Boimy się geopolityki i AI, a wciąż nie mamy antywirusów…

Czy moja firma podlega pod NIS2? Co zrobić, jeśli zdarzy nam się atak ransomware? Z badań firm ESET i DAGMA Bezpieczeństwo IT wynika, że wciąż wiele osób w polskich firmach nie zna odpowiedzi na te pytania. Niemal dokładnie rok temu pisaliśmy w Niebezpieczniku o tym, że cyberbezpieczeństwo to jakby dwa światy. Pierwszy świat to sfera wyobrażeń i dyskusji: geopolityka, AI, podsłuchiwanie przez żarówkę, futuryzm i wielkie pieniądze kradzione z ogromnych firm. Drugi jest świat rzeczywisty – phishing, niezałatane komputery, słabe hasła, trywialne powody wycieków i pieniądze… nieco mniejsze i często kradzione z małych firm.

Te różnice między wyobrażeniami a rzeczywistością obrazowaliśmy raportem, który został opracowany na podstawie badań firm ESET i DAGMA Bezpieczeństwo IT. Pojawiła się już nowa, tegoroczna edycja tego raportu – Cyberportret polskiego biznesu 2025. Przypomnijmy, że dane z ubiegłego roku były dość zatrważające. Tylko 59% firm deklarowało używanie oprogramowania antywirusowego. Pytanie, czy to się zmieniło? I drugie pytanie, czego teraz obawiają się osoby odpowiedzialne za kwestie cyfrowe w Polskich firmach?

Trzy ważne słowa: Ransomware! Ransomware! Ransomware!

Już nie raz pisaliśmy o tym, że jeśli jakaś instytucja w Polsce albo na świecie mocno obrywała znienacka, to stał za tym ransomware. Euroecert, Nissam, Colonial Pipeline, Fresenius, Norsk Hydro… długo można wymieniać. Na rynku są różnego rodzaju zabezpieczenia przed skutkami ataków ransomware ułatwiające wykonanie backupów, ale duże znaczenie ma również reakcja ludzi na atak. Według globalnych danych, w pierwszym półroczu 2025 roku Polska znalazła się na 1. miejscu na świecie pod względem liczby wykrytych ataków ransomware, ale według raportu ESET i DAGMA Bezpieczeństwo IT

aż 17% pracowników, którzy doświadczyli cyberataku, nie poinformowało o tym nikogo

To prowadzi do kolejnego istotnego wniosku: skuteczna reakcja na zagrożenia wymaga nie tylko formalnych ram działania, ale również odpowiedniego poziomu wiedzy i kompetencji. – Jeżeli pracownik nie rozumie, że ma do czynienia z incydentem – nie zgłosi go, nawet jeśli procedura istnieje – mówi Beniamin Szczepankiewicz, analityk cyberzagrożeń z ESET.

W przypadku ataku ransomware “poinformowanie kogoś” jest zdecydowanie dobrym pomysłem. Jeszcze lepszym byłoby np. odcięcie urządzenia od internetu, ale wśród przebadanych tę ewentualność wybrał co czwarty badany. Ze swojej praktyki szkoleniowej wiemy, że nie zawsze ludzie są tego świadomi, a przywoływany raport potwierdza to. Niestety niektórzy pracownicy próbują w takich przypadkach działać samodzielnie, a w świecie bezpieczeństwa bardziej zależy nam na działaniach wyćwiczonych, prostych lecz szybkich.

Wypada jeszcze przypomnieć, że ataki ransomware często zaczynają się od maila i wbrew pozorom nie dotykają wyłącznie dużych instytucji rządowych. Odpowiednie przygotowanie personelu ma zaś znaczenie nie tylko w trakcie reakcji na incydent ale także w ramach profilaktyki. I tutaj jeszcze jeden ciekawy fragment raportu!

Choć 60% specjalistów jest przekonanych, że ich zespoły potrafią świadomie unikać cyberzagrożeń, a 59% uważa, że wytyczne dotyczące bezpieczeństwa są traktowane poważnie, rzeczywistość pokazuje coś innego. Zaledwie 19% pracowników ocenia swoje umiejętności w zakresie cyberbezpieczeństwa jako wysokie, a tylko 38% czuje się przygotowanych do właściwego działania w sytuacji zagrożenia. Dodatkowo jedynie 31% deklaruje regularne poszerzanie wiedzy w tym obszarze.

Mimo że eksperci dość optymistycznie oceniają zdolność organizacji do wykrywania nowych ataków (56%) i funkcjonowanie systemów bezpieczeństwa (53%), dane dotyczące pracowników jasno wskazują na poważny problem. Ta różnica w postrzeganiu nie jest błahostką statystyczną – to wyraźny sygnał, że pomimo wysiłków specjalistów, brak edukacji i świadomości wśród pracowników pozostaje kluczowym zagrożeniem. W czasach, gdy cyberataki stają się coraz bardziej zróżnicowane, właśnie niedostateczna wiedza personelu może być główną przyczyną incydentów.

A skąd miałem to wiedzieć?

Teoretycznie szkolenia są okazją by porozmawiać o procedurach, ale szkoleń albo nie ma, albo są dziwnie rzadko. Tegoroczne badanie pokazuje, że aż 55% pracowników w Polsce nie uczestniczyło w ciągu ostatnich pięciu lat w żadnym szkoleniu z cyberbezpieczeństwa. Odsetek ten jest wyższy niż w zeszłorocznym badaniu. Jednorazowy udział zadeklarowało jedynie 23% pracujących, natomiast tylko nieco ponad  jedna piąta szkoliła się kilkukrotnie. Generalnie da się zauważyć, że im większa organizacja tym większa szansa na przeszkolenie.

Jeśli chodzi o tematykę szkoleń to ciekawe są dane dotyczące szkoleń z bezpieczeństwa AI. Takie szkolenia najczęściej przechodzą ludzie z działów IT (według raportu). My tymczasem obserwujemy, że w wielu firmach “rewolucja AI” jest wprowadzana “oddolnie”, nierzadko w oparciu o generyczne narzędzia i właśnie ludzie zmuszani do takiego wdrażania AI są rzadziej szkoleni z tego zakresu.

Nie chcemy Chin i Rosji, a UE nie rozumiemy

W raporcie znaleźliśmy także problemy rangi międzynarodowej. Firmy zaczynają mieć obawy co do produktów spoza UE. Dla 57% specjalistów kraj pochodzenia producenta ma wpływ na decyzje zakupowe. Aż 71% dużych firm deklaruje, że przywiązuje wagę do wpływu pochodzenia technologii na bezpieczeństwo cyfrowe, w porównaniu do 65% małych i 62% średnich przedsiębiorstw. Możemy chyba powiedzieć, że “cyfrowa suwerenność” zaczyna się liczyć, skoro aż  49% ekspertów ds. cyberbezpieczeństwa uważa, że zależność od producentów spoza Polski i Europy to potencjalne zagrożenie dla ich firmy.

Z drugiej jednak strony firmy mają problem z przystosowaniem się do wymogów UE. Jak zapewne doskonale wiecie, wdrożenie dyrektywy NIS2 nastąpi w Polsce niebawem, w wyniku nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa. Firmy będą musiały same ustalić, czy podlegają pod NIS2 (niezrobienie tego może oznaczać karę). Czy Twoja firma się na to złapie? Możesz sądzić, że nie bo np. prowadzisz firmę budowlaną, ale jeśli ta firma utylizuje odpady to…?

Rzecz w tym, że podleganie pod NIS2 to nie zawsze prosta sprawa i raport ESET i DAGMA Bezpieczeństwo IT potwierdza, że firmy się w tym gubią. Pewne prace nad dostosowaniami już ruszyły. Najczęściej wdrażaną inicjatywą jest aktualizacja polityki cyberbezpieczeństwa – 53% badanych organizacji już przeprowadziło taki proces, a kolejne 34% planuje jego realizację. Równolegle 51% firm zdecydowało się na dodatkowe szkolenia dla pracowników, a 38% deklaruje, że są one w planach. Jednak do tego wszystkiego musimy dorzucić jedną informację – aż 36% ekspertów ds. cyberbezpieczeństwa przyznaje, że nie wie, czy ich firma podlega pod regulacje wynikające z dyrektywy.

Przyszłość vs codzienność

Poza tym raport ESET i DAGMA Bezpieczeństwo IT pokazuje, że polskie firmy wciąż mają wiele do zrobienia u podstaw.

• Tylko 53% firm ma antywirusa
• 55% pracowników używa tych samych haseł do różnych kont służbowych
• 19% pracowników przyznało się do udostępniania wrażliwych danych firmy narzędziom AI (np.
  ChatGPT)
• Tylko co 4 firma sięga po 2FA
• Na szczycie zagrożeń ciągle jest phishing

Badanie wykazało, że zagrożenia cybernetyczne dotyczą również pracowników, którzy na co dzień nie zajmują się bezpieczeństwem IT. Aż 13% respondentów przyznało, że padło ofiarą cyberataku w pracy, a ponad jedna czwarta (26%) doświadczyła takiego incydentu w życiu osobistym. Biorąc pod uwagę rzeczywiste skutki cyberataków dla osób prywatnych i firm, tak wysoki odsetek przypadków budzi poważne obawy.

Czy w tym raporcie jest cokolwiek optymistycznego? Właściwie jedno. Choć nie jest idealnie to coraz więcej firm dostrzega to i chce to zmienić.

— Przy stale rosnących potrzebach (zewnętrzne regulacje i wzrost cyberprzestępczości i haktywizmu) trudno jednak nadążyć z realizacją tych wyzwań. Nie dziwi motywacja do wprowadzania zabezpieczeń – strach  przed skutkami cyberataku dodatkowo podsycany niezbyt optymistycznymi informacjami o kolejnych polskich firmach dotkniętych konsekwencjami cyberincydentu (…) Napawa optymizmem fakt, że firmy dostrzegają istotność inwestycji w cyberbezpieczeństwo. Spora część wyzwań inwestycyjnych wskazywana w badaniu została uznana przez badanych jako dobrze, lub bardzo dobrze zaopiekowana. Daje to solidne podstawy i komfort pracy do doskonalenia potencjału cyberodporności firm i instytucji w Polsce  – podsumowuje Dawid Zięcina, Technical Departament Director z DAGMA Bezpieczeństwo IT.

Zachęcamy do przejrzenia raportu Cyberportret polskiego biznesu 2025

Niniejszy artykuł jest sponsorowany. Za jego publikację otrzymaliśmy wynagrodzenie.