Cyberbezpieczeństwo firm: najbardziej szkodzą pracownicy?

Przeczytaj także: Bezpieczeństwo IT: mamy 21 miesięcy na wdrożenie dyrektywy UE

Podatność na cyberataki

Badanie „Cyberbezpieczeństwo firm” dowodzi, że w minionym roku 8 na 10 firm zarejestrowało od zera do pięciu ataków. 1 na 9 respondentów odnotował od pięciu do dziesięciu incydentów związanych z naruszeniem bezpieczeństwa, a 6% ankietowanych przyznała, że cyberataki dotknęły ich organizację więcej niż 10 razy.

Najbardziej problematyczny okazał się malware, na który wskazało niemal 2/3 ankietowanych. 44% respondentów utyskiwało na zachowania pracowników, a 39% dotknęła utrata danych będąca następstwem awarii sprzętu.

– Rezultaty badania wyraźnie dowodzą, że firmy kiepsko radzą sobie z wykrywaniem ataków. Zbyt mało incydentów jest wykrywanych, a wśród tych, które są identyfikowane dominują łatwe do zaobserwowania infekcje ransomware czy utrata danych na skutek awarii. Pojawia się obawa czy brak poczucia zagrożenia nie jest następstwem braku możliwości zaobserwowania ataków nadszarpujących cyberbezpieczeństwo – mówi Aleksander Ludynia, Doświadczony Menedżer w Zespole Zarządzania Ryzykiem Informatycznym EY.

- Ciągle słyszymy, że danej firmy „cyberataki nie dotyczą”. Warto się wówczas zastanowić czy jest to stan faktyczny, czy efekt braku świadomości działań wymierzonych w organizację – dodaje Tomasz Dyrda, Dyrektor w Dziale Zarządzania Ryzykiem Nadużyć EY.

Człowiek najsłabszym ogniwem

Zdecydowana większość przebadanych firm przyznaje, że cyberbezpieczeństwo najbardziej nadwyrężają nie sprzęt, oprogramowanie, czy procedury, ale pracownicy. Z takiego założenia wychodzi 64% ankietowanych.

- Badanie pokazuje, że przeszkolenie z zakresu bezpieczeństwa IT, przyjęcia na siebie odpowiedzialności za przestrzeganie zasad (przecież podpisaliśmy procedurę bezpieczeństwa) i odświeżanie wiedzy nie wystarcza. Listy trywialnych haseł, pokazujące ignorowanie podstawowych zasad ich tworzenia, lekceważenie zaleceń i procedur szyfrowania danych, otwieranie maili phishingowych – to tylko ułamek błędów, które popełniają ludzie, a jednocześnie użytkownicy urządzeń i systemów IT – ostrzega Tomasz Dyrda.

- Pracownicy firm ciągle darzeni są sporym zaufaniem swoich pracodawców. Dodatkowo wiele ataków prowadzonych jest za pomocą przejętych kont administratorów, dlatego także ich działania powinny podlegać szczególnej kontroli i monitorowaniu – uważa Aleksander Ludynia

. Na dalszych miejscach wśród przyczyn cyberzagrożeń, znaleźli się przestępcy komputerowi - wymieniani przez ponad połowę respondentów (57%), oraz przestarzałe oprogramowanie (40%).

Zabezpieczenia z XX wieku

Mimo nasilającego się zagrożenia ze strony cyberprzestępców i coraz większej liczby udanych ataków, firmy opierają swoją obronę na technologiach stworzonych w latach 80-tych ubiegłego wieku. Jak wynika z badania EY, Chubb i CubeResearch „Cyberbezpieczeństwo firm” są to przede wszystkim programy antywirusowe (93%) i zapory ogniowe (89%).

Popularność́ innych sposobów na cyberbezpieczeństwo nie przekroczyła jednej trzeciej.

- Wiele firm wskazuje, że boryka się z incydentami polegającymi na utracie danych, co może prowadzić do wniosku, że firmy nie radzą sobie również z tworzeniem kopii zapasowych kluczowych zasobów informatycznych. Patrząc na wyniki badania wydaje się, że konieczne są intensywne zmiany w podejściu polskich firm do kwestii bezpieczeństwa systemów informatycznych – mówi Aleksander Ludynia, Doświadczony Menedżer w Zespole Zarządzania Ryzykiem Informatycznym EY.

Kiedy już zaatakują…

Zaledwie 7% firm posiada system informowania o incydentach, działający w trybie 24/7/365, do którego podłączone są wszystkie istotne systemy teleinformatyczne. Aż 43% firm nie posiada żadnego systemu ostrzegania. Bodźcem do bardziej intensywnych działań w obszarze bezpieczeństwa IT jest atak hakerski. W sytuacji kryzysowej, zarząd firmy widzi na bieżąco jak skuteczne są plany reakcji i struktury odpowiedzialne za bezpieczeństwo IT. Badania w tym obszarze nie nastrajają optymistycznie.

- Niestety, w wielu przypadkach ataki są skuteczne - czy to działania socjotechniczne (ostatnio popularna fala ataków „na prezesa”), wymuszenia okupu (ransomware), czy też ukierunkowane działania hakerów. Firmy ponoszą realne straty i dopiero po takim „zimnym prysznicu” następuje refleksja i próba zrozumienia, w jaki sposób i z kim działać, żeby w przyszłości uniknąć podobnych sytuacji – mówi Grzegorz Idzikowski, Menedżer w Dziale Zarządzania Ryzykiem Nadużyć EY. – Jedynie co ósma firma ma zarówno odpowiedni plan oraz zespół i może sprawnie koordynować działania w obliczu zagrożenia – dodaje.

Lepiej zapobiegać niż leczyć

Chociaż firmy zdają sobie sprawę ze znaczenia ludzi dla bezpieczeństwa całego systemu, niewiele z tą wiedzą robią. Okazuje się, że aż 41% pracowników nie uczestniczyło w żadnym szkoleniu na temat bezpieczeństwa w sieci, a w prawie jednej trzeciej badanych firm nie ma procedury postępowania w sytuacji zagrożenia cybernetycznego.

Aż trzy czwarte respondentów badania EY, Chubb i CubeResearch „Cyberbezpieczeństwo firm” stwierdziło, że przeprowadziło w firmie testy bezpieczeństwa, wprawdzie jedynie co piąta firma (21%) zrobiła to w ciągu ostatniego roku, ale wynik ten można uznać za wysoki. Jednak samo wykonanie to tylko pierwszy etap, na którym większość badanych się zatrzymuje. Tylko 15% firm twierdzi, że wnioski z audytu zostały wdrożone w życie.

Innym sposobem zapobiegania konsekwencjom finansowym incydentów bezpieczeństwa jest transfer części ryzyka na ubezpieczyciela.

- W procesie transferu ryzyka sprawdzane są zasady bezpieczeństwa informatycznego, zarzadzania ryzykiem i tzw. higiena informatyczna firmy – twierdzi Marta Paruch z CHUBB. – Mimo że polisa ubezpieczeniowa nie jest remedium na wszelkie problemy, ma możliwość zmniejszenia ponoszonych przez firmę konsekwencji. Ubezpieczyciel może bowiem wziąć „na siebie” część ryzyka poprzez pokrywanie kosztów prawników w przypadku roszczeń pokrzywdzonych w związku z ujawnieniem ich danych niezgodnie z przepisami prawa wraz z zapłatą kar administracyjnych nałożonych przez organy regulacyjne, kosztów doradców PR i informatyków śledczych – dodaje.

O badaniu
Autorami badania "Cyberbezpieczeństwo firm" są konsultanci CubeResearch, EY oraz Chubb. Badanie składało się z dwóch części – badania zasadniczego, gdzie na zadane pytania odpowiadały osoby na co dzień zajmujące się problematyką cyberbezpieczeństwa firm oraz badania dodatkowego zrealizowanego na pracownikach firm. Badanie zasadnicze zrealizowano w listopadzie 2016 na próbie 350 firm. Badanie dodatkowe zrealizowano na próbie 500 pracowników zatrudnionych w polskich firmach.