Tarcza przed cyberatakiem i nieefektywnymi inwestycjami w strukturę informatyczną

A rzeczywistość jest taka, że dane są przygnębiające. Według raportu McAfee Labs tylko jeden wirus Crypto Wall 3 przyniósł swoim twórcom ok. 325 mln dol. z okupów za odszyfrowanie danych. W ostatnich miesiącach opinia publiczna dowiedziała się z kolei o wykradzeniu danych z Yahoo!, skąd wyciekły najprawdopodobniej dane kilkuset milionów użytkowników. Problem nie dotyczy tylko gigantów, ale też nawet najmniejszych firm.

– Wyobraźmy sobie dużego gracza rynku e-commerce, który traci dostęp do całej swojej bazy produktów i klientów. Pomyślmy o firmie transportowej, której zniszczono dane o tysiącach przesyłek w drodze. Wyobraźmy sobie klinikę, w której lekarz nie może zapoznać się z historią ciężko chorego pacjenta, choć przed chwilą była jeszcze dostępna w systemie. To dramat, a przecież właśnie w ten sposób działa coraz powszechniejsze, również w Polsce, złośliwe oprogramowanie typu ransomware. Szyfruje dostęp do danych do chwili zapłaty okupu – przestrzega Jakub Wychowański, szef działu bezpieczeństwa danych w firmie Vecto.

Zachodnioeuropejskie korporacje są świadome problemu. Ponad 80% z nich boi się ataku DDoS, a 35% przyznaje, że atak spowodował finansowe straty – wynika z ankiety przeprowadzonej podczas konferencji Infosecurity Europe w Londynie, poświęconej cyberbezpieczeństwu.

W Polsce firmy – przynajmniej na poziomie deklaracji – zachowują spokój. Jak wynika z publikowanego we wrześniu raportu firmy Intel, aż 86% polskich menedżerów IT uważa, że system IT w ich firmach jest bezpieczny.

Tymczasem w aż 27% przedsiębiorstw dochodzi do groźnego incydentu, i to przynajmniej dwa razy w roku. Co więcej, aż 40% dużych firm w Polsce nie ma przygotowanego żadnego scenariusza na wypadek cyberataku, a 14% nie korzysta ze scentralizowanego mechanizmu ustalania polityki bezpieczeństwa IT.

Polscy przedsiębiorcy wypadli w ankiecie gorzej niż Czesi czy Węgrzy. Aż 84% naszych południowych sąsiadów jest przygotowanych na atak cybeprzestępców.

Bezpłatny audyt, czyli jak zacząć myśleć o cyberhigienie

Jak mówią eksperci od IT, nawet te firmy, które deklarują wysoką świadomość problemu, dość chaotycznie podchodzą do tematu zabezpieczeń infrastruktury i optymalizacji jej wydajności. Wiele z nich nie zdaje sobie sprawy z wagi problemów, jakie już dziś kryją się w ich systemach IT. Dlatego firmy specjalizujące się w branży cyberbezpieczeństwa próbują w różny sposób zachęcić właścicieli oraz menedżerów do tego, by zaczęli intensywniej myśleć o „cyberhigienie”.

Jedną z takich firm jest wspomniana firma Vecto, która przedsiębiorstwom w Polsce proponuje bezpłatny audyt systemów informatycznych w oparciu o analizę Mitrend.

– Jesteśmy przekonani, że jego wyniki w wielu przypadkach zweryfikują plany inwestycyjne badanych firm – mówi nam Jakub Wychowański.

Oferta jest ważna do końca roku, audyt z reguły trwa około tygodnia i, jak zapewnia firma, nie ma wpływu na codzienne funkcjonowanie poszczególnych obszarów IT. – Do przeprowadzenia analizy nie potrzebujemy przekazywania danych wrażliwych lub dotyczących dostępu do systemu – mówi ekspert.

Firma deklaruje, że po tym tygodniu każdemu przedsiębiorcy czy menedżerowi pokaże na twardych danych i wskaźnikach, jakie są słabe ogniwa, ryzyka i wąskie gardła całego systemu IT.

– Wydawanie setek tysięcy złotych w oparciu o intuicję, nawet świetnego informatyka, może okazać się kompletną pomyłką – przekonuje Vecto.

Przykład? Ostatnio do firmy zgłosił się szef jednej z dużych firm z branży logistycznej. Chciał się dowiedzieć, dlaczego wydał 3 mln zł na infrastrukturę i nie przyniosło to poprawy funkcjonalności systemu, mimo że właśnie to obiecywał dostawca sprzętu. Testy i audyt Mitrend jednoznacznie wskazały winowajcę – tak duży wydatek zupełnie nie był potrzebny.

– W tym konkretnym przypadku wykazaliśmy, że zaawansowana optymalizacja bazy danych przy pomocy naszych narzędzi pozwoliłaby osiągnąć 50-procentowy wzrost wydajności całego systemu. Koszt tej modernizacji wyniósłby ok. 30 tys. złotych, czyli 10-krotnie mniej, niż klient wydał – tłumaczy ekspert.

Mądra firma po cyberataku

Obserwacje jego i innych pracowników Vecto potwierdzają, że firmy zaczynają poważnie interesować się tematem cyberbezpieczeństwa dopiero wtedy, gdy padną ofiarą ataku. Wcześniej wychodzą z założenia, że hakerzy mają na celowniku większe firmy, które mają więcej do stracenia. Tymczasem dla cyberprzestępców takie podejście to wręcz zaproszenie do ataku.

– Szukają właśnie tych firm, które są słabo lub nawet w ogóle niechronione, dysponują nieefektywnymi strukturami i przestarzałym sprzętem – wyjaśnia Jakub Wychowański. – Skala tych zjawisk w Polsce systematycznie rośnie, a złośliwe oprogramowanie bezlitośnie poszukuje źle skonfigurowanych lub niewłaściwie zabezpieczonych systemów – dodaje.

Właśnie dlatego warto być mądrym przed, a nie po szkodzie i poddać się ocenie specjalistów, którzy sprawdzą, czy nasza firma jest odpowiednio zabezpieczona, a system skutecznie zoptymalizowany.

Firmy źle przygotowane na atak cyberprzestępców narażają się na olbrzymie finansowe straty. Każda niewłaściwie zaprojektowana, wdrożona i rozbudowywana struktura IT może stać się łatwym celem lub też firma słono zapłaci za poprawę i wyeliminowanie błędów. Przedsiębiorstwo traci również w oczach klientów, a o odbudowę zaufania często może być niezwykle trudno.

Zapłacenie okupu to jedno. Wiele firm płaci także za zachowanie tajemnicy, by o ataku nie dowiedziały się media i – co najważniejsze – korzystający z usług klienci. Mało kto chciałby ponownie pójść do lekarza, z którego placówki cyberprzestępcy pobrali informacje związane z pacjentami. Tych wydatków można byłoby jednak uniknąć, gdyby wcześniej zainwestowało się w bezpieczeństwo systemów IT. Przeprowadzenie darmowego audytu pozwala znaleźć słabe strony swojego systemu i lepiej zaplanować inwestycje związane z jego ulepszeniem czy wdrożeniem.