8 obszarów ryzyka w cyberbezpieczeństwie 2019

Przeczytaj także: KNF ostrzega przed cyberatakami na banki

Opracowany przez Aon raport „What’s Now and What’s Next” skupia swoją uwagę na ośmiu kluczowych obszarach ryzyka w cyberbezpieczeństwie 2019 r. Ryzyka te wyraźnie obrazują, jak – wraz z postępującą cyfryzacją we wszystkich transakcjach – gwałtownie i często w zupełnie niespodziewanym kierunku rozrasta się obszar narażonej na ataki działalności biznesowej. Widzimy zatem, jak udoskonalenia i dynamiczne zmiany technologii wpływają na liczbę punktów kontaktu, do których cyberprzestępcy mogą uzyskać dostęp.

Najważniejsze punkty raportu:

1. Technologia – Podczas gdy technologia zrewolucjonizowała sposób, w jaki organizacje prowadzą dziś działalność, coraz szersze jej stosowanie powoduje również powstawanie nowych podatności. Liczne branże – od wydawniczej po motoryzacyjną – muszą zmierzyć się z ewoluującymi usługami i modelami biznesowymi. Te nowe możliwości łączą się jednak z radykalnie odmiennym zestawem ryzyk, które organizacje będą musiały umieć przewidzieć i włączyć w proces zarządzania, aby kontynuować cyfrową.
2. Łańcuch dostaw – Dwa dominujące trendy w łańcuchu dostaw drastycznie zwiększą ryzyko cybernetyczne w nadchodzącym roku. Jednym z nich jest gwałtowna ekspansja danych operacyjnych wystawionych na działanie cyberprzestępców, poprzez urządzenia mobilne i brzegowe takie jak Internet Rzeczy (IoT). Drugim trendem jest rosnące uzależnienie firm od osób trzecich – zewnętrznych dostawców i usługodawców. Oba trendy otwierają przestępcom nowe drogi dostępu i ingerencji w łańcuchy dostaw, wymagają więc zarządzania ryzykiem na poziomie kierowniczym, aby zagwarantować niezakłócone działanie organizacji.
3. Internet Rzeczy – Urządzenia IoT (Internet of Things) są wszędzie, a każde urządzenie w miejscu pracy stanowi potencjalne zagrożenie. Wiele firm nie zarządza bezpieczeństwem urządzeń IoT ani nawet nie kontroluje, które z tych urządzeń mają styczność z częścią biznesową, co już skutkuje naruszeniami. Wraz z upływem czasu liczba punktów końcowych IoT gwałtownie wzrośnie za sprawą wdrożeń komórkowych IoT na całym świecie oraz nadchodzącego przejścia na sieć 5G. Skuteczna inwentaryzacja i procesy monitorowania będą kluczowe dla firm w nadchodzącym latach.
4. Operacje biznesowe – Łączność z Internetem znacznie usprawnia funkcjonowanie firm, ale prowadzi również do powstawania nowych luk w zabezpieczeniach. Powierzchnia ataku ulega znacznemu rozszerzeniu wraz ze wzrostem łączności, która ułatwia napastnikom poruszanie się po całej sieci. Co więcej, skróty operacyjne lub nieefektywne procesy tworzenia kopii zapasowych mogą jeszcze bardziej zwiększyć wpływ ataku na operacje biznesowe. Organizacje muszą lepiej zdawać sobie sprawę z – i być przygotowane na – ryzyka wypływające ze stałego połączenia z siecią.
5. Pracownicy – Pracownicy pozostają jedną z najczęstszych przyczyn naruszeń. Prawdopodobnie nawet nie zdają sobie oni sprawy z prawdziwego zagrożenia, jakie stwarzają dla cyberbezpieczeństwa całej organizacji. Ponieważ technologia wpływa na każde stanowisko, od CEO po stażystów na najniższym szczeblu, konieczne jest, by organizacje wprowadziły kompleksowe podejście do ograniczenia zagrożeń wewnętrznych, w tym silne zarządzanie danymi, komunikowanie polityki bezpieczeństwa cybernetycznego w całej organizacji oraz wdrożenie skutecznych metod kontroli dostępu i ochrony danych.
6. Fuzje i przejęcia (M&A) – Prognozy przewidują, że wartość transakcji M&A wyniesie 4 biliony dolarów w 2018 r., co będzie najwyższym wynikiem od czterech lat. Problem dla firm kupujących inne firmy polega na tym, że chociaż same mogą mieć nieskazitelne podejście do ryzyka związanego z cyberbezpieczeństwem, nie ma żadnej gwarancji, że tak samo wygląda sytuacja w przejmowanych podmiotach. Organizacje zawierające umowy M&A muszą uwzględnić w swoich planach konkretne strategie bezpieczeństwa cybernetycznego, jeśli chcą być pewne, że przyszłe transakcje będą płynne i bezpieczne.
7. Regulacje – Nowe przepisy, prawo, zasady i standardy dotyczące dziedziny cyber mają na celu ochronę i zabezpieczenie firm i ich klientów. Jednak tempo egzekwowania przepisów dotyczących cyberbezpieczeństwa wzrosło w 2018 r., co stanowi przyczynek do podwyższonego ryzyka związanego z nieprzestrzeganiem regulacji prawnych w 2019 r. Jednak zgodność z przepisami i compliance nie mogą stać się jedynym celem. Firmy muszą zachować równowagę między nowymi przepisami a zmieniającymi się zagrożeniami cybernetycznymi, co będzie wymagało czujności po wszystkich stronach.
8. Zarząd – Nadzór nad cyberbezpieczeństwem wciąż stanowi ważny punkt dla dyrektorów i członków zarządu, ale w ostatnim czasie ryzyko osobiste coraz bardziej podbija stawkę. Zarządy muszą nadal rozszerzać pole zainteresowania i nadawać mocny ton w całej firmie – nie tylko w przypadku działań podejmowanych po incydencie cybernetycznym, lecz także w zakresie aktywnego przygotowania i planowania.

„W 2018 roku mogliśmy zobaczyć, jak proaktywne podejście do przygotowania i planowania w dziedzinie cyberbezpieczeństwa opłaciło się firmom, które zainwestowały w takie działania, a w 2019 roku przewidujemy, że potrzeba planowania będzie tylko dalej rosnąć” – powiedział Jason Hogg, dyrektor generalny Cyber ​​Solutions w Aon. „Liderzy muszą pracować nad lepszym zabezpieczeniem swoich firm i procesów, jednocześnie poszukując sposobów, dzięki którym mogą skorzystać z możliwości oferowanych przez technologię i transformację cyfrową”.

Jak dalej mówi Hogg:

„Nasz raport z 2019 r. pokazuje również, że firmy muszą zrozumieć potrzebę dzielenia się informacjami o zagrożeniach nie tylko w obrębie własnej organizacji, lecz także z innymi podmiotami. Chociaż takie myślenie w kontekście bezpieczeństwa cybernetycznego wydaje się sprzeczne z intuicją, współpraca między przedsiębiorstwami oraz branżami może sprawić, że prywatne dane firm i osób będą bezpieczniejsze. Kooperacja może skutkować dokładniejszą identyfikacją źródeł szkód, a także podnieść poprzeczkę hakerom i sprawić, że wszyscy będą lepiej przygotowani na ten nieunikniony dzień, w którym rzeczywiście dojdzie do zakłóceń”.

Jak komentuje Michał Jatczak, Lider Praktyki Cyber w Aon Polska:

„Władze firm muszą zdać sobie sprawę z tego, że ryzyko cybernetyczne to nie tylko wyciek danych, lecz także zagrożenie dla samego funkcjonowania ich przedsiębiorstwa, obejmujące całą strukturę organizacji. Współcześnie zasoby niematerialne i cyfrowe mają często znacznie większą wartość niż aktywa rzeczowe. Utrata tych zasobów jest więc proporcjonalnie bardziej dotkliwa. Jednocześnie, prawdopodobieństwo zajścia tzw. „cyber-zdarzenia” – czy to w postaci ataku hakerskiego, czy awarii lub błędu pracownika – jest kilkukrotnie większe, niż np. wybuchu pożaru. Członkowie zarządów powinni też zrozumieć, że technologia przynosi rozwiązanie wielu problemów, ale też przyczynia się do powstania wielu zagrożeń dotyczących całej firmy. Zatem to na zarządach spoczywa ciężar odpowiedniego zabezpieczenia swoich organizacji – poprzez prewencję, plany reagowania i ubezpieczenie – na zdarzenie, które według wielu statystyk jest niemal nieuniknione”.