Gorąco komentowana ustawa inwigilacyjna stała się pretekstem do dyskusji o poziomie bezpieczeństwa danych w polskim biznesie. - Pracowaliśmy dla korporacji z miliardowymi obrotami, która skrzynkę z kablami dostawcy internetu zamocowała na zewnętrznej części ogrodzenia. Ujawniliśmy też kiedyś przypadek zainstalowania podsłuchu przez ochroniarza, który otrzymał za to litr wódki - mówi money.pl Bartłomiej Guguła, właściciel Biura Detektywistycznego Grupa Hedron.
*Krzysztof Janoś: Nowa ustawa zwróciła * *nam wszystkim * *uwagę na zagrożenie związane z inwigilacją. Biznesmeni, a nawet celebryci rzeczywiście zaczynają szyfrować rozmowy? *
*Bartłomiej Guguła, właściciel Biura Detektywistycznego Grupa Hedron: *Tak. Sprawy, szczególnie w biznesie, nie poprawiają informacje o zaangażowaniu nieuczciwych policjantów w sprzedawanie informacji z podsłuchów. CBŚ ostro się za to wzięło, ale ostatnio w Lublinie ponownie ujawniono policjanta, który wykradał informacje.
Jeszcze jeden powód, żeby próbować się chronić na wszelki wypadek?
Nie chcę mówić oczywiście o całym państwowym aparacie, ale jeżeli policja będzie teraz miała łatwiejszy dostęp do takich informacji, to może być naprawdę różnie. Policjant też człowiek, ma swoich znajomych, przyjaciół. Wystarczy, że ktoś go o coś poprosi, a dane mogą trafić w niepowołane ręce. Może też zacząć się podsłuchiwanie na życzenie.
Taka samonakręcająca się spirala podsłuchowych lęków może jednak dobrze zrobi firmom, które dziś bagatelizują bezpieczeństwo danych?
Wątpię. W Polsce funkcjonuje to zawsze według powtarzalnego scenariusza. Jeżeli jest o czymś głośno w gazetach, to robi się szum wokół tematu. Ale za kilka tygodni, kiedy publikacji będzie mniej, wszystko się uspokoi i przedsiębiorcy ponownie przestaną doceniać, jak istotne jest bezpieczeństwo informacji.
Może nie bagatelizują tematu, ale szkoda im pieniędzy. Profesjonalne zabezpieczenia potrafią kosztować kilkaset tysięcy złotych. Usługi profesjonalistów też nie są tanie.
Tylko w nielicznych przypadkach to prawda. Bardziej wynika to jednak z niewiedzy. Tak naprawdę to polscy przedsiębiorcy generalnie dopiero dojrzewają do tego, żeby należycie zabezpieczać informacje. Nie chodzi tylko o ewentualne działanie służb, ale również i konkurencję.
Trochę trudno mi w to uwierzyć. Chyba jednak wiedza o tym, jak cenne dla konkurencji mogą być informacje, jest powszechna?
Tak, ale niewiele z tego wynika. Od lat robimy audyty bezpieczeństwa i mogę powiedzieć z pełną odpowiedzialnością, że 90 procent firm w Polsce w ogóle nie jest w żaden sposób zabezpieczona przed jakąkolwiek inwigilacją.
Tymczasem podsłuchy to już codzienność. Nie powinno to dziwić, kiedy podstawowy sprzęt do nagrywania kosztuje 100 złotych. Nie jest to profesjonalne urządzenie, ale jeżeli nie ulegnie awarii, a bateria wytrzyma odpowiednio długo, to można tym zrobić naprawdę dużo krzywdy. Wprawdzie w firmach jest monitoring, pracownicy mają karty dostępu, ale nie ma żadnego zabezpieczenia teleinformatycznego.
To znaczy?
Bardzo często nawet w dużych, poważnych firmach za łączność z internetem odpowiada prosty router za 100 złotych, bez żadnego zabezpieczenia. Wszystkie komputery w firmie łączą się za jego pośrednictwem i nie ma nawet zewnętrznej bazy danych, która miałaby szansę być lepiej chroniona. Konkurencja, nie mówiąc już o służbach, nie musi nawet wynajmować żadnego utalentowanego hakera. Informatyk z przeciętną wiedzą potrzebuje 3 minut i uzyskuje dostęp do praktycznie wszystkiego. Zrobi to siedząc w samochodzie zaparkowanym tuż pod siedzibą, nawet nie musi się włamywać.
Skoro skala zaniedbań jest tak duża, to jak to się dzieje, że tych firm nikt codziennie nie okrada z informacji, pieniędzy?
Nikt nie chwali się tym w gazetach, ale to się dzieje. Znam przypadek firmy z Dolnego Śląska, w której ktoś włamał się do księgowości i próbował ukraść 160 milionów euro. Kradzież nie powiodła się tylko dlatego, że bank zablokował przelew. To dowód na to, że jak już dochodzi do ataku, to straty naprawdę mogą być duże, ale o nich się nie myśli, dopóki do tego nie dojdzie.
Spółki giełdowe i dobrze znane marki, operujące miliardami, są lepiej zabezpieczone niż małe firmy?
Po latach w branży naprawdę nic mnie już nie zdziwi. Zdarzyło nam się odwiedzać duże firmy z sektora finansowego, gdzie dokumenty były wszędzie. Zupełnie nie chronione i nie zabezpieczone leżały sobie umowy, skany dowodów osobistych i inne ważne dokumenty.
Pracowaliśmy też dla korporacji z miliardowymi obrotami i okazało się, że nie mają praktycznie żadnych zabezpieczeń, oprócz kontroli dostępu przez system kart elektronicznych dla swoich pracowników. Wystarczyło podjechać pod firmę, złapać ich sygnał Wi-Fi i po trzech minutach miało się nieograniczony dostęp do wszystkiego. A skrzynka z kablami dostawcy internetu była zamocowana do zewnętrznej części ogrodzenia. Praktycznie każdy mógł się do niej podłączyć i zdrowo poszaleć w firmowym systemie. To była... firma technologiczna.
Polski przedsiębiorca bardziej powinien obawiać się włamania do systemu komputerowego niż podsłuchu?
Niekoniecznie, bo podsłuch może podłożyć praktycznie każdy i jak już powiedziałem, za nieduże pieniądze. Obecnie więc to problem bardziej powszechny. Żeby włamać się do systemu i zrobić z tego właściwy użytek, trzeba już trochę więcej wiedzy i pieniędzy.
Ale podsłuch też trzeba jeszcze podłożyć. Sam pan powiedział, że w sferze kontroli fizycznego dostępu do firmy jest u nas dość dobrze. Pracownicy mają karty i osoba niepowołana nie może sobie od tak wejść do firmy prosto z ulicy.
Tak, ale jest liczna grupa pracowników, która, jak ochroniarze czy pracownicy firm sprzątających, zarabia bardzo mało. Przez to łatwiej ich skorumpować. Za niewielkie pieniądze wniosą, co chcemy i gdzie chcemy. Mówię to w oparciu o wieloletnie doświadczenie, nie jest to tylko teoretyczna możliwość, ale dość często stosowana praktyka.
Gdy zaproponuje się komuś wielokrotność pensji, to jest duże prawdopodobieństwo, że pójdzie na współpracę. Biorąc pod uwagę, na jakim poziomie są płace minimalne, a z drugiej strony, jak cenne są informacje, które można zdobyć, rachunek jest bardzo prosty. Zresztą czasem nie trzeba aż takich nakładów. Ujawniliśmy kiedyś przypadek zainstalowania podsłuchu przez ochroniarza, który otrzymał za to litr wódki.