W sieci czai się zło. Tak jak w zwyczajnym, realnym świecie, trzeba być czujnym i gotowym na każdą okoliczność. Szczególnie taką, jak spotkanie z nieuczciwością i przestępczą dezynwolturą. Wszędzie, także w internecie, dobrze mieć policję, a jeszcze lepiej własnego bodyguarda. Kradzieże wrażliwych danych, zniszczenie informacji przechowywanych w aplikacjach biznesowych, awarie wywołane wprowadzeniem złośliwego kodu - to zagrożenia, z którymi dziś muszą się liczyć zarówno wielkie korporacje, jak i mniejsze firmy.
Cyberprzestępcy czyhają na wielkie pieniądze, ale nie pogardzą również zwykłym trollowaniem, szerzeniem destrukcji i robieniem bałaganu.
Hakerskie ataki kosztują światowe firmy setki miliardów dolarów rocznie. Nie powinno więc dziwić, że ochrona przed pazernością sieciowych złodziei i sprawnych informatycznie złośliwców jest dla firm równie ważna jak przestrzeganie przepisów i skrupulatne płacenie podatków. Zaniedbanie każdej z tych dziedzin może doprowadzić do okoliczności, w których przyjdzie za niedopatrzenie słono zapłacić. Stracić można nie tylko pieniądze, ale również reputację.
Przeprowadzone przez Allianz w 2015 roku badanie Allianz Risk Barometer (badanie wśród 500 risk managerów z 40 krajów) pokazuje, które z zagrożeń są najczęstszą przyczyną strat w przedsiębiorstwach. - Jako najczęstszy charakter strat respondenci wskazują utratę reputacji (aż 61 proc. odpowiedzi), na kolejnych miejscach znajdują się: utrata zysków (49 proc.) i koszty do poniesienia przez firmę, związane z utratą danych klientów (45 proc.) - wylicza Włodzimierz Pyszczek, menedżer wydziału ubezpieczeń ryzyk finansowych Allianz.
Nadciąga cyberlawina. Jesteś gotowy?
Jasne jak słońce jest to, że urządzeń korzystających z zasobów internetowych będzie coraz więcej. Internet dociera już nie tylko do komputerów stacjonarnych, laptopów i smartfonów, ale również wnika do rzeczy i urządzeń codziennego użytku, takich jak... lodówka. Wraz z coraz większym zasobem „uinternetowionych” przedmiotów rośnie lawina komputerowych wirusów.
Czy przedsiębiorcy, bo przecież w nich cyberatak uderzyć może najmocniej, zdają sobie sprawę z tych niebezpieczeństw?
Marcin Ludwiszewski, dyrektor obszaru cyberbezpieczeństwa w Deloitte zauważa, że zarządy przedsiębiorstw w coraz większym stopniu zwracają uwagę na cyberzagrożenia.
- Do pewnych działań związanych z ochroną zmuszają firmy regulatorzy danego sektora rynku, wymagania prawne - np. unijne przepisy narzucają pewne aspekty ochrony danych i ograniczeń w ich przetwarzaniu - tłumaczy. - Bywa również, że firma ma wyznaczone audytem praktyki. Trzeci przypadek, chyba najbardziej przykry, to sytuacja po incydencie: coś się wydarzy na skutek „dziurawej” sieci i wtedy wprowadzane są zabezpieczenia.
- Dla firmy opierającej swój model biznesowy na sieci, ochrona przed cyberatakiem jest równie ważna jak ochrona fizyczna, zamki i kraty w oknach w klasycznej firmie handlowej czy usługowej - twierdzi Paweł Lipka, PHP developer w agencji interaktywnej KERRIS. - Znalezienia przez atakujących dziur w zabezpieczeniach grozi utrata zysków (np. "darmowe" zamówienia). Dużo gorzej jest w przypadku zablokowania sklepu internetowego, co grozi całkowitym odpływem klientów, a przy wycieku danych osobowych może wiązać się z konsekwencjami prawnymi. Dla firm, które z sieci korzystają tylko w celach informacyjno-reklamowych, zablokowanie czy zhakowanie strony grozi utratą wiarygodności w oczach klientów.
Dodatkowo poza stronami WWW, sklepami itp., celami ataków są też serwery mailowe, oraz pojedyncze komputery pracowników. Konsekwencje takich ataków są zazwyczaj niezwykle poważne: od zablokowania dostępu do danych (popularne ostatnio szyfrowanie dysków ofiar) po całkowitą ich utratę, lub wyciek danych wrażliwych, które często stają się przedmiotem handlu.
Małe firmy na celowniku hakerów
Świadomość zagrożenia czającego się w sieci rodzi się powoli. Bez wątpienia w Polsce jest pod ty względem znacznie gorzej niż w innych lepiej rozwiniętych krajach.
- Badania FTSE 350 Cyber Governance Health Check przeprowadzone w 2014 roku wśród zarządów spółek w Wielkiej Brytanii wykazały, że 75 procent respondentów rozumiało problemy cyberochrony, a mniej niż 20 procent rozumiało ryzyko - mówi Marcin Ludwiszewski z Deloitte. - W firmach pojawia się motywacja do zmian w tym zakresie, budzi się świadomość istnienia zagrożeń. Według raportu Guide to Cyberrisk, przygotowanego przez ekspertów z Allianz, roczne koszty cyberprzestępstw poniesione przez globalną gospodarkę wynoszą 445 mld dolarów, z czego ponad 200 mld dolarów poniosły cztery największe gospodarki światowe (USA, Chiny, Japonia i Niemcy).
W Polsce szacunkowe dane, zawarte w raporcie Norton Cyber Crime, podają, że koszty związane z działalnością przestępców internetowych wyniosły w Polsce ok. 6 miliardów złotych i dotknęły 6 milionów osób. Najczęstszym celem ataków cybernetycznych są duże organizacje - stanowią one cel hakerów w 40 proc. przypadków. Niepokojący jest natomiast wzrost liczby ataków skierowanych przeciw małym firmom, zatrudniającym mniej niż 250 osób. Udział takich podmiotów w ogólnej licznie ataków zwiększył się aż do 34 proc.
Temat bezpieczeństwa jest ciągle mocno niedoceniany, a przez to nakłady na nie są zazwyczaj niewystarczające. - Zaniedbania mogą doprowadzić firmę nie tylko do utraty zaufania klientów, ale również do całkowitego paraliżu prac, a nawet konsekwencji prawnych - przypomina Paweł Lipka z KERRIS.
Najbardziej narażone na ataki cyberprzestępców są podmioty z branży związanej ze służbą zdrowia, bankowością, sektorem usługowym oraz administracja publiczną, w których przechowuje się miliony poufnych danych takich jak numer konta bankowego, czy pesele. Z raportu Deloitte wynika, że sektor finansowy jest na pierwszym miejscu zagrożonych cyberprzestępczością.
- Na cyberataki narażona jest praktycznie każda firma, zarówno duża, jak i wspomniana wcześniej instytucja finansowa czy też średnia lub mała - przypomina Włodzimierz Pyszczek z Allianz. - Może nawet bardziej ryzyko dotyka tych mniejszych podmiotów, bo są one bardziej zależne od zewnętrznych dostawców i nie stać ich na najdroższe zabezpieczenia danych i sieci oraz armię ekspertów. Ostatnio szeroko opisywany incydent cyberataku na bank zyskał duży rozgłos, bowiem dotyczył szerokiej rzeszy klientów.
- W bankowości bezpieczeństwo danych jest szczególnie istotne. Aby ochrona była skuteczna, o bezpieczeństwo muszą dbać zarówno bank, jak i jego klient. Szczególnie w internecie, gdzie tak jak w życiu nie brakuje przestępców - podkreśla Krzysztof Olszewski, rzecznik prasowy mBanku. - Mogą oni próbować przejąć nasze wrażliwe dane osobowe oraz loginy i hasła za pomocą spamu (phishing), przy użyciu fałszywej strony bankowej lub wirusów. Przed takimi praktykami ostrzegamy naszych klientów. Wystarczy stracić czujność i nie rozpoznać podrobionej strony, by podać złodziejom swoje dane - ostrzega.
Światowe wichury w sieci często nie trafiają do medialnych doniesień. - Wiele przypadków okrywa tajemnica - nikt nie jest zainteresowany ich ujawnieniem, bo przestępca na ogół nie chwali się kradzieżą, a bycie ofiarą to ujma dla firmy - wyjaśnia Marcin Ludwiszewski.
I wylicza: - Z przykładem takich poważnych konsekwencji mieliśmy ostatnio do czynienia w przypadku powszechnie opisywanej na początku roku w mediach afery związanej z cyberatakiem na koncern lotniczy FACC - producenta Airbusa i Boeinga. Firma straciła niemal 50 milionów euro na skutek mejlowej mistyfikacji. Po ujawnieniu tego faktu rada nadzorcza zwolniła dyrektora finansowego, a kilka miesięcy później prezesa FACC Waltera Stephana ze skutkiem natychmiastowym. Inny poważny przykład cyberszpiegostwa to przypadek AMSC, amerykańskiej firmy specjalizującej się w oprogramowaniu dla turbin wiatrowych. Techniczne dane ich sztandarowego produktu zostały prawdopodobnie skradzione przez chińskiego producenta turbin Sinovel Wind Group Co w 2011 roku. Trwają procesy, a AMSC ma ogromne straty: wartość akcji koncernu spadła z 370 dolarów za akcję do 5.
"Łamałem ludzi, nie hasła"
Tak pisał Kevin Mitnick - jeden z najniebezpieczniejszych hakerów na świecie. Największym zagrożeniem dla wycieku firmowych danych są bowiem nie są słabe zabezpieczenia systemowe, lecz pracownicy.
Zakup najdroższych technologii zabezpieczeń, szyfry, zamki, karty biometryczne, intensywne szkolenia personelu, restrykcyjna polityka informacyjna mogą dać iluzję bezpieczeństwa, ale najsłabszymi ogniwami, jak zwykle są ludzie: ich naiwność, łatwowierność i ignorancja. A to znaczy, że najważniejszą kwestią jest wytworzenie systemu odpowiedzialności.
- Przedsiębiorcy wyobrażają już sobie, co może się zdarzyć, gdy taki atak wystąpi. Zadają sobie pytanie, czy podjęli środki, aby ustrzec się, a także, czy gdy coś niepokojącego się wydarzy, będzie można wskazać osobę za to odpowiedzialną. Bo jeśli nie ma kogoś, kto odpowiada za pewien obszar działań, nie ma kto ustalać zasad i wypracowywać strategii - przestrzega Marcin Ludwiszewski z Deloitte.
Pionierami zmian, jak podkreśla, są firmy technologicznie bazujące na sieci oraz te, które decydują się na transformację do modelu digital, bo one mają największą świadomość zagrożenia.
Dlatego warto inwestować w ludzi i nie szczędzić na to środków. Zwłaszcza w obliczu szacunków specjalistów, którzy twierdzą, że największym natężeniem cyberprzestępczości możemy mieć w Polsce do czynienia w najbliższych 2-3 latach.
W obliczu takich okoliczności może warto więc rozglądać się za różnymi kanałami ochrony.
- Ubezpieczenia cyber ryzyk należą do najdynamiczniej rozwijających się produktów na światowym rynku ubezpieczeń - ich rynek każdego roku rośnie w tempie dwucyfrowym. Allianz szacuje, że światowy rynek ubezpieczeń cyber wart jest obecnie 2 miliardy dolarów, z czego 90 proc. przypada na USA - wyjaśnia Włodzimierz Pyszczek. - Szacuje się, że mniej niż 10 proc. wszystkich firm posiada obecnie ubezpieczenie cyber. W Polsce odsetek ten jest znacznie niższy. Tymczasem rodzime firmy we wszystkich badaniach wykazują dokładnie ten sam poziom zagrożeń cyber, jak firmy zachodnie.
- Żadna firma nie powinna szczędzić środków na ochronę swojej cyberprzestrzeni. Jako właściciel firmy gotów byłbym na każdy wydatek. Niedawno czytałem artykuł o tym, jak przestępcy okradają konta przedsiębiorstw: wystarczy włamać się na skrzynkę mejlową prezesa i skontrolować, jak przebiega komunikacja z księgową oraz podrobić przesyłkę z poleceniem przelewu, na przykład z uzasadnieniem, że trwają potajemne pertraktacje z kontrahentem. Kilka firm już padło ofiarą oszustów - kwituje Krzysztof Olszewski, rzecznik mBanku. - To pokazuje, że w internecie, tak jak na drodze, powinna panować zasada ograniczonego zaufania.
Ochroniarze sieci specjalnej troski
Źródło: Money.pl