Cyberbezpieczeństwo - eksperci PwC

Hakerzy chcą wykraść tajemnice i pieniądze, zniszczyć reputację spółek. Z tą tezą nikt – także w Polsce – nie ma odwagi polemizować. Jednak jeśli pójdzie się dalej i zbada realne kroki w przedsiębiorstwach, to okaże się, że niestety większość firm wciąż traktuje zagrożenia cyfrowym atakiem wyjątkowo nieadekwatnie do zagrożeń.

Globalne koszty cyberprzestępczości rosną, i to bardzo szybko. W samej Wielkiej Brytanii negatywny wpływ cyfrowej przestępczości na gospodarkę szacuje się na 27 mld funtów rocznie. Biały Dom uważa, że kradzież danych amerykańskich firm kosztuje nawet do 1 bln dolarów. W efekcie bataliony łowców hakerów powstały nie tylko w PwC. Nasi eksperci są jednak częścią światowego zespołu, który uznany został za numer 1 w rankingu firm zajmujących się bezpieczeństwem cybernetycznym. Zestawienie za ubiegły rok przygotowała firma Gartner, niezależna organizacja badawcza specjalizująca się w technologiach informatycznych.

W Polsce wiedza o spektakularnych wpadkach jest znacznie mniejsza niż w Europie Zachodniej i USA. Oczywiście to się zmienia, ale wciąż mamy wrażenie, że niewiedza budzi raczej chęć do zadowolenia niż skłonność do zwrócenia większej uwagi na problem. Może to trochę przypominać reakcję kapitana na „Titanicu" – skoro nie przydarzyła mi się nigdy katastrofa, to moim pasażerom nic nie może się stać.

Dzieje się tak, mimo że nasze ostatnie badanie dotyczące przestępczości gospodarczej potwierdza, że co piąta polska firma miała do czynienia z cyberprzestępczością. Informacji dotyczących bezpieczeństwa informatycznego w polskich firmach jest mało. Nie ma wiarygodnych danych na temat liczby ataków hakerskich na polskie firmy. To po prostu nie są informacje, którymi przedsiębiorstwa chcą się chwalić.

Postanowiliśmy sprawdzić, jak to jest naprawdę i przeprowadziliśmy ponad 20 symulowanych zintegrowanych ataków. Niestety, potwierdziły one, że dane nie są zbyt dobrze chronione. Średnio cztery godziny zajęło nam przełamanie zabezpieczeń, blisko 100 proc. pracowników ujawniło świadomie lub nieświadomie swoje hasła. I jedynie 10 proc. organizacji wykryło i zareagowało na symulowany atak.

Tymczasem pewne jest, że zaangażowanie przedsiębiorstw, ale i administracji na różnych poziomach w cyfrową rzeczywistość będzie się zwiększać. Tradycyjnie przodują w tym Stany Zjednoczone.

Widać to dobrze chociażby na przykładzie słynnego już debiutanckiego tweeta CIA. Centralna Agencja Wywiadowcza zadebiutowała na Twitterze 6 czerwca tego roku. Treść pierwszej informacji: „nie możemy ani potwierdzić, ani zaprzeczyć, że to jest nasz pierwszy wpis", spowodowała, że konto CIA (do tej pory wysłali w eter tylko cztery tweety) w ciągu zaledwie kilku dni zaczęło śledzić ponad 620 tys. posiadaczy kont na tym serwisie społecznościowym. Cybernetyczny świat, pobudzany gigantycznym wzrostem liczby aktywnych użytkowników smartfonów, przyspiesza. Ryzyko ataków na przedsiębiorstwa przekracza już dawno ten poziom, do którego przywykliśmy.

Według naszego corocznego badania „Globalny stan bezpieczeństwa informacji 2014", przeprowadzonego wśród 9600 respondentów spośród grona prezesów, członków zarządów firm i organizacji ze 115 krajów, liczba incydentów związanych z bezpieczeństwem IT wzrosła o 25 proc. w porównaniu z rokiem poprzednim, a średnie straty finansowe z powodu jednego ataku zwiększyły się o ponad 18 proc.

Badanie ujawnia również, że wiele organizacji nie wdrożyło technologii, które mogłyby pomóc określić konkretne zagrożenia, zidentyfikować i ochronić kluczowe aktywa oraz ocenić zagrożenia w kontekście celów biznesowych. Dla wielu przedsiębiorstw bezpieczeństwo wciąż nie jest jednym z podstawowych elementów strategii biznesowej i nie stanowi wysokiego priorytetu dla zarządu ani znaczącej pozycji w budżecie.

Nie chodzi tylko o pieniądze, które giną. Z takiej sytuacji każdy stara się wyjść z twarzą, a w przypadku instytucji finansowych ma to jeszcze szerszy wymiar.

Chodzi o zaufanie. To szczegóły budują postrzeganie firmy przez jej klientów. Chociażby takie, jak zadbanie o to, by informacja o incydencie włamu cyfrowego nie krążyła poza kontrolą – stanowi przecież element systemu bezpieczeństwa.