10.12.2019

Cyberataki – realne zagrożenie dla przedsiębiorstwa

Operacje elektroniczne mogą służyć dokonywaniu coraz groźniejszych przestępstw, także na niewyobrażalną dotychczas skalę, i zagrażać już nie tylko jednostkom i wielkim biznesom ale również całym państwom i ich strukturom. Jednocześnie cyberataki stają się bronią w rękach zarówno przestępców jak i rządów: cyberbezpieczeństwo w ostatnich latach urosło do rangi jednego z kluczowych elementów bezpieczeństwa narodowego. Świadomość, na jak wielką skalę szkody mogą powodować hakerzy powinna zmotywować przedsiębiorców do zadbania o właściwą ochronę wszystkich danych przechowywanych w systemach komputerowych – szczególnie groźna dla przestępczości może okazać się kradzież własności intelektualnej.

Już nie tylko przedsiębiorstwa ale również i całe państwa przeszły w ostatnich latach rewolucję cyfrową, przenosząc gromadzenie, przetwarzanie i wymianę danych niemal całkowicie do systemów komputerowych. Zmiana ta miała kolosalny wpływ na rozwój gospodarczy i jakość prowadzenia biznesu.

Cyberrewolucja nastąpiła jednak tak szybko, że nie nadążono z równoległym wprowadzeniem właściwych rozwiązań związanych z zarządzaniem i ochroną tworzonych systemów. Jednocześnie cyberprzestępcy doskonalą swoje umiejętności trudno wykrywalnego łamania zabezpieczeń. Z tego względu jesteśmy dziś świadkami wyścigu zbrojeń na skalę międzynarodową, a jako że z roku na rok coraz bardziej polegamy na technologiach cyfrowych, gra toczy się o coraz wyższe stawki. Obecnie cyberatak może sparaliżować działanie każdego z sektorów gospodarki na całym świecie.

Cyberprzestępczość w 2017 roku spowodowała szacunkowe straty w wysokości około 600 miliardów dolarów, przy utrzymującej się znaczącej tendencji wzrostowej (w porównaniu do 450 miliardów dolarów rocznie w 2014 r.). Ilość ataków z roku na rok wciąż rośnie. Prognozy Zurich Insurance szacują, że w 2030 roku straty w wyniku cyberataków sięgną 1,2 biliona dolarów (0,9% światowego PKB) (szerzej zob. R. Siudak, W. Brzęcka (red.) „Wyzwania w cyberprzestrzeni – przykłady rozwiązań, zagrożenia, regulacje”, Instytut Kościuszki, Kraków 2019). Warto zaznaczyć, że oszacowanie strat – szczególnie związanych z naruszeniami takich dóbr jak własność intelektualna – jest bardzo trudne. Jednocześnie wiele przedsiębiorstw i banków ze względów wizerunkowych nie chce ujawniać, że padły ofiarą cyberprzestępstwa. Stąd podane wyżej kwoty są prawdopodobnie zaniżone.

Rok 2018 wyjątkowo pokazał, że cyberprzestępczość może sparaliżować każdy z sektorów gospodarki – w tym czasie m.in. wykradziono dane około 87 milionów użytkowników Facebooka; ujawniono włamanie do systemu rezerwacji hoteli Marriott i pozyskanie szczegółowych danych nawet 500 milionów klientów; odkryto istnienie luk Spectre i Meltdown w procesorach firmy Intel produkowanych od 1995 roku, które umożliwiały odczytywanie wszystkich informacji zapisanych w pamięci podręcznej; odrobinę wcześniej, w 2017 r., miał miejsce najdroższy z globalnych ataków – wirus NotPetya rosyjskiego pochodzenia, który spowodował straty w wysokości ponad 10 miliardów dolarów (głównie na Ukrainie).

Kraje i przedsiębiorstwa dopiero zatem w ostatnich latach zaczęły zdawać sobie sprawę z tego, jak istotna jest ogólnoświatowa współpraca w zakresie cyberbezpieczeństwa i podejmują kolejne wspólne kroki w kierunku jego zachowania (np. Cybersecurity Act w UE, The Paris Call, Cybersecurity Tech Accord).

Wartość poniesionych strat

W realiach dzisiejszej gospodarki własność intelektualna stanowi siłę napędową i fundament istnienia wielu organizacji – dlatego też kradzież właśnie tych danych jest najbardziej znacząca dla przedsiębiorstw. Szacuje się, że rocznie cyberprzestępczość przeciwko własności intelektualnej generuje straty na poziomie 50 do 60 miliardów dolarów.

Bezprawny zabór własności intelektualnej małemu bądź średniemu przedsiębiorstwu może zadecydować nawet o jego upadłości. Dla każdej z firm oznacza niespodziewaną utratę przychodów w chwili, gdy nielegalnie utworzony konkurencyjny produkt wejdzie na rynek. Jeśli kradzież własności intelektualnej dotyczy technologii wojskowych, jej wykorzystanie może stanowić ryzyko również dla bezpieczeństwa narodowego.

Jednocześnie cyberprzestępstwa są bardzo trudno wykrywalne. W odróżnieniu od kradzieży w realnym świecie, ofiara przez długi czas może nie być nawet świadoma swojej straty – wciąż posiada dostęp do bezprawnie skopiowanej własności intelektualnej, a winą za późniejszy spadek przychodów może w pierwszej kolejności obarczyć procesy rynkowe związane z rosnącą konkurencją. W statystykach IBM skazuje się, że dotychczas w 2019 roku, wykrycie włamania do systemu zajmowało średnio 206 dni.

Chiny nadal prowadzą w statystykach związanych z kradzieżą własności intelektualnej. Po zawarciu porozumienia między USA a Chinami w sprawie cyberszpiegostwa w 2015 r. (Obama-Xi Cyber Agreement, które zawarto po wielu cyberatakach przeprowadzonych z Chin, m.in. wykradzeniu z federalnej bazy danych amerykańskich urzędników ponad 5 milionów odcisków palców) zauważono znaczący spadek ilości ataków na amerykańskie przedsiębiorstwa i państwowe bazy danych. Mimo to, naruszenia własności intelektualnej pochodzące z Chin dalej mają miejsce na całym świecie i na masową skalę.

Kradzież własności intelektualnej – zagrożenia

Wycena utraconej własności intelektualnej nigdy nie będzie w pełni dokładna. Koszt samych badań i rozwoju technologii nie jest wyznacznikiem – firmy muszą oszacować także wartość późniejszego wykorzystania bądź sprzedaży przedmiotu własności intelektualnej tj. utratę przychodów, ale również potencjalny spadek reputacji oraz ewentualną utratę klientów.

Niełatwe jest też oszacowanie strat spowodowanych kradzieżą tajemnic przedsiębiorstw, które pozwalają na przewagę w negocjacjach lub inwestycjach. Nie ma także bezpośredniej zależności miedzy utraconą korzyścią przedsiębiorcy a zyskiem cyberprzestępcy – z reguły wykorzystanie pozyskanego przedmiotu własności intelektualnej bez odpowiedniego know-how nie jest możliwe. Dlatego też często upływa dużo czasu między kradzieżą a faktycznym wprowadzeniem na rynek konkurencyjnego produktu, co również utrudnia wykrywalność przestępstwa.

Jak chronić się przed cyberatakami?

Jak wskazuje się w badaniach, szefowie IT ale i kadry zarządzające przedsiębiorstw zauważają wagę zapewnienia bezpieczeństwa informatycznego w swoich firmach i coraz częściej traktują je priorytetowo (zob. badania Orange Insights przeprowadzone w sierpniu 2019 roku przez ICAN Institute, a także raport pt. „Trudne wybory: Jak dyrektorzy ds. bezpieczeństwa informacji zarządzają rosnącymi zagrożeniami przy ograniczonych zasobach” sporządzony przez Fortinet oraz Forbes Insights).

W celu pełnego skorzystania z dóbr cyfrowej transformacji i jednoczesnego zapewnienia jak najskuteczniejszej ochrony przed cyberatakami, specjaliści zachęcają do całościowego podejścia do bezpieczeństwa – zabezpieczenia zarówno sieci firmowych, jak i urządzeń służbowych, a także zadbania o system wczesnego ostrzegania.

Należy zwrócić uwagę, że niezwykle ważna jest również ciągła edukacja – budowanie świadomości coraz nowszych zagrożeń, i to nie tylko w obrębie własnej organizacji: jak wskazują eksperci w dziedzinie bezpieczeństwa, bardzo istotna jest wymiana informacji o zagrożeniach także z innymi przedsiębiorstwami. Współpraca w dziedzinie cyberbezpieczeństwa między konkurentami rynkowymi może przynieść jedynie wzajemne korzyści – im dokładniejsza będzie wymiana wiedzy o zaistniałych atakach, tym lepiej cała branża może chronić się przed przyszłymi kradzieżami. Podmioty prywatne, podobnie jak państwa, powinny stać przeciwko hakerom ramię w ramię, ponieważ tylko w ten sposób mogą skutecznie podjąć walkę z cyberprzestępcami.

Jeśli jednak przedsiębiorstwo wykryje, że padło ofiarą cyberprzestępstwa, kluczowy jest czas reakcji. Im więcej czasu mija, tym większe stają się możliwości użycia bezprawnie pozyskanych danych. Pierwszym celem – w praktyce najtrudniejszym do zrealizowania – powinno być wykrycie sprawców i uniemożliwienie im użycia przedmiotu kradzieży w szkodliwy dla firmy sposób.

Możliwe działania prawne

Oczywiście w przypadku przedmiotów własności przemysłowej najskuteczniejsze narzędzia ochrony przed bezprawnym użyciem daje rejestracja posiadanych wynalazków, wzorów przemysłowych, znaków towarowych a także oznaczeń geograficznych i topografii układów scalonych. Sprawa jest bardziej skomplikowana w odniesieniu do praw autorskich. Zgodnie z Ustawą z dnia 4 lutego 1994 r. o prawach autorskich i prawach pokrewnych, utwór jest przedmiotem prawa autorskiego od chwili ustalenia – przy czym zgodnie z orzecznictwem ustalenie następuje w chwili takiego uzewnętrznienia utworu, który umożliwia zapoznanie się z nim przez przynajmniej jedną inną osobę, nawet jeśli znajduje się w formie niedokończonej (art. 1 ust. 1 i 3). Należy pamiętać, że nieukończone utwory (szkice, projekty, plany, wstępne wersje itd.) w rozumieniu prawa autorskiego podlegają ochronie tylko jeśli samodzielnie mają już charakter nowatorski i oryginalny (zob. wyrok SA w Poznaniu z dnia 20 grudnia 2006 r., I ACa 672/06, LEX nr 330985). Sam niejasno w ustawie sformułowany i trudny do precyzyjnego określenia moment, w którym powstaje utwór i nasze prawo do niego, dodatkowo utrudnia i tak niełatwą drogę egzekwowania praw autorskich i ścigania ich cybernaruszycieli.

Po wykryciu zaboru praw własności intelektualnej, ze strategicznego punktu widzenia, ważna jest przede wszystkim ocena w jaki sposób dana własność IP może zostać zmodyfikowana i użyta przez konkurencję i w jaki sposób wpłynie to na pozycję na rynku okradzionego przedsiębiorstwa, a następnie na tej podstawie opracowanie długofalowej strategii działania. Tylko szybka reakcja gwarantuje zminimalizowanie grożących strat, a także pomoże w lepszym zabezpieczeniu praw IP w przyszłości.

Wnioski końcowe

Czasy, w których ignorowanie cyberzagrożeń nie wiązało się z istotnymi konsekwencjami dla przedsiębiorców skończyły się już kilka lat temu. Obecnie, szczególnie przedsiębiorstwa bazujące na własności IP muszą stawić czoła cyfrowej transformacji i zadbać nie tylko o oprogramowanie optymalizujące samo wykonywanie pracy, ale równolegle także o systemy zabezpieczające jej efekty.

Pamiętajmy także o edukacji i szkoleniu kadr – częstokroć mimo najlepszej jakości zabezpieczeń, właśnie nieświadomość pracowników i ich bezwiedny błąd może doprowadzić do otwarcia furtki dla hakerów tylko czyhających na taką okazję, którzy mogą spowodować nieodwracalne skutki dla całego przedsiębiorstwa.

Zobacz także:
14.09.2020

Kryptowaluta jako dowód w postępowaniu karnym

29.08.2019

Koniec wolności platform crowdfundingowych?

09.08.2019

Przestępczość związana z naruszaniem dóbr własności intelektualnej

12.09.2018

Giełdy kryptowalut po prawnym liftingu

25.07.2018

Nowe obowiązki w zakresie handlu kryptowalutą

12.07.2018

Krajowy System Cyberbezpieczeństwa

07.03.2018

Kryptowaluty w odwrocie