„Cyberbiezpieczeństwo”

Cyberbezpieczeństwo a dane osobowe:

Cyberbezpieczeństwo jest bezpieczeństwem w cyberprzestrzeni i polega na ochronie sieci informatycznych, urządzeń, programów i danych przed atakami hakerskimi, uszkodzeniami lub nieautoryzowanym dostępem.

Cyberprzestrzeń jest jednym z najważniejszych obszarów bezpieczeństwa w XXI wieku. Warto zwrócić uwagę na swoiste cechy, które ją wyróżniają:

– ponadnarodowy charakter;

– brak ograniczeń czasowych;

– większa anonimowość sprawców przestępstw;

– niski koszt użytkowania, pozwalający na nieograniczony dostęp do sieci. 

Powyższe właściwości wpływają na zwiększenie przestępczości.

W związku z tym cyberataki stały się zjawiskiem nieuchronnym i coraz częstszym. Ofiarami padają firmy, urzędy państwowe oraz osoby fizyczne. W cyberprzestrzeni są gromadzone i przetwarzane dane na ogromną skalę. Każda aktywność w sieci jest rejestrowana przez systemy, co implikuje fakt, że korzystając codziennie z internetu, pozostawiamy po sobie ślad w postaci naszych danych osobowych. Wzmożony rozwój digitaliazji sprawia, że serwisy rządowe  i korporacyjne, czy mnożące się portale społecznościowe są  w posiadaniu danych dotyczących zarówno kariery zawodowej jak i życia prywatnego obywateli. Jednym z praw człowieka gwarantowanych i chronionych na poziomie zarówno Konstytucji jak i traktatów oraz Karty Praw Podstawowych Unii Europejskiej jest prawo do prywatności. Jest ono dobrem osobistym, które obejmuje to wszystko, „co ze względu na uzasadnione odosobnienie się jednostki od społeczeństwa służy jej do rozwoju fizycznej i psychicznej osobowości oraz zachowania osiągniętej pozycji społecznej”. Choć przyjęta w polskim piśmiennictwie definicja zdaje się być mało konkretna i na jej podstawie trudno precyzyjnie określić, czym dokładnie jest prawo do prywatności, można bez wątpienia stwierdzić, iż w jej zakresie mieści się prawo do ochrony danych osobowych, które Rozporządzenie o ochronie danych osobowych (RODO) definiuje jako „informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej”. Do takich informacji można zaliczyć m.in. imię, nazwisko, miejsce zamieszkania czy internetowy identyfikator użytkownika.

Rozwój systemów nowych technologii niesie za sobą ogromne korzyści, ale również i zagrożenia.

Problemem związanym z obroną przed cyberatakami jest czynnik ludzki. Zazwyczaj to właśnie pracownik, będący swoistą pierwszą linią obrony, popełnia błąd i „wpuszcza” złośliwe oprogramowanie. Między innymi z tego właśnie powodu phishing – polegający na wysyłaniu np. stargetowanych e-maili, które mają zachęcić odbiorcę do kliknięcia w link przekierowujący do fałszywej strony – plasuje się tak wysoko pod względem popularności wśród cyberprzestępców. Wśród głównych praktyk o charakterze cyberprzestępczym nastawionych na pozyskanie danych osobowych bądź innych danych wrażliwych należy wymienić:

Phishing – jest to atak polegający na dokonywaniu prób przejęcia haseł służących użytkownikowi do logowania na np. portalach społecznościowych, do których dostęp umożliwia atakującym uzyskanie danych osobowych użytkownika. Jest to jedna z metod cyberprzestępczości, której głównym celem jest pozyskanie naszych danych w nielegalny sposób, np. przez podszywanie się pod organ państwowy bądź podmiot oferujący nam pracę. W ramach tej aktywności dane są pozyskiwane z dowodów osobistych czy kart kredytowych. Przestępcy działają kreatywnie, fabrykując całe strony internetowe, adresy IP czy numery telefonów, wyłącznie w celu uwiarygodnienia wymierzonego w nas fortelu.

Zdalna instalacja złośliwego oprogramowania, tzw. malware – czyli złośliwe oprogramowanie, które bez zgody i wiedzy użytkownika wykonuje na komputerze działania na korzyść osoby trzeciej. W ramach tej aktywności cyberprzestępcy zdalnie instalują na naszym sprzęcie oprogramowanie, które wyszukuje oraz pozyskuje określone dane. Jego instalacja może rozpocząć się np. kliknięciem przez nas w niezweryfikowane linki.

Hacking – działanie skoncentrowane na pojedynczym użytkowniku bądź infrastrukturze teleinformatycznej, może prowadzić do dużych wycieków danych, często stosowane względem banków czy stron internetowych.

Wskazane praktyki są tylko pewnymi wariantami nielegalnych aktywności w zakresie pozyskiwania danych osobowych i innych danych wrażliwych. Warto również pamiętać, że pozyskane od nas dane mogą być użyte m.in. w procederach kradzieży tożsamości, nielegalnej odsprzedaży danych, a także w celu czerpania innych korzyści. Głównymi metodami ochrony są tworzenie przez nas silnych i zróżnicowanych haseł oraz zwiększona ostrożność w zakresie odwiedzanych stron czy klikanych linków.

Man in the Middle jest rodzajem ataku polegającym na uczestniczeniu osoby trzeciej np. w transakcji pomiędzy sklepem internetowym a klientem. Celem takich ataków jest przechwycenie informacji lub środków pieniężnych (np. uzyskanie danych niezbędnych do logowania w systemie bankowości elektronicznej).

Cross site scripting polegający na umieszczeniu na stronie internetowej specjalnego kodu, którego kliknięcie przez użytkownika powoduje przekierowanie na inną stronę internetową (np. na witrynę konkurencji).

DDoS, czyli atak, którego celem jest zablokowanie możliwości logowania użytkownika na stronę internetową poprzez jednoczesne logowanie na tę samą stronę się wielu użytkowników. Wywoływany w ten sposób sztuczny ruch wzmacnia zainteresowanie użytkowników np. produktem dostępnym w sklepie internetowym.

SQL Injection jest atakiem polegającym na wykorzystywaniu przez przestępców luk występujących w zabezpieczeniach np. aplikacji i pozwalającym na uzyskanie przez osoby nieuprawione danych osobowych.

Ransomware to rodzaj ataku, którego celem jest przejęcie i zaszyfrowanie danych użytkownika po to aby w następnym kroku udostępnić te same dane użytkownikowi pod warunkiem wniesienia przez niego “okupu”.

Malvertising pozwala przestępcom na dotarcie do użytkowników przeglądających zaufane strony internetowe poprzez nośniki jakimi są udostępniane na stronach internetowych reklamy, a następnie na instalowanie bez wiedzy i zgody użytkownika złośliwego oprogramowania na urządzeniach użytkownika.

Realizując zadania wynikające z Ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, każdy ma dostęp do informacji zawierających wiedzę o zagrożeniach cyberbezpieczeństwa i stosowaniu skutecznych sposobów zabezpieczania się przed tymi zagrożeniami. Zachęcam do śledzenia materiałów edukacyjnych udostępnianych bezpłatnie przez instytucje rządowe i administrację publiczną na stronie internetowej: https://www.gov.pl/web/baza-wiedzy oraz informacji publikowanych w szczególności na stronach zespołów reagowania na incydenty bezpieczeństwa informatycznego, np.:

• na stronie internetowej pierwszego w Polsce zespołu reagowania na incydenty informatyczne CERT.PL: https://www.cert.pl/
• przygotowanych przez CERT.PL publikacji: https://www.cert.pl/publikacje/

• cyklicznego, bezpłatnego biuletynu porad bezpieczeństwa dla użytkowników komputerów OUCH!: https://www.cert.pl/ouch/
• biuletynu informacyjnego systemu reagowania na incydenty komputerowe: http://csirt-mon.wp.mil.pl/pl
• na stronie zespołu ekspertów Naukowej i Akademickiej Sieci Komputerowej: https://dyzurnet.pl/