Kibernetski napadi: zelo resnična eksistencialna grožnja organizacijam

Vsi vemo, da je kibernetska varnost ključni element poslovnega tveganja. Toda kako kritično? Zdi se, da nekatere sejne sobe varnosti posvečajo komaj kaj več kot le na besedah ​​in se vseeno uspejo izogniti resnim posledicam. Zato nov poročilo svetovne zavarovalnice Hiscox omogoča zanimivo branje. Dejansko trdi, da so se številne evropske in ameriške organizacije zaradi kršitev varnosti približale plačilni nesposobnosti. In medtem ko poraba narašča, je manj svetovnih podjetij kot kdaj koli prej opisanih kot »strokovnjaki« za kibernetsko pripravljenost.

Jasno je, da vedeti, kam usmeriti naložbe v kibernetsko varnost, še nikoli ni bilo tako pomembno. Kaj torej storijo strokovnjaki, da se izognejo bankrotu? Glede na poročilo gre v veliki meri za mešanico osnov najboljše prakse in pripravljenosti za učenje iz prejšnjih incidentov.

Eksistencialna grožnja

Poročilo je sestavljeno iz intervjujev s 5,000 podjetji v ZDA, Veliki Britaniji, Belgiji, Franciji, Nemčiji, Španiji, na Nizozemskem in Irskem. Nekatere ugotovitve smo že poznali. Vendar obstaja nekaj zanimivih odtenkov. Na primer:

• Sedem od osmih držav kibernetske napade uvršča med grožnje številka ena svojim podjetjem
• Polovica (48 %) vprašanih je poročala o kibernetskem napadu v zadnjih 12 mesecih, v primerjavi s 43 % lani
• Petina (19 %) vprašanih je poročala o napadu z izsiljevalsko programsko opremo, v primerjavi s 16 %. Dve tretjini žrtev je plačalo svojim napadalcem

Zaenkrat tako običajno. Vendar pa obstaja velik prepad v dojemanju med tistimi, ki so bili napadeni, in tistimi, ki ga niso. Več kot polovica (55 %) žrtev kibernetskih napadov vidi kibernetsko varnost kot področje visokega tveganja, vendar ta številka pade na samo 36 % pri tistih, ki niso doživeli kompromisa. Podobno 41 % napadenih pravi, da se je njihova izpostavljenost tveganju povečala, pri drugi skupini pa je ta številka manj kot četrtina (23 %).

Še ena zanimivost: kibernetski kriminalci se zdijo vse bolj ciljajo na manjša podjetja. Tisti s prihodki od 100,000 do 500,000 dolarjev lahko zdaj pričakujejo toliko napadov kot tisti, ki letno zaslužijo od 1 do 9 milijonov dolarjev.

Draga podjetja

To je pomembno, saj petina napadenih podjetij pravi, da je bila njihova plačilna sposobnost ogrožena, kar je 24 % več kot lani. Čeprav v poročilu niso razdeljeni, lahko stroški kršitve vključujejo:

• Izpadi delovanja
• Pravni stroški
• IT nadure in stroški forenzike tretjih oseb
• Regulativne globe
• Stranka peče
• Izgubljena proizvodnja in prodaja
• Dolgoročna škoda za ugled

To lahko delno pojasni, zakaj se je poraba povečala. Povprečna poraba anketirancev za kibernetsko varnost se je v preteklem letu povečala za 60 % na 5.3 milijona USD, od leta 250 pa se je povečala za 2019 %, glede na poročilo

Kako napadalci ogrožajo organizacije?

Da bi bolje razumeli, kako se lahko vaša organizacija izogne ​​bankrotu, moramo najprej vedeti, kako akterji groženj povzročajo toliko škode. Glede na poročilo so glavni vektorji za napad:

• Strežniki v oblaku (41 %)
• Poslovni e-poštni naslov (40 %)
• Korporacijski strežniki (37 %)
• Strežniki za oddaljeni dostop (31 %)
• Mobilne naprave v lasti zaposlenih (29 %)
• DDoS (26 %)

To se ujema z ugotovitvami drugih poročil in pripovedjo, da so delo na daljavo, s pandemijo povezane naložbe v infrastrukturo v oblaku in varnostni izzivi pri delu na daljavo nekaj največjih tveganj, s katerimi se današnje organizacije soočajo. Ti so v kombinaciji s človeško napako ustvarili veliko napadalno površino, na katero lahko ciljajo akterji groženj.

Kaj še naprej

Nekoliko zaskrbljujoče je dejstvo, da so se rezultati kibernetske pripravljenosti, kot jih je ocenil Hiscox, medletno zmanjšali za 2.6 %, kar je povzročilo močan padec števila podjetij, razvrščenih kot »strokovnjaki« – z 20 % na samo 4.5 %. Delež uvrščenih med novince se je prav tako znatno zmanjšal, tako da jih je večina ostala med »vmesnimi«. Kibernetska pripravljenost je pomembna, ker so mediani stroški napadov, izraženi kot odstotek prihodkov, dvakrat in pol višji za podjetja, ki so uvrščena med "kibernetske novince", trdi poročilo.

Kako je torej videti zrela kibernetska organizacija? Na srečo ni vse odvisno od tega, koliko denarja je na voljo za porabo. Poudarjenih je več najboljših praks, vključno z naslednjimi:

• Formalizirajte kibernetsko varnost z jasno opredeljenimi vlogami in sodelovanjem upravnega odbora ali višjega vodstva
• Zagotovite, da imajo najvišji vodje jasen vpogled v kibernetsko varnost in sodelovanje z njo
• Sledite standardom najboljše prakse, kot je Okvir ameriškega Nacionalnega inštituta za standarde in tehnologijo (NIST).
• Razširite naložbo v pet ključnih funkcij NIST – prepoznavanje, zaščita, odkrivanje, odzivanje in obnovitev
• Osredotočite se na načrtovanje odzivanja na incidente in simulacije napadov v luči trenutna geopolitična negotovost
• Redno ocenjevajte korporativne podatke in tehnološko infrastrukturo
• Zagotovite učinkovito usposabljanje za ozaveščanje o kibernetski varnosti
• Zagotovite, da poslovni dobavitelji in partnerji spoštujejo varnostne zahteve
• Osredotočite se na postopke »nizkega sadja«, kot so popravki, pentestiranje in redne varnostne kopije

Ti koraki skupaj bodo pomagali zmanjšati možnosti, da bi napad končno bankrotiral organizacijo.