Οι επιχειρήσεις εκτιμούν ότι στο σημερινό περιβάλλον βρίσκονται ιδιαίτερα εκτεθειμένες σε κυβερνοεπιθέσεις, σύμφωνα με την 20η ετήσια, παγκόσμια έρευνα της ΕΥ για την ασφάλεια των πληροφοριών (Global Information Security Survey – GISS), Cybersecurity regained: preparing to face cyber attacks. Η έρευνα, στην οποία συμμετείχαν περίπου 1.200 διευθυντικά στελέχη των μεγαλύτερων και πλέον γνωστών επιχειρήσεων διεθνώς, εξετάζει μερικές από τις πιο κρίσιμες ανησυχίες των εταιρειών σχετικά με την κυβερνοασφάλεια, καθώς και τις προσπάθειές τους να τις διαχειριστούν.
Τα ευρήματα δείχνουν ότι το 56% των ερωτηθέντων πραγματοποιεί ή σχεδιάζει αλλαγές στις στρατηγικές και τα σχέδιά του, λόγω των αυξημένων επιπτώσεων των κυβερνοαπειλών, των κινδύνων και των τρωτών σημείων των επιχειρήσεων. Η ταχύτητα του ρυθμού συνδεσιμότητας μέσα στους παγκόσμιους οργανισμούς, η οποία ενισχύεται από την ανάπτυξη του Internet of Things (IoT), αφήνει τις επιχειρήσεις ακόμη πιο εκτεθειμένες στις ολοένα και πιο εξελιγμένες μορφές κυβερνοεπιθέσεων. Η έρευνα αποκαλύπτει ότι οι κοινές επιθέσεις – δηλαδή οι κυβερνοεπιθέσεις που πραγματοποιούνται από απλούς, μεμονωμένους εισβολείς – κατάφεραν να εκμεταλλευθούν τα τρωτά σημεία που οι επιχειρήσεις ήδη γνώριζαν, γεγονός που δείχνει έλλειψη αυστηρότητας στην εφαρμογή τυπικών διαδικασιών ασφαλείας.
Σύμφωνα με την έρευνα, οι περισσότερες επιχειρήσεις συνεχίζουν να αυξάνουν τις δαπάνες τους για την κυβερνοασφάλεια, με πάνω από το 90% των ερωτηθέντων να δηλώνει ότι αναμένει αύξηση στους σχετικούς προϋπολογισμούς φέτος. Καθώς οι αυξανόμενες κυβερνοαπειλές απαιτούν μια πιο δυναμική αντιμετώπιση, το 87% αναφέρει ότι χρειάζεται έως και 50% περισσότερη χρηματοδότηση. Ωστόσο, μόνο το 12% εκτιμά ότι θα επιτύχει αύξηση άνω του 25% για τη φετινή χρονιά.
Πολλοί από τους ερωτηθέντες αναγνωρίζουν ότι η έλλειψη επαρκών πόρων μπορεί να αυξήσει τους κινδύνους κυβερνοασφάλειας. Το 56% δηλώνει ότι έχει ήδη υλοποιήσει ή εξετάζει αλλαγές στις στρατηγικές και τα σχέδιά του για την αντιμετώπιση αυτού του προβλήματος. Ωστόσο, το 20% παραδέχεται ότι δεν έχει πλήρη αντίληψη των σημερινών συνεπειών και τρωτών σημείων για την ασφάλεια των πληροφοριών, ώστε να προχωρήσει σε αναθεώρηση στρατηγικών.
Αυξημένες οι απειλές από κακόβουλα λογισμικά (malware) και απρόσεκτους υπαλλήλους
Τα κακόβουλα λογισμικά (malware) – 64%, σε σύγκριση με 52% το 2016 – και η αποστολή ηλεκτρονικών μηνυμάτων «ψαρέματος» (phishing) – 64% έναντι 51% πέρυσι – θεωρούνται ως οι απειλές που έχουν αυξήσει περισσότερο την έκθεση των επιχειρήσεων σε κινδύνους κατά το τελευταίο δωδεκάμηνο. Οι απρόσεκτοι ή ανυποψίαστοι εργαζόμενοι θεωρούνται ως η σημαντικότερη αναδυόμενη αδυναμία των επιχειρήσεων (60% έναντι 55% το 2016). Ως πιο πιθανή πηγή επίθεσης, το 77% αναφέρει τους απρόσεκτους εργαζόμενους, το 56% τα κυκλώματα εγκληματιών και το 47% τους κακόβουλους εργαζόμενους.
Όσον αφορά στην αντιμετώπιση προηγμένων επιθέσεων – αυτών που πραγματοποιούνται από εξελιγμένες και καλά οργανωμένες ομάδες – πολλές επιχειρήσεις έχουν σοβαρές ανησυχίες για το πόσο εξελιγμένα είναι τα σημερινά τους συστήματα κυβερνοασφάλειας. Το 75% των ερωτηθέντων χαρακτηρίζει τα επίπεδα προσδιορισμού της ευπάθειας των εταιρειών του ως «πολύ χαμηλή έως μέτρια». Επιπρόσθετα, το 12% δηλώνει ότι δεν έχει δημιουργήσει ένα επίσημο πρόγραμμα ανίχνευσης παραβιάσεων, ενώ το 35% περιγράφει τις πολιτικές προστασίας δεδομένων των εταιρειών τους ως ad hoc ή ανύπαρκτες. Παράλληλα, το 38% είτε δεν έχει πρόγραμμα ταυτοποίησης και πρόσβασης, είτε δεν έχει συμφωνήσει επίσημα για ένα τέτοιο πρόγραμμα.
Για να βελτιώσουν την ετοιμότητά τους απέναντι σε πιθανές κυβερνοεπιθέσεις, οι περισσότερες επιχειρήσεις αναγνωρίζουν την ανάγκη δημιουργίας ενός Κέντρου Επιχειρήσεων Ασφαλείας (Security Operations Center – SOC), το οποίο θα αποτελεί ένα κεντρικό, δομημένο και συντονισμένο κόμβο για όλες τις δραστηριότητες κυβερνοασφάλειας. Παρόλα αυτά, το 48% των ερωτηθέντων δηλώνει ότι δε διαθέτει ακόμα ένα SOC, είτε εντός του οργανισμού, είτε με εξωτερική ανάθεση. Επιπλέον, το 57% διαθέτει μόνο ένα ανεπίσημο πρόγραμμα πληροφοριών για αθέμιτες απειλές – ή δε διαθέτει καθόλου – ενώ μόνο το 12% είναι βέβαιο ότι μπορεί να ανιχνεύσει μια εξελιγμένη κυβερνοεπίθεση κατά της επιχείρησής του.
Σύμφωνα με την έρευνα, οι προϋπολογισμοί για την αντιμετώπιση κυβερνοεπιθέσεων είναι υψηλότεροι σε επιχειρήσεις οι οποίες:
- Έχουν ορίσει ειδικά στελέχη ασφαλείας στις βασικές τους επιχειρηματικές δραστηριότητες.
- Υποβάλλουν τουλάχιστον δύο φορές το χρόνο αναφορές για την ασφάλεια στον κυβερνοχώρο στο Διοικητικό Συμβούλιο και την επιτροπή ελέγχου.
- Προσδιορίζουν με ακρίβεια τα κρίσιμα στοιχεία των συστημάτων τους που κινδυνεύουν και τα προφυλάσσουν με διαφορετικό τρόπο.
Η έρευνα τονίζει ότι επιχειρήσεις των οποίων ο τρόπος λειτουργίας βασίζεται σε καλές διαδικασίες διακυβέρνησης κυβερνοασφάλειας, είναι σε θέση να εφαρμόσουν πρακτικές τύπου security-by-design – ενσωμάτωση δικλείδων ασφαλείας κατά το σχεδιασμό ενός συστήματος, έτσι ώστε να μπορούν να ανταποκριθούν σε απρόβλεπτους και αναδυόμενους κινδύνους. Τα ευρήματα δείχνουν, ωστόσο, ότι απέχουμε πολύ από το να καθιερωθεί αυτό ως πάγια πρακτική. Ενώ το 50% δηλώνει ότι ενημερώνει τακτικά το Διοικητικό Συμβούλιο, μόλις το 24% αναφέρει ότι το πρόσωπο που είναι υπεύθυνο για την κυβερνοασφάλεια μετέχει στο Συμβούλιο, ενώ μόνο το 17% εκτιμά ότι τα Διοικητικά Συμβούλια έχουν επαρκή γνώση και κατανόηση της ασφάλειας των πληροφοριών, ώστε να μπορούν να αξιολογούν πλήρως την αποτελεσματικότητα των προληπτικών μέτρων.
Ο κ. Παναγιώτης Παπαγιαννακόπουλος, Director στο τμήμα Συμβουλευτικών Υπηρεσιών της ΕΥ Ελλάδος και υπεύθυνος των υπηρεσιών Cybersecurity, Data Protection & Privacy, σχολιάζει: «Οι απειλές στον κυβερνοχώρο έχουν σταματήσει προ πολλού να αποτελούν θεωρητικές απειλές στη χώρα μας. Καθώς αυξάνονται τόσο η συχνότητα, όσο και η ένταση των επιθέσεων, ο αντίκτυπος στη λειτουργία, αλλά και στη φήμη των επιχειρήσεων μπορεί να είναι ανυπολόγιστος. Η αναβάθμιση και διαρκής αξιολόγηση των συστημάτων προστασίας, καθώς και η ευαισθητοποίηση όλων των εργαζομένων, αποτελούν προτεραιότητα. Από την πλευρά τους, οι διοικήσεις των επιχειρήσεων θα πρέπει όχι απλώς να εποπτεύουν το σχεδιασμό και την υλοποίηση των συστημάτων προστασίας, αλλά και να κατανοούν πλήρως τους κινδύνους και τις επιπτώσεις του. Παράλληλα, πιστεύουμε πως οι επιχειρήσεις θα πρέπει στο μέλλον να συνεργάζονται μεταξύ τους και να μοιράζονται την πληροφόρηση αναφορικά με κυβερνοεπιθέσεις, προκειμένου να γίνουν πιο ανθεκτικές. Είναι αναγκαίο οι επιχειρήσεις να σταματήσουν να σκέφτονται την κυβερνοασφάλεια ως ακόμα ένα πρόβλημα του τμήματος πληροφορικής και να εστιάσουν στη σωστή διακυβέρνηση κυβερνοασφάλειας και στο security-by-design».
