ilustracja 2D z zerwaną czerwoną kłódką i niebieskimi liniami symbolizującymi zabezpieczenie na turkusowym tle z kodem binarnym

Jak wypełnić lukę bezpieczeństwa w małych i średnich przedsiębiorstwach

#KingstonCognate przedstawia prof. Sally Eaves

Zdjęcie prof. Sally Eaves

Prof. Sally Eaves jest przewodniczącą organizacji Cyber Trust i starszym doradcą ds. polityki w fundacji Global Foundation of Cyber Studies and Research. Uznana za „orędowniczkę etycznego wykorzystania technologii” jest pierwszą laureatką nagrody Frontier Technology and Social Impact Award, przyznawanej przez Organizację Narodów Zjednoczonych. Pełniąca w przeszłości funkcję dyrektora ds. technologii, a obecnie profesora akademickiego w dziedzinie zaawansowanych technologii oraz doradcy ds. globalnej strategii zastosowania nowych technologii, Sally Eaves jest nagradzaną międzynarodową autorką, organizatorką, mówczynią i liderką opinii w dziedzinie transformacji cyfrowej (AI, 5G, usługi w chmurze, blockchain, cyberbezpieczeństwo, zarządzanie, IoT, danologia) w kontekście kultury, umiejętności, różnorodności, równości i integracji oraz zrównoważonego rozwoju i wpływu na społeczeństwo.

Sally aktywnie kształci i wspiera jako mentor nowe pokolenie talentów w dziedzinie technologii – założyła fundację Aspirational Futures, działającą na rzecz wzmocnienia integracji, różnorodności i równości w obszarze edukacji i technologii, a w 2022 r. ukaże się jej najnowsza książka pt. „Tech For Good”. Sally jest konsekwentnie doceniana za globalne dokonania w przestrzeni technologicznej przez wiodące organizacje, takie jak Onalytica, i wymieniana w pierwszej dziesiątce najbardziej wpływowych osób na świecie w wielu dziedzinach – poczynając od sztucznej inteligencji, poprzez technologię 5G, a kończąc na zrównoważonym rozwoju.

Krajobraz cyberzagrożeń w sektorze MŚP

Małe i średnie przedsiębiorstwa (MŚP) odgrywają istotną rolę zarówno w kontekście gospodarek krajowych, jak i międzynarodowej stabilności i wzrostu gospodarczego. Około 400 milionów małych i średnich przedsiębiorstw stanowi podstawę światowej gospodarki i jest głównym źródłem pracy i zatrudnienia (ponad 95% wszystkich podmiotów gospodarczych i 60-70% miejsc pracy).

Dlatego zarówno z punktu widzenia gospodarki, jak i bezpieczeństwa konieczne jest, aby MŚP mogły wykorzystać wszystkie możliwości, jakie oferuje współczesny cyfrowy świat, przy jednoczesnym zachowaniu odpowiedniego bezpieczeństwa cybernetycznego.

Dzieje się to w okresie znaczących zmian. Wiele MŚP musiało szybko wdrożyć nowe strategie i technologie cyfrowe, aby utrzymać, zmienić lub zdywersyfikować swoją działalność i modele biznesowe, a wszystko to w warunkach globalnej pandemii i rozwoju pracy zdalnej lub hybrydowej. Doprowadziło to również do powstania dodatkowych zagrożeń cybernetycznych.

To niepokojące zjawisko, biorąc pod uwagę, że cyberataki zdarzają się co 39 sekund, średnio 2244 razy dziennie (Varoni 2020), oraz że podatność MŚP na cyberataki zwiększa się rocznie o ponad 400%. Jednocześnie ich zdolność do zapewnienia sobie ochrony może ulec pogorszeniu wskutek mniejszej ilości zasobów i rezerw finansowych, aby nią skutecznie zarządzać. Ten artykuł opisuje krajobraz współczesnych zagrożeń dla MŚP i wyjaśnia, dlaczego są one tak ważne. Wskazuje także kluczowe wyzwania, z którymi należy się zmierzyć, aby zwiększyć świadomość, która jest tak istotna dla zmian i zapewnienia przyszłej gotowości na eskalujące zagrożenia dla bezpieczeństwa cybernetycznego.

„Nadszedł czas, aby oddzielić inwestycje, edukację, badania i szerszą świadomość zwiększonego ryzyka w sektorze MŚP od fałszywego przekonania, że dane wykorzystywane przez MŚP mają mniejszą wartość dla cyberprzestępców i hakerów – a także dla całej gospodarki światowej!” Prof. Sally Eaves

Rosnące zagrożenia dla MŚP: dlaczego jest to tak ważne

Haker komputerowy – sylwetka piszącego zakapturzonego mężczyzny z liczbami unoszącymi się przed nim oraz danymi binarnymi i mapą świata za nim

Istnieje błędne przekonanie o zależności między wielkością firmy a poziomem kosztów, jakie może spowodować cyberatak i brak przygotowania na jego skutki, poczynając od zakłóceń w działalności i strat finansowych. W kontekście ostatnich badań w Wielkiej Brytanii (Vodafone Business 2021) stwierdzono, że średni koszt udanego cyberataku wynosi 3230 funtów oraz że taka strata spowodowałaby upadek prawie jednej czwartej brytyjskich MŚP, a w przypadku kolejnych 16% oznaczałaby konieczność zwolnienia pracowników. Jest to również zgodne z innymi międzynarodowymi badaniami. Ale zagrożenie na tym się nie kończy. Utrata reputacji i zmniejszenie zaufania konsumentów lub otoczenia biznesowego to skutki mogące dotknąć na dłużej firmy, które przetrwają początkowe zagrożenie. Około 81% konsumentów twierdzi, że przestałoby korzystać z internetowych usług firmy, gdyby doszło do naruszenia ich danych.

Ponadto, wbrew innemu błędnemu przekonaniu, dane MŚP współpracujących z różnymi dostawcami i partnerami są równie cenne jak dane dużych przedsiębiorstw i mogą stanowić bramę dostępu do innych organizacji. Jeśli cyberprzestępca zdoła naruszyć dowolne ogniwo w łańcuchu dostaw, może łatwiej zaatakować inne, często także większe firmy, które w nim uczestniczą. Dane MŚP są zwykle znacznie łatwiejsze do kradzieży. Być może nie jest więc niespodzianką, że w szybkim tempie nasila się nie tylko częstotliwość, ale także wyrafinowanie cyberataków wymierzonych w ten sektor, przejawiające się w tym, że hakerzy działają teraz jako zorganizowane grupy, których wspólnym celem jest zysk finansowy.

Zmieniający się krajobraz zagrożeń dla MŚP

Nowe badania ukazują prawdziwe rozmiary zagrożenia dla MŚP w porównaniu z większymi przedsiębiorstwami. Bolesnym faktem jest to, że 65% cyberataków na MŚP w latach 2019-20, w porównaniu z 46% ataków na wszystkie firmy (Towergate), było atakami wielokrotnymi! Małe i średnie przedsiębiorstwa, które padły ofiarą naruszenia danych, były w tym okresie atakowane średnio 6-krotnie, tj. co dwa miesiące! (NatWest).

Jakie są więc najważniejsze taktyki stanowiące zagrożenie dla MŚP?

Na czoło wybijają się dwa główne wektory zagrożeń zewnętrznych – phishing i socjotechnika w kontekście ekosystemu łańcucha dostaw. W połączeniu z wektorami zagrożeń wewnętrznych, w tym brakiem oceny ryzyka, słabą kontrolą dostępu, ochroną danych, urządzeń i haseł, niskim poziomem inwestycji oraz niewystarczającym szkoleniem i świadomością, kulturą i umiejętnościami w dziedzinie higieny cybernetycznej, pozostawia to potencjalnie rozległą powierzchnię dla ataku.

symbol otwartej poczty z listem na haczyku wędkarskim

Phishing i socjotechnika
85% cyberataków jest następstwem prób phishingu, które mają na celu nakłonienie użytkowników do „niewłaściwego postępowania” (np. pobrania złośliwego oprogramowania) – najczęściej za pomocą wiadomości e-mail. Mają one coraz bardziej wyrafinowany charakter. Rzeczywiście – najnowsze testy wykazały, że sztuczna inteligencja pozwala pisać lepsze wiadomości phishingowe! Socjotechnika, często powiązana z phishingiem, to proces manipulowania ludźmi poprzez podszywanie się, perswazję, a nawet zastraszanie w celu podjęcia określonego działania lub ujawnienia poufnych informacji. Przykładem może być pandemia, podczas której cyberprzestępcy „żywią się” naszą zbiorową podatnością i próbują włamywać się na konta, używając phishingowych wiadomości e-mail, SMS lub WhatsApp z tematem „Covid-19”, a nawet dołączając załącznik pochodzący rzekomo od Światowej Organizacji Zdrowia (WHO). Biorąc to wszystko pod uwagę, poziom transformacji tego typu cyberzagrożeń jest imponujący – wystarczy porównać je z pierwszym zarejestrowanym cyberatakiem o nazwie „Morris Worm” w 1988 r. Dotknął on 6000 komputerów, które stanowiły wtedy około 10% całego Internetu. Jakże zmieniły się czasy!

Łańcuch dostaw
Stając się ulubionym wektorem ataków cyberprzestępców, większość naruszeń ma swoje źródło w oprogramowaniu, a nie w sprzęcie – np. w złośliwym oprogramowaniu infiltrującym regularne aktualizacje oprogramowania. Ataki mają na celu uderzenie w MŚP za pośrednictwem ich własnych łańcuchów dostaw lub, częściej, narażenie MŚP na szwank, aby następnie wziąć na cel większe organizacje. Innym zagrożonym obszarem w łańcuchu dostaw są biblioteki oprogramowania typu open source. Natomiast jeśli chodzi o przyszłość, to fakt, że do 2025 r. Internet rzeczy powiększy się ponad dwukrotnie do 75 miliardów urządzeń, sam w sobie stwarza nowe zagrożenia cybernetyczne. Do sieci można podłączać tanie urządzenia, z których wiele jest podatnych na atak. Jeśli spojrzymy na to z perspektywy zaawansowanej konwergencji IT/OT i ekosystemu łańcucha dostaw, głównym problemem jest rozszerzanie się obszaru zagrożeń.

Bariery dla zagrożeń cybernetycznych w sektorze MŚP

Rodzi to zasadnicze pytanie, co powoduje, że MŚP nie stosują najnowszych zabezpieczeń, aby bardziej aktywnie chronić się przed zagrożeniami cybernetycznymi? Po pierwsze istnieje wyraźna rozbieżność między świadomością a skłonnością do modernizacji, czego dowodzi najnowsze badanie, które wykazało, że podczas gdy 93% małych i średnich przedsiębiorstw uważa, że cyberbezpieczeństwo ma kluczowe znaczenie dla ciągłości ich działalności, tylko 64% z nich faktycznie korzystało z rozwiązań, które je zapewniają. Ponadto europejskie badanie wykazało inny problem: wiele małych i średnich przedsiębiorstw uważa błędnie, że mechanizmy kontroli cyberbezpieczeństwa są zawarte w zakupionych przez nie produktach informatycznych i nie są potrzebne dodatkowe środki bezpieczeństwa – o ile nie wymuszają ich wymogi lub przepisy dotyczące zapewnienia zgodności (enisa 2021).

Kolejnym wyzwaniem są możliwości inwestycyjne. Według portalu Statista (2020) wartość inwestycji w cyberbezpieczeństwo wynosiła średnio 5100 funtów, co może skłaniać MŚP do przekonania, że są one na właściwym poziomie. Jednak wartość ta jest zniekształcona przez samą wielkość aktywów mikro- i małych firm, która wynosi średnio 3490 funtów. W przypadku większych organizacji, które są zapewne lepiej przygotowane – lub przynajmniej dysponują większymi zasobami – średnia inwestycja miała wartość 277 000 funtów, co wskazuje na ogromną lukę, którą chętnie wykorzystują cyberprzestępcy!

Innymi czynnikami są: słabo rozwinięta „cyberkultura”, przekonanie o nadmiernej złożoności, obawy i często błędne wyobrażenia dotyczące bezpieczeństwa rozwiązań w chmurze, a także ogólny brak świadomości dostępności technologii i wsparcia, które w rzeczywistości są w zasięgu MŚP. Prawdopodobnie najbardziej niepokojące jest to, że 54% uczestników ostatniego badania stwierdziło, że ich firmy nie szkolą personelu w zakresie bezpieczeństwa danych i zagrożeń dla cyberbezpieczeństwa (Vodafone Business 2021).

Przeciwdziałanie zagrożeniu cybernetycznemu

Pamięć Kingston DataTraveler Vault Privacy 3.0 podłączona do laptopa z kodami binarnymi w tle oraz symbolem blokady i hasła

Oczywiście zapewnienie cyberbezpieczeństwa powinno być priorytetem każdej organizacji – niezależnie od jej wielkości! W obliczu ciągłego wzrostu i rozpowszechnienia zagrożeń dbałość o ochronę systemów przed atakami jest ważniejsza niż kiedykolwiek dotąd. Wymaga to starannej koordynacji działań ludzi, procesów, systemów, sieci i technologii, co wiąże się ze wspólną odpowiedzialnością, zmianą nastawienia, kultury i wartości, aby umożliwić zmianę zachowania i akceptację, która zawsze stanowi podstawę udanej zmiany technologii. A ponieważ małe i średnie przedsiębiorstwa są głównie narażone na ataki z wykorzystaniem taktyki ukierunkowanej na człowieka – tj. phishingu i socjotechniki – edukacja jest najważniejszym czynnikiem strategicznym i siłą napędową tego procesu. Im większa jest świadomość tych obszarów zagrożenia, tym wyższy może być poziom bezpieczeństwa cybernetycznego.

Punktem wyjścia do działań, które można podjąć już dziś, jest skupienie się na zapobieganiu utracie danych poprzez nadzór nad ich zasobami, z które przechowują lokalnie pracownicy. Bardzo skuteczne mogą być w tym przypadku szyfrowane urządzenia pamięci USB, które pomagają przechowywać i przenosić dane w maksymalnie bezpieczny sposób.

Firma Kingston Technology jest od dawna uznanym i cieszącym się dużym zaufaniem liderem w dziedzinie szyfrowanych pamięci USB i może zaoferować indywidualną pomoc w celu zapewnienia korzyści i dostosowania danego rozwiązania do potrzeb użytkownika. Ponadto doskonały zespół realizujący program „Zapytaj eksperta” firmy Kingston Technology służy indywidualnym doradztwem, pozwalającym na dostosowanie korzyści do określonych potrzeb i środowiska pamięci masowej.

W uzupełnieniu do tego artykułu przedstawiamy 12 przydatnych wskazówek, które mogą wykorzystać małe i średnie przedsiębiorstwa, aby poprawić swoje bezpieczeństwo cybernetyczne dzięki podejściu opartemu na technologii, procesach i zasobach ludzkich.

#KingstonIsWithYou

Zapytaj eksperta

Zapytaj eksperta

Aby wybrać odpowiednie rozwiązanie, należy poznać cele bezpieczeństwa swojego projektu. Skorzystaj ze wskazówek ekspertów firmy Kingston.

Zapytaj eksperta

Powiązane produkty

Powiązane artykuły