Na konferencji zorganizowanej przez Polski Instytut Kontroli Wewnętrznej, Akademię Finansów i Biznesu Vistula oraz ACFE Polska przedstawiliśmy zasady bezpiecznego wykorzystywania sieci Internet w działalności gospodarczej. Najważniejszym przesłaniem spotkania było uświadomienie jego uczestnikom, że warunkiem efektywnego wykorzystania cyberprzestrzeni w działalności gospodarczej jest posiadanie stale doskonalonych kompetencji i narzędzi zapewniających bezpieczeństwo jej prowadzenia.

Dariusz Łydziński opowiedział uczestnikom konferencji, jak zaplanować i wdrożyć dobre praktyki zapobiegania nadużyciom teleinformatycznym w organizacji. W swoim wystąpieniu podpowiadał, jak identyfikować zagrożenia pochodzące z cyberprzestrzeni oraz jak reagować na incydenty naruszenia bezpieczeństwa teleinformatycznej infrastruktury.

Na konkretnych przykładach pokazał, że największym zagrożeniem dla bezpieczeństwa informacji i systemów do ich przetwarzania nie jest skomplikowana technologia, lecz czynnik ludzki. Położył nacisk na konieczność uświadomienia pracownikom wartości informacji, jakimi dysponują oni sami i jakie pracodawca powierza im do przetwarzania, by mogli realizować swoje zawodowe zadania. Równoważnym, jeśli nie ważniejszym, według prelegenta, elementem bezpieczeństwa informacji jest nadzór przełożonych i stała kontrola przestrzegania ustalonych zasad bezpieczeństwa. Na prostych przykładach pokazał, jak łatwo osoby nieuprawnione mogą wejść w posiadanie cudzych informacji tak fizycznych jak i wirtualnych, jeśli w firmie nie ma odpowiednich procedur i nadzoru.

Zarówno fizyczna jak i wirtualna informacja może stać się obiektem ataku, któremu posiadane systemy bezpieczeństwa nie mogą zapobiec. Trzeba bowiem pamiętać, że przestępcy są zazwyczaj o krok przed poszkodowanymi, dlatego doskonalenie systemu musi uwzględnić właściwe zarządzanie incydentami. Wykryte, zarejestrowane, przeanalizowane pozwolą wypracować lepsze mechanizmy obronne przedsiębiorstwa.

Duże organizacje o rozbudowanej infrastrukturze teleinformatycznej oprócz informacji o znacznej wartości gospodarczej przetwarzają w swoich systemach dużą ilość danych wrażliwych, szczególnie chronionych prawem. Działalność instytucji finansowych czy związanych z ochroną zdrowia albo bezpieczeństwa obywateli opiera się na przetwarzaniu głównie danych wrażliwych. W razie ich utraty i niewłaściwego wykorzystania przez osoby trzecie organizacja nie tylko traci reputację i ponosi wymierne straty finansowe, ale osoby odpowiedzialne za jej działalność ponoszą także odpowiedzialność karną. Dlatego właśnie takie przedsiębiorstwa powinny powołać w swoich strukturach zespoły CERT (eksperci ds. bezpieczeństwa informatycznego, których głównym zadaniem jest reagowanie na incydenty z zakresu bezpieczeństwa komputerowego) lub korzystać z zewnętrznych usług CERT, by nie tylko rozwiązywać tego typu problemy oraz umożliwiać wznowienia normalnej działalności po ich usunięciu, ale większości takich problemów zapobiegać.