązujące regulacje nie rozwiązują bezpośrednio problemów związanych z cyberbezpieczeństwem, a to z uwagi na możliwość różnorakiej interpretacji niektórych zapisów, co nie służy spójności prawa.
Wśród pozytywów wskazywano m.in. na uporządkowanie relacji między instytucją finansową a dostawcami IT.
