Polska nie nadąża za cyberprzestępczością

Polskie firmy nie radzą sobie z wykrywaniem incydentów bezpieczeństwa, identyfikując bardzo mało cyberataków. Najsłabszym ogniwem są pracownicy, ale to efekt zbyt małej wagi przykładanej do szkoleń – wynika z badania EY, Chubb i Cube Research

W ciągu minionego roku osiem firm na 10 zanotowało 0–5 znaczących incydentów naruszenia bezpieczeństwa, jedna firma na dziewięć padła ofiarą cyberataków 5–10 razy, a tylko 6 proc. badanych doświadczyło więcej niż 10 incydentów. Najczęściej wskazywano ataki malware’owe (68 proc. wskazań), działania pracowników (44 proc.) oraz utratę danych z powodu awarii sprzętu (39 proc.). Te incydenty są, zdaniem respondentów, także największymi zagrożeniami dla ich firm.

Człowiek najsłabszym ogniwem
Dla większości badanych przedsiębiorstw najsłabszym ogniwem w kontekście bezpieczeństwa organizacji jest nie sprzęt, oprogramowanie ani procedury, lecz człowiek – pracownik firmy. Takiego zdania jest aż 64 proc. respondentów. Dzieje się tak dlatego, że pracownicy firm ciągle darzeni są sporym zaufaniem przez swoich pracodawców. Dodatkowo wiele ataków prowadzonych jest za pomocą przejętych kont administratorów, dlatego także ich działania powinny podlegać szczególnej kontroli i monitorowaniu. Na dalszych miejscach wśród przyczyn cyberzagrożeń znaleźli się przestępcy komputerowi, wymieniani przez ponad połowę respondentów (57 proc.), oraz przestarzałe oprogramowanie (40 proc.).

Przedpotopowe zabezpieczenia
Mimo nasilającego się zagrożenia ze strony cyberprzestępców i coraz większej liczby udanych ataków firmy opierają swoją obronę na technologiach stworzonych 30–40 lat temu. Są to przede wszystkim programy antywirusowe (93 proc.) i zapory ogniowe (89 proc.). Popularność innych sposobów zabezpieczenia w badanych firmach nie przekroczyła jednej trzeciej.

Kiedy już zaatakują…
Zaledwie 7 proc. firm ma system informowania o incydentach, działający w trybie 24/7/365, do którego podłączone są wszystkie istotne systemy teleinformatyczne. Aż 43 proc. firm nie ma żadnego systemu ostrzegania. Bodźcem do bardziej intensywnych działań w obszarze bezpieczeństwa IT jest atak hakerski. W sytuacji kryzysowej zarząd firmy widzi na bieżąco, jak skuteczne są plany reakcji i struktury odpowiedzialne za bezpieczeństwo IT. Badania w tym obszarze nie nastrajają optymistycznie.

Lepiej zapobiegać, niż leczyć
Chociaż firmy zdają sobie sprawę ze znaczenia ludzi dla bezpieczeństwa całego systemu, niewiele z tą wiedzą robią. Okazuje się, że aż 41 proc. pracowników nie uczestniczyło w żadnym szkoleniu na temat bezpieczeństwa w sieci, a w prawie jednej trzeciej badanych firm nie ma procedury postępowania w sytuacji zagrożenia cybernetycznego. Aż trzy czwarte respondentów stwierdziło, że przeprowadziło w firmie testy bezpieczeństwa, wprawdzie jedynie co piąta firma (21 proc.) zrobiła to w ciągu ostatniego roku, ale wynik ten można uznać za wysoki. Samo wykonanie audytu to jednak tylko pierwszy etap, na którym większość badanych się zatrzymuje. Tylko 15 proc. firm twierdzi, że wnioski z kontroli zostały wdrożone w życie.