Kompetencje i współpraca są kluczowe dla cyfryzacji

Jak organizacje korzystają z chmury, jakie dane do niej przenoszą, jak wygląda bezpieczeństwo tych danych, to niektóre z zagadnień, o jakich dyskutowali eksperci podczas debaty „Bezpieczeństwo danych osobowych w środowisku chmurowym – wartość i wyzwania", zorganizowanej przez „Rzeczpospolitą" wspólnie ze Standard Chartered Polska.

Przyspieszenie migracji

Olga Budziszewska, doradczyni ds. bezpieczeństwa w Accenture Security Polska, zaznaczyła, że pandemia znacznie przyspieszyła migrację do chmury, co spowodowało wzrost zainteresowania kwestiami bezpieczeństwa, szczególnie w organizacjach podlegających ścisłym regulacjom, jak sektor bankowy.

Niespodziewana skala i tempo migracji to obecnie jedno z największych wyzwań dla bezpieczeństwa. – Widzimy ogromny wzrost zainteresowania chmurą, którego jeszcze kilka miesięcy temu nikt nie mógł się spodziewać. Rynek nie jest na to gotowy, szybko może dojść do wysycenia specjalistów z odpowiednimi kompetencjami, żeby odpowiednio zabezpieczyć migrację do chmury. Konsekwencją może być niewystarczający poziom bezpieczeństwa, a co za tym idzie, więcej incydentów, które go dotyczą – przestrzegała. Kluczowy jest przy tym aktualny poziom bezpieczeństwa w firmie. – Im jest on niższy, tym trudniejsza jest bezpieczna integracja z chmurą – mówiła.

Zwróciła także uwagę na dwoistość projektów chmurowych, gdzie z jednej strony biznes jest nastawiony bardzo pozytywnie i oczekuje natychmiastowych korzyści, a z drugiej szalone tempo wdrożeń może powodować ryzyko dla bezpieczeństwa danych i informacji. – Te dwa aspekty się ze sobą kłócą. Wyzwaniem dla branży bezpieczeństwa jest stworzenie mechanizmów radzenia sobie z takimi sytuacjami – wskazała Olga Budziszewska.

Bartłomiej Nocoń, dyrektor Zespołu Systemów Płatniczych i Bankowości Elektronicznej w Związku Banków Polskich, zwrócił uwagę na wartość budowania wiedzy i tworzenia kompetencji cyfrowych w organizacjach. Podkreślił, że w przypadku banków, które są zaznajomione z technologiami cyfrowymi i wykorzystują chmurę do przetwarzania ogromnych ilości zbiorów danych i mają umiejętność szybkiego tworzenia i sprzedawania produktów cyfrowych, będzie to element wyróżniający je na coraz bardziej konkurencyjnym rynku finansowym.

– Wykorzystanie danych w czasie rzeczywistym przy wykorzystaniu chmury, modeli sztucznej inteligencji i uczenia maszynowego, w połączeniu z bieżącą kwantyfikacją i wyceną ryzyka pozwala na konkurowanie np. poprzez obniżenie ceny produktów – uważa przedstawiciel ZBP. – Patrząc globalnie, innowacyjne banki wykorzystują chmurę do wyceny ryzyka, mikrosegmentacji klientów, zarządzania ceną i perfekcyjnego oferowania danego produktu we właściwym czasie, miejscu i kanale. Z drugiej strony, sektor finansowy na świecie wykorzystuje również chmurę obliczeniową do skutecznej walki z wyłudzeniami i praniem pieniędzy (AML), wzmacniając tym samym swoje mechanizmy bezpieczeństwa. To jest dodatkowa wartość dla banków.

– Korzystanie z zaawansowanych technologicznie rozwiązań pozwala jeszcze efektywniej być blisko klienta. Polskie banki określane są jako innowacyjne, więc powinny czerpać z tego przewagi. Pora na implementowanie strategii chmurowych w polskim sektorze bankowym i jako ZBP będziemy to mocno wspierać – zaznaczył Bartłomiej Nocoń.

Wyzwania legislacyjne

Dr Maciej Kawecki, dziekan Wyższej Szkoły Bankowej w Warszawie oraz prezes Instytutu Lema, zwrócił uwagę na niedoskonałości legislacji. Z jednej strony obowiązuje dyrektywa UE z 2016 r. dotycząca cyberbezpieczeństwa, są przepisy RODO i wytyczne ministra cyfryzacji, a z drugiej jest wiele wewnętrznych reguł korporacyjnych. – Regulacji jest bardzo dużo. Według ostatniego raportu NASK w III kw. liczba cyberataków tylko w Polsce wzrosła o 43 proc. To porażająca statystyka. I cała legislacja musi nadążać za tymi wyzwaniami – wskazywał dr Maciej Kawecki. – A mamy najnowszą rezolucję Rady UE, nawołującą dostawców usług cyfrowych, w tym chmury, do zaniżania standardów bezpieczeństwa, po to, by nieograniczony dostęp do nośników danych, a więc także chmury, i zgromadzonych zasobów miały służby, policja i szeroko określone organy administracji publicznej państw UE. Jest też nowy projekt dyrektywy mającej zastąpić tę z 2016 r., który jest dla mnie bełkotem legislacyjnym. Wprowadza nieograniczoną liczbę instytucji szeroko rozumianego nadzoru przetwarzania danych tak w sposób scentralizowany, jak i zdecentralizowany. Pytanie, w jakim kierunku podążamy w zakresie bezpieczeństwa danych w chmurze – zastanawiał się ekspert.

Zwrócił też uwagę na aspekt tzw. brzegowego przetwarzania danych, a więc danych pozyskiwanych i przetwarzanych u ich źródła. Pozwala to na szybszy dostęp do danych i lepsze wykorzystanie przepustowości sieci. Usługi chmurowe będą musiały się w tej rzeczywistości znaleźć, a obecna legislacja w tym obszarze w żadnym zakresie temu nie odpowiada.

Eksperci zgodnie wskazywali, że przy migracji do chmury krytyczne znaczenie dla organizacji ma ścisła współpraca w obszarach technologii, procesów i prawa.

Mec. Maciej Gawroński, partner zarządzający, kancelaria G+P Gawroński & Partners, ekspert Komisji Europejskiej ds. kontraktów chmurowych, mówił o szansach związanych z migracją do chmury. – Chmura oferowana przez dużych dostawców zapewnia o wiele wyższy poziom bezpieczeństwa, niż jest to w stanie zrobić jakaś firma samodzielnie. Wyzwaniem jest z kolei odpowiedź na pytanie, jak powinno wyglądać myślenie o cyberbezpieczeństwie. Bo w wielu firmach pada pytanie o bezpieczeństwo w chmurze, tymczasem jedynym atutem własnego systemu jest to, że nie został on jak dotąd poddany żadnej poważnej próbie ataku – mówił mec. Gawroński. – Ważne jest więc wyartykułowanie przez prawników oczekiwań związanych z bezpieczeństwem w chmurze. Muszą się oni także w dużej mierze nauczyć cyberbezpieczeństwa, rozumianego jako pewien proces. Innym wyzwaniem jest poznanie i zrozumienie nie tylko przez działy IT, ale i przez biznes, jakiej chmury potrzebujemy, jak ona działa i jak właściwie zarządzać w niej ustawieniami dotyczącymi bezpieczeństwa – podkreślił.

Dodał, że droga do cyfryzacji to ścieżka w jednym kierunku. I dziś przy korzystaniu z chmury, nie tylko w przypadku prawników, ale i całego społeczeństwa, potrzebna jest wiedza interdyscyplinarna, tak by nie tylko świadomie korzystać z zalet chmury, ale i rozumieć kwestie bezpieczeństwa.

Upraszczać procedury

Michał Jaworski, członek zarządu Microsoft Polska, dyrektor Strategii Technologicznej, wskazał, że tak długo będą zagrożenia dla bezpieczeństwa systemów, jak długo będzie panowała „informatyzacja po staropolsku", czyli brak otwartości na zmiany i bazowanie na doświadczeniach sprzed lat. Potrzebne jest stałe budowanie kompetencji. – Patrząc z zewnątrz, wydaje nam się, że IT i bezpieczeństwo to prące naprzód, nowoczesne działy w każdej firmie, a to nie zawsze jest prawdą. Biznes już chciałby wykorzystać możliwości, jakie np. dostrzegł w chmurze, a okazuje się, że brakuje wsparcia i wiedzy – mówił.

– Technologia i prawo określają kierunki i ramy innowacji, ale pomysł na biznes i jego organizacja są kluczowe. Wśród nadchodzących technologii wskazałbym 5G, sztuczną inteligencję, internet rzeczy. Ale liczy się innowacja: spójrzmy na przykład elektrycznych hulajnóg w mieście. Aby je uruchomić, musimy połączyć w funkcjonujący biznes mikropłatności, geolokalizację, zarządzanie pojazdami i uwzględnić, że ludzie cały czas mają przy sobie smartfony. Co najmniej kilkanaście elementów, wiele związanych z chmurą. Pytanie, co będzie następną „hulajnogą". Pewne jest, że możliwości inwencji biznesu są bardzo duże – wskazywał.

Jego zdaniem w obszarze prawa i organizacji przełomem będzie upraszczanie procedur, zarówno po stronie użytkownika, jak i dostawcy. – Jeżeli to nastąpi i zostanie zatwierdzone przez prawników, wszyscy skorzystamy. A jeżeli nadal będziemy tworzyć niekończące się procedury, mnożyć dokumenty i paragrafy, to masowa migracja do chmury nie nastąpi. Moja rada? Upraszczać wszystko, co się da. W tym widzę szansę przyspieszenia cyfryzacji – mówił Michał Jaworski.

Kamil Bączyk, Principal Enterprise Security Architect z banku Standard Chartered, także zwracał uwagę na konieczność zmiany przyzwyczajeń i stosowania dobrych praktyk jako standardów w organizacjach oraz rozwijania kompetencji, budowania świadomości szans i ryzyk, nie zapominając o perspektywie klienta, który jest odbiorcą końcowym produktu czy usługi. – Specjaliści IT są w stanie szybko odpowiedzieć na potrzeby biznesu, ale wymaga to współpracy. Oczywiście pytanie, co to znaczy „szybko", jak i w jakim stopniu wpłynie na aktualne procesy i jakie są ryzyka. Dotyczą one np. jakości czy sposobu wdrożenia oraz korzyści, bezpieczeństwa danych, w tym sposobu ich przechowywania, przetwarzania oraz tego, kto i w jakich warunkach ma do nich dostęp – mówił Kamil Bączyk.

Z jego perspektywy bardzo ważny jest dialog między biznesem a działami odpowiedzialnymi za bezpieczeństwo. – Biznes powinien być świadomy ryzyk związanych z obszarem bezpieczeństwa, bo wpływa to na produkt, który chce zaoferować. Dzięki temu łatwiej będzie nam wytłumaczyć, dlaczego przed wdrożeniem rozwiązań wykorzystujących np. sztuczną inteligencję konieczne są określone kroki, dotyczące choćby możliwości technicznych i analizy zagrożeń, np. ataków i sposobów ochrony. Oprócz korzyści z przejścia do chmury musimy brać pod uwagę związane z tym zagrożenia – wskazywał Kamil Bączyk.