Technologie: Jak przygotować organizacje na czas cyberkryzysu … Rozważania o zarządzaniu kryzysowym

BANK 2017/05

Przed bankami i innymi instytucjami z rynków finansowych stawia się szereg wymagających norm i standardów, mających na celu minimalizowanie ryzyka w obszarze bezpieczeństwa. Podejmuje się wiele starań zmierzających do doskonalenia systemów i utrzymania wysokiego poziomu zabezpieczeń, by nie dopuścić do sytuacji kryzysowych. Dbają o to regulatorzy, wsparciem służą przestrzegane i stale podnoszone standardy w procesach bezpieczeństwa firm, jak i narzędzia do szeroko rozumianej ochrony przed atakami, np. w cyberprzestrzeni. Jednak pomimo tego, oraz z racji obszaru, na który instytucje finansowe mają ekspozycję, dochodzi do kolejnych sytuacji zagrożenia kryzysowego. Kadrze zarządzającej organizacjami oraz osobom odpowiedzialnym za bezpieczne funkcjonowanie instytucji finansowych stale towarzyszy pytanie, czy nasza organizacja jest w stanie przetrwać kryzys albo – jak uniknąć ryzyka kryzysu w cyberświecie? Być może nie są to pytania, które zadają sobie codziennie, ale z pewnością nie mogą ich unikać.

Przed bankami i innymi instytucjami z rynków finansowych stawia się szereg wymagających norm i standardów, mających na celu minimalizowanie ryzyka w obszarze bezpieczeństwa. Podejmuje się wiele starań zmierzających do doskonalenia systemów i utrzymania wysokiego poziomu zabezpieczeń, by nie dopuścić do sytuacji kryzysowych. Dbają o to regulatorzy, wsparciem służą przestrzegane i stale podnoszone standardy w procesach bezpieczeństwa firm, jak i narzędzia do szeroko rozumianej ochrony przed atakami, np. w cyberprzestrzeni. Jednak pomimo tego, oraz z racji obszaru, na który instytucje finansowe mają ekspozycję, dochodzi do kolejnych sytuacji zagrożenia kryzysowego. Kadrze zarządzającej organizacjami oraz osobom odpowiedzialnym za bezpieczne funkcjonowanie instytucji finansowych stale towarzyszy pytanie, czy nasza organizacja jest w stanie przetrwać kryzys albo – jak uniknąć ryzyka kryzysu w cyberświecie? Być może nie są to pytania, które zadają sobie codziennie, ale z pewnością nie mogą ich unikać.

Adam Marczyński
dyrektor Departamentu Bezpieczeństwa Biura Informacji Kredytowej S.A.

Jak przetrwać cyberkryzys?

Pięć lat temu, w 2012 r. na konferencji RSA Cyber Security były dyrektor FBI Robert Mueller powiedział: „Jestem przekonany, że istnieją wyłącznie dwa rodzaje organizacji: te, które już zostały zhackowane i te, które będą. Co więcej, obecnie następuje ich konwergencja w jedną kategorię: organizacji, które już zostały zhackowane, i które czeka to samo po raz kolejny”.

Czy pan Mueller miał rację? Sądzę, że może jego słowa były przesadzone, ale stanowią dobry punkt wyjścia dla rozważań o zarządzaniu kryzysowym. Przyjmijmy zatem założenie, że kryzys musi się zdarzyć, to tylko kwestia czasu, kiedy do niego dojdzie.

Od działania przed do działania po kryzysie

Zanim przejdziemy do rozważań, jak powinniśmy reagować na kryzys, warto przyjrzeć się, w jaki sposób obecnie chronimy nasze organizacje.

Specjaliści od bezpieczeństwa od wielu lat poświęcają uwagę zabezpieczeniom, które mają przeciwdziałać bardzo szeroko pojętym incydentom. Większość z nich pełni rolę czysto prewencyjną – nie wpływając na skutki zdarzenia, lecz zmniejszając prawdopodobieństwa jego wystąpienia. Przykładem takich zabezpieczeń są choćby wszelkiego rodzaju urządzania chroniące przed atakami sieciowymi. Firewall, Web Application Firewall, Intrusion Prevention System, Data Leakage Prevention – wszystkie te rozwiązania mają zapobiegać nieuprawnionemu dostępowi do chronionych systemów, przeciwdziałając atakom i uniemożliwiając kradzież informacji, stanowiąc swoistą pierwszą linię ochrony przed potencjalnymi przeciwnikami.

Drugi koniec spektrum zabezpieczeń, którymi posługujemy się, chroniąc nasze systemy i przetwarzane w nich informacje, skupia się na skutkach incydentów, pozwalając na przywrócenie stanu systemu sprzed niekorzystnego zdarzenia. Najbardziej oczywistym przykładem jest kopia zapasowa, która umożliwia odtworzenie systemów i danych w przypadku ich utraty.

Specjaliści od bezpieczeństwa często nieświadomie skupiają się na obszarach prewencji i odtwarzania (przywracania normalności), mniej czasu poświęcając na działania w czasie samego kryzysu. Tymczasem, w mojej opinii, w dzisiejszych czasach, nie zaniedbując powyższych, trzeba przesuwać ciężar na reakcję na incydenty i zarządzanie kryzysowe.

Przygotowujmy się na nieoczekiwane, ćwiczmy scenariusze kryzysowe, ale nie mnóżmy ich w nieskończoność. Najprawdo­podobniej to co nas spotka i tak będzie zaskoczeniem i raczej nie zastosujemy naszych planów bez konieczności zaktualizowania ich do stanu faktycznego kryzysu.

Przygotowania na nieoczekiwane

Skoro przyjmujemy założenie, że do kryzysu musi dojść, zastanówmy się, jak się do niego przygotować. Czy każde zdarzenie, każdy incydent doprowadzi do kryzysu? Raczej nie. Warto więc rozpocząć od zdefiniowania, czym różni się sytuacja kryzysowa od innych incydentów. Kryzys zazwyczaj charakteryzuje się takimi cechami, jak:

  • zdarzenie materializuje się nieoczekiwanie (może być nagłe lub wskutek długotrwałych zaniechań),
  • brakuje informacji pozwalających na pełną ocenę sytuacji,
  • pomimo braku czasu i informacji istnieje potrzeba podejmowania szybkich decyzji w oparciu o niekompletny ogląd sytuacji,
  • pojawia się presja szybkiego działania, brakuje czasu na rozważne i świadome podejmowanie wyważonych działań,
  • napięcie rośnie wraz z czasem i rozwojem sytuacji kryzysowej,
  • pojawia się wiele żądań informacji, zarówno wewnętrznych, jak i zewnętrznych, od mediów i interesariuszy organizacji,
  • nasza reputacja cierpi w wyniku
  • pojawiają się naciski, by znaleźć winnego kryzysu,
  • sytuacją i podejmowanymi działaniami interesują się najwyższe władze organizacji, a w niektórych przypadkach również służby i organy władzy państwowej.

Wszystkie powyższe cechy powodują, że praca w czasie kryzysu jest obarczona wyjątkowym stresem, bardzo dużą dozą niepewności co do poprawności podejmowanych decyzji i skutków działań, które realizujemy w celu zażegnania kryzysu.

Zarządzanie kryzysowe to skoordynowane działania podejmowane przez organizację w celu opanowania sytuacji oraz przywrócenia normalnego działania z minimalizacją wpływu na reputację jej samej oraz potencjalnych negatywnych skutków odczuwanych przez wszystkich interesariuszy. Widać zatem, że do sytuacji kryzysowej trzeba się starannie przygotować. Warto mieć na uwadze, że nasze przygotowania i plany ...

Artykuł jest płatny. Aby uzyskać dostęp można:

  • zalogować się na swoje konto, jeśli wcześniej dokonano zakupu (w tym prenumeraty),
  • wykupić dostęp do pojedynczego artykułu: SMS, cena 5 zł netto (6,15 zł brutto) - kup artykuł
  • wykupić dostęp do całego wydania pisma, w którym jest ten artykuł: SMS, cena 19 zł netto (23,37 zł brutto) - kup całe wydanie,
  • zaprenumerować pismo, aby uzyskać dostęp do wydań bieżących i wszystkich archiwalnych: wejdź na aleBank.pl/sklep.

Uwaga:

  • zalogowanym użytkownikom, podczas wpisywania kodu, zakup zostanie przypisany i zapamiętany do wykorzystania w przyszłości,
  • wpisanie kodu bez zalogowania spowoduje przyznanie uprawnień dostępu do artykułu/wydania na 24 godziny (lub krócej w przypadku wyczyszczenia plików Cookies).

Komunikat dla uczestników Programu Wiedza online:

  • bezpłatny dostęp do artykułu wymaga zalogowania się na konto typu BANKOWIEC, STUDENT lub NAUCZYCIEL AKADEMICKI

Udostępnij artykuł: