Jak pracownicy narażają cyberbezpieczeństwo pracodawcy?

Przeczytaj także: Firmowe dane na prywatnych telefonach i laptopach. Do kupienia w komisie

Większość zna podstawy, ale co z resztą?

Zapewnienie odpowiedniego poziomu bezpieczeństwa w środowisku firmowym to niezwykle wymagający proces – zarówno dla organizacji, jak i samych pracowników. Najlepszym sposobem, aby uniknąć cyberzagrożeń jest wiedza na ich temat i odpowiednia profilaktyka.

Deklaracje pracowników w tym zakresie wyglądają obiecująco. Aż 8 na 10 zapewnia, że nie klika w linki z nieznanych źródeł na służbowym sprzęcie – wynika z danych raportu „Cyberportret polskiego biznesu” przygotowanego przez ESET i DAGMA Bezpieczeństwo IT. Z kolei 72% pracowników pilnuje swoich haseł i nie podaje ich współpracownikom.

Przywołane liczby budzą pytanie o pozostałe osoby, które nie kierują się powyższymi zasadami. Fakt, że blisko 30% pracowników może dzielić się swoimi hasłami z koleżankami i kolegami z pracy, może budzić pytania o bezpieczeństwo. Pokazuje to bowiem, że często istotne zasady bywają lekceważone i postrzegane jako błahe. Tymczasem zaniedbania ze strony osób, które nie stosują się do elementarnych zasad, mogą stanowić poważne luki i zagrożenie dla całej organizacji, w myśl zdania: jesteś tak silny, jak twój najsłabszy punkt – mówi Kamil Sadkowski, analityk laboratorium antywirusowego ESET.

Służbowy do celów prywatnych? Polacy lubią to

Firmy w swoich regulaminach zabraniają wykorzystywania urządzeń do celów prywatnych. Wynika to z kilku czynników – maksymalizacji efektywności czasu pracy, ale przede wszystkim z procedur cyberbezpieczeństwa. Tymczasem, używanie firmowego sprzętu do celów prywatnych jest w Polsce plagą - przyznaje się do tego już 2/3 Polaków. Przyczyna jest prozaiczna.

Powszechna dostępność laptopów służbowych sprawia, że w wielu przypadkach pracownicy nie inwestują we własne niezależne urządzenia, tylko wykorzystują otrzymany od firm sprzęt do prywatnych celów – przyznaje Kamil Sadkowski. To, co niepokoi ekspertów ds. cyberbezpieczeństwa to sposób wykorzystywania sprzętu firmowego w wolnym czasie lub co niewykluczone – w trakcie obowiązków służbowych. – Wśród najczęstszych zachowań zauważyliśmy korzystanie z mediów społecznościowych. Co niepokojące, nierzadko są one wykorzystywane przez cyberprzestępców do propagowania poprzez linki różnego rodzaju oszustw oraz złośliwego oprogramowania. Może to prowadzić do wycieku tajemnic danego przedsiębiorstwa, w zależności oczywiście od rodzaju pracy danego pracownika, jego pozycji w hierarchii firmowej, a także przechowywanych na urządzeniu służbowym poufnych firmowych dokumentów – dodaje Kamil Sadkowski.

Biorąc pod uwagę fakt, że według danych zawartych w raporcie ESET i DAGMA Bezpieczeństwo IT, co piąty pracownik klika na służbowym urządzeniu w linki z nieznanych źródeł, widzimy jasną ścieżkę, którą wyciekają dane firmowe.

Korzystanie z prywatnych mediów społecznościowych to zaledwie jedno z wielu ryzykownych zachowań , jakie przydarzają nam się na służbowym sprzęcie. Listę uzupełniają: wysyłanie prywatnych wiadomości (w tym e-mail), robienie zakupów i korzystanie z bankowości online. Z pozoru niewinne oglądanie filmów i słuchanie muzyki może również stanowić zagrożenie jeśli będzie wiązało się z obecnością na niezweryfikowanych stronach czy pobieraniem niebezpiecznych plików.

Służbowo na prywatnym sprzęcie – równie groźne zjawisko

Dla firm niebezpieczne okazać może się również korzystanie z prywatnych urządzeń w celach służbowych, np. logując się do służbowych systemów, do czego przyznaje się już połowa badanych.

Taka praktyka jest o tyle niepokojąca, że urządzenia prywatne na ogół pozbawione są odpowiednich zabezpieczeń, takich jak ograniczenia uprawnień systemowych czy monitoring wszelkich podejrzanych zdarzeń i aktywności w systemie przez zespół ds. bezpieczeństwa. Wykorzystywanie prywatnego sprzętu do łączenia się systemami i sieciami firmowymi może okazać się swoistą puszką Pandory dla organizacji, zwłaszcza gdy taki sprzęt użytkuje grono członków rodziny o zróżnicowanych stopniach świadomości zagrożeń internetowych. Co więcej, kopiowanie danych, logowanie do firmowych systemów następuje też np. w trakcie urlopów, kiedy chcąc mieć toczące się sprawy pod kontrolą, pracownicy zapominają o zasadach cyberbezpieczeństwa – zauważa Paweł Jurek, Business Development Director, DAGMA Bezpieczeństwo IT.

Przenikanie środowisk prywatnych i służbowych stało się powszechne również wobec wzrostu popularności pracy zdalnej. Nie tylko logowanie, ale też podłączanie dodatkowych nośników, kopiowanie danych - otworzyło dodatkowe furtki cyberprzestępcom. W ostatnich latach nie brakowało przypadków zaniedbań skutkujących potężnymi wyciekami danych osobowych. Przykładowo jedna z uczelni musiała zapłacić UODO 50 tys. zł kary za wyciek danych osobowych kandydatów na studia z ostatnich lat. Dane były przechowywane na skradzionym prywatnym laptopie pracownika.

Odpowiednie procedury często są niewystarczające, gdyż najsłabszym ogniwem systemu okazuje się człowiek. Wzrost czasu spędzanego online i korzystania z różnych urządzeń do pracy i rozrywki czy globalny trend pracy zdalnej powodują, że środowiska zawodowe i prywatne się przenikają. W tym zakresie polskie przedsiębiorstwa i pracownicy wciąż mają do odrobienia lekcję.

Raport „Cyberportret polskiego biznesu. Bezpieczeństwo cyfrowe oczami ekspertów i pracowników” oparto na badaniu opinii, przeprowadzonym w terminie 23.05 - 10.06 2024 r. Pomiar zrealizowano metodą CAWI za pomocą profesjonalnej ankiety online przy wsparciu instytutu ARC Rynek i Opinia. Pomiar przeprowadzono na próbie 1032 Polaków wykonujących obowiązki służbowe przy komputerze minimum przez 3 dni w tygodniu. Zdecydowana większość badanych (88%) wykonywała swoje zadania służbowe codziennie przy wykorzystaniu sprzętu elektronicznego od pracodawcy. Próba objęła także tzw. boost n=256 osób zaangażowanych w działania z zakresu cyberbezpieczeństwa w swoim miejscu zatrudnienia. Analizy w raporcie dotyczą badanych ekspertów ds. cyberbezpieczeństwa z firm liczących przynajmniej 10 pracowników (n=227). Na grono ekspertów ds. cyberbezpieczeństwa składała się różnorodna grupa respondentów, od praktyków monitorujących, zabezpieczających i audytujących firmowe systemy bezpieczeństwa, przez osoby wpływające na budżety na ten cel i menedżerów zespołów cybersecurity, aż po szkoleniowców w tym zakresie.