Jakie są kluczowe nawyki, które każdy profesjonalista IT powinien wdrożyć, aby skutecznie dbać o cyberbezpieczeństwo w codziennej pracy? Dlaczego Boże Narodzenie i Nowy Rok to świetny pretekst do rodzinnych rozmów o bezpieczeństwie – wyjaśnia w rozmowie z Inhire Szymon Woźny, Chief Information Security Officer w dmTECH Polska
– Podstawą jest stosowanie silnych, unikalnych haseł, wykorzystać do tego można wykorzystać menedżery haseł, które zabezpieczają dostęp do wielu kont, eliminując ryzyko powtórzeń. Kluczowe jest również regularne aktualizowanie systemów, oprogramowania i narzędzi. Wiele ataków wykorzystuje znane luki w starszych wersjach. Nie wolno bagatelizować dwuetapowej autoryzacji jako dodatkowej warstwy ochronnej, także w często używanych przez nas w organizacjach systemach HR czy np. kafeteriach benefitowych. Ogromnie ważne jest świadome korzystanie z sieci publicznych. Zalecane jest stosowanie VPN i unikanie logowania do wrażliwych zasobów w nieszyfrowanych sieciach. Wreszcie,
warto okresowo przeglądać uprawnienia nadane aplikacjom i usuwać te zbędne, minimalizując powierzchnię potencjalnego ataku.
Jak w praktyce w firmach IT wygląda codzienna dbałość o bezpieczeństwo danych i jakie technologie wspierają ten proces?
– W codziennej pracy ważne są procedury dostępu oparte na zasadzie „minimum uprawnień”, gdzie każdy pracownik ma dostęp jedynie do tych zasobów, które są mu niezbędne. Automatyczne audyty i monitorowanie zdarzeń bezpieczeństwa pomagają wykrywać nietypowe aktywności. Technologie takie jak systemy SIEM (Security Information and Event Management) integrują logi i alarmują o potencjalnych zagrożeniach w czasie rzeczywistym. W praktyce codzienne użycie narzędzi do skanowania kodu pod kątem podatności oraz sandboxing dla testów oprogramowania minimalizują ryzyko wprowadzenia
błędów lub złośliwego kodu. W projektach zdalnych sprawdzają się też rozwiązania VPN. Nie bez znaczenia są także narzędzia do zarządzania tożsamością i dostępem, czyli systemy IAM.
Jakie są najczęstsze błędy popełniane przez specjalistów IT w zakresie własnego cyberbezpieczeństwa i jak ich unikać?
– Niestety nawet doświadczeni profesjonaliści IT czasem popełniają podstawowe błędy. Do najczęstszych należy stosowanie tych samych haseł w różnych systemach, co ułatwia ataki typu credential stuffing. Innym błędem jest ignorowanie aktualizacji oprogramowania lub odkładanie ich na później, co zostawia otwarte luki. Niestety bywa, że jako branża IT często nie stosujemy zasad, o których edukujemy organizację. Częste jest też zbyt luźne podejście do korzystania z prywatnych urządzeń do pracy lub niestandardowego oprogramowania, które może nie spełniać wymagań bezpieczeństwa firmy. Aby tego uniknąć, warto wdrożyć u siebie codzienne rutyny, takie jak audyty własnych urządzeń, regularne zmiany haseł i korzystanie z ustandaryzowanych narzędzi dopuszczonych przez dział IT. Edukacja i świadome praktyki to podstawa.
Jak ważne jest edukowanie w zakresie cyberbezpieczeństwa bliskich, zwłaszcza podczas rodzinnych spotkań świątecznych czy noworocznych? Jakie podstawowe rady warto wtedy przekazać?
– Edukacja bliskich to niezwykle ważny, choć często pomijany aspekt cyberbezpieczeństwa. Święta i Nowy Rok to doskonała okazja do rozmów o bezpieczeństwie online, gdyż rodzina i znajomi chętniej słuchają w miłej atmosferze. Przede wszystkim warto przypomnieć o podstawowych zasadach: nie otwierać podejrzanych linków i załączników w mailach, korzystać z unikalnych haseł i zmieniać je regularnie, a także uważać na próby phishingu, które są wciąż bardzo powszechne. Dobrym nawykiem jest też dbanie o aktualizacje na urządzeniach oraz stosowanie programów antywirusowych. Warto też pokazać, jak aktywować dwuetapową weryfikację, co znacznie podnosi bezpieczeństwo kont. Nie może też zabraknąć rozmów o ciągle popularnych metodach na wnuczka, na policjanta, czy fałszywym prośbom o blika.
Jakie narzędzia lub praktyki pomagają programistom zminimalizować ryzyko wprowadzania błędów bezpieczeństwa w kodzie?
– Programiści powinni korzystać z narzędzi do automatycznej analizy statycznej i dynamicznej kodu, które pomagają wykryć podatności jeszcze przed wdrożeniem. Praktyka code review, zwłaszcza z naciskiem na bezpieczeństwo, pozwala wychwycić błędy, których automaty mogą nie zauważyć. Warto wdrożyć proces Continuous Integration z testami bezpieczeństwa, by każde wdrożenie było sprawdzane pod kątem ryzyka. Dodatkowo znajomość i stosowanie najlepszych praktyk oraz standardów bezpieczeństwa w programowaniu (np. OWASP) to podstawa. Ważne jest także aktualizowanie bibliotek i zależności, by uniknąć znanych luk w komponentach zewnętrznych.
Jak organizacje mogą wspierać swoich pracowników IT w budowaniu i utrzymaniu wysokiej świadomości cyberbezpieczeństwa?
– Organizacje powinny inwestować w systematyczne szkolenia i warsztaty dotyczące najnowszych zagrożeń i metod ochrony. Wewnętrzne kampanie edukacyjne, symulacje ataków phishingowych oraz łatwy dostęp do materiałów edukacyjnych pomagają utrzymać czujność. Dobrym pomysłem jest także promowanie kultury bezpieczeństwa w pracy, gdzie każdy czuje się odpowiedzialny za ochronę danych. Zapewnienie narzędzi i procesów ułatwiających bezpieczną pracę (np. menedżery haseł, VPN, monitoring) oraz docenianie inicjatyw pracowników w tym obszarze motywuje do ciągłego rozwoju. Wsparcie ze strony liderów i transparentna komunikacja są również kluczowe.
