KNF wydała ostrzeżenie. Oprogramowanie z Rosji może stwarzać zagrożenie

Urząd Komisji Nadzoru Finansowego w nowym piśmie sektorowym zaleca instytucjom nadzorowanym uważne przeanalizowanie ryzyk związanych z wykorzystywaniem oprogramowania komputerowego pochodzącego z Federacji Rosyjskiej bądź Białorusi. Oprócz zagrożenia cybernetycznego, UKNF zwraca również uwagę na ryzyka biznesowe.

– Pisma sektorowe Komisji nie są formalnie wiążące. Jestem jednak przekonany, że jeśli w którejś z nadzorowanych instytucji doszłoby teraz do incydentu w związku z wykorzystywaniem takiego oprogramowania, ocena tego zdarzenia byłaby zupełnie inna, niż jeszcze przed opublikowaniem tego pisma – mówi w swoim komentarzu Tomasz Klecor, prawnik, partner w kancelarii Legal Geek, specjalizującej się w obsłudze rynku finansowego.

Zdaniem eksperta problem może stanowić brak świadomości użytkownika na temat tego, gdzie powstał wykorzystywany przez niego program. Klecor uważa, że należy zwracać uwagę nie tylko na takich gigantów jak Kaspersky, ale również małe narzędzia, które często nie są nawet nazywane programami. W tym miejscu wspomina o aplikacjach do edycji zdjęć, alternatywach dla notatnika, czy wtyczkach i rozszerzeniach do przeglądarek internetowych.

– Urząd wskazuje na możliwe zagrożenia w związku z nasilaniem się działań mających znamiona cyberwojny – zauważa w swoim komentarzu Maciej Cieśla, Head of Cybersecurity HackerU Polska. Spośród przesłanek, które mogą wpłynąć negatywnie na użytkowanie produktów, których krajem pochodzenia jest Federacja Rosyjska lub Białoruś, KNF wymienia następujące przykłady:

• problemy z zapewnieniem oczekiwanych aktualizacji,
• brak wsparcia technicznego produktów lub ich istotne ograniczenie,
• ograniczenie działalności biznesowej określonych firm związane z sankcjami lub problemami z utrzymaniem działalności komercyjnej,
• ryzyko wizerunkowe wynikające z użytkowania produktu,
• całkowity brak wsparcia produktów,
• zaburzenia łańcucha dostaw (w tym ataki na łańcuch dostaw),
• wycieki danych (w tym danych wrażliwych klientów) występujące w wyniku ataków hakerskich,
• kompromitację w zakresie bezpieczeństwa używania danego produktu,
• ujawnienie podatności produktów, które mogą być wykorzystane w ramach cyberataków,
• wykorzystanie produktów do działań o charakterze przestępczym.

KNF podkreśla, że produkty teleinformatyczne, pochodzące od firm rosyjskich czy białoruskich, nabyte jako produkty komercyjne, należy uznać za szczególnie wymagające stałego monitorowania. – Oznacza to jednocześnie, że instytucje nadzorowane wcale nie muszą natychmiast rezygnować z tego typu oprogramowania, ale powinny ocenić, czy dodatkowe działania monitorujące i sprawdzające pozwalają na utrzymanie opłacalności korzystania z tych produktów" – wskazuje Cieśla.