Kibernetsko varnost je treba jemati resno

Stroški varnostnih incidentov se hitro povečujejo, ogrožena pa so vsa podjetja. Vse večja kompleksnost kibernetskega prostora postaja resna težava, saj je v okolju, ki je preplavljeno z digitalnimi grožnjami in vse več ter vse bolj nevarnimi napadalci vse teže zagotavljati kibernetsko varnost poslovanja.

Kibernetska neenakost med podjetji raste, širi se vrzel med velikimi in majhnimi podjetji ter organizacijami, predvsem te so vse težje kos pastem, ki nanje prežijo v digitalnem svetu. In tega se počasi zavedajo. Glede na ugotovitve letošnje raziskave podjetja Accenture približno 35 odstotkov majhnih podjetij meni, da je njihova kibernetska odpornost nezadostna – še leta 2022 je bil ta delež zgolj pet odstotkov.

Bruselj ukrepa prepočasi in premalo odločno

Nasprotno pa se je delež velikih podjetij, ki poročajo o nezadostni kibernetski odpornosti, za skoraj polovico zmanjšal (s 13 na sedem odstotkov). Je morda ta občutek varnosti v večjih sistemih lažen in zato dodatno nevaren? Varnostni strokovnjaki so prepričani, da je tako, saj se vsi strinjajo, da nenapadenih podjetij ni (več) – so samo takšna, ki so napad že doživela, in takšna, ki se napadov sploh ne zavedajo oziroma jih še niso odkrila.

Kibernetskim grožnjam tudi UI še ni kos

Kibernetske grožnje se zdaj razvijajo hitreje, kot se jim lahko prilagodijo obrambni sistemi podjetij. Tudi tehnologije umetne inteligence za zdaj še niso kos tej na(d)logi. Še več, umetna inteligenca je prej težava kot rešitev, saj z izjemno hitrostjo in obsegom napadalcem omogoča, da obidejo starejše varnostne sisteme in preobremenijo varnostne ekipe podjetij.

Tradicionalne rešitve in metode kibernetske obrambe preprosto ne zadostujejo več. Družba Accenture v svoji raziskavi krajine kibernetskih groženj v prvem letošnjem polletju ocenjuje, da kar 90 odstotkov podjetij ni dovolj zrelih (niti nimajo dovolj kadra in tehnologije) za spopadanje s sedanjimi grožnjami, ki jih omogoča umetna inteligenca. Težave so podobne povsod po svetu, saj čez palec tri od štirih podjetij nimajo ustreznih varnostnih praks, potrebnih za zaščito kritičnih sistemov, podatkov, skratka, IT-infrastrukture – lokalne in tiste v oblaku.

Skrb vzbujajoči napadi na dobavne verige

Anketa med direktorji informacijske varnosti v velikih podjetjih je kot največje kibernetsko tveganje za sodobno poslovanje izpostavila ranljivosti dobavnih verig, te izzive je kot največjo oviro za doseganje kibernetske odpornosti izpostavila več kot polovica vprašanih. Vse večja kompleksnost dobavnih verig, skupaj s pomanjkanjem preglednosti in nadzora nad ravnmi varnosti dobaviteljev, predstavlja veliko kibernetsko tveganje za vsa podjetja. Ključne skrbi vključujejo ranljivosti programske opreme in širjenje kibernetskih napadov po celotnem ekosistemu oziroma omrežju partnerjev in dobaviteljev. Napad na posamezno podjetje lahko tako izvira od njegovega manjšega dobavitelja, ki pa ima dostop do nekaterih sistemov in podatkov.

Krajine kibernetskih groženj pa ne spreminja le tehnologija, ampak tudi geopolitika. Povečane globalne napetosti, spreminjajoča se dinamika trgovine in spreminjajoči se predpisi povečujejo kibernetsko izpostavljenost podjetij. Ta se odzivajo s prilagajanjem dobavnih verig in podatkovnih strategij, pri čemer številna nevede uvajajo nova kibernetska tveganja – zlasti ko varnostne ocene, ukrepi za skladnost in protokoli za upravljanje tveganja ne dohajajo sodobne tehnologije. Vsak tretji direktor, odgovoren za kibernetsko varnost, kot svojo največjo skrb navaja kibernetsko vohunjenje in izgubo občutljivih informacij oziroma krajo intelektualne lastnine, medtem ko je 45 odstotkov strokovnjakov, ki v podjetjih skrbijo za informacijsko varnost, zaskrbljenih zaradi motenj v delovanju in poslovnih procesih, ki jih povzročajo napadi in napadalci.

Problematični vdori v poslovno komunikacijo

Nacionalni odzivni center za kibernetsko varnost SI-Cert izpostavlja vse večje število prijav različnih napadov na podjetja, pri čemer izstopa povečevanje števila vdorov v poslovno komunikacijo. Gre za kibernetski napad, ki se začne z vdorom v elektronski predal enega od zaposlenih. Tarče napadalcev so predvsem zaposleni v računovodstvu, na finančnih oddelkih in poslovni sekretarji. Kako napad deluje? Napadalci nekaj časa spremljajo komunikacijo in tako pridobijo podatke o poslovnih partnerjih in načinu poslovanja. Ko si podjetje s svojim poslovnim partnerjem začne izmenjevati fakture, prestrežejo elektronsko sporočilo in na fakturi spremenijo številko bančnega računa. Spremenjeno sporočilo pogosto ne vsebuje sumljivih znakov, da bi prejemnik lahko zaznal prevaro, zato so ti napadi praviloma uspešni, zneski oškodovanj pa so lahko zelo visoki. Ko je denar nakazan, se hitro preusmeri na račun tako imenovane denarne mule, sled za denarjem pa se izgubi.

V SI-Certu so letos obravnavali že 25 prijav vdorov v poslovno komunikacijo, lani pa v vsem letu 32. Sporočena oškodovanja znašajo že skoraj pol milijona evrov, od tega 312.000 evrov samo julija. Lansko leto je slovenska policija obravnavala za več kot dva milijona evrov škod, povzročenih domačim podjetjem v tovrstnih prevarah.

Zavarovanje poslovanja pred kibernetskimi napadi

Pri kibernetski varnosti je ključno zavedanje, da gre za stalno grožnjo, ki so ji ves čas podvržena vsa podjetja in posamezniki. Še toliko bolj ranljiva so lahko mala in srednja podjetja, ki ne vlagajo dovolj sredstev v IT-zaščito, in institucije, ki razpolagajo z osebnimi podatki posameznikov oziroma so ključni za življenje ljudi (tako imenovana kritična infrastruktura države). Relativno malo podjetij pa ve, da pri nekaterih zavarovalnicah obstajajo tudi zavarovanja kibernetske zaščite, ki jih sklenejo individualno. V največji domači zavarovalnici zaradi poslovnih skrivnosti števila naročnikov in napadov na podjetja, ki imajo sklenjeno tovrstno zavarovanje, ne razkrivajo, pojasnjujejo pa naslednje: »Za zavarovanje se pogosto odločajo mala in srednja podjetja, ki so že imela izkušnjo s kibernetskim incidentom. Ta podjetja najbolj razumejo razsežnost škode, ki jo lahko utrpijo v primeru kibernetskega napada, ter se zavedajo, kako pomembni sta finančna zaščita in strokovna pomoč, ki jo ob tovrstnih primerih nudi zavarovanje.«

Po mnenju Zavarovalnice Triglav so najpomembnejši razlogi za odločitev za zavarovanje kibernetske zaščite s strani podjetij predvsem finančni, in sicer zaščita pred finančnimi posledicami kibernetskega incidenta, kritje škode tretjim osebam ter možnost kritja odkupnine in nezakonito odvzetih sredstev, veliko pa odtehtata tudi asistenčna pomoč ob napadu (IT-forenziki, pravniki, krizni komunikatorji) ter individualna obravnava in prilagoditev zavarovanja glede na varnostne mehanizme podjetja.

»Ključno je predvsem to, da se zavarovanec v primeru kibernetskega incidenta lahko počuti varnega, saj ga strokovnjaki, ki jih zagotavlja zavarovalnica, pravilno usmerjajo v čim bolj optimalno reševanje kibernetskega incidenta. Zavarovalnica krije tudi določene stroške, na primer stroške omejitve incidenta, poročila, odprave nezaželenih elementov, kriznega upravljanja, varovanja ugleda, morebitnih kazni, ki jih izreče informacijski pooblaščenec zaradi kršitve varstva zaupnosti osebnih podatkov ter stroške ponovne vzpostavitve sistema,« so pojasnili v Zavarovalnici Triglav.

Pri tem so še poudarili: »Pri informacijski varnosti je ena najšibkejših točk odziv zaposlenih, ko ugotovijo, da so žrtev kibernetskega napada. V podjetju namreč pogosto nastane panika, nepremišljene poteze pa v takšnih primerih lahko povzročijo še več škode kot sam kibernetski incident.«