EY: złośliwe oprogramowanie i phishing największymi cyber-zagrożeniami

Złośliwe oprogramowanie i wyłudzanie danych (phishing) nadal są postrzegane przez firmy jako największe cyber-zagrożenia - wynika z Światowego Badania Bezpieczeństwa Informacji EY. Specjalista EY alarmuje, że wielu przedsiębiorców nie radzi sobie z atakami hakerów.

"E-maile, które do złudzenia przypominają te wysyłane przez banki, firmy kurierskie czy ubezpieczycieli stają się coraz częstszym wyzwaniem dla zarządów przedsiębiorstw" - mówił na wtorkowej prezentacji wyników 18 Światowego Badania Bezpieczeństwa Informacji EY, specjalista ds. zarządzania ryzykiem informatycznym w EY Michał Kurek.

Jak podkreślił, problem jest tym poważniejszy, że dostęp do złośliwego oprogramowania nie jest wyłącznie domeną zaawansowanych hakerów. "Obecnie czarny rynek podziemia internetowego jest tak rozwinięty, że kupno oprogramowania wykorzystujące luki dla laików nie jest w zasadzie żadnym problemem" - zaznaczył.

Według Kurka w porównaniu z poprzednimi edycjami badań, w których przedsiębiorcy jako źródło największego zagrożenia wskazywali niefrasobliwość własnych pracowników, w tegorocznej ankiecie, najwięcej badanych wskazało, że najpoważniejsze zagrożenia pochodzą z zewnątrz. Jak ocenił wynika to z rosnącej świadomości, że grupy przestępcze są już tak wyspecjalizowane, że są w stanie działać równie niezauważenie co pracownik wewnątrz.

"Przez to ataki są często wykrywane przez strony trzecie, a nie zespoły odpowiedzialne za bezpieczeństwo cybernetyczne firm. Firmy są podatne na ataki, ponieważ jak wskazali ankietowani, nie dysponują odpowiednim budżetem lub nie mogą pozyskać z rynku odpowiednio wykwalifikowanych specjalistów. Przez to jedynie 12 proc. respondentów ma poczucie, że ich komórka odpowiedzialna za bezpieczeństwo działa poprawnie" - zaznaczył ekspert EY.

Jego zdaniem, firmom nadal trudno wykryć, że są atakowane. "Gdy analizujemy głośne incydenty to widzimy, że firmy przez wiele miesięcy, a czasem lat, nie są świadome, że są obiektem ataku. Przez ten czas haker może zrobić bardzo dużo. Firmom ciężko zebrać informacje w całość i wykryć organizacje w niej działające. Ciężko jest również obliczyć straty spowodowane atakiem, ponieważ często dotyczą one wizerunku firmy" - dodał Kurek.

Jak podkreślił, polskie firmy nadal nie widzą całościowo swojego bezpieczeństwa cybernetycznego i często uważają, że ogranicza się ono do kwestii odpowiedniej technologii.

"Tylko kiedy technologia jest połączona z procedurami i odpowiednio wykwalifikowanym personelem, wówczas daje odpowiedni poziom bezpieczeństwa. W przeciwnym razie, pominięcie czynnika ludzkiego może prowadzić do fałszywego poczucia bezpieczeństwa - zarząd ma przekonanie, że wydając mnóstwo pieniędzy jest bezpieczny. Łatwiej jest wydać pieniądze na technologia, niż zrozumieć, że powinno się bardzo dbać od dobór i weryfikację ludzi odpowiedzialnych za bezpieczeństwo informacji" – uważa Kurek.

Podkreślił też, że bardzo dobrym rozwiązaniem jest outsourcing bezpieczeństwa cybernetycznego, czyli zlecenie dbania o bezpieczeństwo biznesu wyspecjalizowanym firmom zewnętrznym. "Często firma, która obsługuje 50 banków pod kątem bezpieczeństwa, znacznie lepiej orientuje się w zagrożeniach i atakach, niż poszczególne jednostki bezpieczeństwa w pojedynczych bankach" - dodał Kurek.

W 18. Światowym Badaniu Bezpieczeństwa Informacji wzięło udział 1755 reprezentantów firm z 67 krajów - w tym Polski. W większości były to osoby odpowiedzialne za technologie informatyczne bądź bezpieczeństwo IT z 25 sektorów. Badanie zostało przeprowadzone między czerwcem a wrześniem 2015 roku.

PAP, sek