Działy IT zbyt słabo panują nad bezpieczeństwem

Według ekspertów firmy doradczej Deloitte wraz z rozwojem nowoczesnych technologii rośnie liczba potencjalnych obszarów, które cyberprzestępcy mogą wykorzystać, aby włamać się do organizacji. Nie muszą forsować zabezpieczeń głównego punktu styku firmy z internetem. Jest wiele innych możliwości, łatwiejszych dla hakerów i trudniejszych do zauważenia przez strażników.

– Przykładowo udostępniona przez dział HR ankieta dla pracowników to potencjalnie niebezpieczne miejsce, bo przez ten plik można „wstrzyknąć” zarażony kod otwierający drogę do dalszych nadużyć. Co ważne zazwyczaj działy IT nie wiedzą o wszystkich posunięciach związanych z cyberprzestrzenią prowadzonych przez różne działy. Nie mogą więc właściwie zabezpieczyć organizacji – zauważa Jakub Bojanowski, Partner w Dziale Zarządzania Ryzykiem Deloitte w Europie Środkowej.

W przypadku dużych i średnich firm takich tzw. punktów dostępu może być 190-200, a w mniejszych od 20 do 50. Są to, m.in.: strony internetowe, media społecznościowe, na których aktywni są pracownicy i sama firma, używane aplikacje mobilne oraz infrastruktura techniczna.

– Szacuję, że działy IT wiedzą jedynie o 10-15 proc. możliwych kanałów zagrożeń – informuje Jakub Bojanowski.

Przygotowanie ataku hakerskiego zazwyczaj trwa miesiącami, a decyzje o włamaniu się do konkretnej firmy nie są podejmowane z dnia na dzień. Dlatego, według ekspertów firmy konsultingowej, świadomie zarządzając obszarem bezpieczeństwa wielu cyberzagrożeń można uniknąć. Zdaniem ekspertów Deloitte jednym z kluczowych elementów, które może ochronić firmę przed zagrożeniami jest zrozumienie strategii atakującego. Każdy haker ma inną taktykę i cel, więc reakcja firmy powinna być dostosowana do rodzaju działań konkretnego hakera. Aby najlepiej przygotować się na taki incydent, przedsiębiorstwo musi cyklicznie i na bieżąco identyfikować swoje słabe punkty, które mogą wykorzystać hakerzy. Jedyną metodą działania w takich przypadkach jest prewencja.

– Dlatego zarząd i osoby decyzyjne powinny odpowiedzieć sobie na pytanie, kto i dlaczego może być potencjalnie zainteresowany atakiem na ich biznes, a także w jaki sposób może przeprowadzić atak. Sposób jego realizacji jest w dużej mierze zdeterminowany poprzez ekspozycję firmy na zagrożenia, która bardzo często nie jest do końca znana lub właściwie zarządzana. Zrozumienie samego atakującego oraz punktów wejścia do firmy, wskaże nam priorytety w zakresie ochrony, a także podpowie nam czy jesteśmy wyposażeni w odpowiednie kompetencje oraz narzędzia, które pozwolą nam efektywnie chronić się lub sprawnie odpowiedzieć na atak.– wyjaśnia Marcin Ludwiszewski, Lider obszaru cyberbezpieczeństwa w Deloitte.

Marcin Złoch