Firmy spieszą się z wdrażaniem najnowszych narzędzi cyfrowych, aby zachować konkurencyjność. To jest oczywista strona medalu. Ale jest też druga, ciemniejsza strona. Twoja infrastruktura jest oblężona. Nie od nieudolnych amatorów, ale od profesjonalnych, wyrafinowanych atakujących, którzy postrzegają Twoje dane jako cel o dużej wartości.
To nie jest tylko kwestia bezpieczeństwa IT. To kwestia przetrwania biznesu.
Jeśli szukasz sposobów na wzmocnienie cyberbezpieczeństwa swojej firmy, trafiłeś we właściwe miejsce. Technologie, które kupujesz w celu napędzania wzrostu, to te same technologie, których atakujący używają do infiltracji. Tworzy to paradoks. Nie da się wygrać wyścigu cyfrowego bez przebiegnięcia maratonu bezpieczeństwa.
Зміст
Koszt podatności na zagrożenia cyfrowe
Bądźmy szczerzy: dzieje się tak. Aby działać szybciej, firmy wdrażają usługi w chmurze, narzędzia dostępu zdalnego i analizy oparte na sztucznej inteligencji. Chcą elastyczności. Chcą skalowalności. Jednak każde nowe cyfrowe drzwi, które otwierasz, stają się potencjalnym oknem dla atakującego.
Ataki ewoluowały. Teraz nie chodzi tylko o kradzież numerów kart kredytowych. Mówimy o paraliżu działań operacyjnych. O wzięciu zakładników baz danych za pomocą oprogramowania ransomware. O szpiegostwie, które kradnie własność intelektualną jeszcze przed wysyłką produktu.
Cyberbezpieczeństwo nie jest już działem „dodatkowym”. To jest podstawa zaufania cyfrowego. Jeśli Twoi klienci nie powierzają Ci swoich danych, Twoja marka nie ma wartości. Jeśli Twoje serwery przestaną działać, Twoje przychody ustaną.
Dlaczego tradycyjne metody obrony zawodzą
Stara szkoła bezpieczeństwa opierała się na granicach. Budujesz mur wokół sieci swojego biura. Trzymałeś złoczyńców na zewnątrz. Ta ściana zniknęła.
Wraz z rozwojem pracy zdalnej, przetwarzania w chmurze i urządzeń Internetu rzeczy (IoT) granice się zanikły. Twoi pracownicy logują się z kawiarni w Berlinie, biur domowych w Ohio i laptopów w Tokio. Twoje dane przechowywane są na serwerach na kilku kontynentach. Powierzchnia ataku jest ogromna.
Co więc teraz działa?
„Cyberbezpieczeństwo jest kluczem do ochrony infrastruktury cyfrowej i danych”.
Wszystko zaczyna się od zmiany myślenia. Należy założyć, że włamanie już nastąpiło. Albo dzieje się to właśnie teraz. Musisz to szybko zauważyć. Lokalizuj szybciej. Wyzdrowiej, zanim obrażenia staną się śmiertelne.
Czynnik ludzki w łańcuchu ochrony
Technologia to tylko połowa równania. Druga połowa to ludzie.
Pracownicy są często najsłabszym ogniwem. Jedno kliknięcie wiadomości phishingowej może ominąć zapory ogniowe, które kosztują miliony dolarów. Szkolenia są konieczne, ale to nie wystarczy. Potrzebujesz systemów monitorujących zachowanie, wykrywających anomalie i automatyzujących reakcje.
Na przykład uwierzytelnianie wieloskładnikowe (MFA) nie jest już opcjonalne. Blokuje zdecydowaną większość zautomatyzowanych ataków. Ale musi być poprawnie wdrożony. Jeśli jest to zbyt niewygodne, użytkownicy znajdą obejście. Jeśli obejście będzie zbyt łatwe, intruzi przemkną obok.
Budowanie zrównoważonej strategii
Jakie podejście zatem wybrać?
- Architektura Zero Trust : Nigdy nie ufaj, zawsze sprawdzaj. Każde żądanie dostępu jest traktowane tak, jakby pochodziło z niezaufanej sieci.
- Ciągłe monitorowanie : Użyj sztucznej inteligencji do analizy wzorców ruchu. Wychwytuj anomalie, zanim staną się katastrofami.
- Regularne audyty : Sprawdź swoje bezpieczeństwo. Zhakuj go samodzielnie, zanim zrobią to hakerzy.
To nie jest projekt jednorazowy. To proces ciągły. Zagrożenia się zmieniają. Technologie się zmieniają. Twoja strategia powinna
Rzeczywistość zagrożeń cybernetycznych w niemieckim przemyśle
Krajobraz zagrożeń nie staje się bezpieczniejszy. Jest coraz szybszy. Firmy nie są już tylko szkodami ubocznymi; stali się głównymi celami. Cele ataków są różne — kradzież danych, szpiegostwo przemysłowe, sabotaż lub zwykłe wymuszenie — ale koszty zawsze liczą się w miliardach. A kiedy znikają pieniądze, konsekwencje zwykle musi ponieść dział IT.
Kto cierpi najbardziej?
Pole bitwy nie jest jednolite. Niemieckie stowarzyszenie przedsiębiorców Bitkom podkreśla wyraźne różnice w zależności od tego, gdzie znajduje się Twój zakład. Przez lata głównym celem ataków był przemysł chemiczny i farmaceutyczny. Około 74% firm z tych branż doświadczyło potwierdzonych ataków. Nie są osamotnieni na celowniku. Producenci samochodów stanowią 68%. Jeśli pracujesz w produkcji maszyn i urządzeń, liczba ta wzrasta do 67%. Producenci sprzętu komunikacyjnego i elektrycznego? 63%.
Jednak jest tu pewien niuans, który pomija większość komunikatów prasowych. To są potwierdzone ataki. W każdym z badanych sektorów kolejne 18–22% przypadków jest jedynie podejrzewanych. Granica pomiędzy „być może” a „zdecydowanie” zaciera się.
Paradoks cyfryzacji
Można założyć, że pełna cyfryzacja czyni firmę atrakcyjniejszym celem. Badania Bitkom sugerują, że często jest odwrotnie. Firmy o niskim poziomie cyfryzacji były atakowane częściej (71%) niż ich wysoko zdigitalizowane odpowiedniki (64%).
Dlaczego? Ponieważ zagrożenie staje się widoczne. Kiedy cyfryzacja staje się kluczową częścią strategii firmy, bezpieczeństwo przestaje być kwestią refleksji i staje się priorytetem zarządu. Firmy o wysokim stopniu cyfryzacji zmuszone są wcześniej eliminować luki. Widzą problem, więc go rozwiązują. Firmy o niskim poziomie cyfryzacji? Często nie zdają sobie sprawy ze swojej bezbronności, dopóki szkody nie zostaną już wyrządzone.
Ostrzeżenie BSI: nie relaksuj się
Nie ma tu dobrych wiadomości. Niemiecka Federalna Agencja Bezpieczeństwa Informacji (BSI) utrzymuje poziom zagrożenia na „poważnym” (angespannt). To nie jest tylko lokalny problem Niemiec; jest to problem globalny. Problemem jest dynamika. Napastnicy nie stoją w miejscu. Udoskonalają swoje metody, dostosowując się szybciej, niż jest w stanie śledzić większość cyklów IT w przedsiębiorstwie.
Prowadzi to do zasadniczego niedopasowania. Firmy muszą opracować odpowiednie reakcje na ruchomy cel. Narzędzia zmieniają się co tydzień. Taktyka ewoluuje codziennie.
Jakość zagrożenia
Głośność szumów jest zmniejszona, ale sygnał staje się bardziej śmiercionośny. Ogólna ilość spamu maleje. Może to być dobre dla Twojej skrzynki odbiorczej. Ale to odwraca uwagę od prawdziwego zagrożenia.
Kanały komunikacji biznesowej pozostają niezwykle wrażliwe. Obszary produkcyjne są zagrożone. Dlaczego? Ze względu na Internet rzeczy (IoT). Połączyliśmy drukarki z serwerami, systemy HVAC z sieciami biurowymi, a roboty linii montażowych z chmurą. Ta głęboka łączność tworzy ogromną powierzchnię ataku.
Ataki nie ograniczają się już do spamu. Są punktowe. Wykorzystują dokładnie te połączenia, które czynią nowoczesny przemysł wydajnym. Niebezpieczeństwo nie zniknęło. Stało się bardziej wyrafinowane i znacznie trudniejsze do wykrycia przy użyciu przestarzałych filtrów.
„Spadek spamu, ale ryzyko dla komunikacji biurowej i obszarów produktywności pozostaje wysokie ze względu na powszechne przyjęcie sieci IoT”.
Co więc zrobić, gdy napastnicy stają się z dnia na dzień mądrzejsi? Nie można ich przepłacać. Nie możesz przepisać kodu dla każdego nowego exploita. Możesz mieć tylko nadzieję, że Twoje wewnętrzne mechanizmy obronne zadziałają tak szybko, jak zagrożenia. Ponieważ w tej chwili szala przechyla się na stronę atakujących.
Krajobraz zagrożeń uległ zmianie. Ransomware nie jest już wyłącznie problemem biznesowym. Jest to ukierunkowana broń używana przeciwko wszystkim, od agencji rządowych po prywatnych obywateli. Konsekwencje są poważne. Całkowita awaria urządzeń. Upadek sieci. Zatrzymanie całych linii produkcyjnych.
Botnety również ewoluują. Coraz częściej penetrują urządzenia mobilne i systemy Internetu Rzeczy (IoT). Niemiecki Federalny Urząd ds. Bezpieczeństwa Informacji (BSI) wskazuje infrastruktury chmurowe jako jedną z najszybciej rozwijających się powierzchni ataków. Głównym wektorem ataków pozostaje phishing. Ankieta PwC potwierdza to, pokazując, że phishing jest przyczyną około 75% ataków na firmy, często w połączeniu z innym złośliwym oprogramowaniem.
Ale jest prostszy powód. Zachowanie poszczególnych użytkowników. Tworzy łatwe punkty wejścia dla przestępców.
Wewnętrzne awarie bezpieczeństwa i ryzyko związane z licencjami
Niektóre firmy próbują rozwiązać ten problem korzystając z usług zewnętrznych. Firmy te prowadzą kampanie typu spear phishing przeciwko pracownikom. Cel? Sprawdź, czy pracownicy przestrzegają protokołów bezpieczeństwa. Jest to również ćwiczenie podnoszące świadomość.
Nie jest to pozbawione ryzyka. Taka taktyka może podważyć zaufanie między kierownictwem a personelem. Co gorsza, mogą one całkowicie zawieść. Nie ma żadnych zmian w zachowaniu bezpieczeństwa.
Eksperci z Instytutu Technologii w Karlsruhe (KIT) sugerują inny sposób. Inwestuj w edukację. Inwestuj w ulepszenia techniczne.
Dlaczego? Ponieważ złe licencje na oprogramowanie tworzą luki. Nielicencjonowane lub nieprawidłowo licencjonowane oprogramowanie spowoduje brak wsparcia. Ograniczona funkcjonalność. Potencjalne kary. I niepotrzebne luki w zabezpieczeniach systemu. Dotyczy to w szczególności licencji OEM. Są to programy, które są preinstalowane na urządzeniach w momencie ich produkcji. Brakujące lub fałszywe licencje OEM narażają systemy na ataki. Naprawianie stosu technologii jest bezpieczniejsze niż testowanie ludzkiej psychologii za pomocą fałszywych ataków.
Ukryta cena nieoficjalnego oprogramowania
Formalne partnerstwa z głównymi dostawcami, takimi jak Microsoft, dają znacznie więcej niż tylko dołączenie licencji do pudełka. Stanowią główną ochronę przed kosztownymi lukami w zabezpieczeniach. Firmom korzystającym z oprogramowania Microsoft partnerzy tacy jak Thomas Krenn oferują coś zupełnie innego: personalizację. Jako certyfikowany partner do współpracy, dostosowują oprogramowanie do konkretnych struktur serwerowych przy maksymalnej kompatybilności. Nie kupujesz tylko produktu. Tworzysz fundament efektywności i bezpieczeństwa, który zapobiegnie katastrofalnym skutkom w przyszłości. Bez tego oficjalnego wsparcia zostawiasz tylne drzwi otwarte.
Dlaczego cyberataki kosztują
Uszkodzenia spowodowane włamaniem to nie tylko bilet do działu IT. Ma efekt kaskadowy. Operacje zostają zatrzymane. Reputacja cierpi. Własność intelektualna opuszcza firmę. Przyszłe transakcje tracą na wartości. Organy regulacyjne nakładają kary. To tylko widoczne pęknięcia na elewacji. Rzeczywisty ból ma często charakter strukturalny. Wpływa na to, jak łatwo możesz zaufać partnerom w przyszłości. To sprawia, że uzyskanie ubezpieczenia cybernetycznego jest prawie niemożliwe, jeśli Twój poziom bezpieczeństwa jest już powszechnie znany.
Obciążenia finansowe niemieckich przedsiębiorstw przemysłowych w latach 2016–2018 były oszałamiające. Według Bitkom kwota ta wyniosła około 43,4 miliarda euro. To nie jest literówka. Taki jest koszt prowadzenia biznesu bez odpowiedniej higieny cyfrowej.
Analiza konta
Uszkodzenie reputacji jest najdroższą pozycją kosztową. Doniesienia medialne i nadszarpnięte zaufanie klientów kosztowały firmy 8,8 miliarda euro w tym trzyletnim okresie. Jest to tak samo szkodliwe dla relacji z dostawcami, jak i z klientami.
Nastąpiły naruszenia patentów na kwotę 8,5 miliarda euro. To nie są tylko rachunki prawne. To utracona przewaga konkurencyjna.
Awarie systemów, kradzieże i sabotaż systemów informatycznych i produkcyjnych spowodowały szkody na kwotę 6,7 miliarda euro. Kiedy Twoje linie produkcyjne się zatrzymują, tracisz nie tylko czas. Tracisz dynamikę.
Dochodzenia i działania zaradcze przyniosły kolejne 5,7 miliarda euro. Płacisz konsultantom, aby ustalili, co poszło nie tak, i inżynierom, aby to naprawili. Tymczasem przychody spadają, ponieważ utraciłeś przewagę konkurencyjną (4 miliardy euro) lub dlatego, że na rynek zalały podróbki Twoich produktów (3,7 miliarda euro). Postępowania sądowe dotyczące tych kwestii kosztują kolejne 3,7 miliarda dolarów.
„Oprogramowanie ransomware i ręczne hakowanie powodują największe szkody finansowe w porównaniu z innymi wektorami ataków”.
Analiza PwC przeprowadzona w tym samym badaniu uszczegółowiła te dane. Przyjrzeli się, jak różne rodzaje ataków wpływają na wyniki finansowe. Konkluzja była surowa. Ransomware i ręczne hakowanie powodują najwyższe koszty. Są zorientowani na cel. Są drogie. Można im zapobiec dzięki odpowiednim licencjom i wsparciu partnerów.
Rzeczywistość szpiegostwa cyfrowego
Badania te wyjaśniają jedno. Firmy muszą być przygotowane na szeroką gamę metod i dalekosiężne konsekwencje. Krajobraz zagrożeń nie jest statyczny. To ewoluuje. Uniwersalna poprawka bezpieczeństwa nie będzie działać. Potrzebujesz rozwiązań, które integrują się z istniejącą infrastrukturą, nie psując jej. Formalne partnerstwa zapewniają ten pomost. Zapewniają, że Twoje oprogramowanie nie zostanie po prostu zainstalowane. Jest zoptymalizowany.
Koszt bierności nie jest już hipotetyczny. Liczona jest w miliardach. A dla wielu firm zegar już tyka.
Firmy wiedzą, że cyberprzestępczość przybiera na sile. Koszty są wysokie. Ryzyko jest realne. Dlatego bezpieczeństwo jest najwyższym priorytetem. Ochrona infrastruktury i danych nie podlega negocjacjom. Jednak jeśli chodzi o ocenę realnego zagrożenia, większość firm jest niebezpiecznie optymistyczna.
Iluzja bezpieczeństwa w postrzeganiu ryzyka
Istnieje rozbieżność pomiędzy świadomością a rzeczywistą oceną ryzyka. Niemieccy dyrektorzy generalni i pracownicy są zgodni: wiedzą o istnieniu ryzyka. Ale warto ich zapytać, jak prawdopodobny jest atak? W tej chwili czują się bezpiecznie.
Spójrz na liczby z ankiety PwC. Tylko 31,5% firm spodziewa się nieukierunkowanych ataków, które mogą wyrządzić szkody. Większość uważa to za mało prawdopodobne. 49,9% ocenia ryzyko jako niskie. Kolejne 19,1% uważa, że jest ono bardzo niskie.
Sytuacja staje się jeszcze gorsza w przypadku ataków ukierunkowanych. 93% firm widzi niskie lub bardzo niskie zagrożenie w ciągu najbliższych 12 miesięcy.
To jest oszukiwanie samego siebie. Dane sugerują co innego. Nawet przy różnicach branżowych krajobraz zagrożeń pozostaje trudny. Większość firm nie posiada prawdziwego certyfikatu dojrzałości w zakresie bezpieczeństwa.
Nadmierna pewność co do możliwości reagowania na incydenty
Tylko niewielki ułamek przedsiębiorstw uważa się za naprawdę gotowych. Na pytanie o ocenę własnych umiejętności wykrywania, zapobiegania i reagowania jako „bardzo dobre” średnia wynosi zaledwie 13%.
Myślą, że są ekspertami. W rzeczywistości nie jest to prawdą.
To właśnie w luce między postrzeganiem siebie a rzeczywistością kryje się podatność na zranienie. Firmy opierają się na przestarzałych standardach. Zapory ogniowe. Programy antywirusowe. Sieci zamknięte. Pomagają w profilaktyce. Ale nie udaje im się ich wykryć.
Wykrywanie to słabe ogniwo
Eksperci widzą, co firmy ignorują. Zapobieganie stało się standardem. Wykrywanie – nie.
Znalezienie ataku ma kluczowe znaczenie. Niemiecka Federalna Agencja Cyberbezpieczeństwa (BSI) pokazuje, że ataki nadchodzą ze wszystkich stron. Głośność nie zmniejsza się. To rośnie.
Środowiska sieciowe zwiększają powierzchnię ataku. Usługi w chmurze dodają więcej punktów wejścia. Im więcej łączysz, tym trudniej jest zrozumieć, co się dzieje.
„Prawdopodobieństwo udanego ataku wzrasta wraz ze wzrostem powierzchni ataku z każdym nowym połączeniem.”
Dlaczego firmy o tym zapominają? Ponieważ skupiają się na blokowaniu znanych zagrożeń. Zapominają, że napastnicy zmieniają taktykę. Używają odstępów pomiędzy instrumentami.
Firma może mieć zaporę ogniową. Może blokować skanowanie portów. Ale czy wykrywa ruch boczny w sieci? Czy zauważa wyciek danych w zaszyfrowanym ruchu?
Większość tego nie robi. Zakładają, że ich teren jest bezpieczny. To jest błędne. Nie ma już obwodu. Chmura to nowa granica. A większość firm nadal patrzy na bramy, a nie na niebo.
Stwarza to fałszywe poczucie bezpieczeństwa. Niebezpieczne uczucie.
Dalsza część tej historii nie dotyczy najlepszego oprogramowania. Dotyczy to tego, kto zasiada przy stole.
Wczesne wykrywanie to coś więcej niż tylko wyzwalanie alertów. Bezpośrednio ogranicza szkody. Wykryj zagrożenie, zanim się rozprzestrzeni, a skutki zostaną zmniejszone. Ale jest też bardziej miękki wskaźnik. Zaufanie klienta. Zaufanie partnerów biznesowych. To są kruche aktywa. Są one szybko niszczone przez wycieki danych. Stały się one kluczowe dla współczesnych obliczeń bezpieczeństwa.
Przesunięcie budżetu w stronę obrony
Firmy zaczynają zdawać sobie z tego sprawę. Koszt profesjonalnych cyberataków rośnie. Rośnie także potrzeba zaufania. W rezultacie rosną globalne inwestycje w bezpieczeństwo cyfrowe.
Badania PwC pokazują skalę zmian. Ponad dwie trzecie firm przeznacza obecnie co najmniej 5 procent swoich budżetów IT na środki bezpieczeństwa. To nie jest błąd zaokrąglenia. To strategiczny zwrot. Jedna trzecia tych firm planuje wydać 10 procent lub więcej.
Skąd tak gwałtowny skok wydatków?
To odpowiedź na wymagania jakościowe. Bezpieczeństwo IT wymaga obecnie specjalistycznych umiejętności. Wymagana głębokość. Większość firm przyznaje, że była słabo przygotowana. Rozbieżność pomiędzy obecnymi możliwościami a wymaganymi standardami była zbyt duża.
Ta świadomość zachęca do podejścia dwupoziomowego.
- Zmiany kadrowe. Spółki są zespołami restrukturyzacyjnymi. Potrzebują elastyczności. Statyczny stan zabezpieczeń nie jest w stanie poradzić sobie z dynamicznym krajobrazem zagrożeń.
- Integracja z podmiotami trzecimi. Firmy kupują wiedzę. W analizę zagrożeń zaangażowani są wyspecjalizowani partnerzy. To wypełnia luki w możliwościach. Daje perspektywę zewnętrzną.
Technologia: utracona dźwignia
Wiele strategii ma słaby punkt.
Transformacja technologiczna jest często niedoceniana. Większość firm przypisuje mu rolę drugorzędną. Koncentrują się na zatrudnianiu i outsourcingu. Zaniedbują same narzędzia.
Wyróżniają się dwa wyjątki.
Automatyzacja.
Sztuczna inteligencja.
Są oznaczone jako pilne. Są to środki najpilniejsze (dringlichsten). Dlaczego? Ponieważ monitorowanie ręczne nie może być skalowane. Sztuczna inteligencja i automatyzacja zapewniają szybkość potrzebną do przeciwdziałania automatycznym atakom. Redukują błędy ludzkie. Przetwarzają dane w ilości, której żaden inny zespół nie jest w stanie dorównać.
Podsumowanie
Tendencja jest oczywista.
Firmy nie postrzegają już bezpieczeństwa jako drugorzędnej kwestii dla działu IT. Jest to podstawowa funkcja biznesowa. Wdrażane są strategiczne ulepszenia. Stare modele zawodzą. Nowe drogi. Ale są konieczne.
Pytanie nie brzmi, czy płacić, czy nie. Pytanie brzmi, czy inwestycja jest warta ryzyka. Większość firm w końcu mówi „tak”. Reszta nadal zgaduje.
Kto ponosi ryzyko?
Transformacja cyfrowa to nie tylko technologia skierowana do klienta. Środowisko wewnętrzne również jest pod presją. Infrastruktura IT staje się coraz bardziej złożona. Wolumen danych szybko rośnie. A wymagania bezpieczeństwa przewyższają możliwości prostych poprawek.
Prawdziwe pytanie rzadko dotyczy możliwości. Chodzi o odpowiedzialność. Kto faktycznie egzekwuje te środki? Kto je sprawdza? Kto podejmuje decyzje o kolejnych krokach?
Wielkość firmy ma znaczenie. Duże firmy dysponują budżetem pozwalającym na zatrudnienie pełnoetatowych specjalistów ds. bezpieczeństwa. Małe? Nie zawsze. Badanie Bundesdruckerei podkreśla tę lukę. W dużych przedsiębiorstwach bezpieczeństwo IT jest opisem stanowiska. W małych firmach często pozostaje to na później lub stanowi wspólny ciężar.
Zazwyczaj w centrum znajduje się dyrektor ds. informacji (CIO). Czasami jest to dedykowany menedżer ds. bezpieczeństwa IT. Kluczową rolę odgrywają także inspektorzy ds. bezpieczeństwa informacji. Firmy całkowicie ignorujące bezpieczeństwo IT stają się statystyczną anomalią. To tylko niewielka część.
Podejmowanie decyzji odbywa się na wyższym szczeblu kierowniczym. Liderzy rozumieją stawkę. Ale oni sami nie wykonują tej pracy. Wdrożenie spada na działy IT. Lub do dostawców zewnętrznych. Lub ci sami specjaliści ds. bezpieczeństwa.
Szybkość zależy od hierarchii. Więcej decydentów oznacza wolniejsze procesy. Biurokracja zwalnia. Konstrukcje płaskie w mniejszych firmach są szybsze. Mniej biurokracji. Szybsza reakcja.
Trzy filary: technologia, organizacja, ludzie
Bezpieczeństwo to nie jedna rzecz. To są trzy rzeczy. Technologie. Organizacja. Personel. Wszystkie trzy muszą współpracować, aby stworzyć zrównoważone środowisko.
Firmy różnie oceniają swoje potrzeby w tych obszarach.
- Technologia: 42% dostrzega poważne luki. Systemy wymagają aktualizacji. Nieaktualny kod jest luką w zabezpieczeniach.
- Organizacja: 39% czuje się pod presją. Procesy są przestarzałe. Politycy są formalni.
- Personel: Mniej zmartwień. Ale to wprowadza w błąd.
Raport bezpieczeństwa cybernetycznego 2019 firmy Deloitte wyjaśnia tę nierównowagę. Firmy zlecają usługi bezpieczeństwa na zewnątrz. Kupują wiedzę specjalistyczną, zamiast ją rozwijać wewnętrznie. Oferują szkolenia dla obecnych pracowników. Dlaczego? Zatrudnienie wykwalifikowanych specjalistów ds. cyberbezpieczeństwa jest trudne. Podaż nie pokrywa się z popytem.
Ta zależność od zewnętrznych dostawców stwarza ukrytą lukę w zabezpieczeniach. Wiedza wewnętrzna pozostaje powierzchowna. Umiejętności nie są pogłębiane. Organizacja pozostaje bezbronna, jeśli dostawcy odmówią współpracy lub się wycofają.
Trening pomaga, ale jest to rozwiązanie tymczasowe. Nie zastępuje dogłębnej wiedzy specjalistycznej. Firmy zamiast odbudowywać mur, łatają dziurę.
Czy to krótkoterminowe rozwiązanie stwarza długoterminowe ryzyko? Może. Kiedy dostawca odchodzi, kto trzyma klucze?
Luka organizacyjna w bezpieczeństwie informacji
Większość firm postrzega zaangażowanie zewnętrznych konsultantów jako kolejną formalność. Jest to standardowa praktyka. Warto jednak przyjrzeć się bliżej fundamencie. Kontrola dostępu. Zasady przetwarzania danych poufnych. Stanowią szkielet bezpieczeństwa informacji w wielu firmach. Jednak ten szkielet jest delikatny.
Weźmy certyfikację. ISO27001? Regularne audyty? Tylko niewielka część firm w ogóle próbuje je ominąć. Według raportu Bundesdruckerei odsetek ten wynosi mniej niż połowę. Większość przedsiębiorstw pozostaje na powierzchni. Trzymają się podstawowych środków. Unikają skomplikowanych prac organizacyjnych. Dlaczego? Być może ze względu na koszty. Być może ze względu na złożoność. Ale to również jest niepotrzebne. Możliwa jest bardziej niezawodna ochrona. To po prostu wymaga wysiłku.
Czym właściwie zajmują się firmy?
Badanie Bitkom opowiada tę samą historię. Uprawnienia są teraz wymaganym minimum. Klasyfikacja informacji poufnych? To także jest standardem. Ale wyjdź poza podstawy i wsparcie gwałtownie spada. Mniej niż połowa firm ma wdrożony lub jest w trakcie opracowywania system zarządzania bezpieczeństwem informacji (ISMS). Niezależnie od tego, czy jest to zaplanowane, czy nie, postęp jest opóźniony.
Wielkość firmy ma tutaj znaczenie. Szczególnie narażone są małe przedsiębiorstwa zatrudniające mniej niż 500 pracowników. Często brakuje im konkretnego planu zarządzania incydentami. Nie ma recepty na cyberatak. Główni gracze przemysłowi przodują w tej kwestii. Dwie trzecie z nich ma spisany katalog środków na wypadek takiego właśnie scenariusza. Mają plan. Reszta działa losowo.
Stos technologii: podstawa kontra głębokość
Krajobraz technologiczny odzwierciedla słabość organizacji. Niektóre elementy stanowią obecnie niezachwiane standardy w zakresie bezpieczeństwa informacji:
- Ochrona hasłem wszystkich urządzeń
- Firewalle (firewalle)
- Skanery antywirusowe
- Regularne kopie zapasowe
- Szyfrowane połączenia sieciowe
Co dalej? Wysiłki stopniowo zanikają.
Rejestrowanie dostępu? Robi to jedynie 67 proc. respondentów. Bezpieczna komunikacja głosowa? 59 procent. Szyfrowanie dysku jest zmniejszone do 47 procent. Szyfrowanie e-maili? Tylko 36 proc. To praktycznie wyjątek. Ochrona przed wyciekiem danych od wewnątrz? 28 procent. Testy penetracyjne? 24 procent.
sztuczna inteligencja? Jest to ledwo zauważalne. Zespoły ds. cyberbezpieczeństwa jeszcze z niego nie korzystają. Nawet duże firmy.
Presja regulacyjna a ustawa o bezpieczeństwie informacji
Niemieckie firmy mogły zrobić znacznie więcej. PwC, Bitkom i Bundesdruckerei zgadzają się. Krajobraz zagrożeń jest dynamiczny. Inwestycje rosną i to dobrze. Ale to nie wystarczy.
Na scenę wchodzi ustawa o bezpieczeństwie informacji. Przepisy te mogą przekształcić najlepsze praktyki w zobowiązania prawne. Drugi projekt, opublikowany w maju 2020 r., skierowany jest do operatorów infrastruktury krytycznej. Dotyczy to także dostawców usług internetowych i firm telekomunikacyjnych.
Kary są znaczące. Mogą osiągnąć kwotę 20 milionów euro. Jest to zgodne z ramami RODO. Rozszerza się także zakres zastosowań. W projekcie biorą udział podmioty z branży obronnej. Obejmuje przedsiębiorstwa uznane za istotne dla gospodarki narodowej. Nieprzestrzeganie przepisów nie jest już tylko ryzykiem. To zagrożenie finansowe.
Standaryzacja koliduje z ICS i IoT
Przepaść między starą infrastrukturą a współczesnymi zagrożeniami cyfrowymi zmniejsza się, ale nie bezboleśnie. Nowe środki mające na celu ochronę infrastruktury krytycznej odchodzą od niejasnych zaleceń do jasnych, jednolitych standardów. Ta zmiana nie dotyczy tylko zapór sieciowych. Wyraźnie obejmuje urządzenia Przemysłowe systemy sterowania (ICS) i Internet rzeczy (IoT). Dlaczego to jest ważne? Ponieważ często są słabym ogniwem w łańcuchu. Wprowadzając bardziej rygorystyczne zasady w tym obszarze, organy regulacyjne starają się wyeliminować luki, które hakerzy wykorzystują, gdy zawodzą tradycyjne środki bezpieczeństwa.
Zwiększenie obowiązkowego wdrożenia SIEM
Firmy nie mogą dłużej ignorować potrzeby stosowania niezawodnych systemów Zarządzania incydentami i zdarzeniami związanymi z bezpieczeństwem (SIEM). Systemy te stają się obowiązkowe. Stanowią one podstawę Systemu Zarządzania Bezpieczeństwem Informacji (ISMS). W przeszłości wiele firm traktowało bezpieczeństwo jako kwestię drugorzędną lub po prostu jako pozycję na liście kontrolnej zgodności. Teraz wymóg wdrożenia SIEM oznacza, że przedsiębiorstwa muszą być znacznie bardziej proaktywne. Nie możesz się doczekać, aż naruszenie danych spowoduje rozpoczęcie rejestrowania. Potrzebujesz funkcji wykrywania zagrożeń w czasie rzeczywistym wbudowanych w rdzeń procesów operacyjnych. To już nie jest opcja. Jest to podstawowy poziom, na którym można pracować.
Zgodność skupia się na cyberbezpieczeństwie
Bezpieczeństwo IT było kiedyś kwestią drugorzędną dla wielu organizacji. Wymogi prawne na zawsze zmieniają tę dynamikę. Presja nie pochodzi wyłącznie z wnętrza firmy. Ma charakter legislacyjny. Firmy muszą teraz nadać priorytet inicjatywom dotyczącym cyberbezpieczeństwa nie tylko dlatego, że ma to sens, ale także dlatego, że wymaga tego prawo. Era zaniedbywania protokołów bezpieczeństwa faktycznie dobiegła końca. Ramy regulacyjne wymuszają dokładniejsze rozważenie zarządzania zasobami cyfrowymi. Jeśli się nie dostosujesz, nie tylko stwarzasz ryzyko. Nie spełniasz wymagań.
Dlaczego ta zmiana ma znaczenie
Przeciętnemu użytkownikowi może się to wydawać abstrakcyjnym biurokratycznym hałasem. W rzeczywistości nie jest to prawdą. W miarę zaostrzania standardów ICS i IoT świat fizyczny staje się bezpieczniejszy. Sieci energetyczne, systemy wodociągowe i linie produkcyjne działają z mniejszą liczbą martwych punktów. Koszt tego przejścia jest jednak wysoki dla przedsiębiorstw. Firmy muszą inwestować w nowe oprogramowanie, zatrudniać wykwalifikowany personel i modernizować przestarzałe procesy. Pytanie nie brzmi, czy się dostosują. Pytanie, czy uda im się to zrobić bez zakłócania bieżącej działalności. Wiele osób będzie miało trudności podczas integracji. Niektórzy całkowicie nie przejdą audytu. Rynek wkrótce oddzieli przygotowane od reszty. Reszcie grożą konsekwencje wykraczające poza kary pieniężne.
