Ma már egy kisebb vállalat is számos célból használ informatikai rendszereket, hiszen a pénzügyi, számviteli, HR, vállalatirányítási, logisztikai és értékesítési folyamatok sem működhetnek ezek nélkül. Ezek viszont támadási felületet adnak a kiberbűnözőknek, akik számtalan módon próbálnak hasznot húzni. Az ilyen típusú tevékenység elképesztő károkat okozhat, a Cybersecurity Ventures 2017-es jelentése szerint elérte 3000 milliárd dollárt, ráadásul ez folyamatosan növekszik, és előrejelzésük szerint a károk mértéke 2021-re meg fog duplázódni.
Egy-egy hackertámadás ráadásul mindennapos esett lett, a University of Maryland kutatása szerint globálisan minden 39. másodpercben próbálkoznak ezzel az internetes bűnözők. A támadásoknak számtalan típusa van, egyes esetekben adatok szerzésére irányul, hogy később azokkal éljenek vissza, máskor az informatikai rendszer, vagy annak valamely részének lebénítását akarják elérni a hackerek. Míg sok esetben pedig az üzleti e-mailekhez köthető támadásokkal próbálnak a csalók átutalási felszólításokkal pénzt szerezni. A három legértékesebb adattípus az ügyféllel kapcsolatos és pénzügyi információk, valamint a stratégiai tervek a vállalatok számára. Az EY Globális Információbiztonsági felmérése szerint a cégek legnagyobb fenyegetésnek az adathalászatot, a malware-t és a leállást okozó kibertámadást tartják, aminek legvalószínűbb forrása a gondatlan vagy rosszindulatú alkalmazott, esetleg egy bűnszervezetet lehet a megkérdezettek szerint.
Érdemes arra is kitérni, hogy akár egy belső munkatárs, akár egy külső támadás folytán következik be, az is óriási problémát jelent, ha adatok vesznek el, vagy kerülnek illetéktelen kezekbe. Ugyanis ezeknek a közvetlen üzleti és a hírnevet ért károkon túl is lehet anyagi és jogi következménye. A szabályok szerint ugyanis az adatok biztonságos tárolása a vállalatok felelőssége. Az idén májusban életbe lépett, és a köznyelvben GDPR-nak (General Data Protection Regulation) hívott szabályozás ráadásul az adatvédelmi incidens fogalmát is tisztázta. A komoly büntetésekkel fenyegető GDPR szabályozás miatt egy-egy incidens komoly pluszmunkával is járhat. Ugyanis akár véletlen, akár szándékos az adatvesztés, azt a főszabály szerint be kell jelenteni a hatóságnak, és ha az incidens valószínűsíthetően magas kockázattal jár az érintettekre nézve, akkor őket is közvetlenül értesíteni kell.
A potenciális károknál érdemes arra is kitérni, hogy egy hackertámadás számos további komplikációval járhat, és gyakran üzemszünetet is eredményez. Ekkor ugyanis a megtámadott gépeket le kell állítani, esetleg az egész hálózatot le kell kapcsolni, ami értelemszerűen a termelés vagy a szolgáltatás kiesésével jár. A támadások következtében meg is sérülhetnek egyes szoftverek, ami megint csak leálláshoz vezethet.
A NuData Security adatai szerint gondot jelent, hogy számtalan könnyen támadható pont van a vállalatoknál, hiszen sokszor a számítógépeket sem védik megfelelően. Arról nem beszélve, hogy a mobilok még talán ennél is nagyobb veszélynek vannak kitéve. A szakértők szerint a közösségi médiahasználat széleskörű elterjedése is komoly kockázatot jelent, hiszen egyre több az ilyen típusú alkalmazáson keresztül történő kibertámadás. A szakértők szerint a közösségi média mellett a felhő alapú szolgáltatásokból rejtve induló vírusok is újfajta veszélyforrást jelentenek, ilyen volt az elmúlt években a legnagyobb kárt okozó WannaCry zsarolóprogram is.
Ezek mind közrejátszanak abban, hogy a vállalatok 64 százaléka szenvedett el internetes támadást. Érdemes felhívni a figyelmet arra, hogy a kisebb vállalatok esetén ugyan a hackerek is alacsonyabb összeget szerezhetnek, ugyanakkor ez számukra gyakran könnyű pénz, hiszen az ilyen akciókat könnyebben és nagyobb hatásfokkal tudják végrehajtani. Nem véletlen, hogy a támadások 43 százaléka kisvállalkozásokat célzott. Ezek ugyanis sokkal kisebb informatikai állománnyal rendelkeznek, így általában sem a veszélyek elhárítására, sem az esetlegesen megtörténő támadás gyors kezelésére nincsenek felkészülve.
A cégek pedig a kutatások szerint csak beszélnek a veszélyekről, de sokszor nem tesznek semmit, hogy kivédjék ezeket. Az EY Globális Információbiztonsági felmérésének 2018-as adatai szerint tízből kilenc (92%) döntéshozót aggaszt cége kulcsfontosságú tevékenységeinek információbiztonsága, ennek ellenére a megkérdezettek harmada (32%) a vállalati költségvetés töredékét költi erre a területre. Hiába szán jövőre több erőforrást a kibervédelem javítására a válaszadók többsége, ez továbbra is messze elmarad a szükséges értéktől a globális elemzés alapján.
A szervezetek több mint fele átfogó stratégia nélkül próbálja kezelni az információbiztonság területét. Miközben fejlett technológiák – például mesterséges intelligencia, robotizált folyamatautomatizálás és elemzés – használatával optimalizálják működésüket, közel 80 százalékuk még mindig arra törekszik, hogy túllépjen az alapvető kibervédelmen.
Az IDC 2017-es felmérése szerint a magyar cégek 34 százalékánál fordult elő olyan helyzet az elmúlt 1-2 évben, hogy az IT szolgáltatások kimaradása miatt alapvető üzleti feladatokat nem tudtak ellátni. Ezek miatt ugyan az egyszerűbb, kevésbé költséges megoldások irányába mind többen tettek lépéseket, így a válaszadók 98 százaléka használ vírusirtót, 97 százalékuk pedig tűzfalat, a további eszközök, netán szakértők alkalmazása már jóval ritkább. Így sok vállalat többnyire egy kicsit szofisztikáltabb kibertámadásnak továbbra is potenciális áldozata lehet.
Noha a szakértők egyöntetűen azt preferálják, hogy amennyiben van elegendő forrás rá, akkor a megelőzésre célszerű minél nagyobb hangsúlyt fektetni, érdemes lehet a károk biztosítását is megfontolni. Ma már vannak olyan biztosítási termékek ugyanis a piacon, amelyet a kiberbiztonsági kockázatokra lehet kötni. A Generali Biztosító ilyen típusú termékei az informatikai támadások okozta leállásra, adatvesztésre, illetve -visszaállításra, és a személyes adatok kezelésével okozott károkra szóló felelősségre terjed ki.
(Cikkünk megjelenését a Generali támogatásával készítettük el.)
Az ENSZ nem tartja jó ötletnek.
