Sektor małych firm na celowniku cyberprzestępców

Tak naprawdę najwięcej ofiar hakerów stanowią nie banki, wielkie organizacje czy instytucje publiczne, ale małe i średnie przedsiębiorstwa. Trochę na własne życzenie.

Małe na celowniku

Jak oceniają eksperci McAfee, duża część firm sektora MSP nie przywiązuje należytej uwagi do odpowiedniego zabezpieczenia własnych środowisk IT. Głównym powodem takiego podejścia jest przekonanie, że mają zbyt małe dochody, aby stać się celem działów przestępców. Tym bardziej, że jak ocenia Trend Micro, pracownicy małych firm częściej wykazują ryzykowne zachowania podczas pracy w sieci niż ich odpowiednicy w większych przedsiębiorstwach.

Małe ryzyko, pewny zysk

Przekonanie, że sieć małej firmy jest mało atrakcyjna dla hakerów to jeden z najgroźniejszych mitów. Nic bardziej błędnego. Według ekspertów McAfee, właśnie firmy sektora MSP są szczególnie cennym kąskiem dla hakerów – potencjalnie niższe korzyści z ataku internetowego na mniejszą firmę są rekompensowane znacznie mniejszym poziomem ryzyka. W ocenie analityków, zabezpieczenia stosowane przez mniejsze firmy są znacznie mniej rozbudowane, a przestępcy mogą łatwiej przeprowadzić udany atak.

Ignorantia nocet

Świadomość zagrożenia powoli rośnie, ale nadal ma ją zaledwie około połowy zarządzających. To lepiej niż rok temu, ale nadal daleko od ideału. Co ciekawe, to sami zarządzający deprecjonuja wartość informacji przechowywanych na firmowych komputerach, uznając, że w ich systemach IT nie ma wystarczająco cennych informacji, aby stały się one celem włamania. Tymczasem, na co zwraca uwagę Jakub Bojanowski, partner w Dziale Zarządzania Ryzykiem firmy doradczej Deloitte, informacja jest aktywem, które podobnie jak inne ważne aktywa biznesowe, ma dla instytucji wartość i dlatego zaleca się jej odpowiednią ochronę.

Firmy jednak często bagatelizują bezpieczeństwo i ochronę informacji, nie stosują skutecznych procedur oraz nie szkolą w odpowiednim stopniu pracowników w zakresie bezpieczeństwa informacji – oceniają eksperci Deloitte.

Straty nie tylko finansowe

Konsekwencje braku należytej ochrony informacji mogą być dla firm bardzo dotkliwe. Straty finansowe to tylko jedna strona medalu, najbardziej wymierna, ale też najmniej dotkliwa w dłuższej perspektywie. Mniej wymierne, ale często bardziej dotkliwe są utrata zaufania klientów i kontrahentów, a często również odpowiedzialność prawną czy finansową z tytułu nienależytej ochrony danych.

Koszty to nie tylko ceny

Zdaniem analityków, podstawowy błąd tkwi w myśleniu o kosztach ochrony. To prawda, że mniejsze firmy dysponują mniejszymi środkami, które mogą przeznaczyć na zabezpieczenie własnego środowiska IT. Jednak podczas planowania budżetu powinny brać pod uwagę skutki ewentualnych włamań, w tym kradzieży danych i przestojów. Wtedy okaże się, że środki dobrze wydane na ochronę systemu są jednymi z bardziej efektywnie wydanych pieniędzy. Przy okazji eksperci przypominają o konieczności instalowania wszelkich poprawek i posiadania jak najbardziej aktualnych wersji oprogramowania – nie tylko antywirusowego. O tym, że oprogramowanie powinno być legalne, już nawet nie przypominają.

Człowiek to podstawa

O tym wielokrotnie na łamach Komputera w Firmie pisaliśmy – najbardziej krytycznym elementem ochrony sieci firmowych jest człowiek. Potwierdzają to eksperci Deloitte i McAfee. „Trzeba pamiętać o tym, że zarządzanie bezpieczeństwem informacji sprowadza się do umiejętnego zarządzania ludźmi. Technologia może jedynie wspierać ten proces” – mówi Lechosław Nowak, menadżer z Deloitte. Jakub Bojanowski dodaje, że do „prawdziwych” włamań dochodzi raczej rzadko. Dużo większym problemem jest nienależyta ochrona informacji, wynikająca z niefrasobliwości czy braku świadomości zagrożeń. Jak sprawdziło Trend Micro, większość wycieków danych spowodowana jest działaniami wewnętrznymi, przypadkowymi lub celowymi, wykonywanymi przez uprawnionych użytkowników, którzy mają dostęp do danych w sieci korporacyjnej, czyli w znacznej mierze – pracowników. A zagrożenie utratą danych jest uważane za poważniejsze niż inne, takie jak spam, oprogramowanie szpiegujące czy phishing.

Światełko w tunelu

Przy wszystkich zastrzeżeniach, eksperci są optymistami. Podkreślają, że firmy, także małe i średnie coraz częściej zaczynają myśleć o odpowiednim zarządzaniu ochroną informacji. Nie bez znaczenia jest lawinowo rosnąca wielkość strat spowodowanych problemami z dostępem do danych.

W polskich firmach wielkość ta wzrosła w ubiegłym roku o blisko 20 proc., przekraczając wartość 800 milionów dolarów.