Datele fiscal-contabile sunt vizate des de atacurile cibernetice. Riscul cel mai mare pentru IMM-uri și măsuri preventive concrete

„În ultima perioadă s-a observat că datele financiare (contabile și fiscale) reprezintă o zonă preponderent vizată de atacurile cibernetice. Totodată, gradul de complexitate al atacurilor cibernetice, precum și motivația entităților malițioase au crescut constant”, au precizat, pentru avocatnet.ro, specialiștii de la EY România, care s-au referit la un sondaj global derulat în 2021.

Mai precis, sondajul arată că datele fiscal-contabile au fost afectate în 12% din totalul incidentelor de securitate raportate (în clasament, datele fiscal-contabile au fost depășite numai de datele clienților). În același timp, s-a observat că atacurile care au avut succes în majoritatea cazurilor s-au bazat pe metode de inginerie socială. Ingineria socială este, în esență, o tehnică de manipulare prin care se pot obține informații confidențiale sau acces la sisteme informatice restricționate, de exemplu (citește aici despre principalele metode de inginerie socială, ca să știi cum să le recunoști).

„Indiferent de mărimea întreprinderilor sau de bugetul alocat de acestea pentru securitatea cibernetică, cele mai eficiente atacuri s-au bazat pe metode de inginerie socială care exploatează natura umană. Astfel, campaniile de phishing au contribuit la 22% din totalul incidentelor de securitate raportate.

Campaniile de phishing reprezintă vectorul de atac principal pentru că oferă oportunitatea furtului credențialelor utilizatorilor legitimi, deschizând astfel calea pentru atacuri mai complexe, precum cele de tip ransomware sau business e-mail compromise. Astfel de situații pot avea efecte majore asupra IMM-urilor, perturbând procesele de business pentru perioade îndelungate și afectând relația cu partenerii”, a atenționat sursa citată.

Din moment ce IMM-urile au resurse financiare și umane limitate pentru a investi în soluții complexe, specialiștii de la EY recomandă în special implementarea unor măsuri preventive:

• conștientizarea angajaților privind riscurile asociate serviciului de e-mail; o atenție deosebită trebuie acordată adreselor expuse public și care au utilizatori multipli (de exemplu, office@, support@, info@, clienti@ etc.); gradul de conștientizare poate fi testat regulat prin campanii de phishing care simulează metodele folosite de entitățile malițioase;
  
  
• protejarea credențialelor de acces prin adăugarea unui factor suplimentar în procesul de autentificare, care să fie complementar parolei asociate contului de utilizator; pentru optimizarea costurilor, pot fi folosite echipamente hardware cu funcționalități biometrice (de exemplu, mouse cu cititor de amprentă);
  
  
• asigurarea disponibilității datelor financiare prin efectuarea copiilor de siguranță cu frecvență adecvată riscului; ideal, aceste copii sunt stocate în locații care nu sunt expuse acelorași riscuri cu sistemele primare și în cazul cărora sunt efectuate regulat teste de restaurare;
  
  
• protejarea terminalelor de lucru și a serverelor cu soluții antimalware actualizate constant;
  
  
• elaborarea unui plan de răspuns la incidente de securitate cibernetică.

Atunci când se produce un incident de securitate, timpul este esențial pentru a limita efectele asupra IMM-urilor și/sau asupra clienților ori partenerilor de afaceri. Din acest motiv, foarte important este să existe acel plan de răspuns, iar salariații responsabili de aplicarea sa să-l implementeze cu rapiditate. Desigur, există și varianta externalizării acestei activități. Însă trebuie punctat că firmele mici și medii nu pot apela la planuri-standard, ci au nevoie de planuri special concepute pentru activitatea lor.

„Menționăm că, în cazul unui incident de securitate cibernetică, timpul este esențial. Definirea unui plan de răspuns la incidente cibernetice include dezvoltarea unor proceduri de lucru, pentru a ghida echipa IT în a detecta și răspunde la incidente, într-o manieră care să limiteze eventuale daune, dar și să reducă timpul de desfășurare a atacului și costurile asociate acestuia. Este recomandat ca aceste proceduri să fie adaptate la specificul rețelei informatice și să fie definite pentru fiecare categorie de incidente informatice la care compania consideră că ar putea fi expusă (având în vedere domeniul în care operează, infrastructura IT etc.).

În cazul în care compania nu are o echipă dedicată pentru a gestiona aceste tipuri de incidente, definirea acestui plan, cât și gestionarea atacurilor ar putea fi externalizate. Planul poate fi definit împreună cu o firmă de specialitate, iar în cazul nefericit al unui atac, gestionarea și stoparea acestuia poate fi escaladată și preluată imediat de specialiști în domeniul cybercrime pentru a identifica și stopa cauzele principale care au dus la generarea atacului, a limita pierderea datelor și a restabili operațiunile la parametrii dinaintea incidentului”, ne-au spus specialiștii de la EY.

În fine, IMM-urile mai trebuie să fie atente atât la automatizări, cât și la calitatea datelor fiscal-contabile, a adăugat sursa citată: „În zona financiară, recomandăm o atenție sporită în ce privește specializarea zonelor de automatizare și control în domeniul funcției contabile și fiscale, pentru a evita orice expuneri ulterioare generate de afectarea datelor. Totodată, este necesar să se acorde o atenție crescută asupra completitudinii și lizibilității datelor financiare, pentru că orice denaturări care ar putea apărea în urma atacurilor cibernetice vor afecta semnificativ contribuabilii, ducând la probleme inclusiv în cazul unei inspecții fiscale.”

Așa cum scriam recent, în contextul digitalizării accelerate a relației dintre Fisc și contribuabili, este nevoie de măsuri suplimentare pentru a proteja datele fiscal-contabile de posibilele atacuri cibernetice. În caz contrar, companiile riscă să aibă probleme atât cu autoritățile fiscale, cât și în spațiul public.

Dincolo de conectarea caselor de marcat la sistemul național de monitorizare, proces încheiat, în mare, în 2021, și de trecerea la comunicarea exclusiv online cu Fiscul, în prezent sunt în implementare trei sisteme majore: fișierul standard de audit fiscal (supranumit SAF-T), raportarea facturilor electronice pentru vânzarea de bunuri riscante și achiziții publice (e-Factura) și raportarea transporturilor rutiere de bunuri riscante (e-Transport).

Din moment ce tot mai multe date importante ajung de la contribuabili la Fisc pe cale electronică, acestea fiind gestionate de firme direct în format electronic prin diverse sisteme și aplicații, crește riscul de a avea probleme dacă apar incidente de securitate.