Skąd wziął się termin cyberbezpieczeństwo i jak zmieniały się metody obrony przez dekady

Sytuacja wyjściowa: ktoś pyta o „cyberbezpieczeństwo” – i nagle robi się zamieszanie

Wyobraź sobie taką scenę: na spotkaniu projektowym ktoś mówi, że „musimy zainwestować w cyberbezpieczeństwo”. Jedni myślą o antywirusie i firewallu, inni o SOC-u, chmurze, Zero Trust, jeszcze ktoś trzeci – o politykach i szkoleniach użytkowników. To samo słowo, zupełnie różne skojarzenia.

Żeby podjąć sensowną decyzję – co realnie wdrożyć, a czego nie – trzeba zrozumieć, skąd w ogóle wziął się termin cyberbezpieczeństwo i jak historycznie zmieniało się myślenie o obronie: od pilnowania fizycznego dostępu do mainframe’a, przez erę antywirusów i firewalli, po dzisiejsze środowiska chmurowe i AI.

Kluczowe pytanie praktyczne brzmi: które „stare” podejścia nadal są sensowne, a które dają już wyłącznie złudne poczucie bezpieczeństwa? Tu historia staje się narzędziem decyzyjnym, a nie tylko ciekawostką z muzeum informatyki.

Od „bezpieczeństwa komputerowego” do „cyberbezpieczeństwa” – skąd wziął się termin

Korzenie słowa „cyber” – od cybernetyki do cyberprzestrzeni

Źródła słowa „cyber” nie leżą w marketingu IT, tylko w nauce o sterowaniu. Już w latach 40. XX wieku Norbert Wiener wprowadził pojęcie cybernetyki – nauki o komunikacji i kontroli w organizmach i maszynach. Sam rdzeń „cyber-” (od greckiego kybernetes – sternik) miał związek z kierowaniem, regulacją, sprzężeniem zwrotnym.

Przez kolejne dekady „cybernetyka” była terminem naukowym. „Cyber” nie kojarzył się jeszcze z komputerami osobistymi czy Internetem; raczej z teorią systemów, automatyką, sterowaniem. Tu fakty są dość dobrze udokumentowane.

Przełom kulturowy nastąpił w latach 80., kiedy pojawił się termin cyberprzestrzeń (cyberspace), spopularyzowany przez Williama Gibsona w powieści „Neuromancer”. Od tego momentu „cyber” zaczyna funkcjonować jako etykieta świata cyfrowego, zwłaszcza sieciowego. Najpierw w literaturze i kulturze, później w mediach, a dopiero potem w dokumentach technicznych i rządowych.

Co wiemy z pewnością?

• „Cyber” początkowo oznaczał sterowanie i komunikację (cybernetyka).
• Od lat 80. przesunął się w stronę skojarzeń z wirtualnym światem, sieciami, komputerami.

Czego nie wiemy precyzyjnie? Nie da się wskazać jednej, oficjalnej daty, kiedy „cyberbezpieczeństwo” zostało „wynalezione”. To był raczej proces: najpierw nauka, potem kultura, następnie media, wreszcie strategie państwowe i standardy branżowe.

Pojęcia „computer security”, „information security” i „IT security” przed erą „cyber”

Zanim urzędnicy i media pokochali słowo „cyber”, inżynierowie i wojskowi używali prostszych, bardziej technicznych terminów:

• computer security – bezpieczeństwo komputerowe, skupione na samych maszynach i systemach operacyjnych,
• data security – bezpieczeństwo danych, czyli ochrona przed utratą, nieuprawnionym odczytem czy modyfikacją,
• information security – bezpieczeństwo informacji, szerzej: procesy, ludzie, technika,
• IT security – bezpieczeństwo IT, obejmujące infrastrukturę informatyczną jako całość.

W latach 60.–80. computer security dotyczyło głównie:

• kontroli dostępu do mainframe’ów,
• podziału uprawnień między użytkowników,
• ochrony systemów wojskowych i rządowych przed szpiegostwem.

Wraz z rozwojem sieci i coraz większym znaczeniem danych biznesowych pojawiło się myślenie w kategoriach information security. Zaczęto podkreślać, że chronimy informację, a nie tylko maszynę: ważne stają się procesy, polityki, szkolenia użytkowników.

Różnica jest praktyczna:

• „bezpieczeństwo komputerowe” – to głównie system operacyjny, hasła, fizyczny dostęp,
• „bezpieczeństwo informacji” – to także kopie zapasowe, procedury, klasyfikacja danych, zachowania ludzi.

Kiedy pojawiło się „cybersecurity” i „cyberbezpieczeństwo”

Słowo „cybersecurity” zaczęło częściej pojawiać się w dokumentach rządowych USA i NATO w latach 90., ale prawdziwy wzrost popularności nastąpił po roku 2000, szczególnie po 2001 roku, wraz z rosnącymi obawami o ataki na infrastrukturę krytyczną i „cyberwojnę”.

„Cybersecurity” dobrze oddawało nowe zjawisko: polem walki stała się cała cyberprzestrzeń, nie tylko pojedyncze komputery czy sieci lokalne. Do gry weszły:

• systemy przemysłowe (SCADA),
• sieci energetyczne i telekomunikacyjne,
• systemy bankowe online,
• infrastruktura rządowa podłączona do Internetu.

W języku polskim termin „cyberbezpieczeństwo” pojawił się głównie jako tłumaczenie z dokumentów unijnych i natowskich. Stopniowo przejął rolę „parasolowego” pojęcia obejmującego:

• bezpieczeństwo sieci i systemów IT,
• bezpieczeństwo usług cyfrowych i danych,
• wymiar militarny i wywiadowczy (atak i obrona w cyberprzestrzeni).

Nie ma jednej, „magicznej” daty narodzin „cyberbezpieczeństwa” w Polsce. Raczej widełki:

• lata 90. – pojedyncze użycia w tłumaczeniach i tekstach specjalistycznych,
• po 2000 r. – coraz częstsze pojawianie się w strategiach państwowych i regulacjach,
• ostatnia dekada – dominujące pojęcie w mediach i branży.

Co faktycznie odróżnia „cyberbezpieczeństwo” od wcześniejszych terminów

Różnica nie jest tylko semantyczna. Można ją streścić tak:

• computer security – chronimy komputer,
• information security – chronimy informację,
• cybersecurity / cyberbezpieczeństwo – chronimy działanie w cyberprzestrzeni jako całości (systemy, usługi, dane, użytkowników, procesy).

„Cyberbezpieczeństwo” zaczęło mieć sens, gdy:

• systemy przestały być od siebie odizolowane,
• granica „naszej sieci” stała się rozmyta (partnerzy, chmura, praca zdalna),
• pojawił się militarny i wywiadowczy wymiar działań w sieci.

Użycie słowa „cyberbezpieczeństwo” ma sens merytoryczny, gdy mówisz o:

• całej organizacji i jej cyfrowej działalności,
• infrastrukturze krytycznej państwa,
• strategiach obrony (a także ataku) w sieci.

Jest mniej precyzyjne, gdy próbujesz opisać bardzo wąski problem, np. „jak skonfigurować firewall w małej firmie” – tam równie dobrze można użyć „bezpieczeństwa sieci” czy „bezpieczeństwa IT”.

Lata 60.–70.: mainframe, kontrola dostępu i świat „zaufanych” użytkowników

Środowisko mainframe’ów: centralny komputer, terminale i brak Internetu

W latach 60. i 70. typowe środowisko obliczeniowe wyglądało zupełnie inaczej niż dziś:

• jeden duży mainframe w specjalnie zabezpieczonej serwerowni,
• wiele prostych terminali (bez własnej mocy obliczeniowej),
• użytkownicy łączący się lokalnie, często w tej samej instytucji,
• brak publicznego Internetu w dzisiejszym rozumieniu.

Dostęp do komputera był luksusem i przywilejem. Użytkownicy byli często „znani z imienia i nazwiska”, przechodzili ścieżkę rekrutacyjną lub mieli uprawnienia służbowe. Środowisko było z natury bardziej zaufane niż dzisiejsza, otwarta sieć.

Dużą rolę odgrywali operatorzy, którzy:

• fizycznie obsługiwali sprzęt (taśmy, karty perforowane),
• kontrolowali, kto i kiedy ma dostęp,
• byli pierwszą linią „obrony” – głównie poprzez procedury i zdrowy rozsądek.

Pierwsze problemy bezpieczeństwa i sposób myślenia o nich

W takim środowisku główne zagrożenia wynikały nie z zewnętrznych ataków, ale z nadużyć wewnętrznych oraz błędów w organizacji dostępu:

• podszywanie się pod inną osobę, jeśli ktoś zostawił kartę identyfikacyjną lub hasło,
• używanie przywilejów administratora do podglądu lub modyfikacji danych,
• błędy w systemach, które pozwalały ominąć zabezpieczenia.

W 1972 r. powstał tzw. Raport Andersona, często uznawany za jedno z pierwszych formalnych opracowań o bezpieczeństwie systemów komputerowych. Nieco później pojawił się model Bell–LaPadula, kładący nacisk na formalne poziomy tajności (np. „ściśle tajne”, „tajne”, „poufne”) i zasady, kto co może czytać / zapisywać.

Bezpieczeństwo rozumiano wówczas głównie jako:

• kontrolę dostępu – kto może wejść do pomieszczenia, kto ma konto w systemie,
• tajność – ochrona informacji wojskowych lub rządowych przed nieuprawnionym ujawnieniem,
• integralność – ochrona danych przed nieautoryzowaną modyfikacją, choć nacisk na tajność był często silniejszy.

Dominujące metody obrony: co działało, a co z czasem przestało

Jak broniono tych systemów?

• Fizyczne zabezpieczenia – zamknięte pomieszczenia, strażnicy, identyfikatory, sejfy na nośniki danych.
• Kontrola kont i haseł – pojedyncze konta użytkowników, prosty system uprawnień.
• Segmentacja organizacyjna – nie każdy miał prawo w ogóle zbliżyć się do komputera.

Mocne strony tego podejścia:

• mała liczba potencjalnych użytkowników i atakujących,
• ograniczona powierzchnia ataku – brak otwartej łączności z całym światem,
• silna kontrola nad fizycznym środowiskiem.

Słabości:

• silne założenie, że „wnętrze jest zaufane”, a zagrożenia pochodzą z zewnątrz,
• brak myślenia o złożonych sieciach i interfejsach publicznych,
• ograniczone procedury kontroli nadużyć administratorów (mało automatycznego logowania i audytu).

To podejście sprawdzało się w relatywnie małych, zamkniętych ekosystemach. Przestało wystarczać, gdy systemy zaczęły się łączyć między instytucjami, a liczba użytkowników rosła wykładniczo.

Kiedy takie „stare” myślenie ma sens dziś, a kiedy jest pułapką

Część tych starych założeń nadal bywa użyteczna. Przykłady, gdzie to podejście wciąż ma sens:

• serwerownie i centra danych – fizyczne bezpieczeństwo pozostaje kluczowe (kontrola wejść, monitoring, zabezpieczenie nośników),
• zamknięte systemy przemysłowe (niepodłączone bezpośrednio do Internetu) – segmentacja fizyczna, kontrola dostępu do szaf sterowniczych,
• środowiska o bardzo wysokim poziomie tajności, gdzie dostęp osobowy jest mocno kontrolowany.

Natomiast myślenie „wszyscy w naszej sieci są zaufani” jest dzisiaj w wielu scenariuszach wręcz niebezpieczne:

• praca zdalna – użytkownik łączy się z domu, z sieci, nad którą firma nie ma żadnej kontroli,
• BYOD (Bring Your Own Device) – prywatne urządzenia pracowników wpięte do sieci firmowej,
• integracje B2B – połączenia VPN między firmami, gdzie „zaufany partner” może zostać zhakowany i stać się wektorem ataku.

Jeśli dzisiaj planujesz bezpieczeństwo jak w latach 70. – zakładając zaufane wnętrze i skupiając się tylko na wejściu do budynku – przegapiasz fakt, że granice sieci są płynne. To klasyczna pułapka organizacji, które nie zaktualizowały swojego modelu zagrożeń.

Dlatego coraz częściej klasyczne „twarde” granice zastępowane są podejściem typu zero trust: zakładamy, że każdy dostęp – także z wnętrza sieci – trzeba zweryfikować, a uprawnienia przydzielać możliwie wąsko. W praktyce oznacza to m.in. podział sieci na mniejsze strefy, silne uwierzytelnianie użytkowników i urządzeń oraz ciągłe monitorowanie tego, co dzieje się między systemami, a nie tylko na brzegu organizacji.

Jeśli ktoś dziś buduje ochronę wyłącznie na wzór lat 60. i 70., zwykle wynika to z jednego z trzech powodów: brak świadomości ryzyk, wygoda („tak jest prościej”) albo przekonanie, że „nas nikt nie zaatakuje, jesteśmy za mali”. Każde z nich bywa weryfikowane przez incydenty – często dopiero wtedy okazuje się, że najbardziej bolesne szkody powodują ataki wykorzystujące zaufane kanały: skrzynkę pocztową pracownika, zintegrowany system partnera czy zdalny dostęp serwisowy do maszyn.

Rozsądne podejście łączy dziś oba światy: porządne podstawy fizyczne i organizacyjne z myśleniem typowym dla cyberbezpieczeństwa – obejmującym całe środowisko cyfrowe, a nie tylko pojedynczy serwer czy budynek. W praktyce sprowadza się to do kilku prostych pytań kontrolnych: kto i skąd może dostać się do naszych systemów, jakie są możliwe ścieżki „wewnętrznego” ataku oraz czy potrafimy szybko wykryć nietypowe działania użytkownika lub aplikacji.

Żeby uporządkować decyzje, można użyć krótkiej checklisty: po pierwsze, czy wiemy, jakie zasoby są naprawdę krytyczne; po drugie, czy potrafimy wskazać wszystkie drogi dostępu do nich (nie tylko techniczne, także organizacyjne i osobowe); po trzecie, czy zakładamy możliwość nadużyć z wnętrza organizacji; po czwarte, czy mamy choć minimalne mechanizmy wykrywania i reagowania. Odpowiedzi na te cztery punkty zwykle pokazują, czy działamy jeszcze w logice „zaufanego mainframe’u”, czy już w realiach współczesnego cyberbezpieczeństwa.

Lata 80.: pierwsze wirusy, modemy i narodziny „domowego” bezpieczeństwa

Nowy krajobraz: komputery osobiste, BBS-y i pierwsze połączenia „na zewnątrz”

W latach 80. pojawiły się dwa przełomy, które całkowicie zmieniły profil ryzyka:

• komputery osobiste (PC) trafiły do biur i domów,
• modemy pozwoliły na łączenie się poza własną organizacją (BBS-y, zdalne logowanie, początki usług online).

Z punktu widzenia bezpieczeństwa oznaczało to kilka nowych zjawisk naraz:

• użytkownicy bez specjalistycznego przeszkolenia mieli własne komputery i sami nimi zarządzali,
• dane mogły „wyciekać” na dyskietkach, a później przez łącza modemowe – poza kontrolą działu IT,
• zaczęła się standaryzacja systemów (np. MS-DOS), więc atakujący mogli pisać złośliwe programy, które działały na szeroką skalę.

Pytanie kontrolne z tamtego okresu brzmiało: czy trzeba w ogóle myśleć o bezpieczeństwie, skoro komputer stoi na biurku, a sieć jest „niszowa”? Odpowiedzią stały się pierwsze wirusy i spektakularne incydenty.

Pierwsze wirusy i narodziny antywirusa jako domyślnej obrony

W połowie lat 80. zaczęły pojawiać się programy, które samodzielnie się kopiowały – najpierw na dyskietkach, potem przez proste sieci i modemy. Wirusy takie jak Brain czy później Michelangelo stały się medialnymi „gwiazdami” epoki. Problemem nie była tylko skala szkód, lecz fakt, że:

• użytkownicy nie potrafili ich rozpoznać,
• systemy nie miały wbudowanych mechanizmów ochrony,
• administracja była rozproszona – każdy PC stanowił osobny punkt ryzyka.

Odpowiedzią było pojawienie się oprogramowania antywirusowego. W tamtym czasie dominował prosty model obrony:

• program skanuje pliki i sektory rozruchowe w poszukiwaniu znanych sygnatur złośliwego kodu,
• nowe wirusy wymagają aktualizacji bazy sygnatur, często z dyskietek lub ręcznie pobieranych plików,
• użytkownika zachęca się do okresowego „przeskanowania” komputera.

Faktycznie działało to dobrze na tle ówczesnych zagrożeń: liczba wariantów złośliwego oprogramowania była względnie mała, a kanałów rozprzestrzeniania – ograniczona. W praktyce: jeśli instalowałeś antywirusa i od czasu do czasu wykonywałeś aktualizację, istotnie redukowałeś prawdopodobieństwo infekcji.

Natomiast w tym modelu kryły się założenia, które z czasem okazały się problematyczne:

• wierzenie, że „zagrożenia da się policzyć” i wpisać do bazy sygnatur,
• postrzeganie bezpieczeństwa jako dodatkowego programu, a nie cechy systemu,
• brak myślenia o tym, co się stanie, gdy szkodliwe oprogramowanie przestanie być „głośne” i oczywiste.

Kiedy „antywirusowy” sposób myślenia nadal się sprawdza

Dzisiaj klasyczny antywirus nadal ma swoje miejsce, ale jest tylko jednym z elementów układanki. W jakich sytuacjach logika z lat 80. – „zainstaluj program, który rozpoznaje znane wirusy” – nadal ma sens?

• Małe, proste środowiska, gdzie:
  • liczba stacji roboczych jest niewielka,
  • użytkownicy nie mają uprawnień administratora,
  • kluczowe zasoby są odseparowane (np. brak bezpośredniego dostępu do systemów produkcyjnych).
• Prywatne komputery użytkowników, gdzie:
  • chodzi głównie o ochronę przed powszechnymi kampaniami malware,
  • ryzyko jest umiarkowane, a budżet – ograniczony.
• Warstwa bazowa ochrony w większych organizacjach – jako część pakietu EDR / XDR lub rozwiązania endpointowego.

W tych scenariuszach antywirus pełni funkcję filtra dla „masowych” zagrożeń. Nie rozwiązuje jednak problemów zaawansowanych ataków celowanych, nadużyć kont uprzywilejowanych czy wycieku danych – i nie powinien być traktowany jako jedyna linia obrony.

Kiedy poleganie wyłącznie na antywirusie jest złudne

Samodzielny antywirus jako główne zabezpieczenie staje się mylący, gdy:

• organizacja ma krytyczne procesy cyfrowe (np. e-commerce, systemy finansowe, sterowanie produkcją),
• w grę wchodzi dostęp zdalny – VPN, pulpity zdalne, zdalne serwisy,
• dane osobowe lub wrażliwe są rozproszone po wielu systemach, w tym w chmurze.

W takim środowisku ograniczanie ochrony do „programu antywirusowego na każdym komputerze” prowadzi do fałszywego poczucia bezpieczeństwa. Typowe luki w tym modelu:

• phishing i przejmowanie kont – antywirus często nie powstrzyma użytkownika przed podaniem hasła na fałszywej stronie,
• atak wewnętrzny – legalny użytkownik, który nadużywa uprawnień, zwykle nie wywołuje alarmów antywirusa,
• nadużycia zaufanych narzędzi (np. PowerShell, makra Office) – kod może nie zawierać klasycznych sygnatur, a jednak służyć do ataku.

Jeśli podczas planowania ochrony pada zdanie „mamy antywirusa, więc jesteśmy bezpieczni”, warto zadać kilka konkretnych pytań:

• co się stanie, jeśli atak nie wykorzystuje plików, tylko legalne narzędzia systemu,
• czy w ogóle zobaczymy, że ktoś przesyła duże ilości danych na zewnątrz,
• kto i jak analizuje alerty bezpieczeństwa – czy w ogóle ktoś na nie patrzy.

Jeśli na powyższe pytania nie ma jasnych odpowiedzi, organizacja funkcjonuje w logice lat 80.: wierzy, że zagrożenia mają postać plików z sygnaturami, a bezpieczeństwo da się „dograć” jednym programem.

Domowe nawyki a bezpieczeństwo organizacji: zderzenie dwóch światów

Lata 80. ukształtowały jeszcze jeden ważny nawyk: prywatne bezpieczeństwo = program zabezpieczający. Dzisiaj często widać, jak ten schemat przenosi się do firm:

• pracownicy oczekują „instalacji programu chroniącego” zamiast zrozumienia zasad,
• zarząd pyta głównie „jaki produkt kupić?”, a mniej „jak zmieni się nasz sposób pracy?”.

Dla osoby decydującej o inwestycjach w bezpieczeństwo to ważny sygnał ostrzegawczy. Gdy dyskusja o ochronie sprowadza się do porównywania nazw produktów, zwykle oznacza to, że:

• brakuje spisanych scenariuszy zagrożeń (kto i czego może chcieć od naszej organizacji),
• nie ma priorytetów – wszystko jest „ważne”, więc trudno zdecydować, w co inwestować,
• kultura bezpieczeństwa jest budowana na metaforze „tabletki”, którą wystarczy połknąć.

Na tym tle rodzi się współczesny dylemat: kiedy wystarczy „antywirus plus zdrowy rozsądek”, a kiedy trzeba wyjść poza logikę lat 80. i zacząć mówić o monitoringu zachowań, segmentacji sieci czy dedykowanych usługach bezpieczeństwa. Odpowiedź nie jest czysto techniczna – zależy od biznesu, skali i akceptowalnego ryzyka.

Lata 90.: internet, firewalle i pierwsze „cyberataki” w mediach

Od izolowanych sieci do globalnego internetu

Lata 90. przyniosły kolejny skok: sieci firmowe zaczęły łączyć się z internetem. W praktyce oznaczało to, że:

• systemy wewnętrzne, wcześniej całkowicie odcięte, dostały stały punkt styku z siecią publiczną,
• protokoły i usługi (HTTP, SMTP, FTP, Telnet) stały się powszechne i w dużej mierze standaryzowały powierzchnię ataku,
• atakujący nie musieli już mieć fizycznego dostępu – skanowali całe bloki adresów, szukając podatnych hostów.

W języku zaczęło się pojawiać pojęcie „ataków z internetu” i „przestępczości komputerowej”, a w mediach – pierwsze historie o „włamaniach hakerskich”. Słowo „cyber” było używane raczej publicystycznie, ale kontekst się zmieniał: z czysto technicznego bezpieczeństwa komputerowego na ochronę usług dostępnych publicznie.

Firewall jako brama: kiedy odcięcie sieci wystarczało

Dominującą odpowiedzią obronną stały się firewalle. Ich podstawowy model działania był stosunkowo prosty:

• tworzymy granicę między „wewnątrz” a „na zewnątrz”,
• pozwalamy tylko na określone typy ruchu (np. HTTP, poczta),
• resztę blokujemy lub logujemy do późniejszej analizy.

W wielu firmach powstał wtedy obraz „bezpiecznej twierdzy”: sieć wewnętrzna jest dobra i zaufana, sieć zewnętrzna – zła i pełna zagrożeń. Decyzje były dość binarne: czy dany serwer stoi „w środku”, czy „na zewnątrz”, czy przepuścić konkretny port, czy nie.

W tamtej rzeczywistości takie podejście działało stosunkowo dobrze, jeśli:

• większość krytycznych systemów znajdowała się wyłącznie wewnątrz,
• użytkownicy pracowali z biura i nie potrzebowali szerokiego dostępu zdalnego,
• zakres wykorzystywanych usług internetowych był ograniczony i przewidywalny.

Pytanie decyzyjne: czy dziś też można oprzeć się głównie na firewallu sieciowym? Tak – ale tylko w środowiskach, gdzie stosunek „wewnątrz/zewnątrz” jest wciąż wyraźny, np. w prostych sieciach przemysłowych, które nie mają szerokich integracji z chmurą i urządzeniami mobilnymi.

Typowe iluzje bezpieczeństwa z epoki „mocnego muru”

Model „firewall + sieć wewnętrzna” wprowadził zestaw przekonań, które dziś są częstym źródłem błędów. Najbardziej ryzykowne założenia:

• „Jak coś jest za firewallem, to jest bezpieczne” – pomija ataki wewnętrzne, błędy konfiguracji i złośliwe oprogramowanie przeniesione przez użytkowników.
• „Segmentacja = VLAN-y i kilka stref na firewallu” – z perspektywy współczesnych ataków to często za mało, jeśli ruch wewnętrzny jest słabo monitorowany.
• „Atak przychodzi z zewnątrz” – ignoruje fakt, że pierwszym krokiem może być np. phishing, po którym legalny użytkownik staje się „wewnętrznym” napastnikiem.

Jeśli w organizacji wciąż słyszalne są zdania: „mamy porządny firewall, nikt się nie dostanie”, warto przeprowadzić prostą analizę:

• czy mamy systemy, do których pracownicy logują się z domów lub z telefonów,
• czy istnieją aplikacje webowe dostępne z internetu (portale klienta, API),
• czy krytyczne dane są przechowywane tylko w sieci lokalnej, czy także w usługach SaaS.

Im więcej odpowiedzi „tak” przy zdalnym dostępie i usługach SaaS, tym mniej aktualny jest czysto „murkowy” sposób myślenia. Firewall nadal jest potrzebny, ale przestaje być główną granicą bezpieczeństwa.

Kiedy podejście „mocnej granicy sieciowej” ma jeszcze sens

Wąskie, dobrze opisane zastosowania nadal korzystają z logiki lat 90.:

• Izolowane segmenty produkcyjne – linie technologiczne, systemy sterowania, gdzie:
  • dobrze wiadomo, jaka komunikacja jest potrzebna (np. kilka protokołów przemysłowych),
  • zdalny dostęp jest wyjątkowy i ściśle kontrolowany,
  • każda zmiana w komunikacji jest podejrzana z definicji.
• Mikrofirmy bez usług chmurowych – prosty serwer plików, kilka stacji roboczych, prosty router z firewallem:
  • głównym zagrożeniem są masowe skanowania i automatyczne exploity popularnych usług,
  • zablokowanie nieużywanych portów faktycznie redukuje istotną część ryzyka.

W tych scenariuszach „mocny mur” może być pierwszym (i często najtańszym) krokiem. Warunek: ktoś realnie zarządza regułami i robi okresowy przegląd – inaczej firewall staje się zbiorem historycznych wyjątków, które w praktyce przepuszczają wszystko.

Kiedy samo „uszczelnienie sieci” to za mało

Tam, gdzie biznes opiera się na aplikacjach webowych, pracy zdalnej i integracjach z chmurą, firewall staje się tylko jedną z wielu warstw. Oto kilka sygnałów, że trzeba wyjść poza logikę lat 90.:

• „Wewnątrz” sieci jest równie zróżnicowanie jak „na zewnątrz” – różne działy, dostawcy, goście, urządzenia IoT, systemy chmurowe wpięte przez VPN czy SD-WAN.
• Pracownicy korzystają z wielu aplikacji SaaS – dane „wychodzą” poza sieć firmową, więc ochrona obwodu nie obejmuje najważniejszych zasobów.
• Ataki na konta użytkowników stają się częstsze niż próby skanowania portów – tu decyduje jakość uwierzytelniania, monitoringu logowań i kontroli uprawnień.

Jeśli projekt bezpieczeństwa sprowadza się do modernizacji firewalla i przełączników, a równocześnie firma mocno inwestuje w chmurę i mobilność, to znak, że strategia obrony nie nadąża za rzeczywistością.

Lata 2000.: automatyzacja ataków, robaki sieciowe i narodzin