Falešná důvěra SMB ve vlastní bezpečnost?

Zástupci segmentu SMB se nepovažují za atraktivní cíl hackerů a míru zabezpečení své infrastruktury minimálně přeceňují. Úspěšný kybernetický útok na menší firmu však vede podle studie National Cyber Security Alliance v 60 procentech případů k ukončení její existence.
Malé a středně velké podniky prý nepředstavují pro kybernetické útoky dostatečně atraktivní cíl. Tímto tvrzením se v minulosti zaklínali informatici v sektoru SMB, když přišla řeč na připravenost jejich firem na kybernetické hrozby. Úroveň ochrany v menších podnicích podle průzkumů výrazně zaostávala za korporátním prostředím. Analytici společnosti Wakefield Research v závěru loňského roku ověřovali, zda se situace nezměnila. Důvodů pro zcela jiný přístup k zabezpečení menších firem vidí hned celou řadu.

Dostupnost údajů o velkých a malých firmách

Oborová média věnují nemalou pozornost únikům dat, spíše však ve velkých organizacích. Podnětů mají dost a daří se jim přitahovat pozornost veřejnosti, jejíž data bývají v těchto kauzách běžně kompromitována. O menších firmách a jejich problémech na poli kybernetické bezpečnosti média ale příliš neinformují. Právě odtud by podle expertů společnosti Webroot mohl pramenit pocit falešného bezpečí, který informatici a manažeři v sektoru SMB nezřídka deklarují.

Co a jak mohou v SMB ohrozit?

Hackery opravdu nemusí v prvé řadě zajímat finance malých a středních firem, ale nebudou se ostýchat jim zcizit informace o zákaznících, obchodních modelech, inovacích nebo intelektuálním vlastnictví. Špatně zabezpečená infrastruktura jim podobné útoky výrazně zjednoduší.

Specialisté bezpečnostní firmy Webroot předpokládají, že si informatici a manažeři menších firem neuvědomují změny, které proběhly na scéně kybernetického zločinu. Podobně jako jiné segmenty informačních technologií prošel trendy komoditizace a automatizace. Díky nim se výrazně snížil intelektuální i finanční práh „vstupu do odvětví”. Škodlivé aplikace si lze poměrně levně kupovat a relativně snadno ovládat. To samé platí pro pronájem sítí infikovaných počítačů (botnetů), které případný útok fyzicky uskuteční.

Útočník s minimem schopností pravděpodobně nedokáže ohrozit velké organizace, jež v případě průniku dokáží rychle zareagovat, protože s podobnou situací počítají. O poznání úspěšnější se může stát u menších firem, v nichž se napadení projeví až v okamžiku „zastavení strojů”, neboť v nich chybí potřebné ochranné know-how, zdroje i opatření. Otázkou je, zdali finanční prostředky menšího podniku postačí na odstranění následků.

SMB ve světě a u nás

Společnost Webroot, která se specializuje na bezpečnostní služby, si vloni objednala výzkum o stavu počítačové bezpečnosti v segmentu SMB. Na vzorku 700 manažerů s rozhodovací pravomocí z USA, Velké Británie a z Austrálie jej v listopadu 2015 provedla výzkumná firma Wakefield Research. Lze předpokládat, že oslovené podniky by se v našich končinách z nemalé části zařadily do kategorie velkých společností (střední velikost ve Spojených státech končí na 999 zaměstnancích, malá na 99).

Zdání bezpečí klame

Celkovou připravenost, tj. kompletní, na odražení jakékoli kybernetické hrozby deklarovalo 37 procent respondentů. Převážnou uvedly téměř dvě pětiny dotázaných. Na první pohled by se tedy mohlo zdát, že minimálně tři čtvrtiny menších podniků kybernetickou bezpečnost nijak výrazně nepodceňují. Indikovaná míra připravenosti ale často poněkud nekoresponduje s dílčími tématy dotazování.

Vyberme několik indikátorů, které na deklarovanou vysokou míru zabezpečení nutně nepoukazují:

1. Téměř třetina oslovených podniků využívá pro zajištění IT bezpečnosti své „běžné” informatiky.

2. Kompletní připravenost na interní hrozby, například zaměstnance, indikovalo 52 procent respondentů. V případě nezabezpečených koncových zařízení šlo o 60 % respondentů. Jinými slovy: dvě pětiny menších firem si minimálně není jisto tím, zdali má chráněny osobní počítače a mobilní přístroje. A 48 % věří svým zaměstnancům, že se žádného zrádného kybernetického přestupku nedopustí.

3. Necelá pětina odpovídajících si je „velmi jista” aktuálností svých systémů a rychlou instalací potřebných opravných balíčků.

4. 84 procent respondentů si je naprosto nebo převážně jisto tím, že v jejich firmě existuje osoba, která by věděla, jak reagovat v případě kybernetického útoku.

5. Plných 56 % oslovených firem strávilo v posledních šesti měsících (před uskutečněním průzkumu) celkem 16 nebo méně hodin prací nebo řešením bezpečnostních otázek, opatření nebo problémů.

Ing. Lukáš Kříž je externím spolupracovníkem redakce.