Szanowni państwo, rozpoczynamy konferencję, pierwszą konferencję myCyberDot, Regionalne Forum Cyberbezpieczeństwa Województwa Zachodniopomorskiego. Ja nazywam się Łukasz Strzelecki, jestem prezesem zarządu CyberDot oraz Fundacji Polski Portal Wiedzy, które są organizatorem tej konferencji. Cyberbezpieczeństwo dzisiaj jest bardzo ważnym tematem. Jest ważnym dlatego, że my przyzwyczailiśmy się już do tego, że jest z nami sztuczna inteligencja, ale o tej sztucznej inteligencji niestety lub wtedy musimy dokładać element cyberbezpieczeństwa i chronić się przed atakami.

Dzień dobry. Marcin Goliński, firma Grant Thornton. Technologia oczywiście jest ważna, tak, ale sama technologia nie wystarczy.

Na pewno planujemy wdrożenie nowego zawodu, czyli technik cyberbezpieczeństwa. To jest taka rzecz, która podąża za, za realiami i za tym, co jest potrzebne na rynku pracy. No dodatkowo też myślimy o zawodach, które mamy, czyli o techniku programiście, o techniku teleinformatyku, żeby też te elementy cyberbezpieczeństwa w tych zawodach się pojawiły.

Na Zachodniopomorskim Uniwersytecie Technologicznym w Szczecinie powstał kierunek sztuczna inteligencja. Czy to też może być swego rodzaju kierunkiem przygotowującym na te studia?

Jak najbardziej z Zachodniopomorskim Uniwersytetem Technologicznym bardzo ściśle współpracujemy, także tutaj ta wymiana jest jak najbardziej. Więc tak, to może być przygotowaniem również, również dla uczelni wyższej.

No tutaj zależy nam na tych, na tych takich partnerach prywatnych, na firmach. Oni nam coś podpowiedzą, bo to jest, myślę, dla nas jako dla szkoły bardzo ważne. Również i zapoznanie się przede wszystkim z najnowszymi dyrektywami i wytycznymi w tych kwestiach, bo obecnie bardzo mocno to się zmienia i chcielibyśmy być jak najbardziej na bieżąco.

Odporność takiego urzędu powinna polegać na tym, że po takim ataku jak najszybciej powinniśmy przywrócić swoje działanie. No i tutaj wchodzą papierowe dokumenty, od których odchodzimy, a które powinny być alternatywą do tego, żeby ten obywatel mógł ten wniosek złożyć. Tylko tak jak mówię, on musi przyjść i fizycznie go złożyć. Czyli to już jakby jest dla tego zwykłego obywatela no problem, żeby tam przyjechać, tak? Ale większym problemem jest to, że nie załatwi czegoś na czas, nie złoży w odpowiednich terminach. No i to będzie właśnie ten problem dla obywatela.

Dla zwykłego mieszkańca atak na urząd miasta, gminy czy na jakąś firmę może oznaczać wykradzenie jego danych osobowych. Co następnie może się zdarzyć z tymi danymi osobowymi? No hakerzy następnie mogą zacząć dzwonić do nas, na przykład wykorzystując nasz PESEL, nasz adres i próbować wyłudzić od nas pieniądze.

Dla mnie niezwykle ważne jest to, aby mieć przećwiczone jakieś procedury, które nam tą ciągłość zapewnią. Przedstawię kilka ataków, które mimo że doszły do skutku i do zaburzenia pracy przedsiębiorstwa, właśnie procedury oraz personel obsługując dane obiekty był do tego przygotowany i miał odpowiednie procedury. To było dla… to będzie dla mnie no ważne.

Była taka sytuacja też z systemem e-biletów u jednego z przewoźników, który został zaatakowany poprzez swojego dostawcę i autobusy czy też tramwaje jeździły nadal, prawda, ale nie działała kluczowa usługa, czyli nie można było skorzystać z zakupu biletów, więc te skutki są konkretne i mierzalne, nie mówiąc już tutaj o bardziej poważnych rzeczach jak wpływ na infrastrukturę krytyczną typu wodociągi, gdzie całe rejony mogą doświadczyć takiego ataku w postaci na przykład problemów z wodą.

Czy szpitale, jak mieliśmy przykład…

Tak jest.

Jeden z nich był we Francji nie dalej jak 10 dni temu, gdzie również doszło do… no tutaj akurat cyberprzestępcy, adwersarze wykorzystali starsze sterowniki przemysłowe, no i dokonali ataku polegającym na włączeniu rozmrażania albo takiego odszraniania w takiej infrastrukturze, co przełożyło się na bezpośrednie straty, czy to żywności. Później no trzeba dokonać wymiany takich zniszczonych już sterowników, no co generuje koszty i przekłada się na brak dostępności takich elementów infrastruktury.

No przede wszystkim hasła o niewłaściwej sile, o niewłaściwej mocy. Jeżeli chodzi o zabezpieczenia takie firmowe, no to również brak aktualizacji, brak stosowania tych standardów, i to są takie niby banalne zaniedbania ale, niestety mogą być brzemienne w skutkach.

Mamy taką sytuację, że wykonanie ataku jest tanie. Nie jest potrzebne do tego specjalistyczne wykształcenie. No w dobie AI każdy z nas jest w stanie to w miarę lepiej lub gorzej zrobić. Jak w tym wypadku i przy jakich nakładach finansowych mogą się bronić przed tym firmy?

Obrona jest dosyć prosta i dosyć tania, ponieważ to jest tak zasada trzymania się najnowszych standardów i aktualizacji programowania. Jeśli mówię na przykład o atakach na Wi-Fi, które można wykonać w ciągu jednego dnia, no nie licząc oczywiście czasu potrzebnego na złamanie tego hasła, to obrona przed takim atakiem może trwać, jak wiem, z pół godzinki ustawienie na routerze odpowiedniego protokołu. Bardzo proste zabezpieczenia polegają choćby na zabezpieczeniu swojej sieci Wi-Fi za pomocą protokołu WPA3, który jest bezpieczny. Niestety, jak pokazuje moje doświadczenie, 80% sieci w Polsce, które obserwuję, będąc gdzieś w okolicy, będąc w hotelach, gdzieś będąc na uczelniach, w przedsiębiorstwach, to są stare standardy WPA2, które są podatne.

Dziesiątki lat temu pierwsze książki o cyberatakach i o zabezpieczaniu informacji poruszały aspekt ludzki i to się nie zmieniło i to się raczej nie zmieni, bo nasze podejście jest takie: mnie to pewnie nie dotyczy. Tak, każdy radośnie do tego podchodzi. Zostawiamy bardzo często włączone komputery, wychodząc na chwilę zrobić sobie kawę w biurze. Jeżeli w tym biurze jest wiele drzwi, do których ktoś może zaglądnąć, to nagle się okazuje, że są przechwytywane konta. Spotykamy się też z tym, że wielu pracowników albo w coś kliknie i przekaże komuś informacje „Słuchaj, mnie nie będzie, weź odbierz za mnie na przykład pocztę”. A w przypadku instytucji, gdzie jest na przykład jedno konto do wszystkich usług, no to po prostu bramy szeroko otwarte zostają.

Znaczy to jest przede wszystkim dialog i świadomość, że każdy z tych elementów jest ważnym ogniwem w tej układance. Przy projektowaniu bezpieczeństwa szeroko rozumianego należy jakby powołać właśnie te działy w celu ustalenia wspólnych procedur działania w momencie, kiedy do tych incydentów dochodzi.

Jeśli IT będzie samo działało, ochrona fizyczna będzie sama działała i recepcja będzie sama działa i nie będzie integratora, to to się nie uda. To nie ma szans, żeby to funkcjonowało. Tym bardziej że no jasno widać, że każdy z tych działów jest odpowiedzialny za bezpieczeństwo w innym jakby obszarze i należy to wszystko spiąć w jedność, ustalić wspólne procedury i wspólnie działać w momencie incydentów, które się mogą pojawić.

Wpinanie urządzeń z czystej ciekawości. Oczywiście przywołam tutaj przykład, który jest szeroko słyszany, czyli pendrive z napisem „zdjęcia z imprezy integracyjnej”, „zdjęcia z wesela”, „zdjęcia rodzinne”. Jeśli coś takiego zostawimy w aneksie kuchennym, w toalecie, gdzieś na blacie firmowym, w korporacji, w mniejszej, większej, na 100% ktoś z czystej ciekawości podłączy to do urządzenia. Więc to jest ten najsłabszy element, gdzie nawet jeśli będą procedury, ciekawość jest silniejsza.

No właśnie o to chciałem zapytać, bo jednak strasznie kusi nas leżący pendrive, ale niesie przeogromne ryzyko. Czy zdarzały się już takie przypadki?

Tak, one się dzieją nagminnie. No zresztą słyszymy o tych incydentach, które dzieją się, o wycieku danych, jeśli mówimy od tej strony cyberbezpieczeństwa. One się dzieją każdego dnia. Tego jest bardzo dużo i no i miejmy tą świadomość, że w wielu tych sytuacjach to człowiek jest tym głównym integratorem do tego problemu, tego bałaganu.

Na przykład mamy super kopię zapasową na osobnym serwerze, w osobnym pomieszczeniu, która nie była przetestowana jako przywracanie systemu i jeżeli się już zdarzy ten, to cyberzagrożenie i mamy odtworzyć z tej kopii, okazuje się, że ona nie funkcjonuje poprawnie. Także nie ma czegoś takiego jak ćwiczenie na żywym organizmie, jak takich ataków, ale w takich bezpiecznych warunkach.

Szkolić, ale praktycznie, czyli krótkie szkolenie praktyczne, chociażby to testowanie maili phishingowych. Nie wiem, czy pan wie, ale w bankach standardowo, co do zasady, przynajmniej raz w tygodniu przychodzi mail phishingowy od administratora systemu, który sprawdza testowo, czy ktoś w niego kliknie, czy nie. Jeżeli się kliknie, no to do takiego użytkownika przychodzi więcej tych maili phishingowych.

I po premii.

No właśnie. Trzecim elementem jest rozmowa dyscyplinująca. Tak. Chciałabym, żeby była taka kultura organizacyjna, gdzie pracownicy nie boją się zgłaszać tych maili phishingowych, że kliknęli na coś przez przypadek, bo u nas jest jeszcze taki strach, że jak kliknęłam, to lepiej tego nie zgłaszać, bo, bo może gdzieś tam coś, no chociażby ta rozmowa dyscyplinująca, tak? Także fajnie, jeżeli by była też właśnie ta taka, żeby pracownicy byli świadomi, że jak coś zrobią, no to mają to zgłosić i nie bać się tego, żeby to zgłaszali?

Zrobiliśmy badanie na 30 organizacjach, sprawdzaliśmy, jak często są prowadzone szkolenia z cyberbezpieczeństwa. Na 30 organizacji w 12 było prowadzone co dwa lata. To jest zdecydowanie za mało tych szkoleń, za długi okres pomiędzy jednym a drugim, no bo non stop pojawiają się nowe zagrożenia. I teraz my przyzwyczailiśmy się do modelu szkoleń ośmiogodzinnych lub całodniowych. To nie zdaje egzaminu przy cyberbezpieczeństwie, bo tutaj uwaga jest potrzebna przez cały czas, żeby zrozumieć zagrożenia. Więc bardziej sprawdzają się szkolenia krótsze, ale częstsze.
Drugim elementem jest to, że my przekazujemy tą wiedzę na szkoleniach i zazwyczaj ją testujemy poprzez test wiedzy na sam koniec. I okej, w ten dzień, gdzie to szkolenie było, ten test wiedzy raczej przejdzie pozytywnie. Natomiast potem w sytuacji kryzysowej, w sytuacji stresu, nadmiernych obowiązków niekoniecznie ta wiedza będzie działała w praktyce. I tutaj z pomocą przychodzą testy, testy phishingowe, czyli próby po prostu skuszenia pracownika, żeby kliknął w link albo ściągnął załącznik, gdzie pokazuje już to wtedy faktyczne zachowania pracowników.
Mogą być to próby wyłudzenia danych drogą telefoniczną, czyli taki etyczny hacking. Dokładnie to, co robi haker, ale wtedy pracownik jest przygotowany na to, co się może w takiej codziennej pracy stać. Jeżeli będziemy testowali pracowników, to te cybernawyki będą się u nich po prostu pojawiały.

Sztuczna inteligencja potrafi chociażby przygotować świetny zestaw phishingowy, więc te maile, które dostajemy na swoje skrzynki mailowe, one już nie są pisane tylko przez człowieka, ale są również generowane właśnie przez sztuczną inteligencję, która świetnie potrafi podszyć się pod naszego szefa, pod naszego współpracownika. No i tutaj zaczyna się problem, tak więc musimy się również bronić z wykorzystaniem sztucznej inteligencji i coraz więcej takich narzędzi jest na rynku.

Ja osobiście ostatnio widziałem taką wspaniałą prezentację rozwiązania do testów phishingowych, które bazuje w 100% na sztucznej inteligencji, który potrafi penetrować naszą sieć już bez wykorzystania człowieka. Po pierwsze przyspiesza to znowuż możliwość testów, ale też daje no nieograniczone możliwości zadawania jej różnego rodzaju schematów dotarcia do różnych miejsc w firmie.

Human in the loop, czyli człowiek zawsze powinien być tym ostatecznym punktem decyzyjnym. Oczywiście sztuczna inteligencja nam pomoże, przyspieszy, zautomatyzuje, da nam szerszy obraz w momentach ataku, gdzie czas jest ważny, również nam pomoże. Natomiast na końcu zawsze powinien decydować człowiek, no bo AI popełnia błędy i halucynuje i AI również może być zainfekowany.

Dochodzi też do takich sytuacji, że sztuczna inteligencja zachowuje się w sposób prawidłowy. Daje prawidłowe odpowiedzi, ale jest konkretna komenda, która może wyzwolić w niej złe cechy. Oczywiście ktoś tym steruje, może dojść do próby eskalacji uprawnień wewnątrz naszej organizacji. Wszystko zależy od tego, ile damy oczywiście temu AI-owi uprawnień.

Nasze Security Operation Center działa 24 godziny na dobę w kilku strefach czasowych, także nie mamy tutaj problemu z zabezpieczeniem takiej sytuacji, że gdzieś pracownicy nasi idą do domu i nie mamy pokrycia w ochronie. Wykorzystujemy także najnowsze technologie i korzystamy też oczywiście z AI, które wspiera nasze działania.

Jesteśmy po pierwsze etycznymi hakerami, więc wykorzystujemy nowoczesne rozwiązania technologiczne, które pozwalają nam wyszukiwać informacje w darknecie. Takie informacje później pozwalają nam na przekazanie do naszego klienta. Więc ten monitoring darknetu wcale nie jest taki trudny, jakby się to wydawało i dzisiaj pozwala naprawdę w prosty sposób wyszukiwać informacji o danych firmach, nawet o danych osobach. No i oczywiście wykorzystujemy też nasze wewnętrzne zasoby do, do realizacji tych celów.

To nie jest prawda, że systemy rządowe w Polsce są jednymi z najlepiej zabezpieczonych na świecie. Jest taki raport, który pokazuje zabezpieczenie właśnie tej części rządowej różnych państw. Przez bardzo długi czas Polska znajdowała się w pierwszej trójce. Na chwilę spadliśmy poza 15. miejsce, ale dzisiaj, pewnie tydzień temu, jak patrzyłem się na ten raport, no to byliśmy na 12. miejscu. Daleko za nami Stany Zjednoczone, daleko za nami Wielka Brytania. W zasadzie w tej szpicy 12 krajów same kraje europejskie. No to pokazuje, że my w zakresie publika jesteśmy dobrze zabezpieczeni. Naprawdę mamy dobre zespoły.

Największe polskie banki no pewnie mają po 30 parę, 40 różnych rozwiązań technologicznych, więc tutaj jesteśmy naprawdę świetnie zabezpieczeni. Gorzej jest z polskimi firmami, gorzej jest z polskimi samorządami, gorzej jest z polską infrastrukturą krytyczną, która rzeczywiście może coś ma, ale nie ma rozwiązań, które są nowoczesne, najlepsze.

W Polsce mamy wspaniałych specjalistów z zakresu IT. W Polsce mamy wspaniałe zespoły cyberbezpieczeństwa, które potrafią nas chronić, które chronią infrastrukturę krytyczną, które chronią największe polskie banki, które chronią największe polskie firmy i które chronią polski rząd i różne organizacje związane z rządem.

Moim marzeniem jest, żeby zakres tej ochrony schodził coraz niżej na polskie firmy, żebyśmy tworzyli usługi związane z cyberbezpieczeństwem, tak jak dostarczamy wodę, tak jak dostarczamy ścieki, odbieramy z poszczególnych mieszkań. Tak. Ja chciałbym, żebyśmy zaczęli tworzyć centra, które będą dostarczały na zasadzie usługowej usługę cyberbezpieczeństwa dla Kowalskiego, dla Nowaka, tak żebyśmy my zaczęli się w końcu czuć bezpiecznie.

Przede wszystkim powinny przyjąć jakiekolwiek zasady korzystania z AI, bo to, co widzimy przy audytach, przy konsultacjach dla przedsiębiorców, to to, że zarządy, właściciele nie zdają sobie sprawy, że pracownicy w ogóle korzystają z AI. Mimo, załóżmy, jakiegokolwiek zakazu, nie ma tego jakkolwiek ograniczonego w organizacji. Więc wprowadzenie jakichkolwiek zasad, określenie, co możemy promptować, jakie dokumenty możemy wrzucać, jakich dokumentów nie możemy wrzucać do AI, spowoduje, że ten poziom bezpieczeństwa na pewno się zwiększy.

Im lepiej studenci będą wyedukowani, tym będą mieli większą świadomość co do wypromptowanych, uzyskanych wyników. Jeżeli oczywiście powiemy, znaczy spojrzymy na to z perspektywy człowieka, który nie ma nic wspólnego z programowaniem, usiadł do konsoli i odpytuje model: „Podaj mi taką i taką aplikację”, no to on nie zweryfikuje, co ta aplikacja oprócz podstawowego efektu będzie jeszcze robiła.

Wdrożenie czegoś takiego do swojego, nawet domowego komputera niesie olbrzymie ryzyko. Już nie mówiąc o tym, jeżeli ktoś to będzie chciał wdrażać w firmie, chociaż spodziewam się, że w większości firm są jednak wykwalifikowani pracownicy i my się zajmujemy właśnie nauczaniem studentów, którzy będą takimi wykwalifikowanymi pracownikami. Oni w założeniach naszych nie dopuszczą do tego, aby kod niezweryfikowany przez, przez niego, przez tego człowieka był gdzieś wdrożony, bo finalnie odpowiada za kod człowiek, a nie model, który wygenerował.

Przede wszystkim brak swobody i to chyba wszystkich dotyka tego, że musimy mieć dużo haseł, tak, że, że nie powinniśmy mieć tych haseł takich samych. To wszystko społecznie dotyka ludzi, którzy no chcieliby mieć pewną wygodę. Tak. No i jakby ten kompromis pomiędzy wygodą a, a faktycznym bezpieczeństwem jest zawsze pewnym, no właśnie, kompromisem.

Lepiej przez chwilę poczuć się niekomfortowo, niż na przykład stracić pieniądze z konta.

Dokładnie.

Zawsze jest sens uczenia się czegokolwiek, ale uczenia, bo jeżeli się nie uczymy, to po prostu się cofamy. Dlatego zmuszajmy się, się do uczenia, nawet jeżeli ono skończy się efektem, który nie będzie przez oczekiwany. Tak, ale uczmy się, pogłębiajmy swoją wiedzę lub jedźmy do pracy różnymi drogami, zmieniajmy jakby przestrzenie, poznawajmy świat na nowo.

I tak trzeba się uczyć, ale uczyć się na przykład w grupach. Nie, że siedzimy przed komputerem i patrzymy się w ekran, na którym nie widzimy ludzkich emocji. Uczmy się przez spotkania na żywo, uczmy się przez rozmowy. Uczmy się w taki sposób, abyśmy my wspólnie wiedzieli, że obok jest drugi człowiek, z którym możemy o pewnych kwestiach pogadać i będziemy przeciwwagą dla technologii, której po prostu nie pokonamy.

Czy zatem w wachlarzu współczesnego programisty, informatyka, specjalisty od najnowszych technologii niezbędne będą umiejętności miękkie?

Będą kluczowe. Dlatego jestem też orędownikiem myślenia o nauce w zupełny inny sposób niż, niż dotychczas. My wychowani w modelu pruskim: lekcja, dzwonek, przerwa, lekcja, dzwonek, przerwa, wychowanie do pracy w fabryce. No tak się nie możemy uczyć.

My teraz mamy chłonąć, poznawać, znajdować inne ścieżki, budować przestrzeń, w której będą się pojawiały pytania, na które odpowiedzi nam rzeczywiście daje AI, bo dlaczego miałby nam nie dać, ale sprawić, abyśmy w zupełnie innym miejscu lokowali naszą atencję i chęć działania. I to się też dzieje i tutaj nie możemy powiedzieć, że tak nie jest, tylko róbmy to po prostu świadomie, gdzie możemy, a gdzie nie powinniśmy rywalizować z AI.

To znaczy wiedza za każdym razem pozyskana jest cenna. Natomiast, jeżeli ktoś śledzi na bieżąco informacje, to tylko poszerza to, co już wie i niewątpliwie tutaj kilka takich elementów się pojawiło. Chociażby i elementy właśnie związane z wykorzystaniem sztucznej inteligencji, szczególnie te ostatnie typy ataków i proces ich przygotowania.

A czy pojawiło się coś, co pan tak sobie postanowił, że po powrocie do swojej firmy, do swojego domu powie: „Wdrażam”?

To znaczy wszyscy. Jeżeli chodzi o, o elementy obrony, to staram się być na bieżąco. Jednak na pewno tą wiedzą podzielę się z naszymi klientami. Dlatego zapraszam serdecznie mikro, małe, średnie przedsiębiorstwa do kontaktu z Regionalnym Centrum Innowacji i Transferu Technologii ZUT w Szczecinie przy ulicy Jagiellońskiej 20. Na pewno pomożemy wszystkim tym, którzy oczekują wdrożenia w elementy cyberbezpieczeństwa.

Co zrobić w momencie, kiedy już tak naprawdę jesteśmy zaatakowani? Stąd mieliśmy tutaj kilka prelekcji i ta najciekawsza przedstawiciela Centralnego Biura Zwalczania Cyberprzestępczości, gdzie tak naprawdę pan komisarz pokazał nam, co mamy zrobić w momencie, kiedy już dzwonimy do cyberpolicji i chcemy ich poinformować i jak wygląda przebieg takiej rozmowy.

No i gdzieś tam jeszcze w momentach debat też były podnoszone te kwestie. Tutaj pani Barbara Orzeł, była policjantka i przedstawicielka Akademii Górnośląskiej, dziekan Wydziału Informatyki, również mówiła właśnie o tych problemach, co zrobić, jak się kontaktować z policją. No bo uważam, że to jest jeden z głównych problemów.

Tak, rozmawialiśmy z kilkoma organizacjami. Mamy pewne pomysły, żeby pojawić się w Szczecinie po raz kolejny w niedługim odstępie czasu od naszej wczorajszej konferencji i zrealizować projekt dla branży portowej, czyli dla portów i spółek, które zajmują się przeładunkami portowymi i handlingami portowymi.