Wiele organizacji, dążąc do zapewnienia ciągłości operacyjnej, oparło swoje fundamenty obronne na cyklicznych testach penetracyjnych. Jest to fundament solidny, wręcz nieodzowny, jednak w obecnych realiach technologicznych zaczyna on przypominać budowanie fosy wokół zamku w erze lotnictwa. Choć obecność zabezpieczeń daje kadrze zarządzającej pożądany spokój ducha, często bywa to spokój oparty na kruchych założeniach. Problem polega na tym, że tradycyjne podejście do weryfikacji systemów staje się coraz częściej formą teatru bezpieczeństwa, w którym główną rolę grają nie realne umiejętności obronne, lecz satysfakcja z postawienia zielonego znacznika w audytowym zestawieniu.
Tradycyjne testy penetracyjne, choć merytoryczne i potrzebne, z natury rzeczy są ćwiczeniami ograniczonymi. Odbywają się w kontrolowanych warunkach, mają ściśle zdefiniowany zakres czasowy oraz budżetowy, a ich przebieg jest ograniczony umową między dostawcą a klientem. Tymczasem prawdziwy kolektyw hakerski nie operuje w ramach żadnego kontraktu. Dla napastnika nie istnieje pojęcie „zakresu prac” ani „godzin operacyjnych”. Prawdziwe zagrożenie charakteryzuje się nieprzewidywalnością, elastycznością i brakiem jakichkolwiek zasad gry. Podczas gdy audytor sprawdza wytrzymałość konkretnego zamka w drzwiach wejściowych, realny agresor cierpliwie szuka niedomkniętego okna w piwnicy lub analizuje zmęczenie strażnika, by wejść do środka bez użycia siły.
Największą słabością konwencjonalnych symulacji jest ich przewidywalność. Większość testów koncentruje się na badaniu infrastruktury z punktu widzenia obrońcy, analizując technologie i procesy, które wydają się najbardziej logiczne. Jednak to, co logiczne dla inżyniera systemowego, rzadko pokrywa się z kreatywnym chaosem, jaki sieją cyberprzestępcy. Wykorzystują oni często pomijane systemy, słabości operacyjne oraz wektory ataku, które wymykają się standardowym metodologiom. W tym starciu asymetria działa na korzyść atakującego: on musi odnieść sukces tylko raz, podczas gdy organizacja musi bronić się skutecznie za każdym razem, na każdym froncie.
Szczególnie niepokojąca staje się ewolucja socjotechniki, która w dobie powszechności sztucznej inteligencji zyskała przerażającą skuteczność. Dawne, prymitywne próby wyłudzeń ustąpiły miejsca wyrafinowanym kampaniom, w których bariera językowa przestała istnieć. Wykorzystanie AI pozwala na tworzenie komunikatów o tak wysokim stopniu autentyczności, że odróżnienie ich od oficjalnej korespondencji staje się wyzwaniem nawet dla świadomych użytkowników. Klonowanie głosu, generowanie realnie wyglądających numerów serwisowych czy preparowanie e-maili z legalnie wyglądających domen to techniki, które budują ogromną presję psychologiczną na pracownikach. W takim scenariuszu człowiek, mimo najlepszych chęci, staje się nieświadomym wspólnikiem przestępcy. Niestety, rzadko która firma decyduje się na włączenie tak radykalnych i realistycznych testów psychologicznych do swojej standardowej strategii bezpieczeństwa, obawiając się naruszenia komfortu zespołu lub skomplikowania procedur.
Dane z raportów bezpieczeństwa dają szerszy pogląd na kierunki, w których ewoluują ataki. Odwrót od tradycyjnych dokumentów pakietu Office z zaszytymi makrami na rzecz plików graficznych w formatach SVG czy IMG to sygnał, że hakerzy opuścili dawno utarte szlaki. Podobnie wygląda sytuacja w środowiskach chmurowych, takich jak Azure, gdzie celem nie jest już tylko samo przejęcie danych, ale opanowanie płaszczyzny sterowania czy wykorzystanie tokenów sesji do ominięcia uwierzytelniania wieloskładnikowego. Skupianie się wyłącznie na tak zwanych klejnotach koronnych, czyli najważniejszych systemach krytycznych, choć intuicyjne, bywa krótkowzroczne. Często to właśnie marginalne usługi, takie jak Key Vault czy funkcje automatyzacji w chmurze, stają się przyczółkiem, z którego napastnik może prowadzić cichą obserwację sieci przez wiele miesięcy.
Kluczem do budowy realnej odporności biznesowej jest zmiana paradygmatu: przejście od prostej defensywy opartej na murach do strategii holistycznej, skoncentrowanej na wykrywaniu i reagowaniu. Testy penetracyjne powinny być jedynie punktem wyjścia, a nie ostatecznym celem. Niezbędne staje się wdrożenie procedur opartych na rzeczywistych taktykach, technikach i procesach obserwowanych u aktywnych grup hakerskich. Tylko poprzez systematyczne porównywanie własnych zabezpieczeń z aktualną wiedzą o zagrożeniach, organizacja jest w stanie skrócić czas przebywania intruza w sieci i zminimalizować potencjalne straty.
Z punktu widzenia strategicznego zarządzania, cyberbezpieczeństwo nie powinno być postrzegane jako koszt IT, lecz jako immanentny element zarządzania ryzykiem operacyjnym. Zbyt częste traktowanie testów bezpieczeństwa jedynie jako wymogu zgodności prowadzi do powierzchownych ocen, które dają fałszywe poczucie ochrony. W rzeczywistości, najbardziej wartościowe dla biznesu są te badania, które obnażają słabości strategii, a nie te, które potwierdzają poprawność konfiguracji narzędzi. Strategiczna potrzeba działania powinna wynikać z analizy najbardziej prawdopodobnych scenariuszy kryzysowych, a nie z chęci uzyskania certyfikatu.
