Nagranie i transkrypcja wywiadu opublikowanego w cyklu: Innowacyjni podcast Bankier.pl
Wysłuchaj całej rozmowy tutaj:
… albo przeczytaj transkrypcję tej rozmowy poniżej.
Szukasz partnera w obszarze cyberbezpieczeństwa?
Innowacyjni – Podcast Bankier.pl
Rozmowę z Prezesem zarządu Perceptus Jackiem Starościcem prowadziła Beata Tomaszkiewicz
Będziemy dzisiaj rozmawiali o cyberbezpieczeństwie, bo właśnie tym zajmuje się Perceptus. Dużo się mówi ostatnio o cyberzagrożeniach. Czy dlatego, że tych cyberzagrożeń przybywa i na jakie najczęściej narażone są firmy?
Cyberzagrożenia były zawsze, natomiast w związku z tym, że skala cyfryzacji instytucji, firm i ludzi była na dosyć niskim poziomie. jeszcze kilkanaście lat temu, kiedy zakładaliśmy firmę, skala była niezauważalna.
Mogę porównać to do bezpieczeństwa na drodze. Jeśli nie było samochodów, to nie było zagrożeń związanych z komunikacją, z bezpieczeństwem ruchu pieszych. Tu jest analogiczna sytuacja.
Ten rozwój cyfryzacji kraju,a właściwie całego świata spowodował, że przestępcy zaczęli wykorzystywać to środowisko do tworzenia narzędzi i prowadzenia cyberataków, prób kradzieży danych, informacji.
Na jakie cyberprzestępstwa najczęściej narażone są firmy?
Tutaj nie ma ograniczeń.
…Zaczynając od bardzo prostych form, czyli kierowania ataków na zwykłych ludzi poprzez wykradanie ich danych kart kredytowych, wykradanie ich tożsamości cyfrowych, prób uzyskania dostępu do ich informacji, szyfrowania tych informacji, które są na przykład elementem nawet jakichś prac badawczych… A kończąc na atakach wymierzonych w infrastrukturę, czyli przemysł, instytucje, szpitale.
Dużo słyszało się ostatnio o atakach na nasze instytucje publiczne. Takie ataki mają na celu destabilizację systemu informatycznego, próbę włamania się do tych systemów, próbę zaszyfrowania danych lub ich fałszowania.
Tak samo ataki związane z włamaniami do infrastruktury przemysłowej, powodujące zakłócenia w dostawie prądu, zakłócenia w funkcjonowaniu kolei… Słyszeliśmy o takich informacjach, pojawiają się regularnie.
Cyberzagrożeń jest coraz więcej, a wynikają one z tego, że większość urządzeń, narzędzi, firm korzysta z produktów cyfrowych. W związku z tym cyberbezpieczeństwo jest już tym elementem, który jest ważne na każdym kroku, w każdej instytucji, w każdej firmie. Natomiast poziom cyberbezpieczeństwa jest różny w różnych instytucjach.
A czy przedsiębiorcy w Polsce rozumieją problem i widzą konieczność zabezpieczania swoich systemów informatycznych, ale również szkolenia pracowników?
Właściwie nie pomogą żadne zabezpieczenia w momencie, gdy pracownicy nie będą świadomi i będą, przepraszam za kolokwializm, robili głupie rzeczy na komputerach firmowych.
Cyfryzację bardzo mocno przyspieszyła pandemia. Model, który wcześniej funkcjonował polegał na pracy w biurach i dostęp do danych posiadali pracownicy tylko i wyłącznie w tej lokalizacji. W związku z tym poziom bezpieczeństwa był zupełnie inny i te dane nie opuszczały nigdy struktury firmowej, czyli budynku firmowego, ewentualnie udostępnionych elementów połączeń.
Natomiast w momencie, kiedy pojawiła się pandemia i przedsiębiorcy musieli pracować, urzędy i instytucje też pracowały, bardzo popularne stało się rozwiązanie, które wcześniej było też promowane, czyli zabieranie firmowych narzędzi pracy. Mowa tu o komputerach, telefonach. Zabrano je do domu i pracowano z domu.
I tu pojawiło się zagrożenie -w tym momencie te dane były bardzo mocno narażone na ryzyko utraty, próby włamania się do tych systemów, bo przy braku znajomości zagrożeń łączono się z niezabezpieczonych sieci.
W tym momencie bardzo mocno postawiono na rolę edukacyjną, czyli uczenia ludzi, instytucji, że jednak ten poziom zabezpieczenia musi być elementem przede wszystkim edukacji. Z drugiej strony zaczęto wprowadzać systemy zabezpieczające. Zrozumiano, że muszą być troszkę na wyższym poziomie, muszą wykrywać też te anomalia, które wcześniej były kompletnie nieznane, niedostępne albo niespotykane w cyberatakach.
I teraz wracamy do tematu edukacji. Moją nadzieją jest, że ludzie będą dobrze wyedukowani, będą mieli wiedzę na ten temat, natomiast świadomość też mamy taką, że nie wszyscy traktują ten temat bardzo poważnie, bo to jest taki kazus jak z ubezpieczeniem. Nigdy w życiu nic mi się nie stało, to się nie ubezpieczam… Najczęściej ubezpieczamy się po szkodzie.
I tak samo jest, niestety, tutaj. Zdarza się, że organizacje nie zabezpieczają się. Po pierwsze dlatego, że nie mają środków, a po drugie uważają, że nie są ciekawym celem cyberataku, w związku z tym im nic nie grozi. Ba, uważają, że nawet jak im się coś stanie, no to krótko mówiąc, dane są bezwartościowe.
A to błąd… One może nie mają wartości dla przestępców, natomiast mają wartość dla nas, właścicieli firm, jako narzędzie biznesowe. Włamując się do nas, szyfrując nam te dane, przestępcy blokują nam możliwość działania – praktycznie przestajemy pracować, przestajemy zarabiać pieniądze, tracimy klientów….
To są niemierzalne wartości, które teoretycznie możemy stracić. Kiedy do tego dochodzi otwieramy oczy i widzimy, że mimo, iż nie jest to strata finansowa, to w perspektywie czasu generuje koszty, a do tego dochodzą straty wizerunkowe.
Może się okazać, że dane klientów również zostały zaszyfrowane lub ukradzione i zakłóciły proces związany z pracą innej instytucji, wtedy konsekwencje mogą być jeszcze gorsze.
W związku z tym edukacja w tych tematach musi być, będzie i to widać po realizacjach, które są na poziomie centralnym polskim, czyli NASK CSIRT. To są instytucje, które są odpowiedzialne za reagowanie na cyberataki, zbieranie tych problemów, które pojawiają się, bo też trzeba pamiętać, że przestępcy nie są bierni i nie realizują tego procesu w sposób przewidywalny, stały i niezmienny.
Rodzaje i techniki ataków się zmieniają, przybierają coraz nowocześniejszą postać, w związku z tym edukacja będzie permanentna. Tylko i wyłącznie edukacją jesteśmy w stanie zabezpieczyć podstawowy poziom.
Tak jak Pani powiedziała, głównym czynnikiem, czyli wąskim gardłem jest czynnik ludzki. Nie ma możliwości zrzucenia wszystkiego na systemy. Wiadomo, one nam pomagają, natomiast czynnik ludzki odgrywa tutaj kluczową rolę i bez tego czynnika, krótko mówiąc, nie jesteśmy w stanie w 100% zabezpieczyć żadnej architektury, żadnego sprzętu, żadnej aplikacji.
Panie Jacku, na swojej stronie internetowej chwalicie się realizacją ponad 400 projektów. Proszę powiedzieć, jak rozpoczynacie pracę z nowym klientem, od czego ją rozpoczynacie?
Praca z nowym klientem zaczyna się od rozmów, od mapowania potrzeb tego klienta, od uzyskania informacji. Pytamy o to, do czego dąży, jakie dane przechowuje, jak je zabezpiecza, bo też jakby te procedury związane z zabezpieczeniem danych są bardzo istotne. Musimy wiedzieć jak wygląda poziom dostępu do tych informacji, mapowanie, krótko mówiąc, cały proces związany z obiegiem dokumentów, z dostępem do nich i do danych.
Później musimy zrealizować całą mapę pokrycia tych potrzeb. Tu liczy się nie tylko sposób ale też kolejność realizowania tych potrzeb, szkoleń pracowników czy osób odpowiedzialnych po stronie klienta za dane rozwiązanie, współpraca z nami i dopasowanie zespołu tak, żeby ta współpraca przebiegała pomyślnie i żeby klient na końcu uzyskał to, z czym zwrócił się do nas.
Określamy tak zwaną road mapę rozwoju tego projektu, czyli co się może pojawić w przyszłości, jakie są potrzeby dotyczące dalszego rozwoju tego projektu w powiązaniu ze skalowaniem działalności klienta.
Większość naszych projektów jest projektami długoterminowymi, czyli my współpracując z klientem współpracujemy z perspektywy przynajmniej roku, dwóch lub nawet trzech lat. Cyberbezpieczeństwo to proces ciągły, zmienny, który wymaga też na przykład reakcji naszego zespołu SOC, zajmującego się ciągłym monitorowaniem, badaniem, weryfikacją, czy faktycznie to, co się pojawiło w infrastrukturze klienta, wyagregowane jako zagrożenie jest faktycznie zagrożeniem. Może być też przypadkową anomalią związaną z przełączeniem, włączeniem czegoś już po stronie klienta w sposób, nazwijmy to, nieraportowalny, czy w sposób nie taki, jak uzgodniliśmy w całej procedurze.
Nawet jeśli nie jest to element niebezpieczny, to i tak element, który faktycznie należałoby zbadać, zweryfikować, czy może skutkować jakimkolwiek zagrożeniami i tutaj dużą rolę odgrywa nasz zespół Security Operations Center. SOC praktycznie 24 godziny 7 dni w tygodniu obserwuje wszystkie tak zwane zdarzenia po stronie klienta, i analizuje, czy to są zdarzenia problematyczne, czy to są zdarzenia jak w powyższym przykładzie przypadkowe, nie stanowiące zagrożenia.
Jeśli stanowią zagrożenie, to jaka jest ścieżka rozwiązania tego problemu, jak możemy temu przeciwdziałać, ewentualnie jaką procedurę opracować przy kolejnym takim zdarzeniu, żeby ono już nie miało miejsca, albo żeby, nazwijmy to, reakcja nie była tak nerwowa, jak mogłoby się wydawać.
A proszę powiedzieć, jakie Państwo rozwiązania oferujecie?
Oferujemy praktycznie całe portfolio rozwiązań, które wymagane jest do skutecznego zapewnienia cyberbezpieczeństwa, czyli od ochrony końcówek. Tu mam na myśli urządzenia końcowe, czyli komputery, notebooki, urządzenia mobilne…
W naszej branży posługujemy się bardzo często skrótami, które są jasne dla klientów. W przypadku rozwiązań mobilnych, to jest MDM, czyli Mobile Device Management, zawiązanie z urządzeniami końcowymi w postaci telefonów, laptopów, notebooków.
DLP, Data Loss Prevention, czyli zabezpieczenie przed utratą danych.
Kolejnym rozwiązaniem jest PAM, czyli Privileged Access Management, zarządzanie dostępem uprzywilejowanym, czyli krótko mówiąc udzielanie dostępu do infrastruktury klienta, ale w sposób kontrolowany, nie każdy ma dostęp do wszystkiego. Polega to na tym, że kiedy ktoś, kto realizuje jakiś serwis urządzeń, narzędzi, urządzeń przemysłowych dostaje dostęp, by zrealizować zadanie na przykład aktualizacji lub naprawy jakiegoś rozwiązania, to my chcemy zebrać praktycznie każdą informację o tym, co ten człowiek zrobił, czego dotknął, co zaktualizował, co się zmieniło w tej strukturze.
W momencie, kiedy pojawia się problem, to chcemy wiedzieć czy faktycznie aktualizacja tego człowieka wywołała ten problem czy był to inny czynnik, który chcemy monitorować.
Tych skrótów jest tutaj cała masa od EDR czy Endpoint Detection and Response, poprzez SIEM, DLP, PAM, EDR, IDS, MDM, SOC i tak dalej.
Tych nazw jest naprawdę dużo, strasznie to skomplikowane, natomiast to jest całe portfolio, które wynika z tych zagrożeń, które się pojawiają na rynku. Te zagrożenia pojawiają się u klienta, my je identyfikujemy i pokazujemy klientowi, że to jest ten obszar, o który musi zadbać, jeśli chciałby być bezpieczny. To wymaga inwestycji w narzędzia.
To jest w dużej mierze kwestia skali przedsiębiorstwa i skali otwartości na nazwijmy to zewnętrzny dostęp do infrastruktury klienta. Na tej podstawie oceniamy, czy faktycznie to rozwiązanie jest klientowi potrzebne. Czasem dane rozwiązanie jest konieczne do tego, żeby był bezpieczny.
A w takim razie, jak Wy się sami rozwijacie, w jaki sposób pozyskujecie pracowników, a jednak do dosyć skomplikowanej, wymagającej pracy i w jaki sposób zdobywacie nowe rozwiązania? Czy je kupujecie, czy też sami do nich dochodzicie, czyli innymi słowy sami je tworzycie?
Zaczynając od pierwszego pytania, tutaj kluczem do budowania dobrego, fajnego, rozwijającego się zespołu był taki nasz pomysł, który nazywał się IT Security Academy, dzisiaj Akademia Perceptus, który zrealizowaliśmy wspólnie z Uniwersytetem Zielonogórskim i Zespołem Szkół Elektronicznych w Zielonej Górze.
Projekt ten pojawił się 8 lat temu, teraz zaczyna się już IX edycja naszej Akademii. Staramy się łowić na tej Akademii talenty, które będą mogły podjąć się współpracy z nami, będą rozumiały naszą branżę, będą chciały rozwijać się w tym kierunku. To jest pierwszy z kierunków.
Drugi – szukamy na rynku pracy. Ten obszar, w którym my się poruszamy, to nie jest obszar, który pojawił się po studiach, była kadra, która była wykształcona, bo cybersecurity to jest dosyć nowy obszar, który pojawił się parę lat temu. W związku z tym nie ma na rynku tak dużej ilości wykwalifikowanych specjalistów, jak automatyków, mechaników. Oni byli kształceni przez lata, w związku z tym jest duży wybór na rynku takich specjalistów.
Największy potencjał widzimy w działaniach edukacyjnych.
Większość menadżerów w naszej firmie są to osoby, które przyszły do nas bezpośrednio po studiach, rozpoczynały swoją karierę i dziś już są na praktycznie najwyższych stanowiskach menadżerskich w naszej firmie, bo rozumieją ją, rozwijali się razem z nami. Znają potrzeby klientów, wiedzą, że te potrzeby są zmienne, dynamiczne i chcą w tym kierunku się rozwijać, chcą w tym kierunku iść.
W zakresie rozwiązań są dwa aspekty. Pierwsze to jest takie, że korzystamy z rozwiązań zewnętrznych, bo jeśli ono jest, działa poprawnie i funkcjonuje, jest akceptowalne przez klientów, posiada wysokie standardy związane z bezpieczeństwem i akceptowalne jest też cenowo, to dlaczego nie mielibyśmy z niego korzystać.
Natomiast jeśli jest taka potrzeba ze strony klienta, że chciałby inne rozwiązanie, którego nie ma na rynku, my jesteśmy w stanie takie rozwiązania wdrożyć i my takie rozwiązania projektujemy i produkujemy.
Jednym z takich rozwiązań jest nasz Security Appliance, produkowany oczywiście poza strukturami naszej firmy w wyspecjalizowanej fabryce, ale komponenty do tego rozwiązania to jest urządzenie do przechowywania kluczy kryptograficznych, dostarczane jest przez nas bezpośrednio i jest naszym rozwiązaniem.
Jest to zastrzeżony znak towarowy, PercTech. To jest nasze autorskie rozwiązanie i tych rozwiązań autorskich mamy bardzo dużo w swoim portfolio.
Mamy własne narzędzia dotyczące menadżera haseł – PercPass.
Mamy narzędzia dotyczące podpisu kwalifikowanego eSign.tech. To platforma dotycząca zarządzania procesem obiegu dokumentów, akceptacji dokumentów i opatrywanie ich podpisem kwalifikowanym, nawet jednorazowym. Dzięki niemu użytkownik, który nigdy nie posiadał podpisu kwalifikowanego, nie musi kupować go na rok, kiedy on potrzebuje go użyć tylko raz w życiu.
Kolejnym elementem było np. kontenerowe mobilne data center, które też jest naszym produktem własnym. Zrealizowaliśmy go w wyniku potrzeb i przyznam szczerze, że był to pomysł, który pojawił się u nas jeszcze przed wybuchem wojny w Ukrainie. Pojawił się jako nasze wewnętrzne innowacyjne rozwiązanie, którym rynek mógłby być zainteresowany.
W momencie, kiedy to rozwiązanie pojawiło się na rynku, okazało się, że wojna i pandemia spowodowały, że to rozwiązanie jest bardzo pożądane przez rynek, z tego względu, że dostarczamy je w niesamowicie szybkim tempie, bo jesteśmy w stanie tego typu rozwiązania dostarczyć praktycznie w ciągu miesiąca, a jest to gotowe pomieszczenie data center z klimatyzacją precyzyjną, z systemem gaszenia.
Przede wszystkim jednak Data Center jest mobilne i skalowalne.
W dobie pandemii szpitale, które do tej pory nie posiadały własnych centrów przetwarzania danych lub projektowały je w momencie, kiedy ta potrzeba cyfryzacji się pojawiła zrozumiały, że takie urządzenia mobilne, przenośne, jak stacje badań, które pojawiały się przy szpitalach, to nie jest coś dziwnego i coś niespotykanego, nieakceptowanego, a wręcz przeciwnie.
Daje to możliwość realizacji projektu w ciągu dwóch, trzech miesięcy i rozpoczęcia pracy, a nie tak jak było w przypadku budowy stacjonarnego data center, gdzie proces czasami trwał dwa, trzy lata do końca realizacji inwestycji.
Tak samo podpis kwalifikowany pojawił się w wyniku pewnej zauważonej przez nas możliwości innowacji. Na pewno Pani pamięta, przed pandemią instytucje posługiwały się formą papierową dokumentów, w związku z tym ten obieg dokumentów w wersji cyfrowej był taki mało akceptowany przez instytucje, nawet przez firmy.
Każdy chciał ten dokument mieć w formie papierowej, podpisanej. My ten podpis kwalifikowany wymyśliliśmy pięć lat temu i w momencie, kiedy pojawiła się pandemia, to był strzał w dziesiątkę, bo praktycznie większość dokumentów pojawiła się w obiegu biznesowym i administracyjnym w wersji cyfrowej.
Nikt tego nie przewidział, nikt z nas nie przewidział pandemii, w związku z tym czasami jest tak, że rozwiązania trafiają w rynek i odbijają się od tego rynku zupełnie brakiem zainteresowania, a czasami jest tak, że te rozwiązania, są rozwiązaniami trafionymi w rynek.
Generalnie cała nasza firma i obszar jej działania, czyli cyberbezpieczeństwo, które pojawiło się jako nasz produkt kilkanaście lat temu, kiedy powstawał Perceptus, na samym początku kompletnie nie budziło zainteresowania ze strony rynku, ze strony klientów.
Po pierwsze, nikt nie rozumiał cyberbezpieczeństwa i cyberzagrożeń, a po drugie nie było na masową skalę czego chronić i kogo chronić, ponieważ tych instytucji, urządzeń, czy systemów było tak niewiele, że nikt nie rozumiał tej potrzeby.
Dopiero ostatnie pięć, sześć lat pokazuje, że tak naprawdę nasz kierunek, który obraliśmy sobie kilkanaście lat temu, to był ten kierunek, który faktycznie był strzałem w dziesiątkę.
Warto było w tym kierunku iść, rozwijać się, inwestować przez wiele, wiele lat tak, aby teraz dostarczać klientom takie rozwiązania, na które mogą sobie oni pozwolić, to po pierwsze, a po drugie dostarczać je w wyspecjalizowanym zespole, dzięki któremu wdrożenie zakończy się sukcesem i zadowoleniem klienta.
Panie Jacku, rozwijając firmę korzystaliście również Państwo ze wsparcia unijnego. Czy może Pan się pochwalić na jakie inwestycje czy też rozwiązania otrzymaliście to wsparcie?
Tak, korzystaliśmy z naszego regionalnego programu operacyjnego dla województwa lubuskiego. Tak jak powiedziałem wcześniej, wymieniłem kilka tych projektów, bo było to projekt związany z Centrum Usług Bezpieczeństwa, czyli powszechnie nazywany na dzień dzisiejszy SOCiem.
Kiedy zaczynaliśmy nazwa SOC nie była jeszcze taka popularna, tak znana jak teraz.
Drugim z tych projektów był właśnie pomysł dotyczący kontenerowego Data Center, które też było innowacyjnym projektem, bo w ramach tego projektu poza kontenerem mamy cały system zarządzania dotyczący infrastruktury, która jest wewnątrz tego kontenera i jesteśmy w stanie tym w sposób inteligentny zarządzać.
Kolejnym z projektów był projekt związany z podpisami elektronicznymi eSign.Tech. To są projekty, które troszeczkę wyprzedzały trendy, troszeczkę wyprzedzały rynek, stąd też duży poziom innowacyjności, który wcześniej sobie założyliśmy, okazał się strzałem w dziesiątkę i one funkcjonują.
Poza tymi dużymi projektami realizowaliśmy też kilka bonów na innowacje, czyli tak zwanych elementów start-up’owych, które może w przyszłości rozwiną się do etapu tak zwanego dużego projektu inwestycyjnego, bo zawsze staramy się w takim projekcie start up’owo-innowacyjnym wewnętrznie analizować potrzeby, budować tak zwane POC, czyli Proof of Concept, żeby zobaczyć czy faktycznie to co sobie wymyśliliśmy jest racjonalne, jak do tego podchodzą klienci, czy faktycznie jest miejsce na rynku na takie rozwiązanie.
W ramach bonu powstał też system PercPass, czyli bezpieczny menadżer haseł, dla którego inspiracją była również potrzeba klienta.
Panie Jacku, to na zakończenie naszej rozmowy niech pan nam zdradzi, jaki ma pan plan na rozwój Perceptusa, czy nadal będziecie o krok przed rynkiem?
Plany mamy naprawdę bardzo ciekawe i mogę je zdradzić, bo one nie są tajemnicą.
Jednym z planów jest zmiana formuły naszej Akademii Perceptus. Chcemy troszeczkę wyjść naprzeciw pomysłom, które pojawiały się wśród studentów, młodzieży lub innych osób, które współpracowały z nami w ramach Akademii i trochę pójść w tym kierunku wsparcia start-up’ów, które też się pojawiły, bo nie ukrywam, że mamy fenomenalnych młodych ludzi na naszych uczelniach.
Nie wszyscy chcą być pracownikami korporacji, nie wszyscy chcą być pracownikami etatowymi. Wielu z nich ma tę odwagę, żeby założyć własną działalność, rozpocząć swoją przygodę od własnej firmy. Też w obszarze cybersecurity, bo nie ukrywam, że chcemy szukać projektów komplementarnych z naszym przedmiotem działalności.
Zauważyliśmy ważną rzecz, że mimo szczerych chęci potencjału technologicznego, który te firmy mają, odbijają się niestety od tego, że nie mają klientów albo trudno im do nich dotrzeć. To też jest to, w czym chcemy im pomagać.
Nasi klienci generują nam nowe potrzeby, a my mając bardzo fajną współpracę z tymi podmiotami start-up’owymi, a nawet inwestując w te podmioty, chcemy je wspierać pod kątem sprzedaży, żeby te rozwiązania, które oferują, faktycznie znalazły klientów. To jest najtrudniejsze, bo ten produkt może być naprawdę świetny, natomiast dotarcie do klienta i przekonanie do nowej firmy jest niezwykle trudne. Bez tego produkt umrze.
Poza tym chcemy się rozwijać w kierunku projektów własnych. Mamy teraz w tak zwanej bazie pomysłów kilka produktów własnych, kilka produktów badawczo-rozwojowych, które są obecnie weryfikowane pod kątem ich racjonalności, opłacalności rynkowej.
Jak pewnie Pani widzi, rynek cybersecurity będzie się rozwijał, w związku z tym my zamierzamy rozwijać się nawet szybciej niż on, aby być przed cyberprzestępcami, żeby nie dać im pola do manewru, nie dać im pola do działania.