Ataki hakerskie droższe niż inwestycja w cyberbezpieczeństwo

Przeczytaj także: Zagrożenia internetowe: co przyniosła II poł. 2016 r.?

Firma, która postanowi zignorować ryzyko generowane przez ewentualne ataki hakerskie i nie zabezpieczać swojej sieci, powinna oszacować koszt, jaki może wiązać się z takim zaniechaniem. Value at risk (wartość zagrożona ryzykiem) pozwala określić prawdopodobieństwo wystąpienia konkretnej straty w danym przedziale czasowym. I tak np. za pomocą analizy statystyk odnośnie zagrożeń, które próbowały przedostać się do firmowej sieci, można stwierdzić, jakie jest prawdopodobieństwo wystąpienia ataku DDoS. W efekcie można również obliczyć ile kosztowałby firmę jeden dzień pozbawienia klientów dostępu do firmowej witryny czy sklepu internetowego.

- Warto pamiętać, że wartość zagrożona ryzykiem nigdy nie jest zerowa. Dzieje się tak m.in. za sprawą samych pracowników, którzy generują zagrożenie poprzez otwieranie podejrzanych załączników czy klikanie w linki nadesłane z niewidomego źródła. Niepotrzebne są zatem zorganizowane ataki hakerskie, aby cała sieć firmowa narażona była na ryzyko zainfekowania infrastruktury IT szkodliwymi programami i utratę danych – mówi Piotr Kałuża, Team Leader STORMSHIELD UTM w firmie DAGMA. – To właśnie z tego powodu warto zadbać chociażby o najprostsze rozwiązania zabezpieczające. Już to pozwala istotnie zredukować ryzyko straty potencjalnych dochodów firmy – dodaje Piotr Kałuża z DAGMA.

Pracownicy a cyberbezpieczeństwo

Nie bez słuszności utarło się, że najsłabszym ogniwem w sieci zabezpieczeń infrastruktury IT są pracownicy, ponieważ nie tylko dają się nabrać na socjotechniczne sztuczki cyberprzestępców, ale też zdarza im się zupełnie świadomie ignorować ostrzeżenia wyświetlane przez systemy antywirusowe (ciekawe ile razy Ty sam kliknąłeś – zezwól – gdy program antywirusowy zablokował dostęp do strony WWW, którą chciałeś sam obejrzeć).

- Badanie przeprowadzone przez Carnegie Mellon University School of Computer Science wykazało, że 21 procent badanych użytkowników ignorowało ostrzeżenia o phishingu wyświetlane przez przeglądarki internetowe. Z kolei badanie „A Large-Scale Study of Web Password Habits” ocenia, że niecały procent internautów wpisuje swoje prawdziwe hasła w witrynach… wyłudzających dane. Takie zachowania mogą realnie wpływać na bezpieczeństwo zasobów firmowych – dodaje Piotr Kałuża, Team Leader rozwiązań STORMSHIELD UTM.

Milionowe szkody

Niezależnie od tego, czy prowadzisz biznes samodzielnie, czy też jesteś pracownikiem dużej firmy, twoja postawa wobec bezpieczeństwa IT ma wpływ na cyberbezpieczeństwo całej sieci teleinformatycznej. Inga Beale, prezes Lloyds, powiedziała, że ataki hakerskie zrealizowane w 2015 r. kosztowały firmy na całym świecie 400 miliardów dolarów. Wspólne badanie przeprowadzone przez IBM i Ponemon Institute wykazało, że wśród 350 firm na całym świecie, które doświadczyły naruszenia danych w 2015 r., średni koszt takiego incydentu to 3,79 miliona dolarów. Rozbieżność, między całkowitymi szacowanymi szkodami spowodowanymi przez złośliwe oprogramowanie a kosztami wydanymi na rozwiązaniach zabezpieczające sieć, zwykle przemawia na korzyść inwestowania w ochronę sieci teleinformatycznej. Tym bardziej, że według niektórych szacunków szkody wyrządzone przez szkodliwe oprogramowanie mogą wynieść 2,1 biliona dolarów do 2019 roku.

Cyberbezpieczeństwo przestaje być sprawą prywatną

Bezpieczeństwo cybernetyczne od pewnego czasu wchodzi w skład ogólnoświatowego programu legislacyjnego. W 2007 r. Unia Europejska poinformowała o potrzebie stworzenia „ogólnej polityki do walki z cyberprzestępczością". Zgodnie z tą polityką Rozporządzenie o Ochronie Danych Osobowych (GDPR), które ma wejść w życie 25 maja 2018 r., zwiększa kary – nawet do 20 milionów euro – dla instytucji przetwarzających dane osobowe, które nie wdrożyły odpowiednich środków bezpieczeństwa w swojej sieci.

Ile należy zainwestować?

Zwiększenie wydatków firm na przeciwdziałanie atakom stało się nieuchronne. W dokumencie „The Economics of Information Security Investment”, Lawrence Gordon i Martin Loeb z Uniwersytetu Maryland szacują, że w większości przypadków optymalne inwestycje w cyberbezpieczeństwo informacji powinny wynieść nie więcej niż 36,97% wartości straty, w sytuacji gdy firma nie posiada zabezpieczeń. Ważne, by pamiętać, że rozwiązania UTM, firewalle i oprogramowanie antywirusowe są tylko częścią systemu ochronnego. Jeśli firma rzeczywiście stawia na cyberbezpieczeństwo swoich danych, powinna również inwestować w szkolenia pracowników.