Kompanije nespremne za neizbežne sajber napade

Istraživanje koje je na globalnom nivou sprovela revizorsko-konsultantska kuća EY, pokazuje da se 67% organizacija suočava sa rastućim pretnjama u okviru upravljanja rizicima informacione bezbednosti, dok 37% nema realan uvid o neophodnosti borbe protiv bezbednosnih incidenata.

To je jedan od ključnih zaključaka godišnjeg EY istraživanja na polju globalne informacione bezbednosti (Global Information Security Survey 2014) "Stati na put sajber kriminalu", u kojem je ove godine učestvovalo 1,825 organizacija iz 60 zemalja širom sveta.

Rezultati istraživanja pokazali su da kompanijama nedostaje agilnost, odgovarajući budžeti i veštine kako bi se uspešno pripremile i suprotstavile sajber kriminalu. Četrdeset tri odsto ispitanika kaže da će ukupni budžet za pitanja informacione bezbednosti u njihovim organizacijama ostati približno isti u narednih 12 meseci i da neće rasti uprkos rastućim pretnjama, što je samo neznatni napredak u odnosu na 2013. godinu.

I ove godine istraživanje sprovedeno u Srbiji obuhvatilo je vodeće kompanije, banke i osiguravajuća društava. Ovogodišnji rezultati pokazuju da u odnosu na prethodnu godinu, 58% kompanija planira da poveća investicije u ojačavanje svojih planova nastavka poslovanja i oporavka u slučaju katastrofe. S druge strane, svega 8% organizacija planira da poveća investicije u cilju poboljšanja sigurnosti usluga koje sprovode treće strane i dobavljači.

U odnosu na prethodnu godinu broj detektovanih sigurnosnih incidenata u Srbiji je ostao na približno istom nivou, pri čemu čak 35% organizacija tvrdi da nisu imali značajan sigurnosni incident u prethodnoj godini.

Pri tome, oko 40% organizacija smatra da ne bi bili u stanju da samostalno detektuju visoko sofisticirani sigurnosni napad.Većina kompanija je razumela obim i težinu koju pretnje sa sobom nose, a kao rezultat toga čak 86% kompanija u Srbiji kao najviši prioritet pri zaštiti od sigurnosnih pretnji izdvaja svoje finansijske procese.

Ivan Dragaš, viši konsultant za informacione sisteme u kompaniji EY, Srbija kaže:

- Pored internih pretnji, organizacije moraju imati širu sliku svog poslovnog okruženja, kao i o tome kako odnosi sa trećim stranama i dobavljačima mogu uticati na njihovu bezbednosnu poziciju. Osim ulaganja u sopstvenu sajber bezbednost, organizacija bi trebalo da uzme u obzir i spremnost trećih strana i dobavljača, jer jedino tako može dostići napredni nivo bezbednosti. Istraživanje u Srbiji je pokazalo da preko 20% organizacija ili ne radi nikakvu procenu informacione sigurnosti trećih strana, ili radi procenu samo najkritičnijih. S druge strane, svega oko 8% organizacija traži nezavisnu procenu trećih strana i dobavljača, u skladu sa međunarodnim standardima. Ovo je svakako bitan segment borbe sa sajber kriminalom te bi kompanije trebalo da ga ozbiljnije razmotre kako bi bile spremne za pretnje i pre nego što se one pojave.

Više od polovine globalnih ispitanika kaže da je nedostatak obučenih stručnjaka jedna od glavnih prepreka u sprovođenju njihovih programa informacione sigurnosti, a samo 5% anketiranih kompanija ima tim analitičara posvećenih sprečavanju napada. Ovakvi rezultati takođe ukazuju na to da ne postoji značajna razlika u odnosu na 2013. godinu kada je 50% istaklo nedostatak stučnjaka kao jedan od ključnih problema, a samo 4 odsto globalnih ispitanika reklo je da u svom timu ima analitičare posvećene sprečavanju sajber napada.

Najveću slabost sa kojom se suočava čak 38 odsto ispitanikasu "nemarni i neupućeni zaposleni", dok je 35% ispitanika kao drugu najveću slabost navelo "zastarele kontrole sistema za bezbednost ili arhitekturu sistema", a 17% ispitanika smatra da "cloud sistemi za čuvanje podataka" takođe predstavljajuslabost u poslovanju. "Krađa finansijskih informacija", "napad na brend kompanije" i "krađa intelektualnih prava" nalaze se u prve tri pretnje (28%, 25% i 29% ispitanika izjavilo je da su im to prioritetne pretnje).

Ovogodišnje GISS istraživanje pokazalo je da kompanije moraju da sprovedu više aktivnosti u cilju predviđanja napada, s obzirom na to da posluju u okruženju gde više nije moguće sprečiti sve sajber napade, i gde pretnje dolaze iz pravca sve bolje opremljenih i finansiranih izvora.

Rezultati GISS istraživanja ohrabruju organizacije da prihvate sajber bezbednost kao ključnu konkurentsku prednost. Ovo zahteva konstantno održavanje organizacije u stanju pripravnosti kroz predviđanje mogućih izvora novih pretnji i napuštanje mentaliteta žrtve, odnosno funkcionisanjem u večitom stanju anksioznosti. Da bi se ovo postiglo, GISS izveštaj preporučuje:

• Uvek biti spreman za nove pretnje: Rukovodstvo treba da posmatra sajber pretnje/rizike kao ključni problem poslovanja i uspostavi dinamičan proces donošenja odluka koji omogućuje brze preventivne akcije.

• Razumeti širu sliku pretnje: Organizacije treba da poseduju razumljivu, ali ipak jasnu svest o široj slici pretnje i o tome kakvog uticaja ona ima na organizaciju.

• Biti svestan svoje najvrednije imovine: Unutar organizacije trebalo bi da postoji zajednički stav o tome koja je imovina kompanije najvrenija za poslovanje i kako se na nju fokusirati u cilju zaštite.

• Fokusirati se na incidente i krizne situacije: Organizacije treba redovno da testiraju sopstvene mogućnosti.

• Učenje i razvoj: Forenzičari sajber bezbednosti predstavljaju ključni deo slagalice. Organizacije treba detaljno da istražuju podatke vezane za incidente i napade, da održavaju i istražuju nove kolaborativne odnose i redovno osvežavaju sopstvene strategije.

Ernst & Young d.o.o. Beograd

EY

sajber kriminal

Global Information Security Survey 2014

cloud sistemi za čuvanje podataka

Krađa finansijskih informacija

krađa intelektualnih prava

napad na brend kompanije

GISS