Kybernetickým útokům již nelze zabránit. Mohou firmy získat náskok před kyberzločinci?

07. listopad 2014 08:43 0 komentářů

V souvislosti s informační bezpečností čelí většina společností (67 %) vzrůstajícím hrozbám, více než třetina firem (37 %) však o aktuálních kybernetických rizicích či potlačování relevantních hrozeb, nemá vůbec žádný přehled.

Vyplývá to z pravidelného mezinárodního průzkumu o informační bezpečnosti ve firmách (Global Information Security Survey 2014: Get ahead of cybercrime) provedeného poradenskou společností EY mezi 1 825 respondenty z 60 zemí světa včetně České republiky. Zatímco Češi (75 % respondentů průzkumu) stále považují nespokojené zaměstnance za nejpravděpodobnější zdroj útoku, ve světě byli za největší hrozbu – poprvé za sedmnáctiletou historii průzkumu – označeni kyberzločinci a hackeři.

„Kyberkriminalita je společenským problémem, útokům již nelze zcela zabránit. Vzájemné propojení lidí, zařízení a organizací otevírá nová a nová zranitelná místa, také technologie, regulační tlak a měnící se obchodní požadavky vyžadují další bezpečnostní opatření. Současní útočníci jsou přitom organizovaní, rafinovaní a mají značné finanční prostředky. Východisko spočívá v neustále pohotovosti a snaze předvídat potenciální hrozby,“ říká Petr Plecháček, senior manažer oddělení IT poradenství společnosti EY v České republice. Firmám chybí pružnost, prostředky i schopnosti nutné k tomu, aby dokázaly eliminovat známé slabiny a dostatečně se v otázkách kybernetické bezpečnosti zorientovaly. Celých 43 % účastníků průzkumu celosvětově a 50 % českých respondentů přiznává, že suma vyčleněná podnikem na informační bezpečnost se v nadcházejících dvanácti měsících navzdory sílícím hrozbám nezvýší. „Celkové výdaje na informační bezpečnost jsou v České republice v porovnání se světem nižší a rozpočet roste pomaleji,“ potvrzuje Petr Plecháček. 69 % českých respondentů uvádí rozpočet méně než 20 mil. Kč (ve světě je to 54 %). Za jednu z hlavních překážek rozvoje zabezpečení informací označila více než polovina dotazovaných (53 %) nedostatek kvalifikovaných pracovníků, v České republice je o tom přesvědčeno dokonce 75 % účastníků. Pouze 5 % zahrnutých společností celosvětově dále disponuje týmem specializovaným na analýzu relevantních hrozeb. Uvedené údaje se příliš neliší od roku 2013, kdy na nedostatek odborných zdrojů poukázalo 50 % firem a specialisty, kteří by se zabývali výhradně bezpečnostními hrozbami, zaměstnávala necelá 4 % podniků. Na rozdíl od světa je v České republice stále problémem i nedostatek kvalitních nástrojů pro řízení informační bezpečnosti.

V žebříčku slabých míst, jež oblast zabezpečení nejvíce ohrožují, vede „nedbalý či neuvědomělý přístup ze strany zaměstnanců“. Češi stále považují nespokojené zaměstnance, celých 75 % respondentů, za nejpravděpodobnější zdroj útoku, zatímco ve světě jsou za největší hrozbu již považování kyberzločinci a hackeři. Ve světě se 53 % šéfů obává organizovaného zločinu, v ČR ho za nejpravděpodobnější zdroj útoku považuje jen 31 %. Následují slabiny jako zastaralé kontroly a mechanizmy bezpečnosti a využívání cloud computingu.

Nejvýraznějšími hrozbami celosvětově jsou „krádež finančních údajů“ (28 %), „narušení chodu nebo poškození pověsti organizace“ (25 %) a „zcizení duševního vlastnictví či informací“ (20 %). Češi se nejvíce obávají kyberútoků za účelem zcizení finančních informací (50 %) a dále zneužití mobilních technologií (33 %).

Petr Fojtů, bezpečnostní specialista oddělení IT poradenství společnosti EY v ČR, vysvětluje: Jedinou cestou, jak se v oblasti počítačové kriminality dobrat úspěšné strategie řízení rizik, je odpovědná příprava vůči hrozbám, které s počítačovou trestnou činností souvisejí. Dopady kybernetických útoků mohou být dalekosáhlé, nejen z finančního hlediska, ale také co se týče poškození dobrého jména značky a pověsti firmy, ztráty konkurenčních výhod či nedodržení zákonných požadavků. Firmy musí opustit pasivní postoj a být na tomto poli aktivní – pouze tak přestanou být pro útočníky snadným cílem a stanou se jejich rovnocennými soupeři.“

Letošní průzkum také ukázal, že je třeba vynaložit více úsilí na prevenci a lépe předjímat možné útoky – stávající prostředí zkrátka neumožňuje eliminovat veškeré bezpečnostní průniky a rovněž samotné hrozby pocházejí ze stále vynalézavějších a dobře financovaných zdrojů.

„Existuje stále řada společností, jimž se základy kybernetické bezpečnosti nedaří zvládnout. Vedle nedostatečné podpory ze strany vedení a chybějících procesů a postupů odhalil aktuální průzkum také to, že až příliš mnoho účastníků postrádá specializované provozní centrum pro otázky bezpečnosti, což je opravdu znepokojivé,“ dodává Petr Plecháček.

Další závěry průzkumu mezi českými respondenty

  • Odhalení podvodu: „Čeští respondenti z řad vedoucích pracovníků jsou poměrně sebevědomí v odhadu pravděpodobnosti, že cílený útok odhalí (50 % versus 44 % ve světě). A to i přesto, že 62,5 % českých společností nemá bezpečnostní dohledové centrum (Security Operation Centre – SOC) vymezované zákonem o kybernetické bezpečnosti (ve světě SOC nemá 42 %). 58 % českých respondentů uvedlo, že na identifikovaný bezpečnostní incident reagují od 10 minut do jedné hodiny (ve světě takto odpovědělo 37 %). To je podpořeno i celkovým lepším hodnocením vyspělosti procesů detekce útoků ze strany českých respondentů (56 % versus 44 % ve světě), říká Petr Plecháček.
  • Své plány obnovy podnikání či plány obnovy po havárii české podniky považují za vyhovující a dostatečné. Tak je hodnotí 81 % českých respondentů, ve světě takto odpovídalo jen 66 %.
  • „Z pohledu celkového řízení informační bezpečnosti (governance) byli čeští respondenti skeptičtější, než celosvětové výsledky průzkumu. Vyvozujeme z toho, že jednotlivé dílčí oblasti jsou řešeny dostatečně, ale pokulháváme v koncepčnějším pojetí,“ říká Petr Fojtů.
  • České společnosti méně využívají outsourcing bezpečnostních funkcí. Zároveň jsou více zapojeny v kontrole třetích stran. Ve světě se hodně spoléhá na report vypracovaný nezávislým subjektem (standard ISAE 3402) nebo na sebehodnocení.
  • Vyspělost procesu ochrany osobních dat hodnotí pozitivně 73 % účastníků (ve světě takto odpovědělo 47 %).
  • Pro vzdělávání v oblasti informační bezpečnosti a zvyšování celkového povědomí je více využíváno e-learningu, 68 % versus 45 % ve světě.

Mohou firmy získat náskok před kyberzločinci?

Podniky by měly z počítačové bezpečnosti vytvořit jeden z pilířů vlastní konkurenceschopnosti. Takový krok vyžaduje neustálou připravenost, schopnost předvídat výskyt nových hrozeb a nesmířit se s pozicí „oběti“, ale naopak koncipovat provoz s ohledem na maximální obezřetnost. Z průzkumu vyplývají následující doporučení:

  • Ostražitost vůči novým hrozbám. Management by měl kybernetickým hrozbám/rizikům věnovat stejnou pozornost jako ostatním klíčovým aspektům podnikání a implementovat dynamický rozhodovací proces, jenž umožní přijímat rychlá preventivní opatření.
  • Porozumění rozsahu hrozeb. Podstatu tohoto doporučení tvoří komplexní, nicméně důkladný přehled o šíři hrozeb a jejich dopadech na společnost, spolu s nutností zajistit funkční monitoring bezpečnostních hrozeb.
  • Znalost vlastních předností. Je zapotřebí, aby napříč celým podnikem existovalo jasné povědomí o aktivech společnosti, jež jsou z hlediska jejího podnikání nejcennější, včetně způsobů, jak je co nejefektivněji využívat a chránit.
  • Důraz na řešení incidentů a kritických událostí. Firma by měla pravidelně testovat svoji schopnost odpovídajícím způsobem zasáhnout.
  • Snaha poučit se z chyb a dále se rozvíjet. Forenzní technologie zaměřené na počítačovou bezpečnost jsou naprosto klíčové. Společnosti by měly pečlivě vyhodnocovat data z incidentů a útoků, udržovat a navazovat novou spolupráci a pravidelně aktualizovat uplatňovanou strategii.
  • „Kromě vnitřních hrozeb je třeba uvažovat o souvislostech v rámci celého systému – o tom, jaký vliv na bezpečnostní situaci podniku mají vztahy s třetími stranami a dodavateli. Pouze tehdy, podaří-li se firmám dosáhnout faktické připravenosti a dostatečně se v problematice počítačové bezpečnosti orientovat, mohou investice do této oblasti přinést skutečné výsledky. Díky solidním základům a schopnosti reagovat na změny je možné získat před pachateli počítačové trestné činnosti určitý náskok, zavádět opatření dříve, než budou potřeba a připravit se na hrozby, jež se teprve objeví,“ dodává Petr Fojtů.


Komentáře

RSS 

Komentujeme

AI i její tvůrci před soudem

Pavel Houser , 22. duben 2018 09:30
Pavel Houser

John Kingston z anglické University of Brighton poskytl pro The Register svůj pohled na právní odpov...

Více







RSS 

Zprávičky

Před 25 lety byl zpřístupněn webový prohlížeč Mosaic

ČTK , 21. duben 2018 15:22

Mosaic se zrodil v průběhu roku 1992 v hlavě Marca Andreessena a jeho kolegy Erica Biny....

Více 0 komentářů

Těžba bitcoinů při kurzu pod 8 600 dolarů je ztrátová

ČTK , 20. duben 2018 11:21

Analytici se domnívají, že poptávka po hardwaru pro těžbu bitcoinů dál klesne, stejně jako cena kryp...

Více 0 komentářů

Netflixu prudce stoupají příjmy i počet odběratelů

ČTK , 20. duben 2018 09:36

Čistý zisk ve čtvrtletí stoupl na 290,1 milionu dolarů, neboli 64 centů na akcii....

Více 0 komentářů

Starší zprávičky

Zájem o přijímače s digitálním rádiem je minimální

ČTK , 20. duben 2018 08:00

Český rozhlas na konci loňského roku rozšířil pokrytí digitálním signálem na 40 % populace....

Více 3 komentářů

eMan vykupuje zpět podíl Jablotronu

Pavel Houser , 19. duben 2018 14:32

Strategie obou společností se po více než 2 letech propojení rozcházejí, kontrolu nad firmou získáva...

Více 0 komentářů

Facebook reaguje na nové normy EU, cílená reklama ale nepřestane

ČTK , 19. duben 2018 10:26

Facebook se začal dotazovat svých uživatelů, zda může v jejich fotografiích a videích používat techn...

Více 2 komentářů

Ruské úřady vs. Telegram

ČTK , 19. duben 2018 08:00

Začaly se objevovat informace o rozsáhlých výpadcích služeb, které se sporem nijak nesouvisejí....

Více 0 komentářů