Ankieta: wyzwania z zakresu cyberbezpieczeństwa w małych i średnich firmach

Celem ankiety jest:

identyfikacja wyzwań z zakresu cyberbezpieczeństwa przed którymi stoją małe i średnie przedsiębiorstwa (MŚP),
analiza zdolności MŚP w UE do radzenia sobie z tymi wyzwaniami podczas kryzysu wywołanego COVID-19, oraz
identyfikacja istotnych dobrych praktyk.

Informacja zebrana za pomocą niniejszej ankiety pozwoli (w późniejszym okresie) na sformułowanie prostych i skutecznych rekomendacji dla europejskich firm w zakresie cyberbezpieczeństwa.

Dane zebrane za pomocą niniejszej ankiety pozostaną całkowicie anonimowe i zostaną przekazane w formie zagregowanej przez Polską Agencję Rozwoju Przedsiębiorczości Europejskiej Agencji ds. Cyberbezpieczeństwa (ENISA).

Strona 1/4

Sekcja A. Informacja dotycząca Państwa firmy

1. Proszę o zaznaczenie opcji która najlepiej odpowiada liczbie pracowników w firmie: 0 do 9 10 do 49 50 do 250 Ponad 250

2. Proszę o zaznaczenie opcji która najlepiej odpowiada rocznym przychodom firmy: Poniżej 2 mln EUR Poniżej 10 mln EUR Poniżej 50 mln EUR

3. Proszę o zaznaczenie sektora w którym działa Państwa firma: Usługi hotelarskie i restauracyjne Działalność specjalistyczna, naukowa i techniczna Administrative and support service activities Nieruchomości Budownictwo Transport i magazynowanie Dostawa energii, paliw i innych nośników energii Dostawa wody, odbiór ścieków, zarządzanie odpadami i rekultywacja Informatyka i komunikacja Handel hurtowy i detaliczny oraz naprawa pojazdów silnikowych Produkcja przemysłowa Górnictwo i wydobycie Inny - proszę o podanie poniżej

Inny sektor

4. Proszę o podanie kraju – siedziby firmy: Polska Inny kraj

Inny kraj

Strona 2/4

Sekcja B. Znaczenie technologii Informatycznych i komunikacyjnych (ICT)

1. Proszę o zaznaczenie stwierdzenia które najlepiej opisuje rolę ICT w Państwa firmie: Używam/y komputerów do celów administracyjnych i biurowych. W przypadku niedostępności komputera/internetu, ich brak byłby tolerowalny. Prawdopodobnie moglibyśmy tak funkcjonować przez miesiąc bez istotnego wpływu na działalność firmy. Korzystanie z komputerów i Internetu stanowi część procesu świadczenia usług / produkcji. Ich niedostępność w znaczący sposób odbiłaby się negatywnie na działalność firmy. Już po jednym tygodniu wpłynęłyby poważne skargi i ciągłość pracy byłaby zagrożona. Działalność firmy jest całkowicie uzależniona od dostępu do Internetu i komputerów. W przypadku odcięcia od tych zasobów i usług firma stanęłaby w obliczu istotnych problemów lub nawet bankructwa już w pierwszym tygodniu.

2. Proszę o zaznaczenie, czy Państwa firma wykorzystuje Internet w poniższych czynnościach biznesowych:

Telepraca: wszyskie formy pracy poza biurem, obejmujące również niestandardowe środowiska pracy, określane jako “telecommuting”, “elastyczne miesce pracy”, “praca zdalna” i “praca wirtualna”. [Źródło: ISO 27002:2013]
E-nauczanie: nauczanie realizowane zdalnie za pomocą technologii teleinformatycznych [Źródło: ISO/IEC 24751-1]
E-handel (handel elektroniczny) oznacza elektroniczny proces zakupu lub sprzedaży produktów za pośrednictwem usług online lub Internetu [Źródło: Wikipedia]
E-fakturowanie jest to elektroniczna forma fakturowania. Metody e-fakturowania są stosowane przez strony transakcji, takie jak klienci i ich dostawcy, w celu wzajemnego przedstawienia i monitorowania dokumentów transakcyjnych oraz zagwarantowania iż ich ustalania handlowe zostały spełnione. [Źródło: Wikipedia]

Wyszukiwanie informacji Tak Nie Nie wiem

Poczta elektroniczna Tak Nie Nie wiem

Praca Tak Nie Nie wiem

E-learning Tak Nie Nie wiem

Telekonferencje Tak Nie Nie wiem

Bankowość elektroniczna Tak Nie Nie wiem

e-handel Tak Nie Nie wiem

Katalog produktów u usług on-line Tak Nie Nie wiem

Obsługa klientów i ich wsparcie Tak Nie Nie wiem

e-fakturowanie Tak Nie Nie wiem

Przechowywanie danych Tak Nie Nie wiem

3. Proszę o zaznaczenie stwierdzenia które najlepiej opisuje istotność informacji przetwarzanych przez Państwa firmę: W naszej firmie przetwarzane są informacje, które – choć istotne dla działalności firmy – nie są kluczowe, poufne lub wrażliwe. W naszej firmie przetwarzane są informacje biznesowe i dane osobowe: dane osobowe nie są wrażliwe i ich utrata lub kradzież nie będzie stanowiła istotnej niedogodności dla osób których dotyczą. Nasza firma w ramach swojej działalności przetwarza kluczowe informacje biznesowe i wrażliwe dane osobowe. Ich kradzież lub utrata wiąże się z poważnymi skutkami prawnymi dla naszej firmy a konsekwencje dla osób których dotyczą utracone dane będą poważne lub nieodwracalne (np. niewłaściwa alokacja funduszy, wpis na listę dłużników, uszkodzenie mienia, utrata pracy, pozwy sądowe, pogorszenie zdrowia, niemożność świadczenia pracy, długookresowe konsekwencje psychologiczne lub fizyczne, zagrożenie życia, itd.).

4. Czy Państwa firma korzysta z przetwarzania danych w chmurze? Tak Nie

Jeśli tak, proszę o oznaczenie każdej funkcji biznesowej realizowanej przez usługę chmurową.

Definicja Hardware: moce obliczeniowe, przestrzeń zapisu danych, połączenia I inne kluczowe zasoby udostępnione klientowi, w sposób umożliwiający mu stosowanie wybranego oprogramowania, obejmującego również systemy operacyjne i aplikacje. Klient nie kontroluje leżącej u podstaw usługi infrastruktury chmurowej, jednak posiada kontrolę nad systemami operacyjnymi, przestrzenią zapisu i wykorzystywanymi aplikacjami, oraz możliwość częściowej kontroli nad elementami sieci (np. firewalle hosta) [Źródlo: NIST SP800-145]

Poczta elektroniczna Tak Nie Nie wiem

Praca zdalna Tak Nie Nie wiem

e-szkolenia Tak Nie Nie wiem

Telekonferencje Tak Nie Nie wiem

e-handel Tak Nie Nie wiem

Obsługa i wsparcie klienta Tak Nie Nie wiem

e-fakturowanie Tak Nie Nie wiem

Zapis danych Tak Nie Nie wiem

Strona 3/4

Sekcja C. Wdrożone procedury bezpieczeństwa

1. Czy Państwa firma wdrożyła jakiekolwiek formy zdalnego dostępu do zasobów firmy przed epidemią COVID-19? Tak Nie

2. Które z poniższych stwierdzeń najlepiej opisuje zdalne formy dostępu do zasobów firmy przed epidemią COVID-19? Istniała możliwość świadczenia usług klientom za pośrednictwem aplikacji Teamviewer, AnyDesk, itp. Istniała możliwość połączenia się z komputerami w biurze za pośrednictwem aplikacji Teamviewer, AnyDesk, itp. Pracownicy firmy mieli możliwość połączenia się z wewnętrzną siecią firmy za pomocą VPN Pracownicy firmy mieli możliwość uzyskania dostępu do swoich skrzynek poczty elektronicznej na odległość Firma wdrożyła usługi chmurowe które pozwalały na dostęp i przetwarzanie co najmniej poczty elektronicznej, edycję plików i komunikację zespołu Firma wdrożyła rozwiązania pozwalające na odbywanie wirtualnych spotkań i komunikacji zespołu (np. Teams, Skype for Business, Webex itp.)

3. Czy Państwa firma wdrożyła jakiekolwiek formy zdalnego dostępu do zasobów firmy w trakcie epidemii COVID-19? Tak Nie

4. Które z poniższych stwierdzeń najlepiej opisuje zdalne formy dostępu do zasobów firmy w trakcie epidemii COVID-19? możliwość świadczenia usług klientom za pośrednictwem aplikacji Teamviewer, AnyDesk, itp. możliwość połączenia się z komputerami w biurze za pośrednictwem aplikacji Teamviewer, AnyDesk, itp. Pracownicy firmy uzyskali możliwość połączenia się z wewnętrzną siecią firmy za pomocą VPN Pracownicy firmy uzyskali możliwość uzyskania dostępu do swoich skrzynek poczty elektronicznej na odległość Firma wdrożyła usługi chmurowe które pozwalały na dostęp i przetwarzanie co najmniej poczty elektronicznej, edycję plików i komunikację zespołu Firma wdrożyła rozwiązania pozwalające na odbywanie wirtualnych spotkań i komunikacji zespołu (np. Teams, Skype for Business, Webex itp.)

5. Które z poniższych technologii bezpieczeństwa Państwa firma wdrożyła przed epidemią COVID-19 a które po? (jeśli nie wdrożono danej technologii przed ani po epidemii COVID-19, proszę o zaznaczenie „Nie wdrożono”).

Firewall (system zabezpieczenia sieci monitorujący i kontrolujący ruch sieciowy w oparciu o z góry ustalone zasady bezpieczeństwa) Przed COVID-19 Po COVID-19 Nie wdrożono

Ochrona antywirusowa (oprogramowanie antywirusowe służące zapobieganiu instalacji złośliwego oprogramowania, jego wykrywaniu i usuwaniu) Przed COVID-19 Po COVID-19 Nie wdrożono

Kopie zapasowe (tworzenie kopii zapasowych danych w celu ich ewentualnego wykorzystania w przypadku utraty oryginalnych danych w wyniku incydentu bezpieczeństwa) Przed COVID-19 Po COVID-19 Nie wdrożono

Systemy rejestrowania i alertów (rejestrowanie w formie logów system. Istnieją aplikacje służące do zarządzania logami i powiadamiania o zagrożeniach) Przed COVID-19 Po COVID-19 Nie wdrożono

DLP (Oprogramowanie Data Loss Prevention software wykrywa potencjalne naruszenia danych i im zapobiega poprzez monitoring, wykrywanie i blokowanie wrażliwych danych w czasie ich przetwarzania, przekazywania i zapisu) Przed COVID-19 Po COVID-19 Nie wdrożono

Podpisy elektroniczne (podpis elektroniczny jest matematycznym schematem weryfikującym autentyczność wiadomości lub dokumentów elektronicznych) Przed COVID-19 Po COVID-19 Nie wdrożono

VPN (Wirtualna Prywatna sieć - virtual private network,VPN – umożliwia rozszerzenie prywatnej sieci na sieć publiczną i umożliwia użytkownikom przesyłanie i odbiór danych za pośrednictwem współdzielonych lub publicznych sieci, w sposób nie odbiegający od sytuacji w której ich urządzenia cyfrowe są połączone w ramach sieci prywatnej) Przed COVID-19 Po COVID-19 Nie wdrożono

Wirtualizacja (utworzenie wirtualnej – w odróżnieniu od faktycznie istniejącej – wersji obiektu, w tym wirtualnej platformy hardware-owej, urządzeń do zapisu danych, lub zasobów sieciowych) Przed COVID-19 Po COVID-19 Nie wdrożono

Szyfrowanie (Szyfrowanie jest kodowaniem informacji w sposób który uniemożliwia jej odczyt bez stosownego kodu. Przykładem stosownym do przedmiotu niniejszej ankiety są zaszyfrowane dyski, urządzenia, itp.). Przed COVID-19 Po COVID-19 Nie wdrożono

Bezpieczne usuwanie (wymazanie) informacji (Bezpieczne usuwanie odnosi się do działań mających na celu trwałe zniszczenie danych – bez możliwości ich usunięcia) Przed COVID-19 Po COVID-19 Nie wdrożono

IoT – Internet rzeczy (Internet rzeczy – IoT – to system powiązanych urządzeń posiadających moc obliczeniową, mechanicznych lub cyfrowych, posiadających unikalne tożsamości - unique identifiers, UIDs – i mogących przekazać dane za pomocą sieci bez udziału człowieka. Na potrzeby niniejszej ankiety, jako IoT rozumie się zabezpieczenia chroniące IoT) Przed COVID-19 Po COVID-19 Nie wdrożono

6. Które z poniższych kontroli bezpieczeństwa Państwa firma wdrożyła przed epidemią COVID-19 a które po? (jeśli nie wdrożono danej technologii przed ani po epidemii COVID-19, proszę o zaznaczenie „Nie wdrożono”).

Świadomość zasad bezpieczeństwa i szkolenia dla kadr (Szkolenia dla kadr z zakresu cyberbezpieczeństwa i zasad ochrony danych) Przed COVID-19 Po COVID-19 Nie wdrożono

Audyty wewnętrzne (Audyty wewnętrzne z zakresu bezpieczeństwa danych wdrażane systemowo przez organizację ) Przed COVID-19 Po COVID-19 Nie wdrożono

Oceny bezpieczeństwa (Oceny bezpieczeństwa technologii teleinformatycznych to dedykowane badanie możliwych zagrożeń i ryzyk systemów IT. Do badań tych należą analizy zagrożeń i testy penetracyjne) Przed COVID-19 Po COVID-19 Nie wdrożono

ISMS (ISMS - Information Security Management System, system do zarządzania bezpieczeństwem informacji. System taki zapewnia zachowanie poufności, integralności i dostępności informacji poprzez zastosowanie procesu zarzadzania ryzykiem) Przed COVID-19 Po COVID-19 Nie wdrożono

Procedury zarządzania hasłami (zbiór zasad stworzonych w celu zwiększenia bezpieczeństwa poprzez zachęcanie pracowników do tworzenia i wykorzystywania silnych haseł) Przed COVID-19 Po COVID-19 Nie wdrożono

Monitoring przenośnych nośników danych (Przenośne nośniki danych to nośniki zaprojektowane w sposób który umożliwia ich podłączenie i odłączenie od systemu) Przed COVID-19 Po COVID-19 Nie wdrożono

Polityka dopuszczalnego zakresu korzystania z aplikacji i sprzętu firmowego (AUP - Acceptable Use Policy, zbiór zasad wdrożonych przez posiadacza, twórcę lub administratora sieci, strony lub usługi, ograniczających zakres z nich korzystania i wprowadzający zasady zgodnie z którymi można z nich korzystać) Przed COVID-19 Po COVID-19 Nie wdrożono

Systematyczne aktualizacje oprogramowania (aktualizacja rozumiana jest jako nowa, ulepszona lub naprawiona wersja oprogramowania, zastępująca starsze wersje tego samego oprogramowania) Przed COVID-19 Po COVID-19 Nie wdrożono

Ocena ryzyka cyberbezpieczeństwa (jest to proces identyfikacji, analizy i ewaluacji ryzyka. Jego rolą jest zapewnienie adekwatności wybranych zabezpieczeń do ryzyka na które jest narażona firma) Przed COVID-19 Po COVID-19 Nie wdrożono

Kontrola i monitoring usług świadczonych przez podmioty zewnętrzne (procedury monitoringu i zarządzania interakcjami z wszystkimi podmiotami zewnętrznymi z którymi firma wchodzi w relacje. Podmioty te często mają dostęp do informacji firmy lub mogą mieć oddziaływanie na kondycję bezpieczeństwa firmy) Przed COVID-19 Po COVID-19 Nie wdrożono

Zwiększone kontrole bezpieczeństwa fizycznego w pomieszczeniach ze sprzętem ICT (Kontrola fizyczna to zasady bezpieczeństwa w zdefiniowanym obrębie przestrzennym, których celem jest ograniczenie możliwości nieautoryzowanego dostępu do wrażliwych zasobów. Przykładami kontroli fizycznej są: czujniki ruchu i termiczne, personel ochrony, systemy dostępu, itp.) Przed COVID-19 Po COVID-19 Nie wdrożono

Pełnomocnik ds. Cyberbezpieczeństwa/bezpieczeństwa informacji (Jest to najczęściej kierownik wyższego szczebla odpowiedzialny za zdefiniowanie i wdrożenie wizji, strategii i postępowania zakresie zabezpieczenia zasobów danych i sprzętu ICT) Przed COVID-19 Po COVID-19 Nie wdrożono

Zarządzanie zasobami (proces identyfikacji zasobów IT, ich klasyfikacji i utworzenia odpowiednich procedur bezpieczeństwa) Przed COVID-19 Po COVID-19 Nie wdrożono

Zawarcie w umowach klauzul bezpieczeństwa (celem zawarcia i udokumentowania zasad bezpieczeństwa w relacjach umownych jest uniknięcie nieporozumień z dostawcami lub pracownikami co do obowiązków stron w zakresie bezpieczeństwa) Przed COVID-19 Po COVID-19 Nie wdrożono

Struktury ds. reakcji na incydenty (zespoły pracowników przygotowane do reakcji na incydenty bezpieczeństwa takich jak klęska naturalna lub przerwanie procesów biznesowych) Przed COVID-19 Po COVID-19 Nie wdrożono

Ciągłość działalności i plany naprawcze po incydentach (BCP - Business Continuity Plan – dokument określający zasady zapewnienia ciągłości działalności w przypadku doznania nieprzewidzianej przerwy w funkcjonowaniu firmy. Plan naprawczy to udokumentowana i ustrukturalizowana procedura powrotu do działalności po nieplanowanym incydencie. Plan jest kluczowym elementem planu ciągłości działalności (BCP) i dotyczy obszarów wrażliwych na zakłócenia w funkcjonowaniu infrastruktury ICT. Przed COVID-19 Po COVID-19 Nie wdrożono

Strona 4/4

Sekcja D. Incydenty naruszenia cyberbezpieczeństwa, wyzwania i propozycje

1. Czy Państwa firma w okresie ostatnich 5 lat doznała incydentu naruszenia cyberbezpieczeństwa? Tak Nie

2. Czy taki incydent miał miejsce w czasie pandemii COVID-19? Tak Nie

3. W jaki sposób został przeprowadzony atak? Phishing Celowa działalność osoby wewnątrz organizacji Złośliwe oprogramowanie Atak sieciowy naruszenie / kradzież urządzenia Atak wykorzystujący odmowę dostępu Manipulacja społecznościowa/psychologiczna

4. Czy wiedzą Państwo z kim należy się skontaktować w przypadku doznania cyberataku? (np. CERT Polska, właściwa agencja rządowa, itp.) Tak Nie

5. Czy w okresie pandemii COVID-19 otrzymali Państwo jakiekolwiek maile phishingowe/spam o tematyce COVID-19? Tak Nie

6. Które z poniższych stwierdzeń stanowi dla Państwa firmy największe wyzwanie stojące na drodze wdrożenia narzędzi i procedur z zakresu cyberbezpieczeństwa? Koszt wdrożenia jest zbyt wysoki Brak odpowiednich wytycznych Zagrożenia cyfrowe nie są istotnym ryzykiem dla działalności naszej firmy Wsparcie zarządu Brak kadr o niezbędnej wiedzy z zakresu cyberbezpieczeństwa i ICT Niska świadomość Niedostateczne zasoby finansowe Dostępne rozwiązania są zwykle przeznaczone dla dużych organizacji Brak czasu/zasobów wewnętrznych do wdrożenia procedur / zajęcia się tą kwestią

7. Jakie działania organizacyjne, prawne i/lub techniczne powinny zostać wdrożone w celu wsparcia małych i średnich przedsiębiorców w lepszym przygotowaniu na zagrożenia cyfrowe w czasach kryzysów? (1000 chars left)

Sekcja E. Udział w kolejnych działaniach (opcjonalne)

Jeżeli chcieliby Państwo uczestniczyć w kolejnych działaniach związanych z tym badaniem ankietowym, prosimy o podanie kontaktowego adresu e-mail. Wypełniając poniższe pole deklarujecie Państwo iż możecie Państwo udzielać informacji w imieniu Państwa firmy.

Dziękujemy za wypełnienie ankiety.

Centrum pomocy

Witaj, jak możemy Ci pomóc?

Zadzwoń do nas

Telefoniczne dyżury ekspertów.

Ankieta: wyzwania z zakresu cyberbezpieczeństwa w małych i średnich firmach

Telefony kontaktowe

Ankieta: wyzwania z zakresu cyberbezpieczeństwa w małych i średnich firmach