Business continuity management (BCM) – zupełnie nowe wyzwanie dla firm

Wprowadzenie na terenie Polski CHARLIE-CRP, czyli trzeciego stopnia alarmowego dla zagrożeń w cyberprzestrzeni, niesie ze sobą spore wyzwanie dla firm. Może zagrażać ciągłości działania biznesu, głównie poprzez ewentualność nagłej awarii systemów teleinformatycznych. Niestety wiele organizacji nie jest przygotowanych na taką sytuację, gdyż nie mieliśmy wcześniej do czynienia z tym stopniem alarmowym – został ogłoszony po raz pierwszy w historii.

Kadra kierownicza i zarząd a kwestie cyberbezpieczeństwa

Czy jako członek kadry zarządzającej jesteś przygotowany na ewentualne wyzwania w zakresie cyberbezpieczeństwa? Czy masz scenariusze działań na wypadek cyberataku, jak również innych incydentów? Czy wiesz, co zrobić, by zminimalizować ryzyko szkód i szybko przywrócić organizację do funkcjonowania?

Postaw organizację w stan gotowości

CHARLIE-CRP to trzeci (na cztery możliwe) stopień alarmowy. Wprowadza się go, gdy pojawi się zagrożenie wystąpienia jakiegoś zdarzenia o charakterze terrorystycznym w cyberprzestrzeni. A dokładniej: gdy jest potwierdzony prawdopodobny cel ataku, który godzi w bezpieczeństwo publiczne, bezpieczeństwo RP czy bezpieczeństwo poza granicami, ale zagrażające też Polsce; gdy pojawiają się potwierdzone informacje o planowanym zdarzeniu terrorystycznym na terenie RP; gdy wiadomo o planowanym zdarzeniu o charakterze terrorystycznym, dotyczącym obywateli polskich, instytucji polskich lub polskiej infrastruktury poza granicami Polski.

Stopniom alarmowym poświęciliśmy osobny wpis - Rodzaje stopni alarmowych

Jako że wprowadzenie CHARLIE-CRP to wydarzenie bezprecedensowe, wiele firm nie jest przygotowanych na taką sytuację. Kadra zarządzająca często nie wie, jak powinna się zachować, na co zwrócić uwagę i do czego właściwie się przygotować. Postawienie organizacji w stan gotowości okazuje się w tym wypadku koniecznością. Nie zapominaj, że poważna awaria systemów IT przerwie ciągłość funkcjonowania Twojego biznesu, narażając Cię na straty finansowe i wizerunkowe. Przygotuj się więc z wyprzedzeniem na to, co może nastąpić.

Stwórz plan ciągłości biznesowej

Plan ciągłości biznesowej określa środki, dzięki którym unikniesz incydentów lub zmniejszysz ich przykre skutki. Zawiera szczegóły odnośnie kroków, jakie należy podjąć przed, w trakcie, a także po zaistnieniu zdarzenia. Ustala, którzy pracownicy i w jakim zakresie mają dostęp do centrum danych, a także przedstawia procedury przekazywania dostępu osobom trzecim. Bazuje między innymi na symulacjach różnych scenariuszy i na ocenie ryzyka.

Tworząc plan, zidentyfikuj krytyczne zasoby Twojej firmy, czyli między innymi ludzi i miejsca. Każda osoba powinna znać swoje kompetencje i rangę w sytuacji zagrożenia. Poza tym zastanów się, które systemy są najważniejsze dla dalszego funkcjonowania biznesu. Przemyśl też plan komunikacji między pracownikami.

Mając pod ręką plan ciągłości biznesowej, w sytuacji kryzysowej zareagujesz znacznie szybciej i skuteczniej. Pamiętaj, że ten zestaw działań trzeba regularnie aktualizować, by pasował do najnowszych zagrożeń.

Chcesz dowiedzieć się, jak chronić firmę przed cyberprzestępcami?
Umów się na bezpłatną konsultację z naszym ekspertem.

Przygotuj się na mniej oczywiste zagrożenia

Do zagrożeń mniej oczywistych, ale takich, które zdecydowanie trzeba wziąć pod uwagę, należą określone zagrożenia środowiskowe. Na przykład? Brak zasilania prądem, następujący w rezultacie skutecznego cyberataku na elektrownię.

W wyniku takiego ataku może nastąpić nagła utrata zasilania nawet na terenie całego regionu, która trwa nawet przez wiele dni. Brak prądu to finalnie brak dostępności Twoich systemów IT, bezużyteczność biurowca, czy nawet brak jakiejkolwiek łączności między pracownikami. Co wtedy?

Przede wszystkim nie daj się zaskoczyć. Regularnie wykonuj kopie zapasowe ważnych danych, czy to w chmurze, czy na nośnikach fizycznych. Dzięki temu nie utracisz niespodziewanie dokumentacji i danych, dzięki którym firma może powrócić do stanu sprzed incydentu. Pamiętaj, by dać dostęp do chmury tym osobom, które takiego dostępu faktycznie potrzebują. Nie trzymaj w jednym miejscu wszystkich nośników z kopiami zapasowymi.

Zastanów się też, jak zorganizować pracę, jeśli w obecnej siedzibie firmy zabraknie prądu. Czy masz możliwość szybkiego zorganizowania zastępczej siedziby? A może lepiej wysłać pracowników na pracę zdalną?

Zadbaj, by praca zdalna była bezpieczna

Wysyłając personel na pracę zdalną, nie zaniedbuj kwestii bezpieczeństwa. Jeżeli pracownicy otrzymali komputery firmowe, uczul ich, by nie wykorzystywali tego sprzętu do spraw prywatnych.

Jeśli personel będzie korzystać z własnego sprzętu oraz domowej sieci internetowej, zainwestuj środki w lepszą ochronę. Przyda się na przykład VPN (Virtual Private Network), czyli prywatna sieć, która szyfruje przesyłane informacje lub wirtualny desktop na zasobach chmurowych..

Pamiętaj też, że najczęstszą przyczyną skutecznego cyberataku jest błąd ludzki. Dlatego przeszkolenie każdego pracownika (nie tylko samego działu IT) z tematu zagrożeń w cyberprzestrzeni to sprawa wręcz krytyczna. Szczególny nacisk połóż na jedno z największych cyberzagrożeń, czyli phishing.

Zapobiegaj phishingowi

Czym są kampanie phishingowe? To popularna metoda wyłudzania poufnych danych. Hakerzy bazują na nieostrożności użytkowników. Podszywają się pod jakąś znaną firmę lub instytucję, wykorzystując do tego celu fałszywe strony internetowe, e-maile czy SMS-y. W efekcie udaje im się zainfekować komputer złośliwym oprogramowaniem albo skłonić daną osobę do podzielenia się danymi dostępowymi czy innymi cennymi informacjami.

Zadbaj o wprowadzenie w firmie dobrych nawyków, które zmniejszą ryzyko skutecznego phishingu. Uczul pracowników, by nie klikali w linki w wiadomościach, które przychodzą od nieznanych osób, a także by nie wchodzili na podejrzane strony internetowe i nie pobierali nietypowych załączników. Niech zastanowią się kilka razy, zanim przekażą gdzieś informacje typu numer karty firmowej czy dane logowania. Wprowadź również uwierzytelnianie wieloskładnikowe przy logowaniu się do ważnych zasobów firmy.

Jeżeli interesują Cię inne kwestie dotyczące cyberbezpieczeństwa w organizacji, zachęcamy do zaglądania na naszego bloga. Możesz również śledzić nasz fanpage lub profil LinkedIn.

Do usłyszenia!

Zespół Sagenso