Cyberattacker: Ett mycket verkligt existentiellt hot mot organisationer

Vi vet alla att cybersäkerhet är en kritisk del av affärsrisk. Men hur kritisk? Vissa styrelserum verkar betala lite mer än läpparnas bekännelse till säkerheten och lyckas ändå undvika allvarliga följder. Det är därför en ny rapport från det globala försäkringsbolaget Hiscox ger intressant läsning. Den hävdar faktiskt att många europeiska och amerikanska organisationer har kommit nära insolvens efter säkerhetsintrång. Och medan utgifterna ökar, beskrivs färre globala företag än någonsin som "experter för cyberberedskap".

Det är uppenbart att det aldrig har varit viktigare att veta vart man ska rikta investeringar i cybersäkerhet. Så vad gör experterna för att undvika konkurs? Enligt rapporten är det till stor del en blandning av grunderna för bästa praxis och en vilja att lära av tidigare incidenter.

Ett existentiellt hot

Rapporten är sammanställd från intervjuer med 5,000 XNUMX företag i USA, Storbritannien, Belgien, Frankrike, Tyskland, Spanien, Nederländerna och Irland. Några av fynden visste vi redan. Men det finns några intressanta nyanser. Till exempel:

• Sju av åtta länder rankar en cyberattack som det största hotet mot deras företag
• Hälften (48 %) av de tillfrågade rapporterade en cyberattack under de senaste 12 månaderna, upp från 43 % förra året
• En femtedel (19 %) av de tillfrågade rapporterade en attack mot ransomware, upp från 16 %. Två tredjedelar av offren betalade sina angripare

Så långt, så vanligt. Men det finns en stor klyfta i uppfattningen mellan de som har drabbats av en attack och de som inte har gjort det. Mer än hälften (55 %) av offren för cyberangrepp ser cybersäkerhet som ett område med hög risk, men siffran faller till bara 36 % för dem som inte har upplevt en kompromiss. På samma sätt säger 41 % av de attackerade att deras riskexponering har ökat, men för den andra gruppen är siffran mindre än en fjärdedel (23 %).

En annan intressant guldklimp: cyberkriminella verkar vara det riktar sig allt mer till mindre företag. De med intäkter på 100,000 500,000-1 9 USD kan nu förvänta sig lika många attacker som de som tjänar XNUMX-XNUMX miljoner USD årligen.

Kostar företag kära

Detta är viktigt, eftersom en femtedel av de svarande företagen som attackerades säger att deras solvens var hotad, en ökning med 24 % från förra året. Även om det inte delas ut i rapporten, kan överträdelsekostnader inkludera:

• Driftavbrott
• Juridiska kostnader
• IT-övertid och kriminaltekniska kostnader för tredje part
• Regulatoriska böter
• Kundkisel
• Tappad produktion och försäljning
• Långvarig rykteskada

Detta kan delvis förklara varför utgifterna ökar. Respondenternas genomsnittliga cybersäkerhetsutgifter ökade med 60 % under det senaste året till 5.3 miljoner USD och har ökat med 250 % sedan 2019, enligt rapporten

Hur äventyrar angripare organisationer?

För att bättre förstå hur din organisation kan undvika konkurser måste vi först veta hur hotaktörer gör så mycket skada. Enligt rapporten är de viktigaste vektorerna för attack:

• Molnservrar (41 %)
• Företags-e-post (40 %)
• Företagsservrar (37%)
• Fjärråtkomstservrar (31 %)
• Anställda ägda mobila enheter (29 %)
• DDoS (26 %)

Detta överensstämmer med resultaten av andra rapporter och berättelsen om att distansarbete, pandemirelaterade investeringar i molninfrastruktur och säkerhetsutmaningar för distansarbete är några av de största riskerna som organisationer står inför idag. Dessa har i kombination med mänskliga misstag skapat en stor attackyta för hotaktörer att sikta mot.

Vad göra här näst

Ett visst orosmoment är det faktum att cyberberedskapspoängen som uppskattats av Hiscox sjönk med 2.6 % på årsbasis, vilket ledde till en kraftig minskning av antalet företag som rankades som "experter" – från 20 % till bara 4.5 %. Andelen som rankades som nybörjare minskade också avsevärt och lämnade de flesta som "mellanprodukter". Cyberberedskap är viktigt eftersom mediankostnaderna för attacker, i procent av intäkterna, är två och en halv gånger högre för företag som rankas som "cybernybörjare", hävdade rapporten.

Så hur ser en mogen cyberredoorganisation ut? Lyckligtvis är det inte helt beroende av hur mycket pengar som finns att spendera. Flera bästa metoder lyfts fram, inklusive följande:

• Formalisera cybersäkerhet med tydligt definierade roller och styrelse eller ledande befattningshavare
• Se till att de högsta cheferna har tydlig insyn i och engagemang i cybersäkerhet
• Följ standarder för bästa praxis som US National Institute of Standards and Technology (NIST) ramverk
• Fördela investeringen över NISTs fem nyckelfunktioner – identifiera, skydda, upptäcka, svara och återställa
• Fokus på incidentresponsplanering och attacksimuleringar i ljuset av nuvarande geopolitiska osäkerheten
• Utvärdera regelbundet företagets data- och teknologiinfrastruktur
• Ge effektiv utbildning om cybersäkerhet
• Se till att företagsleverantörer och partners följer säkerhetskraven
• Fokusera på "lågt hängande frukt"-processer som lappning, pentestning och regelbundna säkerhetskopieringar

Sammantaget kommer dessa steg att hjälpa till att minimera risken för att en attack i slutändan skulle göra organisationen i konkurs.