Prawne aspekty zwalczania cyberprzestępczości

Szybki rozwój technologii informatycznych spowodował ogromne zmiany w gospodarce światowej, która w sposób wieloraki oddziałuje na stopę życiowa społeczeństw, ich dobrobyt jak i na bezpieczeństwo szeroko rozumiane. Coraz łatwiejszy dostęp do nowoczesnych technologii, zaawansowanych programów jak i upowszechnienie rozwiązań sieciowych spowodowały zmiany  w postrzeganiu gospodarki lokalnej, która coraz częściej odrywa  się od kontroli państw i tym samym uzależnia się od rynku globalnego. Zmiany te  niosą zagrożenia  związane z sieciowym przepływem informacji i wykorzystaniem ich przez cyberprzestepców, dla których takie pojecie jak granice czy „niemożliwe” nie istnieją. Straty związane z działaniami cyberprzestępców z roku na rok są coraz większe. Każdego roku wzrastają  statystycznie o 26%. Wydłuża się też czas potrzebny na usunięcie skutków udanych ataków informatycznych. Z przeprowadzonych na zlecenie HP analiz firmy Ponemon Institute wynika, że skala cyberprzestępczości oraz koszty ponoszone w wyniku takich działań przez amerykańskie firmy stale rośnie. Według autorów raportu wśród cyberprzestępców postępuje specjalizacja, rozwija się również wymiana informacji między hakerami, dzięki czemu są oni w stanie szybciej obchodzić wdrażane w firmach zabezpieczenia, a także koncentrować swoje działania na wybranych, kluczowych obszarach działalności przedsiębiorców. Przybywa też bardziej zaawansowanych i systematycznie zaplanowanych ataków. Najbardziej kosztowne są obecnie incydenty typu denial-of-service (DoS), ataki prowadzone z wewnątrz organizacji oraz działania wymierzone przeciwko biznesowym aplikacjom internetowym. Czas rozwiązania problemów związanych z jednym tylko, udanym cyberatakiem, wynosi  średnio 32 dni. Łącznie tego typu działania są źródłem 55% wszystkich  związanych z cyberprzestępczością kosztów ponoszonych w skali roku[1]. Dla przedsiębiorców najbardziej kosztowne okazują się incydenty związane z kradzieżą informacji oraz działania powodujące zmniejszenie produktywności lub zakłócenie przebiegu procesów biznesowych. Eksperci Ponemon Institute podkreślają, że mniejsze firmy są narażone na działania cyberprzestępców przynajmniej w takim samym stopniu co duże korporacje. Jednocześnie, w mniejszych firmach straty związane z cyberprzestępczością  przeliczając na liczbę pracowników są znacznie wyższe niż w większych organizacjach, a co za tym idzie także trudniejsze do udźwignięcia. Analitycy podkreślają, że przedsiębiorstwa z sektorów: usług finansowych, obrony, energetyki i użyteczności publicznej ponoszą średnio znacznie wyższe koszty cyberprzestępczości niż firmy z sektora handlu detalicznego, hotelarstwa oraz branży konsumenckiej. Przedsiębiorcy wciąż marginalizują problem zagrożeń w sieci. Jak wynika z badań TNS OBOP blisko połowa firm w Polsce nie stosuje żadnych systemów zabezpieczeń chroniących komputery przed dostępem złośliwego oprogramowania. Jeszcze gorzej przedstawia się bilans, jeżeli pod uwagę brane jest  wdrażanie kompleksowej polityki bezpieczeństwa danych przechowywanych na firmowych dyskach. Według G Data Software, (producenta oprogramowania antywirusowego), proceder wykradania danych jest jednak znaczniej bardziej powszechny, niż wskazywałyby to oficjalne statystyki. Cyberprzestępcy coraz chętniej wykorzystują nieświadomość zagrożeń informatycznych wśród przedstawicieli MSP. Nic więc dziwnego, że co piąta firma pada ofiarą ataku przeprowadzonego za pomocą złośliwego oprogramowania, tracąc w ten sposób poufne informacje lub potencjalne przychody. W Stanach Zjednoczonych, tego typu działania stały się elementem walki konkurencyjnej, w Polsce jak na razie znacznie częściej ma się  do czynienia z atakami przeprowadzanymi przez” indywidualnych” cyberprzestępców. Niemniej jednak należy pamiętać, że kluczowe dla firmy informacje niejednokrotnie stają się również materiałem do dokonywania manipulacji giełdowych, dlatego wyciek lub utrata poufnych informacji, czy to z poczty e-mail, czy też lokalnych dysków, to poważna i niebezpieczna strata dla każdego przedsiębiorstwa[2]. W wielu firmach zaniedbania w systemie bezpieczeństwa powodowane są ograniczeniami budżetu lub nieznajomością samego problemu. Co więcej, w większości małych i średnich przedsiębiorstw, brak stosowania mechanizmów zabezpieczeń dotyczy nie tylko systemów komputerowych, ale także stron klienckich, które coraz częściej mają możliwość bezpośredniego przesyłania danych na serwer. Podziemne fora dyskusyjne to miejsca, gdzie z łatwością można  pozyskać popularne narzędzia hakerskie, które są wykorzystywane do przeprowadzania ataków na firmowe komputery. Firma  dla wirtualnych złodziei to cel znacznie bardziej atrakcyjny, niż standardowy użytkownik sieci. Siła internetowych gangów tkwi również w strukturze organizacyjnej. Większość z nich ściśle ze sobą współpracuje, używając do przeprowadzania swoich działań legalnych narzędzi internetowych, takich jak wyszukiwarki oraz oprogramowania udostępnianego w modelu Software as a Service. Koronnym przykładem coraz szybciej rozprzestrzeniających się zagrożeń jest również robak Conficker, który wykorzystując niezaktualizowane przez użytkowników luki w zabezpieczeniach systemu Windows. Dostęp do nowoczesnych technologii, nie idzie więc w parze z rozwojem infrastruktury bezpieczeństwa sieci. Niewłaściwe zabezpieczenie firmowego serwera generuje jednak ryzyko dla pozostałych interesariuszy i tak jeżeli np. połączenie miedzy klientem a serwerem nie jest szyfrowane za pomocą protokołu SSL, to przesyłane w ten sposób dane bardzo szybko mogą dostać się w niepowołane ręce. Jeżeli już przedsiębiorcy decydują się na zakup oprogramowania antywirusowego, to zazwyczaj są to klasyczne pakiety antywirusów, przeznaczone dla klientów indywidualnych. Sklepy komputerowe nie oferują natomiast oprogramowania stworzonego z myślą o komputerach firmowych. Chociaż programy antywirusowe z wzmocnieniem w postaci firewall[3]. stanowią minimalną podstawę bezpieczeństwa, to jednak bez zaawansowanej heurystyki i kompleksowych rozwiązań przedsiębiorcy są nadal narażeni na zainfekowanie komputerów. W przypadku ochrony antywirusowej kluczową rolę odgrywają takie aspekty jak: wielkość sieci firmowej, czy też wykorzystywane na co dzień węzły sieciowe, które stanowią własne serwery, na których przechowywana jest np. poczta e-mail, a także inne stacje robocze. Dlatego w przypadku firm znacznie lepiej sprawdza się scentralizowana ochrona w obrębie sieci oraz użytkowników wykorzystujących np. laptopy, które łączą się z siecią zdalnie. Istotny jest również fakt, że osoby, które  korzystają z systemu można dowolnie dzielić na grupy, dzięki czemu ochrona antywirusowa jest optymalnie dostosowana do ich potrzeb. Jak wynika z międzynarodowych raportów, na świecie blisko 60 proc. przedsiębiorstw zainfekowanych jest oprogramowaniem typu „malwa re” i w  co drugiej firmie, właśnie z tego powodu spada  wydajność, natomiast co czwarta straciła poufne dane. Obecnie zmieniła się orientacja twórców robaków komputerowych. Kiedyś celem było zarażenie komputera wirusem, dziś priorytetem jest kradzież pieniędzy i danych. Bez skutecznej i kompleksowej ochrony antywirusowej firmy działające w Internecie narażają się na ogromne ryzyko. Różnego rodzaju wyniki badań pokazują również, że dobrze działający system chroniący firmową sieć i jej klientów powoduje wzrost wydajności pracy pracowników, a  inwestycje w tego typu rozwiązania po prostu się opłacają na krótszą i dłuższą metę[4]. Światowa gospodarka notuje rocznie z tytułu cyberzagrożeń nawet 575 mld dolarów strat. Ataki w cyberprzestrzeni zmniejszają wartość dodaną, jaką generuje Internet, o 20%. Oznacza to, że nawet 3 bln dolarów mogą być zagrożone do 2020 roku. Szacuje się, że cyberprzestępczość obniża globalne PKB o 0,8 pkt. proc., a im kraj jest bogatszy, tym większy jest ten wpływ.  Uważa  się, że ponad 50 mld urządzeń do roku 2020 będzie miało dostęp do Internetu, ilość ta  automatycznie zwiększa  potencjalne zagrożenie jakie niesie tak zwany „cybergeddon”. Na skalę zjawiska cyberprzestępczości wpływa kilka czynników. Po pierwsze, zainteresowanie mediów i nagłaśnianie przez nie przypadków cyberprzestępstw. Po drugie, zwiększające się  wymagania organów regulacyjnych w zakresie ochrony danych i monitorowania transakcji przyczyniają się do zwiększenia wykrywalności cyberprzestępstw[5]. Po trzecie, na rzeczywisty wzrost przypadków cyberprzestępczości wpływa postęp w technologii informatycznych. Cyberprzestępczość ewoluuje, wyprzedzając adekwatne zmiany prawne oraz odpowiednie zabezpieczenia organizacji[6]. Po czwarte, cyberprzestępczości sprzyja zwiększona aktywność pracowników w sieci w tym używanie przez nich portali społecznościowych, takich jak Facebook, Twitter lub LinkedIn, co zwiększa zasięg lub efektywność cyberprzestępczości, np. ułatwia identyfikację osób pracujących w danej organizacji i ich adresów mailowych, a w dalszej kolejności umożliwić instalowanie toksycznego oprogramowania (wirusów, trojanów) na komputerach służbowych tych pracowników[7]. Wreszcie po piąte, na liczbę cyberprzestępstw mają również wpływ niejasności definicyjne,  firmy interpretują  inne tradycyjne przestępstwa popełnione z wykorzystaniem komputerów, technologii bądź kradzieżą danych jako cyberprzestępstwa. Branżami, które bardziej są  narażone na ataki cyberprzestępców  są sektory opierające swoją działalność na systemach informatycznych, dysponujące obszernymi bazami danych bądź też podlegające ścisłym regulacjom prawnym, m.in. instytucje finansowe, firmy sektora telekomunikacyjnego oraz technologii i w tych przypadkach negatywne skutki cyberataków są bardzo dotkliwe jak i niebezpieczne. Amerykańskie firmy szacują, że koszty wynikające z samego tylko wycieku danych, takie jak np. wydatki związane z odpowiedzią na te incydenty, oraz koszty kar i postępowań sądowych sięgają setek milionów dolarów. Polskie przedsiębiorstwa najbardziej boją się bezpośrednich skutków cyberataków takich jak kradzieże,   utrata danych osobowych, kradzieże własności intelektualnej i innych danych oraz przerwy w świadczeniu usług. Globalne organizacje postrzegają konsekwencje zjawiska w szerszym niż polskie firmy horyzoncie czasowym: obawiają się przede wszystkim utraty reputacji, wymienione obawy wydają się uzasadnione, biorąc pod uwagę  niewystarczający poziom stosowanych zabezpieczeń. Jedna firma na trzy na świecie nie posiada odpowiednich mechanizmów obronnych przed tym zjawiskiem, a dwie na trzy nie mają systemów jego wykrywania. W Polsce jedynie 23% firm deklaruje regularny monitoring ryzyka związanego z cyberprzestępczością, podczas gdy monitoring ten ma kluczowe znaczenie w wykrywaniu tego typu nadużyć. Dodatkowo jedna‑trzecia organizacji w Polsce prowadzi monitoring korzystania przez pracowników z portali społecznościowych, takich jak Facebook czy Twitter, których nieostrożne użytkowanie może narazić organizacje na szereg zagrożeń. Ryzyko cyberataku uzależnione jest m.in. od skali działalności przedsiębiorstwa, ilości operacji, które wykonywane są przez Internet, oraz stopnia jego otwartości w środowisku wirtualnym. Bez względu na branże oraz wielkość budżetów istnieją zabezpieczenia, które mogą istotnie zredukować ryzyko cyberataku.  Do najbardziej narażonych  firm na wszelakie cyberatali narażona jest branża finansowa  i  ubezpieczeniowa. Tuż za nimi jest sektor teleinformatyczny, wytwórczy oraz handlu detalicznego. Ponad 400 mld dolarów wynosi globalny koszt przestępstw komputerowych ponoszonych przez podmioty gospodarcze[8].  Podkreśla się, że cyberprzestępczość negatywnie wpływa przede wszystkim na ogólne wyniki finansowe przedsiębiorstw oraz krajowe rynki, ma destrukcyjny wpływ na handel, konkurencyjność, innowację i wzrost światowej gospodarki, a same straty spowodowane cyberprzestępczością mogą skutkować rocznie utratą aż 150 tys. miejsc pracy w Unii Europejskiej i 200 tys. w USA[9]. Państwa o wysokim dochodzie są narażone na straty wyższe średnio o około 0,9 proc. PKB. Na ponad 400 mld dolarów rocznie są szacowane ekonomiczne skutki oddziaływania cyberprzestępczości w skali światowej, co stanowi 15-20 proc. wartości generowanej przez Internet. Kradzież numerów IP oraz poufnych danych biznesowych powoduje jedne z największych strat. Departament handlu USA wyliczył, że amerykańskie firmy rocznie tracą wskutek tego typu cyberprzestepstw 200-250 mld dolarów[10]. Utrata danych inwestycyjnych czy poufnych szczegółów dotyczących negocjacji może zostać natychmiast wykorzystana przez przestępcę. Wykradzione poufne dane mogą posłużyć do manipulowania rynkami lub zostać użyte w obrocie giełdowym. Część strat wynikających z cyberprzestępczości jest bezpośrednio związana z tym, co eksperci nazywają „kosztami naprawy” lub cyfrowym i elektronicznym procesem „czyszczenia”, który jest konieczny po wykryciu ataku. W raporcie McAfee-CSIS[11]. zwraca się uwagę, że przestępcy nie są w stanie spieniężyć wszystkich skradzionych informacji, ale w obliczu takiego ryzyka ich ofiary są zmuszone i tak ponosić duże koszty odzyskiwania danych, a także nadszarpniętego wizerunku i zaufania klientów. Internet i firmowe sieci informatyczne coraz częściej stają się narzędziem wykorzystywanym do dokonywania przestępstw i nadużyć przeciwko organizacjom, uważa się, że tego typu działania są po sprzeniewierzeniu aktywów (kradzieże, oszustwa i nadużycia) drugim najczęściej występującym rodzajem przestępstwa gospodarczego. Przedsiębiorstwa powinny być świadome zarówno szans, jak i ryzyka, jakie niesie ze sobą świat wirtualny, tak aby móc czerpać z niego jak najwięcej korzyści, a jednocześnie unikać zagrożeń. Budowanie takiej świadomości w organizacji wymaga wsparcia kierownictwa najwyższego szczebla,  systematycznej edukacji pracowników oraz stosowania odpowiednich zabezpieczeń. Jest to niezbędne minimum w wyścigu zbrojeń pomiędzy cyberprzestępcami a organizacjami w czasach postępu technologicznego i coraz większej aktywności gospodarczej spółek w wirtualnym świecie. Należy wspomnieć, ze gdy rosną straty firm atakowanych przez cyberprzstępców, to jednocześnie koszty przeprowadzenia ataku dla hakerów gwałtownie spadają, jest to wynik rozrastania  się botnetów,  a samo przeprowadzenie ataku DDoS  w  jest coraz tańsze i łatwiejsze oraz  również łatwy stał się dostęp do narzędzi i exploitów na stronach działających w ukrytej sieci (tzw. „dark net”)[12].

Cyberprzestępczość dotyka wszystkie rynki i gałęzie przemysłu. Najdroższe w skutkach były ataki na sektor globalnych usług finansowych oraz sektor energetyczny. Kolejnym dobrodziejstwem dla cyberprzestępców było ujawnienie narzędzi i danych włoskiej firmy Hacking Team[13]. W upublicznionych danych zawartych było wiele exploitów „zero day” oraz nieznane wcześniej dziury w systemach bezpieczeństwa popularnego oprogramowania[14]. I chociaż producenci tacy jak Adobe czy Microsoft szybko naprawiają ujawnione luki w zabezpieczeniach, to nie wszyscy użytkownicy regularnie aktualizują swoje oprogramowanie i przez to narażeni są na cyberataki.