SECURITATE – TAPA EMEA: Atacurile cibernetice, pe o pantă abruptă

În multe cazuri, managerii întreprinderilor mici și mijlocii au părerea preconcepută că atacurile cibernetice țintesc numai mărcile importante sau companiile multinaționale, cu o reputație înaltă de apărat. Este oare adevărat?

Sunt, de asemenea, manageri pentru care reprezintă o problemă să înțeleagă de unde trebuie pornit, care sunt costurile securității cibernetice și cum să își dea seama dacă acțiunile pe care le adoptă îi protejează mai mult împotriva atacurilor, se arată într-un material publicat în ediția din luna aprilie a Vigilant, buletinul informativ al TAPA EMEA.

În acest context, asigurătorul Hiscox a publicat, recent, ediția 2019 a „Raportului de Pregătire Cibernetică”, bazat pe un sondaj la care au răspuns 5.400 de firme din șapte țări, care ne dă serios de gândit cu privire la amenințările la care sunt supuse afacerile din ziua de astăzi. Una dintre cele mai importante este reprezentată de criminalitatea cibernetică.

Un raport îngrijorător

• Numărul de companii care au raportat incidente de securitate cibernetică a crescut de la 45 la 61% în ultimul an.
• În timp ce companiile mai mari sunt încă cele mai susceptibile de a suferi un atac cibernetic, proporția firmelor de dimensiuni mai mici (sub 50 de angajați) care au raportat unul sau mai multe incidente a crescut de la 33 la 47%. În cazul companiilor medii, cu un personal între 50 și 249 de angajați, procentul a sărit de la 36 la 63%.
• Pentru prima dată, o majoritate semnificativă din rândul firmelor chestionate a declarat să a suferit unul sau mai multe atacuri cibernetice în ultimele 12 luni.
• Nicio industrie nu este imună – în fiecare dintre cele 15 sectoare urmărite în acest raport, proporția firmelor care au raportat unul sau mai multe atacuri a crescut.
• Atât valoarea, cât și frecvența atacurilor a crescut substanțial, comparativ cu anul trecut, companiile mici și medii fiind din ce în ce mai vulnerabile.
• Valoarea pagubelor asociate cu toate incidentele de securitate cibernetică în rândul firmelor care au raportat atacuri a crescut de la 220.000 la 369.000 de euro, în creștere cu 61%, firmele medii și mari adjudecându-și o valoare disproporționat de mare a acestor costuri.
• Aproape un sfert dintre firme (24%) au raportat infestarea cu virus sau vierme, iar 17% atacuri cu ransomware. Procentul de atacuri de tip DDoS (distributed denial-of-service) a crescut de la 10 la 15%. A crescut, de asemenea, și frecvența atacurilor, proporția firmelor care au raportat câte patru sau mai multe incidente urcând de la 20 la 30%.
• Companiile mari sunt mai susceptibile a fi supuse unor atacuri repetate: 21% au suferit cinci sau mai multe atacuri în ultimul an.
• Furtul de date a devenit o infracțiune obișnuită, cu incidența cererilor de răscumpărare crescând în mod constant.

Companiile investesc mai mult în asigurări și protecție

Raportul Hiscox arată că implementarea unor noi regulamente a fost de natură și să crească gradul de conștientizare în rândul companiilor europene. În 2018, introducerea GDPR, la care toată lumea a trebuit să se adapteze, a generat și o creștere a cererii pentru asigurări în domeniul cibernetic. Companiile investesc mai mult și în măsuri de protecție, suma medie cheltuită este de 1,45 milioane de dolari americani, cele 5.400 de firme cheltuind în total 7,9 miliarde de dolari. Iar două treimi dintre respondenți au declarat că intenționează să crească aceste cheltuieli cu 5% în următorul an.

Respondenților le-au fost adresate întrebări acoperind abordarea pe care o au în patru domenii – strategie, supraveghere și resurse, tehnologie și procese. Pe baza feedback-ului lor, studiul i-a ierarhizat de la „novice cibernetic”, la „expert cibernetic”. La nivel general, proporția firmelor care au fost încadrate în categoria „expert” a scăzut ușor de la un an la altul, de la 11 la 10%, intermediarii dețin 16%, iar novicii – restul de 74%.

Este supply chain-ul o verigă slabă?

Deși raportul Hiscox a ajuns la al treilea an, în cadrul acestei ediții a fost pentru prima dată când au fost adresate întrebări privind securitatea rețelei de furnizor a companiilor.

Raportul subliniază: „Aproape două treimi dintre respondenți (65%) au declarat că au suferit unul sau mai multe atacuri cibernetice ca rezultat al unei verigi slabe din cadrul supply chain-ului, în ultimul an. Cifrele au fost mai înalte în Belgia și Spania (73 și respectiv 72%). În total, au fost targetate trei sferturi din companiile de tehnologie, media, telecomunicații și din domeniul transporturilor. Peste jumătate dintre firmele cuprinse în studiu au inclus KPI de securitate cibernetică în cadrul contractelor cu furnizorii. Procentul este de 65% în rândul companiilor mari și de numai 39% în rândul celor mici.”

Întrebate cât de des evaluează securitatea rețelelor lor de furnizori, aproape trei sferturi dintre companii (74%) au declarat că o fac cel puțin o dată pe trimestru sau ad-hoc, în timp ce 8% dintre companii au spus că și-au crescut frecvența evaluărilor ca rezultat al incidentelor din ultimul an.

Aproape două treimi dintre companii au experimentat probleme de securitate cibernetică în supply chain-urile lor în ultimul an.

Răspunsul TAPA

Problema securității cibernetice și a relației sale cu partenerii din cadrul supply chain-ului a reprezentat în ultima vreme o preocupare cheie pentru TAPA, un grup de membri creionând un potențial Standard de Securitate Cibernetică, pentru a fi luat în considerare de către Consiliul Mondial al organizației. Aceasta se preconizează a fi implementat începând cu 2020.

Andrew Pakerson de la Cisco Systems este unul dintre membrii acestui grup de experți. El a declarat: „Aceia dintre noi care au pregătire în domeniul securității fizice în logistică pot și trebuie să învețe elementele de bază ale securității cibernetice ca parte a educației și învățării permanente, la fel cum ne actualizăm cunoștințele privind amenințările fizice, aflate în continuă schimbare. Misiunea noastră este de a ne proteja companiile: acest lucru include, acum, să ne dăm seama de unde vin amenințările cibernetice și elementele de bază ale protecției împotriva acestora, precum și propagarea acestui mesaj în cadrul supply chain-ului.”

Bune practici

• Securitatea cibernetică – o prioritate pentru consiliul de conducere sau proprietar.
• Stabilirea unei strategii clare, cu implicarea mai multor factori de decizie din companie.
• Echipă dedicată securității cibernetice sau șef dedicat activităț
• Buget adecvat dedicat securității cibernetice – în medie, experții cheltuiesc cu peste 1 milion de dolari mai mult decât novicii.
• Evaluare regulată a supply chain-ului, KPI de securitate incluși în contractele cu furnizorii.
• Training privind securitatea cibernetică în rândul angajaț
• Testare proactivă, prin simularea unor atacuri.
• Experimente regulate pe parte de phishing.
• Disponibilitatea de învăța, a reacționa și a face schimbări după un incident.
• Încheierea unei asigurări de riscuri cibernetice.

(Sursa: Hiscox Cyber Readiness Report 2019)

Rele practici

• Securitatea cibernetică tratată pe baza unor măsuri ad-hoc, fără linii clare de responsabilitate.
• Nicio strategie formală, niciun buget dedicat.
• Încredere prea mare în tehnologie și prea mică în oameni.
• Reacție lentă la incidente.
• Training ocazional și insuficient al angajaț
• Nicio evaluare a vulnerabilităților din supply chain.
• Niciun fel de simulare a unor atacuri cibernetice și nici a acțiunilor pe care trebuie să le întreprindă angajaț
• Încheierea exclusivă a unor asigurări de proprietate.

(Sursa: Hiscox Cyber Readiness Report 2019)

Sursa: Vigilant, aprilie.

Traducerea și adaptarea: Raluca MIHĂILESCU