Management firem mnohdy nevnímá kybernetické útoky jako riziko, které by významně ohrožovalo jejich podnikatelské záměr, a není schopen přiřadit bezpečnosti odpovídající priority. Problémem bývá i nedostatečný rozpočet a nedostatek interního know-how. V mnoha malých a středně velkých firmách také není zcela jasné, kdo vlastně za počítačovou bezpečnost odpovídá. Lze vůbec zabezpečení elektronických dat skutečně vyřešit dostatečně v jakémkoli typu firmy? Co doporučují odborníci?
“Rozsah kybernetických útoků roste každý den,“ varuje Gerhard Eschelbeck, technický ředitel ve společnosti Sophos, z jejíhož výzkumu vyplývají výše uvedené údaje. „Tento výzkum ale ukazuje, že mnoha malým a středně velkým firmám se nedaří odhadnout nebezpečí a potenciální ztráty související s bezpečnostními hrozbami. Studie jednoznačně dokazuje i to, že těmto hrozbám mnohé firmy čelí právě z důvodu své nečinnosti v oblasti IT bezpečnosti.“
Provedený výzkum poukazuje na některé nejasnosti ohledně moderních konceptů. Odpovědní manažeři si vůbec nejsou jisti tím, jak moc bezpečnost ovlivňuje využívání zařízení vlastněných zaměstnanci (BYOD) a používání technologií cloudu. Celých 77 procent respondentů v této souvislosti uvedlo, že v příštím roce zvýší nebo nesníží využívání cloudů a služeb spravované IT infrastruktury. Celá čtvrtina z nich ovšem netuší, jaký to bude mít vliv na bezpečnost.
Celých 69 procent respondentů uvedlo, že mobilní přístup ke klíčovým firemním aplikacím bude příští rok pravděpodobně větší, a to i přes to, že polovina z nich si myslí, že toto zvýšení bude mít negativní bezpečnostní dopady.
„Malé a středně velké firmy si prostě nemohou dovolit ten luxus nevěnovat se problematice bezpečnosti,“ dodává Larry Ponemon, prezident Ponemon Institute, který výzkum pro Sophos realizoval. „Bez přijetí bezpečnostních opatření existuje podstatně větší šance, že využívání nových technologií povede k růstu kybernetických útoků. A to bude samozřejmě tyto firmy stát nemalé prostředky.“
Respondenti na vyšších pozicích mají největší nejasnosti o problematice hrozeb, které by mohly jejich firmy ohrozit. Příčinou negativního stavu je pravděpodobně odtržení vyšších manažerských pozic od běžných provozních problémů. Bez zvýšení informovanosti nebudou zaměstnanci na těchto pozicích chápat důležitost bezpečnostní problematiky, která tak nikdy nezíská potřebnou prioritu.
Průzkum ukázal, že firmy z oblasti finančních služeb jsou v oblasti IT bezpečnosti nejsebevědomější. Důvodem může být nutnost dodržování právních předpisů pro ochranu dat. Povědomí technologických firem je ve srovnání s průměrem také vyšší, s největší pravděpodobností díky interním zkušenostem s IT problematikou.
Naopak firmy působící v maloobchodu, vzdělávání, výzkumu, zábavě a mediálním průmyslu jsou na tom nejhůře. Respondenti vykázali s ohledem na bezpečnost nejvyšší míru neporozumění.
Co mají organizace podle odborníků podniknout, aby pro ně případný bezpečnostní incident nebyl likvidační, případně aby mu zcela předešly? Zde je 5 zásadních bodů:
1) Organizace musí soustředit dostatečné zdroje na sledování své bezpečnostní situace. Jen tehdy totiž mohou přijímat adekvátní rozhodnutí. Při posuzování vztahu k bezpečnostní problematice se firmy musí zaměřit nejen na sledování hrozeb, ale také na včasné informování a aktivní detekci.
2) Důležité je definovat ověřené postupy pro zabezpečení mobilních zařízení, zejména s ohledem na BYOD. Organizace by měly pečlivě naplánovat a implementovat mobilní strategii, a to bez negativního dopadu na bezpečnost.
3) Organizace by měly hledat cestu, jak si poradí s nedostatkem profesionálů ovládajících problematiku informační bezpečnosti. Řešením může být snížení nároků na interní zdroje, například i pomocí přechodu na cloudové technologie. Důležité je také využívat odborné konzultanty a snadno upravovatelná řešení.
4) Náklady související s kybernetickými útoky by měly být pravidelně vyhodnocovány, a to včetně zohlednění dopadů způsobených snížením produktivity. Do problematiky bezpečnosti je důležité více zapojit vrcholový management, jen tak totiž může bezpečnost získat odpovídající priority. Důležité jsou také investice do řešení, které umožní v případě bezpečnostního incidentu rychlý návrat k normálnímu stavu. Tento požadavek je důležitý i z pohledu návratnosti investic.
5) Vzhledem k častému nedodržování pravidel umožňující efektivní zabezpečení je důležité zvážit využití konsolidované správy bezpečnosti. Díky komplexnímu přístupu mohou organizace snadno získat přesné informace o hrozbách a zaměřit se na problémové oblasti.
