Eksperci Instytutu Kościuszki w raporcie „Wyzwania w cyberprzestrzeni. Przykłady rozwiązań, zagrożenia, regulacje” wskazują, że obok malware, phishingu i DDoS - najbardziej zaawansowanym atakiem jest APT (Advanced Persistent Threat). Najczęściej jest to starannie zaplanowany, często wyrafinowany i wymierzony w konkretny cel atak sieciowy na daną organizację, którego celem jest cyberszpiegostwo. Już co 13. e-mail zawiera złośliwe oprogramowanie, a 25 proc. internautów w Polsce w 2018 r. padło ofiarą phishingu.
Według danych CERT Polska, w 2018 r. odnotowano 17,5-proc. wzrost incydentów bezpieczeństwa w cyberprzestrzeni w stosunku do poprzedniego roku. Ponadto wyniki badania PwC pt. „Cyber-ruletka po polsku. Dlaczego firmy w walce z cyberprzestępcami liczą na szczęście” wskazują, że prawie dwie trzecie ankietowanych firm odnotowało zakłócenia i przestoje funkcjonowania spowodowane aktywnością cyberprzestępców, a tylko 35 proc. przedsiębiorstw na polskim rynku posiada strategię cyberbezpieczeństwa.
— Polskie firmy muszą jeszcze lepiej zrozumieć, jak duże zagrożenie dla funkcjonowania całej gospodarki stanowią ataki w cyberprzestrzeni. Świadomość zagrożeń jest kluczowa. Jednakże, aby się przed nimi chronić, niezbędne jest także podjęcie konkretnych działań przez podmioty publiczne, we współpracy z prywatnymi, zarówno na poziomie krajowym, jak i międzynarodowym – wskazuje Izabela Albrycht, prezes Instytutu Kościuszki.
Odpowiedzią na zagrożenia jest m.in. wprowadzanie regulacji prawnych, takich jak Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. (Dyrektywa NIS). Ten akt prawny nakłada na wszystkie państwa członkowskie obowiązek przyjęcia krajowej strategii w zakresie bezpieczeństwa sieci i systemów informatycznych, ustanawia wymogi dotyczące bezpieczeństwa i zgłaszania incydentów dla operatorów usług kluczowych i dostawców usług cyfrowych, a ponadto tworzy grupę współpracy służącą rozpowszechnianiu dobrych praktyk i doświadczeń w obszarze cyberbezpieczeństwa oraz sieć zespołów reagowania na incydenty bezpieczeństwa komputerowego (sieć CSIRT). Polska ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa stanowi wdrożenie unijnej dyrektywy. Nakłada ona na operatorów usług kluczowych obowiązek prowadzenia dokumentacji dotyczącej bezpieczeństwa systemu informacyjnego oraz powołania wewnętrznej struktury odpowiedzialnej za cyberbezpieczeństwo lub zlecenia takich usług podmiotom trzecim. Dodatkowo, operatorzy muszą co najmniej raz na dwa lata przeprowadzać audyt bezpieczeństwa cybernetycznego.
— Z całą pewnością powyższe rozwiązania przyczyniają się do zwiększenia poziomu bezpieczeństwa cyberprzestrzeni. Jednak niezbędne jest podejmowanie dalszych inicjatyw, a także dbanie o bezpieczeństwo rozwiązań już na etapie ich projektowania w myśl zasady security by design i privacy by design – przekonuje Izabela Albrycht, prezes Instytutu Kościuszki.
