- Cyberatak lub naruszenie danych są najistotniejszymi zagrożeniami dla sektora publicznego, zarówno obecnie, jak i w perspektywie najbliższych trzech lat – wynika z raportu Aon „Global Risk Managament Survey”.
- Obawy organizacji samorządowych nasiliły się w obliczu niepewnej sytuacji geopolitycznej oraz rozwoju sztucznej inteligencji, która wpływa na zautomatyzowanie aktywności hakerów.
- Jednym z najskuteczniejszych sposobów na zminimalizowanie skutków np. wycieku danych wrażliwych jest wdrożenie planu reagowania na ryzyko cyber. Zdecydowało się na to już 89 proc. organizacji publicznych na świecie.
Cyberprzestępcy coraz częściej na swój cel wybierają sektor publiczny. W 2024 roku ich ofiarami padły m.in. hrabstwo Henry w Illinois (atak ransomware), gmina Chalosse Tursan we Francji czy urząd miasta Fürth w Niemczech. W wyniku ataku DDOS w Niemczech zostały zablokowane wszystkie strony internetowe urzędu. Doniesienia o kolejnych atakach sprawiają, że rośnie świadomość samorządów na temat zagrożeń cyber i ich skutków.
Ryzyko cyber numerem 1 w najbliższych latach
W raporcie Aon „Global Risk Managament Survey” przedstawiciele sektora publicznego uznali, że cyberatak oraz naruszenie danych są dla nich obecnie najistotniejszymi ryzykami. Co więcej, znalazły się także na pierwszym miejscu ryzyk przyszłości, wyprzedzając m.in. obawy o niepowodzenie w przyciąganiu i zatrzymywaniu talentów czy spowolnienie gospodarki lub jej zbyt powolne ożywienie. Jak podkreślali uczestnicy badania, jest to związane z niepewną sytuacją geopolityczną.
– Wojna w Ukrainie oraz inne konflikty zbrojne zwiększyły skalę działań cyberprzestępców i są to w dużej mierze ataki aranżowane przez zorganizowane grupy przestępcze. Dochodzi do tego rozwój sztucznej inteligencji, który wpływa na zautomatyzowanie tych aktywności. Ostatecznie mamy więc do czynienia nie tylko z wyciekiem danych, np. numerów PESEL, ale i atakami typu ransomware powodującymi blokady systemów. Wiele samorządów wprowadziło możliwość załatwiania spraw przez mieszkańców online. Taki atak może więc być bardzo problematyczny – mówi Tomasz Fabijański, Dyrektor ds. Rozwoju Biznesu, Aon Polska.
– Odnotowujemy także coraz więcej przypadków stosowania AI przez hakerów z wykorzystaniem np. technologii deepfake, która umożliwia imitowanie wizerunku i głosu konkretnych osób. Sposób ten jest niezwykle skuteczny w próbach wyłudzania danych czy pieniędzy. Narzędzia AI mogą być także używane przy prostszych próbach phishingowych, ale też pomagać analizować dane czy nawet pisać złośliwe oprogramowanie – dodaje Piotr Rudzki, Senior Broker, Aon Polska.
Jak zarządzać ryzykiem cyber w sektorze publicznym?
Aon sprawdził, czy sektor publiczny jest przygotowany na zagrożenie atakami cyber i czy ma wprowadzoną politykę zarządzania tym ryzykiem. Okazuje się, że obecnie ok. 89 proc. jednostek samorządu terytorialnego na świecie posiada wdrożony plan lub formalny przegląd ryzyka, na co składają się m.in. kwantyfikacja i jego ocena, kalkulacja rozwiązań finansowania, opracowanie planów ciągłości oraz planu zarządzania ryzykiem.
– Władze gmin, miast czy powiatów nie muszą mieć obszernej wiedzy w zakresie cyberbezpieczeństwa. Skutecznym sposobem na ograniczenie negatywnych skutków ataków jest wykupienie ubezpieczenia cyber. Wcześniej w tym celu należy wypełnić, na przykład ze wsparciem brokera ubezpieczeniowego, szczegółowy kwestionariusz oceny ryzyka, który już sam w sobie daje ogląd, jak wygląda poziom zabezpieczeń w danej jednostce samorządowej. Następnie broker przedstawi ofertę, która zakresem będzie najbardziej odpowiadała potrzebom danej jednostki samorządu – tłumaczy Tomasz Fabijański.
Polisa cyber składa się z trzech filarów ochrony:
- Odpowiedzialność cywilna – odszkodowania i koszty obrony przed roszczeniami wnoszonymi przez osoby trzecie z tytułu poniesionych strat, wynikłych z cyberincydentu (w tym ujawnienie, utrata danych czy naruszenie bezpieczeństwa systemów osób trzecich).
- Szkody własne – koszty odtworzenia danych, utraconych zysków, koszty dodatkowe, kary administracyjne (w tym RODO, NIS 2) czy nawet kosztu okupu cybernetycznego.
- Koszty i dostęp do specjalistów w zakresie reakcji na zdarzenie – w tym informatyków śledczych, kancelarii prawnej czy firmy PR.
Jednak nie każdy samorząd może nabyć tego typu polisę. Ubezpieczyciele podnieśli w ostatnich latach wymagania co do standardu bezpieczeństwa IT ubezpieczonego. Należy spodziewać się m.in. wymogów: stosowania antywirusów i firewalli, regularnego tworzenia odseparowanych i testowanych kopii zapasowych, instalowania krytycznych poprawek, szyfrowania danych czy posiadania planów ciągłości działania oraz planów odtworzenia danych w wyniki incydentu cyber.
– Podmioty publiczne są jednym z głównych celów cyberprzestępców, gdyż są postrzegane jako łatwy cel. Panuje przekonanie, że budżety na bezpieczeństwo IT takich potencjalnych ofiar są niskie, a szansa kradzieży danych czy środków dość wysoka. Samorządy w trosce o obywateli powinny więc zaudytować stan swojego cyberbezpieczeństwa. Wymogi stawiane przez ubezpieczycieli są wyznacznikiem dobrych standardów. Polisa ubezpieczeniowa z kolei może być ostatnią linią obrony, gdy wszystkie pozostałe zabezpieczenia zawiodą – dodaje Piotr Rudzki.