Kliknięcie w link phishingowy i infekcja ransomware. Case study ISO/IEC 27001 A.6.3

›Zabezpieczenie A.6.3 załącznika A normy ISO/IEC 27001:2022 wymaga, aby organizacja zapewniła pracownikom odpowiednie szkolenia z zakresu bezpieczeństwa informacji, budowała ich świadomość zagrożeń i regularnie aktualizowała wiedzę o politykach oraz procedurach. Kliknięcie w e-mail phishingowy prowadzące do pobrania i uruchomienia złośliwego oprogramowania szyfrującego pliki pokazuje lukę w tym zabezpieczeniu. Brak świadomości po stronie użytkownika pozostaje główną przyczyną udanych ataków ransomware na organizacje w sektorze B2B.

Co pokazuje komiks

Chochlik Random siedzi przed komputerem z widocznym okienkiem gratulacyjnym: „Congratulations! 10 000 000 dollars inheritance from Nigerian Prince!”. Wykrzykuje do Normana, że nigeryjski książę zostawił mu w spadku dziesięć milionów dolarów i wystarczy kliknąć w link. Na twarzy Randoma widać autentyczny entuzjazm.
W drugiej planszy krasnal Norman biegnie w stronę Randoma z rękami uniesionymi do góry i krzyczy: „STOP! Random, nie klikaj! To oszustwo z malware!”. Jest za późno. Na ekranie pojawia się pasek pobierania pliku „prince_legacy.exe 50%”. Random odpowiada z uśmiechem: „Już kliknąłem. Spokojnie, zaraz będziemy bogaci!”.
Trzecia plansza pokazuje czerwony komunikat „YOUR FILES ARE ENCRYPTED! PAY RANSOM TO UNLOCK”. Random panicznie krzyczy, że nic nie może otworzyć. Norman komentuje z kamiennym wyrazem twarzy: „Gratulacje. Właśnie odziedziczyłeś ransomware”. W czwartej planszy Random pyta z żalem, skąd miał wiedzieć, że książęta nie wysyłają spadków e-mailem. Norman zasłania twarz dłońmi: „Dział IT będzie zachwycony…”.

Wymaganie ISO/IEC 27001, którego dotyczy scenka

Zabezpieczenie A.6.3. Świadomość, edukacja i szkolenia z zakresu bezpieczeństwa informacji
Zabezpieczenie A.6.3 załącznika A normy ISO/IEC 27001:2022 nakłada na organizację obowiązek zapewnienia pracownikom świadomości bezpieczeństwa informacji, edukacji oraz regularnych szkoleń. Wymaganie obejmuje wszystkich pracowników, a także wykonawców i inne strony zainteresowane, które przetwarzają informacje organizacji. Szkolenia mają być dostosowane do pełnionej funkcji i aktualizowane wraz ze zmianami w politykach, procedurach oraz krajobrazie zagrożeń.
Świadomość bezpieczeństwa informacji to nie jednorazowe szkolenie przy zatrudnieniu. Zabezpieczenie zakłada ciągły proces: kampanie wewnętrzne, testowe symulacje phishingu, biuletyny informacyjne, powtarzalne szkolenia ze zmiennym akcentem tematycznym. Celem jest stan, w którym pracownik rozpoznaje typowe wektory ataku: phishing, inżynierię społeczną, próbę wyłudzenia danych uwierzytelniających.

Zabezpieczenie powiązane A.8.7

Scenka odsłania także zabezpieczenie A.8.7 dotyczące ochrony przed złośliwym oprogramowaniem. Norma wymaga wdrożenia mechanizmów wykrywania i zapobiegania infekcjom malware, z zastrzeżeniem, że ochrona techniczna musi być wsparta odpowiednią świadomością użytkowników. Fakt, że plik „prince_legacy.exe” pobrał się i uruchomił, wskazuje na lukę w warstwie technicznej po stronie stacji roboczej Randoma lub bramy poczty elektronicznej. Warstwa techniczna i warstwa ludzka zawiodły jednocześnie.

Dlaczego scena stanowi niezgodność z wymaganiem

Pierwszy element niezgodności to niezdolność Randoma do rozpoznania klasycznego schematu phishingu. Oszustwo nigeryjskiego księcia pozostaje jednym z najstarszych i najczęściej opisywanych wektorów ataku w historii internetu. Pracownik organizacji objętej systemem zarządzania bezpieczeństwem informacji powinien po pierwszych zdaniach wiadomości rozpoznać próbę oszustwa. Random nie rozpoznaje. Z entuzjazmem dzieli się wiadomością ze współpracownikiem, zamiast zadać pytanie o wiarygodność nadawcy.
Drugi element to brak odruchu eskalacyjnego. W organizacji z dojrzałym programem A.6.3 pracownik, który otrzymuje podejrzaną wiadomość, zgłasza ją do działu bezpieczeństwa informacji lub pomocy technicznej, a nie klika w link. Random pomija ten krok całkowicie. Decyzję o kliknięciu podejmuje samodzielnie, wbrew ostrzeżeniu współpracownika, który zdążył zareagować tuż po jego decyzji.
Trzeci element to brak skutecznej ochrony technicznej, która zatrzymałaby pobieranie pliku wykonywalnego. Pasek pobierania oznacza, że brama poczty nie odrzuciła wiadomości, przeglądarka nie zablokowała pobrania nieznanego pliku, a stacja robocza nie zablokowała jego uruchomienia. Warstwa techniczna A.8.7 zawodzi w tym samym momencie co warstwa ludzka A.6.3. Żadna z nich samodzielnie nie wystarcza.

Konsekwencje i potencjalne konsekwencje

Konsekwencja pierwsza jest natychmiastowa. Pliki na stacji roboczej Randoma zostają zaszyfrowane, a przywrócenie dostępu do nich ma według komunikatu przestępców wymagać zapłaty okupu. Potencjalne konsekwencje sięgają znacznie dalej.

• Propagacja w sieci. Nowoczesne ransomware po infekcji jednej stacji próbuje rozprzestrzenić się na inne komputery w sieci, szczególnie na udziały sieciowe i serwery plików. W organizacji bez segmentacji sieci jedno kliknięcie szyfruje dokumenty wielu działów.
• Szyfrowanie danych osobowych. Gdy w zaszyfrowanych plikach znajdują się dane osobowe pracowników, klientów lub kontrahentów, organizacja ma do czynienia z naruszeniem dostępności danych osobowych w rozumieniu RODO i obowiązkiem zgłoszenia do organu nadzorczego w ciągu 72 godzin.
• Utrata kontynuacji działania. Procesy biznesowe uzależnione od zaszyfrowanych zasobów stają. Księgowość nie otwiera plików rozliczeniowych, produkcja traci dostęp do specyfikacji, handel nie widzi historii kontaktów w CRM. Każda godzina przestoju kosztuje.
• Dylemat zapłaty okupu. Płatność nie gwarantuje odzyskania danych, finansuje grupę przestępczą oraz może naruszać przepisy sankcyjne. Odmowa zapłaty oznacza oparcie się wyłącznie na kopiach zapasowych, jeżeli takie istnieją i nie zostały objęte infekcją.
• Kradzież danych przed zaszyfrowaniem. Aktualne warianty ransomware stosują schemat podwójnego wymuszenia. Przed zaszyfrowaniem plików wykradają je i grożą publikacją. Zapłata okupu nie eliminuje ryzyka ujawnienia.
• Wpływ na certyfikację. Incydent tej skali wymaga analizy przez zespół ISMS, zgłoszenia do kierownictwa i działań korygujących. Audytor wraca do tego incydentu podczas kolejnego audytu systemu zarządzania.

Jak prawidłowo spełnić wymaganie A.6.3

W analogicznej sytuacji organizacja może sięgnąć po różne mechanizmy spełnienia wymagania. Żadna z poniższych propozycji nie jest jedyną drogą. W praktyce doradczej Malon Group obserwujemy kilka kierunków, które skutecznie zamykają ten obszar.
Jednym ze sposobów jest wdrożenie cyklicznego programu szkoleń z bezpieczeństwa informacji. Program obejmuje szkolenie wprowadzające dla nowych pracowników, regularne sesje odświeżające co najmniej raz w roku oraz komunikację dostosowaną do roli. Szkolenie dla księgowości koncentruje się na oszustwach typu CEO fraud, szkolenie dla działu handlowego na inżynierii społecznej w rozmowach z klientami, szkolenie dla administratorów IT na atakach ukierunkowanych.
Możliwym rozwiązaniem uzupełniającym są regularne symulacje phishingu. Dział bezpieczeństwa wysyła pracownikom kontrolowane wiadomości wyglądające jak realne próby ataku, mierzy odsetek kliknięć oraz zgłoszeń i kieruje wyniki zwrotne do szkolenia. Po kilku iteracjach odsetek udanych kliknięć spada, a pracownicy wyrabiają odruch zgłaszania podejrzanych wiadomości.
Jedną z opcji pozostaje udostępnienie prostego mechanizmu zgłaszania podejrzanych wiadomości. Przycisk „Zgłoś phishing” w kliencie poczty kierujący raport bezpośrednio do zespołu bezpieczeństwa przyspiesza reakcję organizacyjną. Pracownik, który nie musi szukać adresu e-mail działu IT, zgłasza częściej.
Innym podejściem jest wzmocnienie warstwy technicznej zgodnej z A.8.7. Brama poczty z sandboxingiem załączników, przeglądarki z blokowaniem pobrań z nieznanych domen, filtry DNS blokujące znane serwery C2, ochrona antywirusowa nowej generacji na stacjach roboczych. Świadomość pracownika i ochrona techniczna to dwie strony tej samej strategii.

Wsparcie Malon Group

Projektowanie programu szkoleń z bezpieczeństwa informacji, przygotowywanie materiałów świadomościowych, prowadzenie warsztatów dla pracowników oraz wsparcie w zakresie A.8.7 to obszary, w których Malon Group wspiera organizacje wdrażające i utrzymujące ISMS zgodny z ISO/IEC 27001. Jeżeli chcesz omówić, jak zbudować program zgodny z A.6.3 w swojej firmie, skontaktuj się z nami w sprawie wdrożenia ISO/IEC 27001 lub audytu wewnętrznego systemu zarządzania bezpieczeństwem informacji.

Najczęściej zadawane pytania (FAQ):

Case study opracowany przez zespół Malon Group na podstawie komiksu ilustrującego wymagania ISO/IEC 27001:2022, załącznik A, zabezpieczenie A.6.3. Aktualizacja: kwiecień 2026.

Zapraszamy do korzystania z naszych usług w zakresie systemu zarządzania bezpieczeństwem informacji ISO/IEC 27001

• Wdrażanie systemu ISO/IEC 27001 czytaj więcej …

• Szkolenia z zakresu bezpieczeństwa informacji ISO/IEC 27001 czytaj więcej …

• Audyty systemów zarządzania czytaj więcej …

• Nadzorowanie systemów zarządzania (outsourcing Pełnomocnika) czytaj więcej …