75% firm jest celem cyberprzestępców

Firma Symantec opublikowała wyniki badania poświęconego stanowi zabezpieczeń w przedsiębiorstwach. Z badania wynika, że 42 procent przedsiębiorstw na świecie uważa bezpieczeństwo informatyczne za główny priorytet.

Nie jest to zaskakujące, jeśli weźmie się pod uwagę, że 75 proc. firm było w ciągu ostatnich 12 miesięcy celem ataków cyberprzestępców. Kosztowały one firmy średnio 2 miliony dolarów rocznie. Ponadto przedsiębiorstwa stwierdziły, że kwestia zabezpieczeń jest w ich przypadku coraz bardziej problematyczna.

Jest to spowodowane z jednej strony niewystarczającą liczbą pracowników, a z drugiej — nowymi inicjatywami informatycznymi, które stwarzają dodatkowe trudności związane z zabezpieczeniami i zapewnieniem zgodności z regulacjami prawnymi. Badanie ankietowe przeprowadzono w styczniu 2010 r. na grupie 2100 dyrektorów i kierowników ds. informatyki i zabezpieczeń systemów informatycznych w 27 krajach.

Najważniejsze wyniki badań:

• Bezpieczeństwo jest bardzo ważną kwestią dla przedsiębiorstw. 42 proc. respondentów uznaje zagrożenia informatyczne za swój główny priorytet — to liczba dwukrotnie większa niż w przypadku klęsk żywiołowych, terroryzmu i tradycyjnych przestępstw razem wziętych. W związku z tym działy informatyczne są bardzo skoncentrowane na zagadnieniach bezpieczeństwa.
  
  Zabezpieczeniami i zgodnością z przepisami zajmuje się średnio 120 pracowników. Firmy uznały „lepsze zarządzanie ryzykiem biznesowym związanym z informatyką” za swój główny cel na 2010 r. — 84 proc. przedsiębiorstw uznało go za bezwzględnie ważny lub dość ważny. Niemal wszystkie przebadane przedsiębiorstwa (94 proc.) przewidują zmiany w zabezpieczeniach w 2010 r. Niemal połowa respondentów (48 proc.) spodziewa się znacznych zmian.
   
• Firmy często są celem ataków. W ciągu ostatnich 12 miesięcy cyberataki dotknęły 75 proc. przedsiębiorstw. 36 proc. firm uznało ataki za dosyć lub bardzo skuteczne. Co gorsza, 29 proc. respondentów stwierdziło, że w ciągu ostatnich 12 miesięcy częstotliwość ataków wzrosła.
   
• Wszystkie przedsiębiorstwa (100 proc.) doświadczyły w 2009 r. strat związanych z cyberprzestępczością. Trzema najczęściej zgłaszanymi stratami była kradzież własności intelektualnej, danych kart kredytowych klientów (lub innych danych finansowych) oraz danych osobowych klientów. W 92 proc. przypadków straty te były przyczyną wzrostu kosztów. Najczęściej koszty te polegały na utracie wydajności, przychodów i zaufania klientów. Średnie zgłoszone straty to 2 miliony dolarów rocznie.
   
• Zapewnienie przedsiębiorstwu bezpieczeństwa staje się coraz trudniejsze z kilku przyczyn. Przede wszystkim działy zabezpieczeń mają za mało pracowników. Najczęściej dotyczy to zabezpieczeń sieci (44 proc.), urządzeń końcowych (44 proc.) i wiadomości (39 proc.). Ponadto firmy podejmują nowe inicjatywy, które utrudniają zapewnienie bezpieczeństwa. Jako najbardziej problematyczne z punktu widzenia zabezpieczeń respondenci ocenili takie przedsięwzięcia, jak „infrastruktura jako usługa”, „platforma jako usługa”, „oprogramowanie jako usługa” i wirtualizacja urządzeń końcowych.
  
  Zapewnienie zgodności z przepisami również jest złożonym zagadnieniem. Typowe przedsiębiorstwo bada 19 różnych standardów i struktur informatycznych, aktualnie korzystając z ośmiu z nich. Do najważniejszych standardów należą ISO, HIPAA, Sarbanes-Oxley, CIS, PCI oraz ITIL.

Zalecenia

• Przedsiębiorstwa muszą chronić infrastrukturę przez zabezpieczanie urządzeń końcowych, wiadomości i sieci WWW, ochronę kluczowych serwerów wewnętrznych oraz zapewnienie możliwości tworzenia kopii zapasowych i odzyskiwania danych. W razie złamania zabezpieczeń konieczna jest szybka reakcja.
   
• Administratorzy działów IT powinni prewencyjnie chronić informacje, stosując podejście zabezpieczające zarówno dane, jak i operacje. Branie pod uwagę treści przy ochronie informacji jest kluczowe dla uzyskania wiedzy, gdzie znajdują się poufne dane, kto ma do nich dostęp i w jaki sposób trafiają one do firmy lub ją opuszczają.
   
• Konieczne jest sformułowanie i egzekwowanie polityki informatycznej oraz zautomatyzowanie procedur zapewniających zgodność z przepisami. Nadawanie zagrożeniom priorytetów i ustalanie polityki obejmującej wszystkie placówki umożliwia firmom egzekwowanie reguł przy użyciu wbudowanych i zautomatyzowanych procesów. Ponadto można nie tylko identyfikować zagrożenia, ale łagodzić skutki incydentów, gdy tylko wystąpią, a nawet przewidywać je zawczasu.
   
• Przedsiębiorstwa muszą zarządzać systemami przez wdrożenie bezpiecznych środowisk operacyjnych, dystrybucję i egzekwowanie poziomów aktualizacji systemu operacyjnego, automatyzację procesów w celu uzyskania lepszej wydajności oraz monitorowanie i tworzenie raportów na temat stanu systemu.

Źródło: Symantec