S Blankou Vargovou hovoríme o našej ostražitosti v online svete

Mesiac október je v našej spoločnosti venovaný povedomiu o kybernetickej bezpečnosti. Tento rok nám priniesol nové výzvy, kedy časť pracovnej sily pracuje
z domu uprostred pandémie korona vírusu. Prispôsobenie sa novým denným zvyklostiam a rozptýleniam, ktoré sa bežne v kancelárskom prostredí nenachádzajú, zvyšuje ostražitosť v kybernetickom priestore viac než kedykoľvek predtým. O bezpečnosti v online priestore sme sa zhovárali s Blankou Vargovou.

• Ako hodnotíte pripravenosť a obozretnosť zamestnancov v súvislosti s kybernetickými hrozbami?

Na hodnotenie povedomia o kybernetickej bezpečnosti využívame nástroj, ktorým simulujeme phishing e-maily. Každý mesiac sa vymýšľa téma spoločne s kolegami
z USS a posiela sa takýto e-mail všetkým používateľom. Dva týždne po odoslaní testovacieho phishing e-mailu sa vyhodnocuje jeho úspešnosť resp. neúspešnosť. Štatistiky
o vývoji viete sledovať aj sami na web stránke Cybersecurity. Na tejto stránke nájdete aj to, ako vyzeral testovací e-mail a čo boli varovné signály, ktoré ste mohli rozoznať. Za posledných 12 mesiacov zlyhalo v rozpoznaní phishing emailu v priemere 2,68 % z celkového počtu našich používateľov. Správnym postupom pri spozorovaní podozrivého e-mailu je nahlásiť ho pomocou PhishAlarm tlačidla v Outlooku alebo preposlaním na reportphishing@sk.uss.com. Ja ho následne preverím (niekedy kvôli analýze posielam kolegom do USS) a dám vám odpoveď ohľadom jeho bezpečnosti resp. nebezpečnosti. Takto by sa malo postupovať aj v prípade týchto testovacích e-mailov, lebo sa môže pokojne stať, že to testovací nie je. Priemerné nahlasovanie podozrivých e-mailov je mesačne 80, pričom nahlasovanie tých testovacích je podstatne vyššie, a to 300.

• Zlepšuje sa trend počtu  „nachytaných“?

Trend má niekedy stúpajúcu, inokedy klesajúcu tendenciu. Závisí to od obťažnosti cvičenia, avšak štandardne sú vyššie percentá zlyhania, keď sa testovací e-mail tvári ako interný (ale samozrejme nie je). 

• Došlo v našom prostredí k reálnemu útoku?

K útoku v zmysle, že by to bolo úmyselné poškodenie USSK ešte nie, resp. o tom nemáme vedomosť. Avšak už viackrát sa stalo, že boli nabúrané e-mailové schránky našich zákazníkov a do komunikácie sa vplietol útočník s trošku pozmenenou e-mail adresou, tváril sa ako naši zamestnanci a zákazníkovi podvrhol e-mail, v ktorom ho informoval o zmene bankového účtu. Bohužiaľ sa stalo, že zákazník si to všimol až vtedy, keď sa mu ozvali naši kolegovia a informovali sa ohľadom nezaplatenej faktúry. Išlo o nemalé sumy. Posledný takýto fraud sa stal v auguste 2020, kedy útočník si dal námahu a vytlačil zmluvu v pdf, premazal bankové spojenie a doplnil svoj účet. Zákazník si to nevšimol, pričom to bolo rozpoznateľné, lebo bolo vidno aj obrysy a bol použitý iný typ písma. Buďte prosím veľmi obozretní, takýto typ útokov je teraz na vzostupe.

• Aké kroky robíte, aby ste nás na nebezpečenstvá kyberpriestoru pripravili?

Už vyššie spomenuté mesačné testovacie e-maily,  kde sa snažíme vyberať tému podľa aktuálnych ozajstných phishingov. Okrem toho, ak sa niečo deje buď celosvetovo alebo lokálne, informujem o tom našich používateľov e-mailom. Naposledy som posielala zopár informačných e-mailov ohľadom COVID-19. A ešte máme jednu iniciatívu, ktorá prebieha práve v októbri a to je Mesiac povedomia o kybernetickej bezpečnosti, ktorý robíme už zopár rokov. V rámci tohto mesiaca stále začíname úvodným e-mailom, tento rok to bolo od prezidenta USSK Jima Bruna a následne používatelia dostali do schránok Ročné testovanie kybernetickej bezpečnosti, ktorého témou je tento rok ransomwér. Poskytuje sa to formou online školenia, ktoré je potrebné absolvovať do konca mesiaca október. V novembri sa následne vyhodnocuje jeho úspešnosť, keďže súčasťou je aj krátky test. Okrem školenia každý ďalší týždeň dostanú všetci používatelia informačné letáky o aktuálnych hrozbách
v kyberpriestore a návodu, ako sa im vyvarovať.