Organizațiile globale sunt de părere că amenințările actuale legate de atacurile cibernetice reprezintă un risc ridicat pentru ele, potrivit celei de-a douăzecea ediții anuale a studiului EY Global Information Security Survey (GISS), la care au participat peste 1200 de lideri ai celor mai mari organizații din lume.
Rezultatele arată că 56% dintre cei chestionați își modifică sau intenționează să schimbe strategia și planul de business în contextul creșterii amenințărilor cibernetice. Accelerarea gradului de conectivitate din interiorul organizației globale – alimentată de creșterea explozivă a dispozitivelor inteligente conectate la internet (IoT) – a generat noi vulnerabilități pe care infractorii cibernetici, din ce în ce mai sofisticați, le pot exploata.
Studiul mai arată că atacurile obișnuite – atacuri informatice efectuate de actori individuali, nesofisticați – au exploatat cu succes aceste vulnerabilități de care organizațiile erau conștiente, iar acest fapt indică o lipsă de rigoare în implementarea procedurilor standard de securitate.
„În ultimul timp, atacurile cibernetice cele mai eficiente au folosit metode obișnuite care au fructificat vulnerabilități cunoscute în organizații. De exemplu, prin campaniile recente de tip ransomware, hackerii au criptat sistemele informatice ale unor organizații și au solicitat recompense, exploatând vulnerabilități cunoscute din sistemele de operare neactualizate la timp. De asemenea, hiper-conectivitatea și abundența noilor tehnologii, deși generează oportunități imense, introduc riscuri și noi vulnerabilități. Drept urmare, pe măsură ce se adaptează erei digitale, companiile trebuie să-și examineze întregul ecosistem digital ca să-și protejeze afacerea azi, mâine și în viitor”, a spus Carmen Adamescu, Partener EY România.
Cele mai multe organizații continuă să-și crească cheltuielile legate de securitatea cibernetică, peste 90% din respondenți afirmând că se așteaptă la bugete mai mari în acest an. În contextul în care intensificarea atacurilor cibernetice necesită un răspuns mai ferm, 87% dintre respondenți spun că au nevoie de o creștere a finanțării de până la 50%. Cu toate acestea, doar 12% se așteaptă să primească o creștere de peste 25% în acest an.
În plus, 76% la sută dintre respondenți au declarat că una dintre cauzele care ar putea genera mărirea bugetelor alocate securității ar fi descoperirea unui atac care a provocat daune. Însă, 64% (față de 62% anul trecut) spun că un incident care nu provoacă daune nu are prea multe șanse să genereze o creștere a bugetului de securitate, în ciuda faptului că daunele generate de un atac cibernetic nu sunt vizibile imediat.
Lipsa resurselor financiare
Mulți respondenți recunosc, totuși, că lipsa alocării unor resurse adecvate poate duce la creșterea riscurilor legate de securitatea cibernetică. Aşadar, 56% dintre companiile sondate au declarat că au schimbat sau iau în considerare revizuirea strategiilor şi planurilor de răspuns pentru astfel de situații. Însă, 20% dintre ele admit că nu dispun de o evaluare corectă a implicațiilor și vulnerabilităților legate de securitatea informațiilor, pentru a trece la implementarea acestor măsuri.
Malware-ul (64% față de 52% în 2016) și phishing-ul (64% față de 51% anul trecut) sunt percepute drept amenințările care au crescut cel mai mult expunerea la risc a organizațiilor în ultimele 12 luni. Angajații neglijenți sau cei care nu conștientizează aceste amenințări sunt considerați drept vulnerabilitatea cu cea mai mare rată de creștere din zona securității organizației (60% față de 55% în 2016). „De exemplu, un memory stick introdus de către un angajat în PC-ul companiei are o probabilitate mai mare de a crea o breșă de securitate în sistem, decât un atac extern,” spune Carmen Adamescu.
În ceea ce priveşte cele mai probabile surse de atac, 77% dintre cei chestionaţi menționează angajații neglijenți ai companiei, urmați de grupări infracționale (56%) și angajați rău intenționați (47%).
Bugetele de securitate cibernetică sunt mai mari în organizații care:
– Creează roluri dedicate, cum ar fi ofițeri de securitate în punctele cheie ale afacerii
– Întocmesc de cel puțin două ori pe an rapoarte de securitate cibernetică pentru consiliul de administrație și pentru comitetul de audit intern
– Identifică cele mai importante active IT și le protejează în mod diferențiat.
„În cazul preocupării actuale a organizațiilor pentru a se pregăti să răspundă noilor reglementări ale Regulamentului UE – GDPR (General Data Protection Regulation), care intră în vigoare în mai 2018, în activitățile de proiectare a soluțiilor de securitate cibernetică, ar trebui să țină cont încă de la început și de principiile „privacy by default” și „privacy by design” impuse de GDPR.Cu alte cuvinte, protecția datelor personale ar trebui asigurată conform Regulamentului GDPR încă din etapa de design a sistemelor de securitate. De exemplu, în cazul în care un angajat neglijent sau rău intenționat încearcă să trimită în afara organizației fișiere care conțin date personale ale clienților sau furnizorilor, soluțiile de securitate ar trebui să îl poată atenționa că încalcă legea, și/sau să îl blocheze în cazuri specifice. Pe de altă parte, cea mai simplă modalitate de a asigura securitatea datelor cu caracter personal este stabilirea cu claritate a drepturilor de acces în aplicațiile care procesează acest tip de date,” detaliază Carmen Adamescu.
