Cyberprzestępstwa przybierają na sile. Firmy muszą się chronić

Przeczytaj także: Złośliwe oprogramowanie: wzrost liczby ataków skryptowych

W bieżącym roku raczej nie mamy co liczyć, że cyberprzestępcy dadzą nam odetchnąć. Zbliżające się miesiące będą zatem okresem wzmożonej czujności regulatorów. Wysoce prawdopodobne są m.in. ataki na globalne firmy przeprowadzane za pośrednictwem ich małych i średnich dostawców. Koniecznością stanie się dostrzeżenie ryzyk płynących z wewnątrz organizacji. Wzrośnie też rola uwierzytelniania wieloskładnikowego. W obliczu zagrożeń nieodzowne wręcz staną się szyte na potrzeby danego przedsiębiorstwa polisy cybernetyczne.

W 2017 roku cyberprzestępstwa spowodowały spustoszenie na wiele sposobów, począwszy od ataków phishingowych, które wpływały na wyniki wyborów, aż po wirusy typu ransomware, które na całym świecie przenikały do systemów operacyjnych szyfrując dane i zakłócając funkcjonowanie przedsiębiorstw. Wraz z rozwojem Internetu Rzeczy, nastąpił również wzrost liczby ataków typu DDoS ograniczających funkcjonalność przedmiotów podłączonych do Sieci – komentuje Michał Jatczak, Lider Praktyki Cyber w Aon Polska.

Bieżący rok przyniesie intensyfikację ryzyka cybernetycznego, co będzie efektem przenikania się trzech następujących trendów:

• uzależnienia przedsiębiorstw od technologii
• wzrostu nacisku regulatorów na ochronę danych konsumentów
• wzrostu wartości aktywów niematerialnych

Kompilacja powyższych tendencji wymusi wręcz zintegrowane podejście do bezpieczeństwa informatycznego, w którym uwzględniać będzie się tak obszar zarządzania przedsiębiorstwem jak i zarządzania samym ryzykiem.

Prognoza Aon na 2018 rok pokazuje, że rosnąca skala i siła oddziaływania ataków cybernetycznych wraz z przyjmowaniem przez przedsiębiorstwa coraz większej odpowiedzialności za konsekwencje cyberataków, spowodują daleko idące zmiany w postrzeganiu tego ryzyka. Przewiduje się, że istotnie wzrośnie rola osób zarządzających ryzykiem w firmie, uwierzytelniania wieloskładnikowego oraz zagrożenia pochodzące z wewnątrz firmy, od jej pracowników.

Kluczowe wnioski płynące z raportu:

Konieczność wprowadzania dedykowanych ubezpieczeń od cyberprzestępstw

W miarę upubliczniania kolejnych ataków powodujących spadek przychodów i wyceny akcji, zakłócenie działalności oraz wnoszenie roszczeń przeciwko zarządom spółek, biznes w większym stopniu zwróci uwagę na dedykowane, szyte na miarę ubezpieczenia cyberprzestępstw. Ubezpieczenie to upowszechni się także poza tradycyjnymi kupcami z branży handlowej, finansowej czy zdrowotnej i zostanie zauważone przez inne branże jak np. przemysł produkcyjny, transport, usługi komunalne, rafinerie czy przemysł gazowniczy.

Atak cybernetyczny to ten moment, kiedy świat materialny i wirtualny spotykają się i wydarzenia w tym drugim istotnie wpływają na pierwszy, a wyrafinowane cyber-ataki w coraz większym stopniu mają realny wpływ na działalność biznesową przedsiębiorstw. Przedsiębiorcy zaczynają dostrzegać, że wraz z rozwojem technologii ryzyko cybernetyczne stało się kluczowym ryzykiem dla ich przedsiębiorstwa. Dlatego w 2018 roku należy oczekiwać, że dyrektorzy ds. zarządzania ryzykiem i szefowie ds. bezpieczeństwa będą wypracowywać rozwiązania i pomagać organizacjom zrozumieć rzeczywisty wpływ ryzyka cybernetycznego na ich działalność biznesową – dodaje Michał Jatczak.

Zwiększona czujność regulatorów związana z przestępczością komputerową

Regulatorzy na poziomie międzynarodowym, krajowym i lokalnym będą w większym stopniu egzekwowali stosowanie przez firmy istniejących przepisów w zakresie zabezpieczeń przez atakami cybernetycznymi, jak również wprowadzać będą kolejne regulacje. Unia Europejska będzie rozliczać globalne przedsiębiorstwa z nieprzestrzegania GDPR, a w USA organizacje zarządzające big data (przechowujące i sprzedające dane) będą szczegółowo sprawdzane pod kątem tego, w jaki sposób gromadzą, wykorzystują i zabezpieczają dane. Można się też spodziewać, że firmy będą naciskały regulatorów, by ci ujednolicili regulacje dotyczące cyberprzestępstw.

Atak na gigantów poprzez Internet Rzeczy

Cyberprzestępcy będą próbowali atakować przedsiębiorstwa dostarczające usługi firmom globalnym za pomocą przedmiotów Internetu Rzeczy. W 2018 roku międzynarodowe organizacje będą zmuszone przeanalizować ryzyko związane z wykorzystaniem Internetu Rzeczy w kontekście zarządzania ryzykiem swoich kontrahentów. Na razie firmy globalne nie dostrzegają tego zagrożenia i nie dopuszczają do siebie informacji, że właśnie za pośrednictwem dostawców ich firma może zostać zaatakowana, a Internet Rzeczy wykorzystany jako droga do ich sieci wewnętrznej. Realne ataki przeprowadzone w ten sposób będą sygnałem dla dużych organizacji, aby zaktualizować swoje podejście do zarządzania ryzykiem dostawców. Z kolei małe i średnie firmy staną przed koniecznością wdrożenia lepszych zabezpieczeń, w przeciwnym razie będą musiały liczyć się z utratą kontraktów.

Rosnąca rola uwierzytelniania wieloskładnikowego

W sytuacji nieustannie hakowanych haseł oraz obchodzenia przez napastników fizycznych zabezpieczeń biometrycznych, uwierzytelnianie wieloskładnikowe staje się ważniejsze niż kiedykolwiek przedtem. Wprawdzie poza hasłami firmy wprowadzają nowe metody uwierzytelniania, takie jak rozpoznawanie twarzy czy odcisków palców, jednakże te technologie nadal nie są doskonałe. Raport Aon przewiduje, że coraz więcej firm będzie wdrażać uwierzytelnianie wieloskładnikowe w celu zwalczenia ataków na hasła oraz na dane biometryczne.

Uwierzytelnianie wieloskładnikowe będzie wymagało od poszczególnych osób pokazania wielu dowodów w celu uwierzytelnienia. W związku ze wzrostem zainteresowania uwierzytelnianiem wieloskładnikowym i oczekiwaniami konsumentów, należy się spodziewać implementacji uwierzytelnienia z wykorzystaniem behawioralnych metod biometrycznych.

Transakcje punktowe zagrożone

Przestępcy będą atakować transakcje, w których zamiast waluty wykorzystywane są punkty. Dlatego przedsiębiorstwa stosujące tego rodzaju model, np. w prowadzonych programach lojalnościowych czy upominkowych, będą musiały konstruować platformy pozwalające na szybkie zgłaszanie usterek i nagradzanie zgłaszających je użytkowników (tzw. bug bounty programs). W miarę jak coraz więcej przedsiębiorstw będzie wprowadzać te programy, poszukiwane stanie się wsparcie zewnętrznych ekspertów pozwalające uniknąć ryzyk związanych z nieprawidłowym skonfigurowaniem programów.

Kryptowaluty a rozwój ransomware

W 2018 roku przestępcy wymuszający okup zmienią swoją dotychczasową taktykę. Raport Aon przewiduje, że atakujący używający zwyczajnego złośliwego oprogramowania, np. powodującego blokadę usług (atak DDoS – rozproszona odmowa usługi) lub uruchamia reklamy na tysiącach terminali roboczych, spowodują masową epidemię oprogramowania wymuszającego okup. Napastnicy będą kontynuowali ataki mające na celu zablokowanie maksymalnie wielu systemów, ale zgodnie z raportem Aon wzrośnie też liczba ataków skierowanych przeciwko konkretnym firmom, z żądaniem płatności okupu o wysokości proporcjonalnej do wartości zaatakowanych aktywów. Kryptowaluty będą nadal sprzyjały tego typu atakom, pomimo coraz skuteczniejszemu śledzeniu ataków przez organy ścigania.

Istotne znaczenie ryzyk cybernetycznych pochodzących z wewnątrz organizacji

Ryzyka płynące z wewnątrz organizacji będą nadal stanowiły zagrożenie dla firm, które cały czas nie doceniają ich znaczenia. W 2017 roku przedsiębiorstwa nie inwestowały w proaktywne programy zapobiegające temu ryzyku. Zgodnie z raportem Aon, rok 2018 nie przyniesie w tym zakresie większych zmian. Przedsiębiorstwa często nie prowadzą dla pracowników odpowiednich szkoleń w zakresie bezpieczeństwa informatycznego. Nie ma pełnych danych dotyczących zakresu ataków cybernetycznych spowodowanych przez czynnik ludzki. Dlatego wiele przedsiębiorstw nadal będzie głównie reagować na już zaistniałe incydenty i ukrywać je za zamkniętymi drzwiami, pozostając nieświadomymi rzeczywistych kosztów i wpływu czynnika ludzkiego/ wewnętrznego na ich organizacje.