Iδιαίτερα εκτεθειμένες σε κυβερνοεπιθέσεις είναι οι επιχειρήσεις σύμφωνα με την 20η ετήσια, παγκόσμια έρευνα της ΕΥ για την ασφάλεια των πληροφοριών (Global Information Security Survey - GISS), "Cybersecurity regained: preparing to face cyber attacks".
Τα ευρήματα της έρευνας δείχνουν ότι ποσοστό 56% των ερωτηθέντων πραγματοποιούν ή σχεδιάζουν αλλαγές στις στρατηγικές και τα σχέδιά τους, λόγω των αυξημένων επιπτώσεων των κυβερνοαπειλών, των κινδύνων και των τρωτών σημείων των επιχειρήσεων.
Η ταχύτητα του ρυθμού συνδεσιμότητας μέσα στους παγκόσμιους οργανισμούς, η οποία ενισχύεται από την ανάπτυξη του Internet of Things (IoT), αφήνει τις επιχειρήσεις ακόμη πιο εκτεθειμένες στις ολοένα και πιο εξελιγμένες μορφές κυβερνοεπιθέσεων.
Η έρευνα αποκαλύπτει ότι οι κοινές επιθέσεις – δηλαδή οι κυβερνοεπιθέσεις που πραγματοποιούνται από απλούς, μεμονωμένους εισβολείς – κατάφεραν να εκμεταλλευθούν τα τρωτά σημεία που οι επιχειρήσεις ήδη γνώριζαν, γεγονός που δείχνει έλλειψη αυστηρότητας στην εφαρμογή τυπικών διαδικασιών ασφαλείας.
Σύμφωνα με την έρευνα, οι περισσότερες επιχειρήσεις συνεχίζουν να αυξάνουν τις δαπάνες τους για την κυβερνοασφάλεια, με πάνω από το 90% των ερωτηθέντων να δηλώνει ότι αναμένει αύξηση στους σχετικούς προϋπολογισμούς φέτος. Καθώς οι αυξανόμενες κυβερνοαπειλές απαιτούν μια πιο δυναμική αντιμετώπιση, το 87% αναφέρει ότι χρειάζεται έως και 50% περισσότερη χρηματοδότηση. Ωστόσο, μόνο το 12% εκτιμά ότι θα επιτύχει αύξηση άνω του 25% για τη φετινή χρονιά.
Πολλοί από τους ερωτηθέντες αναγνωρίζουν ότι η έλλειψη επαρκών πόρων μπορεί να αυξήσει τους κινδύνους κυβερνοασφάλειας. Το 56% δηλώνει ότι έχει ήδη υλοποιήσει ή εξετάζει αλλαγές στις στρατηγικές και τα σχέδιά του για την αντιμετώπιση αυτού του προβλήματος. Ωστόσο, το 20% παραδέχεται ότι δεν έχει πλήρη αντίληψη των σημερινών συνεπειών και τρωτών σημείων για την ασφάλεια των πληροφοριών, ώστε να προχωρήσει σε αναθεώρηση στρατηγικών.
Αυξημένες οι απειλές από κακόβουλα λογισμικά (malware) και απρόσεκτους υπαλλήλους Τα κακόβουλα λογισμικά (malware) – 64%, σε σύγκριση με 52% το 2016 – και η αποστολή ηλεκτρονικών μηνυμάτων «ψαρέματος» (phishing) – 64% έναντι 51% πέρυσι – θεωρούνται ως οι απειλές που έχουν αυξήσει περισσότερο την έκθεση των επιχειρήσεων σε κινδύνους κατά το τελευταίο δωδεκάμηνο. Οι απρόσεκτοι ή ανυποψίαστοι εργαζόμενοι θεωρούνται ως η σημαντικότερη αναδυόμενη αδυναμία των επιχειρήσεων (60% έναντι 55% το 2016). Ως πιο πιθανή πηγή επίθεσης, το 77% αναφέρει τους απρόσεκτους εργαζόμενους, το 56% τα κυκλώματα εγκληματιών και το 47% τους κακόβουλους εργαζόμενους.
Όσον αφορά στην αντιμετώπιση προηγμένων επιθέσεων – αυτών που πραγματοποιούνται από εξελιγμένες και καλά οργανωμένες ομάδες – πολλές επιχειρήσεις έχουν σοβαρές ανησυχίες για το πόσο εξελιγμένα είναι τα σημερινά τους συστήματα κυβερνοασφάλειας. Το 75% των ερωτηθέντων χαρακτηρίζει τα επίπεδα προσδιορισμού της ευπάθειας των εταιρειών του ως «πολύ χαμηλή έως μέτρια». Επιπρόσθετα, το 12% δηλώνει ότι δεν έχει δημιουργήσει ένα επίσημο πρόγραμμα ανίχνευσης παραβιάσεων, ενώ το 35% περιγράφει τις πολιτικές προστασίας δεδομένων των εταιρειών τους ως ad hoc ή ανύπαρκτες. Παράλληλα, το 38% είτε δεν έχει πρόγραμμα ταυτοποίησης και πρόσβασης, είτε δεν έχει συμφωνήσει επίσημα για ένα τέτοιο πρόγραμμα.
Για να βελτιώσουν την ετοιμότητά τους απέναντι σε πιθανές κυβερνοεπιθέσεις, οι περισσότερες επιχειρήσεις αναγνωρίζουν την ανάγκη δημιουργίας ενός Κέντρου Επιχειρήσεων Ασφαλείας (Security Operations Center - SOC), το οποίο θα αποτελεί ένα κεντρικό, δομημένο και συντονισμένο κόμβο για όλες τις δραστηριότητες κυβερνοασφάλειας. Παρόλα αυτά, το 48% των ερωτηθέντων δηλώνει ότι δε διαθέτει ακόμα ένα SOC, είτε εντός του οργανισμού, είτε με εξωτερική ανάθεση. Επιπλέον, το 57% διαθέτει μόνο ένα ανεπίσημο πρόγραμμα πληροφοριών για αθέμιτες απειλές – ή δε διαθέτει καθόλου – ενώ μόνο το 12% είναι βέβαιο ότι μπορεί να ανιχνεύσει μια εξελιγμένη κυβερνοεπίθεση κατά της επιχείρησής του.
Σύμφωνα με την έρευνα, οι προϋπολογισμοί για την αντιμετώπιση κυβερνοεπιθέσεων είναι υψηλότεροι σε επιχειρήσεις οι οποίες:
- Έχουν ορίσει ειδικά στελέχη ασφαλείας στις βασικές τους επιχειρηματικές δραστηριότητες.
- Υποβάλλουν τουλάχιστον δύο φορές το χρόνο αναφορές για την ασφάλεια στον κυβερνοχώρο στο Διοικητικό Συμβούλιο και την επιτροπή ελέγχου.
- Προσδιορίζουν με ακρίβεια τα κρίσιμα στοιχεία των συστημάτων τους που κινδυνεύουν και τα προφυλάσσουν με διαφορετικό τρόπο.
Η έρευνα τονίζει ότι επιχειρήσεις των οποίων ο τρόπος λειτουργίας βασίζεται σε καλές διαδικασίες διακυβέρνησης κυβερνοασφάλειας, είναι σε θέση να εφαρμόσουν πρακτικές τύπου security-by-design – ενσωμάτωση δικλείδων ασφαλείας κατά το σχεδιασμό ενός συστήματος, έτσι ώστε να μπορούν να ανταποκριθούν σε απρόβλεπτους και αναδυόμενους κινδύνους. Τα ευρήματα δείχνουν, ωστόσο, ότι απέχουμε πολύ από το να καθιερωθεί αυτό ως πάγια πρακτική.
Ενώ το 50% δηλώνει ότι ενημερώνει τακτικά το Διοικητικό Συμβούλιο, μόλις το 24% αναφέρει ότι το πρόσωπο που είναι υπεύθυνο για την κυβερνοασφάλεια μετέχει στο Συμβούλιο, ενώ μόνο το 17% εκτιμά ότι τα Διοικητικά Συμβούλια έχουν επαρκή γνώση και κατανόηση της ασφάλειας των πληροφοριών, ώστε να μπορούν να αξιολογούν πλήρως την αποτελεσματικότητα των προληπτικών μέτρων.
11°
