Jeszcze kilka lat temu cyberbezpieczeństwo było postrzegane głównie jako odpowiedzialność działu IT. Dziś takie podejście jest nie tylko nieaktualne, ale może prowadzić do poważnych konsekwencji prawnych, finansowych i wizerunkowych dla całej organizacji. Rosnąca liczba ataków wykorzystujących sztuczną inteligencję, deepfake oraz zaawansowaną socjotechnikę sprawia, że celem cyberprzestępców coraz częściej nie są systemy informatyczne, lecz ludzie podejmujący kluczowe decyzje biznesowe.

Nowa era cyberataków – celem jest proces decyzyjny

Współczesne cyberataki coraz rzadziej polegają na łamaniu zabezpieczeń technicznych. Przestępcy doskonale rozumieją, że łatwiej zmanipulować człowieka niż przełamać nowoczesne systemy bezpieczeństwa.

Popularne stały się ataki typu:

• Business Email Compromise (BEC),
• spear phishing,
• deepfake audio i wideo,
• fałszywe faktury,
• podszywanie się pod kontrahentów,
• manipulowanie procesami akceptacji płatności.

Przykładem jest sytuacja opisana przez ekspertów prawa gospodarczego, w której cyberprzestępcy przejęli skrzynkę mailową jednego z kontrahentów i przygotowali wiarygodną prośbę o zmianę numeru rachunku bankowego. Dokumenty oraz korespondencja były przygotowane w sposób praktycznie nieodróżnialny od autentycznych. W efekcie autoryzowano przelew na konto przestępców.

To pokazuje fundamentalną zmianę – dziś atakowany jest proces podejmowania decyzji, a nie wyłącznie infrastruktura IT.

AI zwiększa skuteczność cyberprzestępców

Generatywna sztuczna inteligencja znacząco podniosła jakość ataków socjotechnicznych.

Nowoczesne modele AI potrafią:

• przygotować perfekcyjnie napisane wiadomości e-mail,
• odtworzyć styl komunikacji konkretnej osoby,
• tłumaczyć wiadomości bez charakterystycznych błędów językowych,
• generować realistyczne nagrania głosu,
• tworzyć filmy typu deepfake.

Jeszcze kilka lat temu podejrzane wiadomości można było rozpoznać po błędach językowych lub nienaturalnym stylu. Obecnie takie sygnały praktycznie zniknęły.

To oznacza, że klasyczne szkolenia z rozpoznawania phishingu przestają być wystarczające.

Odpowiedzialność zarządu wykracza poza decyzje biznesowe

Prawo spółek od dawna wymaga od członków zarządu zachowania należytej staranności przy prowadzeniu spraw przedsiębiorstwa. Obecnie standard ten obejmuje również zarządzanie cyberbezpieczeństwem.

Jeżeli organizacja:

• nie wdroży odpowiednich procedur,
• ignoruje znane ryzyka,
• nie szkoli kadry zarządzającej,
• nie prowadzi analizy zagrożeń,
• nie posiada planów reagowania na incydenty,

to w razie poważnego incydentu mogą pojawić się zarzuty dotyczące niewłaściwego wykonywania obowiązków.

Coraz częściej odpowiedzialność dotyczy nie samego ataku, lecz zaniedbań organizacyjnych, które umożliwiły jego powodzenie.

NIS2 zmienia podejście do odpowiedzialności

Dyrektywa NIS2 wprowadza znacznie wyższe wymagania dotyczące zarządzania cyberbezpieczeństwem niż wcześniejsze regulacje.

W praktyce oznacza to konieczność:

• regularnej oceny ryzyka,
• wdrożenia polityk bezpieczeństwa,
• zarządzania bezpieczeństwem dostawców,
• raportowania incydentów,
• prowadzenia szkoleń dla kadry kierowniczej,
• aktywnego zaangażowania organów zarządzających.

Co szczególnie istotne, członkowie organów zarządzających mają obowiązek zdobywania wiedzy pozwalającej właściwie oceniać ryzyko cybernetyczne i podejmować świadome decyzje.

DORA – nowe obowiązki dla sektora finansowego

Jeszcze dalej idzie rozporządzenie DORA (Digital Operational Resilience Act), które obowiązuje podmioty sektora finansowego.

DORA wymaga m.in.:

• ciągłego monitorowania zagrożeń,
• testowania odporności cyfrowej,
• zarządzania ryzykiem związanym z dostawcami ICT,
• raportowania incydentów,
• zapewnienia ciągłości działania.

Cyberbezpieczeństwo zostało wprost uznane za element zarządzania przedsiębiorstwem, a nie wyłącznie funkcję technologiczną.

Business Judgment Rule nie chroni przed zaniedbaniami

Polskie prawo coraz szerzej stosuje zasadę Business Judgment Rule.

Oznacza ona, że członek zarządu nie odpowiada wyłącznie dlatego, że decyzja okazała się błędna. Ocenie podlega przede wszystkim sposób jej podjęcia.

Jeżeli decyzja została poprzedzona:

• analizą ryzyka,
• konsultacjami ekspertów,
• oceną alternatywnych scenariuszy,
• działaniem w dobrej wierze,
• dbałością o interes spółki,

to sama niekorzystna konsekwencja nie musi oznaczać odpowiedzialności.

Inaczej wygląda sytuacja, gdy zarząd zignorował oczywiste zagrożenia lub nie stworzył podstawowych mechanizmów kontroli.

Compliance staje się narzędziem ochrony zarządu

Nowoczesne programy compliance nie służą wyłącznie spełnianiu wymogów regulatorów.

Stanowią również dowód, że organizacja działała z należytą starannością.

Skuteczny system compliance obejmuje między innymi:

• procedury zatwierdzania płatności,
• polityki cyberbezpieczeństwa,
• zarządzanie konfliktami interesów,
• ochronę sygnalistów,
• audyty wewnętrzne,
• dokumentowanie procesu podejmowania decyzji.

W praktyce to właśnie dokumentacja często decyduje o możliwości wykazania, że zarząd działał odpowiedzialnie.

Deepfake – największe wyzwanie najbliższych lat

Jednym z najszybciej rozwijających się zagrożeń są technologie deepfake.

Eksperci przewidują wzrost liczby prób wykorzystania:

• fałszywych rozmów telefonicznych prezesa,
• podrobionych wideokonferencji,
• nagrań głosowych wydających polecenia przelewów,
• spreparowanych komunikatów kryzysowych,
• fałszywych wystąpień członków zarządu.

Rozwój modeli AI powoduje, że odróżnienie materiałów prawdziwych od wygenerowanych staje się coraz trudniejsze.

Dlatego organizacje powinny wdrażać zasadę „zero zaufania” (Zero Trust) również wobec komunikacji wewnętrznej.

Zarządzanie ryzykiem dostawców

Coraz więcej incydentów rozpoczyna się nie w samej organizacji, lecz u partnerów biznesowych.

Dlatego nowoczesny system cyberbezpieczeństwa powinien obejmować:

• ocenę bezpieczeństwa dostawców,
• wymagania kontraktowe dotyczące ochrony danych,
• okresowe audyty,
• monitorowanie podwykonawców,
• procedury reagowania na incydenty w łańcuchu dostaw.

To szczególnie ważne w dobie usług chmurowych oraz outsourcingu procesów biznesowych.

Ubezpieczenie D&O nie zastąpi właściwego zarządzania

Coraz większym zainteresowaniem cieszą się polisy Directors & Officers (D&O), chroniące członków zarządu przed skutkami roszczeń związanych z pełnieniem funkcji.

Należy jednak pamiętać, że ubezpieczenie nie eliminuje obowiązków wynikających z przepisów prawa. Nie każda odpowiedzialność podlega ochronie ubezpieczeniowej, a zakres polis może zawierać liczne wyłączenia. Dlatego D&O powinno być jedynie uzupełnieniem dobrze funkcjonującego systemu zarządzania ryzykiem.

Jak zarządy mogą ograniczyć ryzyko?

Najskuteczniejsze organizacje koncentrują się obecnie na budowaniu odporności, a nie wyłącznie ochrony technicznej.

Do najważniejszych działań należą:

• obowiązkowa podwójna autoryzacja wysokokwotowych przelewów,
• weryfikacja zmian numerów rachunków drugim kanałem komunikacji,
• regularne szkolenia zarządu i kadry menedżerskiej,
• testy phishingowe,
• procedury reagowania na incydenty,
• ćwiczenia kryzysowe z udziałem zarządu,
• monitorowanie ryzyka dostawców,
• dokumentowanie procesu podejmowania decyzji,
• okresowe audyty cyberbezpieczeństwa,
• współpraca działów IT, prawnego, compliance i finansów.

Podsumowanie

Cyberbezpieczeństwo przestało być wyłącznie zagadnieniem technologicznym. Stało się elementem ładu korporacyjnego, zarządzania ryzykiem i odpowiedzialności organów spółek. Dynamiczny rozwój sztucznej inteligencji sprawia, że cyberprzestępcy coraz częściej wykorzystują manipulację, a nie ataki na infrastrukturę IT. W takich warunkach przewagę zyskują organizacje, które inwestują nie tylko w technologie, ale również w procedury, kulturę bezpieczeństwa, szkolenia oraz systemy compliance. Dla współczesnych zarządów oznacza to jedno – skuteczne zarządzanie cyberbezpieczeństwem jest dziś jednym z podstawowych obowiązków biznesowych, a nie opcjonalnym elementem strategii.