| |
|
„Na Linii Decyzji” – CyberUpdate dla przemysłu
Newsletter dla zarządzających i kierowników produkcji w polskich firmach
|
|
|
|
W tym wydaniu trudno zacząć od innego tematu niż jeden z największych incydentów cyberbezpieczeństwa ostatnich miesięcy. Według informacji przekazanych przez Ministerstwo Cyfryzacji wyciek z platformy medycznej MyDr mógł objąć dane nawet 19 milionów Polaków, w tym numery PESEL, informacje o receptach czy historię leczenia. To kolejne przypomnienie, że cyberbezpieczeństwo nie dotyczy wyłącznie infrastruktury IT, ale przede wszystkim danych, za które odpowiada organizacja. Dla przedsiębiorstw przemysłowych jest to ważny sygnał ostrzegawczy. Rosnące wymagania NIS2, coraz większa liczba cyberataków oraz powszechne wykorzystanie AI sprawiają, że zarządzanie bezpieczeństwem informacji staje się jednym z kluczowych obowiązków kadry zarządzającej.
|
|
|
|
Wyciek danych z MyDr: lekcja, którą powinien odrobić każdy zarządzający
Informacja o możliwym wycieku danych nawet 19 milionów Polaków z platformy medycznej MyDr pokazuje, że dziś incydent cyberbezpieczeństwa może dotknąć najbardziej wrażliwych zasobów organizacji. Według dostępnych informacji wykradziona baza miała zawierać m.in. numery PESEL, informacje o receptach, szczegóły wizyt oraz historię chorób pacjentów. Choć sprawa dotyczy sektora ochrony zdrowia, jej znaczenie wykracza daleko poza tę branżę. To kolejny przykład pokazujący, że organizacje gromadzące duże ilości danych są atrakcyjnym celem dla cyberprzestępców, a skutki jednego incydentu mogą dotknąć milionów osób.
|
Co to oznacza dla firm produkcyjnych?
- Ochrona danych jest dziś równie ważna jak zabezpieczenie systemów OT i infrastruktury produkcyjnej.
- Pojedynczy incydent może skutkować sankcjami regulacyjnymi, kosztami obsługi naruszenia oraz utratą zaufania klientów.
- Wymagania NIS2 coraz mocniej akcentują zarządzanie ryzykiem związanym z przetwarzaniem danych i bezpieczeństwem łańcucha dostaw.
Jak chronić dane osobowe w firmie?
- Przeprowadź inwentaryzację danych osobowych i określ, gdzie są przechowywane oraz kto ma do nich dostęp.
- Wprowadź zasadę minimalnych uprawnień i regularnie przeglądaj konta użytkowników.
- Segmentuj dostęp do danych pomiędzy działy oraz dostawców zewnętrznych.
- Regularnie testuj procedury tworzenia i odtwarzania kopii zapasowych.
- Monitoruj logi dostępu do najważniejszych systemów i baz danych.
- Wymagaj od dostawców usług IT oraz chmurowych zgodności z wymaganiami bezpieczeństwa i procedur raportowania incydentów.
- Prowadź regularne szkolenia pracowników dotyczące phishingu, ochrony danych i bezpiecznej pracy z dokumentami.
Co powinien zrobić zarządzający?
- Zweryfikować, jakie dane osobowe i biznesowe są przechowywane w organizacji.
- Sprawdzić gotowość organizacji do obsługi incydentu naruszenia danych.
- Upewnić się, że dostawcy kluczowych usług posiadają procedury reagowania na incydenty.
- Przeanalizować zgodność organizacji z wymaganiami NIS2 oraz nowymi obowiązkami raportowymi.
|
|
|
|
|
|
|
|
|
|
Dyrektywa NIS2: ostatni dzwonek
Czy Twoja organizacja musi zarejestrować się jako podmiot kluczowy lub ważny?
Kto i w jaki sposób powinien dokonać samoidentyfikacji oraz złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych? Termin upływa już 3 października 2026 roku.
Podczas konsultacji pokażemy:
- kto podlega obowiązkowi rejestracji w świetle nowych przepisów,
- jak poprawnie przeprowadzić proces samoidentyfikacji,
- jakie są kluczowe obowiązki wynikające z NIS2,
- jakie ryzyka wiążą się z brakiem rejestracji,
- jak przygotować praktyczny plan działania dla organizacji,
- jakie kroki warto podjąć już teraz, aby uniknąć sankcji i skutecznie przygotować się do nowych wymagań.
Dla kogo?
Zapraszamy do kontaktu
- członków zarządów,
- dyrektorów i kierowników IT,
- specjalistów ds. cyberbezpieczeństwa,
- działów compliance i prawnych,
- przedstawicieli organizacji działających w sektorach objętych NIS2, szczególnie tych, którzy po raz pierwszy będą musieli zmierzyć się z wymaganiami wynikającymi z nowych regulacji.
Masz wątpliwości, czy Twoja organizacja podlega NIS2? Skontaktuj się z ekspertami JSW IT Systems i przygotuj firmę na nadchodzące obowiązki, zanim upłynie termin rejestracji.
|
|
|
|
Oszustwa inwestycyjne 2026: cyberprzestępcy działają już jak profesjonalne firmy
Jeszcze kilka lat temu internetowe oszustwa finansowe kojarzyły się z pojedynczymi przestępcami. Dziś za większością dużych kampanii stoją organizacje przypominające normalne przedsiębiorstwa: posiadają własne działy HR, systemy CRM, wskaźniki KPI, a nawet specjalistów od psychologii sprzedaży szkolących konsultantów telefonicznych. Coraz częściej wykorzystują również generatywną sztuczną inteligencję do tworzenia wiarygodnych treści, rozmów i materiałów marketingowych. Dla firm przemysłowych nie jest to wyłącznie problem działów finansowych. Ataki często rozpoczynają się od zdobycia zaufania pracownika i stopniowego pozyskiwania informacji o organizacji, procesach lub dostawcach.
Co to oznacza dla firm produkcyjnych?
- AI pozwala przestępcom prowadzić bardziej wiarygodne kampanie socjotechniczne.
- Fałszywe inwestycje często są jedynie początkiem bardziej zaawansowanych prób wyłudzeń.
- Ofiarami padają nie tylko osoby prywatne, ale również pracownicy mający dostęp do firmowych finansów i danych.
Co powinien zrobić zarządzający?
- Regularnie przypominać pracownikom o zasadach weryfikacji kontaktów telefonicznych i internetowych.
- Wprowadzić obowiązkowe potwierdzanie nietypowych operacji finansowych drugim kanałem komunikacji.
- Uwzględnić zagrożenia wykorzystujące AI w programach budowania świadomości cyberbezpieczeństwa.
|
|
|
Shadow AI: największe ryzyko AI może już działać w Twojej firmie
Większość organizacji koncentruje się na wyborze właściwego narzędzia AI. Tymczasem rosnącym problemem jest zjawisko określane jako Shadow AI. Pracownicy, chcąc szybciej realizować zadania, samodzielnie korzystają z publicznych modeli LLM, wklejając do nich fragmenty dokumentów, umów, kodu źródłowego czy danych klientów. W przypadku przedsiębiorstw produkcyjnych mogą to być dane technologiczne, dokumentacje techniczne, raporty awarii lub informacje o procesach produkcyjnych. Problem polega na tym, że organizacja często nie ma wiedzy, jakie informacje opuszczają jej środowisko i gdzie są dalej przetwarzane.
Co to oznacza dla firm produkcyjnych?
- Dane produkcyjne i biznesowe mogą trafiać do zewnętrznych usług bez wiedzy zarządu.
- Nawet dobrze zabezpieczona organizacja może utracić kontrolę nad informacjami przez zwykłe „kopiuj-wklej”.
- Wiele firm nadal nie posiada formalnej polityki korzystania z narzędzi AI.
Co powinien zrobić zarządzający?
- Opracować jasne zasady korzystania z narzędzi AI.
- Określić, jakie dane mogą być przetwarzane przez modele językowe.
- Zidentyfikować obszary, w których pracownicy najszybciej zaczęli wykorzystywać AI w codziennej pracy.
|
|
|
|
3 rzeczy, które warto zrobić w tym miesiącu
1. Wprowadź zasady korzystania z AI
Jeżeli organizacja nie posiada polityki dotyczącej narzędzi AI, prawdopodobnie pracownicy już korzystają z nich samodzielnie. Ustal, jakie dane mogą być przetwarzane przez modele językowe i jakie narzędzia są dopuszczone do użytku.
2. Przećwicz procedurę weryfikacji poleceń finansowych
Nowoczesne oszustwa wykorzystują elementy psychologii, automatyzacji i AI. Kilkunastominutowe przypomnienie procedur może uchronić firmę przed stratami finansowymi.
3. Zweryfikuj bezpieczeństwo aplikacji wspierających produkcję
Sprawdź, czy systemy wykorzystywane przez pracowników, kontrahentów i serwisantów były w ostatnim czasie poddawane testom bezpieczeństwa oraz czy istnieje proces reagowania na zgłaszane podatności.
Chcesz sprawdzić, jak ograniczyć ryzyko Shadow AI, zabezpieczyć aplikacje wykorzystywane w środowisku przemysłowym lub podnieść świadomość cyberbezpieczeństwa wśród pracowników? Skontaktuj się z zespołem JSW IT Systems.
Zespół JSW IT Systems
|
|
|
|
|
|
|
|
|
