Czym ryzykuje firma, która nigdy nie zrobiła testu penetracyjnego

Jeśli prowadzisz firmę zatrudniającą kilkanaście czy kilkadziesiąt osób, cyberbezpieczeństwo pewnie nie spędza Ci snu z powiek. Jest sprzedaż, są faktury, są ludzie do ogarnięcia. Informatyk albo zewnętrzna firma IT "coś tam pilnuje", jest antywirus, jest firewall, więc temat wygląda na załatwiony. Problem w tym, że dokładnie tak samo myśleli właściciele większości firm, które w zeszłym roku straciły dane albo stanęły na tydzień przez ransomware.

piszę o tematach związanych z prowadzeniem biznesu od kilku lat i zauważyłem jedną prawidłowość. O backupach, zabezpieczeniach i procedurach przedsiębiorcy opowiadają mi najchętniej wtedy, gdy już jest po incydencie. Wcześniej to zawsze "kiedyś się tym zajmiemy".

Przestępcy nie atakują już tylko banków i korporacji. Wręcz przeciwnie. Duże organizacje mają zespoły bezpieczeństwa, procedury i budżety, więc atak na nie jest drogi i ryzykowny. Firma z sektora MŚP to dla atakującego znacznie łatwiejszy cel: te same pieniądze na koncie, te same dane klientów, a zabezpieczenia często na poziomie sprzed dziesięciu lat. Do tego ataki są dziś zautomatyzowane. Boty skanują cały polski internet w poszukiwaniu podatnych systemów i nie sprawdzają, czy trafiły na koncern, czy na hurtownię z Radomia (przepraszam Wszystkich Radomiaków - dobór miasta jest przypadkowy) .

Zacznijmy od najczęstszego scenariusza, czyli ransomware. Ktoś w firmie klika w załącznik, po kilku dniach wszystkie pliki są zaszyfrowane, a na ekranach wisi żądanie okupu. Produkcja stoi, magazyn stoi, księgowość stoi. Każdy dzień przestoju to utracone przychody, a odtworzenie systemów potrafi zająć tygodnie. W skrajnych przypadkach firmy nie podnoszą się wcale, bo kopie zapasowe też zostały zaszyfrowane.

Drugi scenariusz to wyciek danych. Baza klientów, umowy, dane pracowników. Tu wchodzi RODO i urząd ochrony danych, który może nałożyć karę liczoną w setkach tysięcy złotych. Ale kara to często mniejszy problem niż to, co dzieje się z reputacją. Klient, którego dane wyciekły z Twojej firmy, raczej nie wróci. A konkurencja chętnie mu o wszystkim przypomni.

Trzeci scenariusz jest najbardziej podstępny: oszustwo na fakturę. Atakujący przejmuje skrzynkę mailową kogoś z firmy, przez kilka tygodni po cichu czyta korespondencję, a potem w odpowiednim momencie podmienia numer konta na fakturze dla kontrahenta. Przelew na 200 tysięcy idzie na rachunek przestępcy i praktycznie nie da się go odzyskać.

Do tego dochodzi coś, o czym mało kto myśli: odpowiedzialność osobista. Dyrektywa NIS2 objęła w Polsce tysiące średnich firm z branż takich jak transport, produkcja żywności, gospodarka odpadami czy usługi cyfrowe. Nowe przepisy przewidują odpowiedzialność zarządu za zaniedbania w obszarze cyberbezpieczeństwa. "Nie wiedziałem" przestaje być wymówką.

Bo one chronią przed znanymi, masowymi zagrożeniami, a nie przed błędami w Twojej konkretnej infrastrukturze. Antywirus nie powie Ci, że panel logowania do systemu magazynowego jest dostępne z internetu z hasłem admin123. Firewall nie zauważy, że sklep internetowy ma podatność, przez którą da się pobrać całą bazę zamówień. Takie rzeczy wychodzą dopiero wtedy, gdy ktoś aktywnie spróbuje się włamać.

I tu jest sedno: możesz poczekać, aż zrobi to przestępca, albo zlecić to specjalistom na swoich warunkach. Test penetracyjny to kontrolowany atak na firmę, prowadzony przez ekspertów od bezpieczeństwa. Pentesterzy robią dokładnie to, co zrobiłby prawdziwy napastnik: skanują sieć, szukają dziur w aplikacjach, próbują przejąć konta. Z jedną różnicą. Zamiast strat dostajesz raport, który czarno na białym pokazuje, którędy dało się wejść i co konkretnie naprawić.

O to, jak wygląda taki test od kuchni, zapytałem Marcina Motwickiego, CEO firmy PWNONE, która specjalizuje się w testach penetracyjnych:

"W dziewięciu na dziesięć firm, które testujemy po raz pierwszy, w kilka dni docieramy do czegoś, czego nie powinniśmy zobaczyć - cudzych danych, wewnętrznej sieci albo całej bazy. Nie dlatego, że atak był wyrafinowany, tylko dlatego, że nikt wcześniej nie sprawdził podstaw. Lepiej, żeby pokazał to raport niż żądanie okupu."

Test penetracyjny dla firmy z sektora MŚP kosztuje zwykle tyle, co kilka średniej klasy laptopów. Incydent kosztuje wielokrotnie więcej: okup albo koszty odtworzenia systemów, przestój, kara od urzędu, utraceni klienci, prawnicy. Do tego stres i tygodnie wyjęte z życia firmy.

Rozmawiałem kiedyś z przedsiębiorcą, który po ataku ransomware policzył wszystkie koszty co do złotówki. Wyszło mu, że za tę kwotę mógł testować swoją infrastrukturę co roku przez piętnaście lat.

Nie musisz od razu zamawiać pełnego audytu wszystkiego. Sensownie jest zacząć od testu tego, co jest dostępne z poziomu internetu: strony, sklepu, poczty, zdalnych dostępów. Punktem wyjścia może być rozmowa z zespołem https://pwnone.com/o tym, co w Twojej firmie niesie największe ryzyko. Lepiej dowiedzieć się o dziurach z raportu niż z żądania okupu.