Globální průzkum, zpracovaný v dokumentu The Impossible Puzzle of Cybersecurity, odhaluje, že nejenže IT manažeři čelí kybernetickým útokům ze všech stran, ale chybí jim znalosti i peníze, aby se před takovými hrozbami ochránili. Průzkum zahrnoval 3100 pracovníků s rozhodovacími pravomocemi v oblasti IT ze středních podniků v USA, Kanadě, Mexiku, Kolumbii, Brazílii, Velké Británii, Francii, Německu, Austrálii, Japonsku, Indii a Jižní Africe.

Průzkum ukazuje širokou variabilitu útoků a také to, že útočníci své akce rozdělují do několika fází, což zvyšuje obtížnost obrany. Každý pátý IT manažer navíc neví, jakým způsobem k napadení firemní IT architektury došlo.

„Kybernetičtí útočníci vyvíjí své metody útoků a často využívají několik služeb, aby maximalizovali zisky. Chyby v softwaru zapříčinily 23 % bezpečnostních incidentů, ale celkem byly využity ve 35 % kybernetických útoků. Jde tak o potvrzení možnosti využívat exploity ve více fázích útoku,“ uvedl Chester Wisniewski, hlavní výzkumný pracovník Sophosu.

Podle dokumentu jsou současné kybernetické útoky díky širokému rozsahu velmi efektivní. Například 53 % obětí označilo za příčinu bezpečnostního incidentu phishingovou zprávu a 30 % se setkalo s ransomwarem a v případě 41 % obětí došlo k úniku či poškození dat.

Špatné zabezpečení vede ke kompromisům v dodavatelském řetězci

Celkem 75 % IT manažerů považuje za největší bezpečnostní rizika zneužití softwarových chyb, neošetřené zranitelnosti a dosud nezveřejněné hrozby. Polovina respondentů pak do této kategorie řadí phishingové zprávy.

„Kybernetičtí zločinci vždy hledají cestu jak do organizace proniknout a útoky v dodavatelském řetězci jsou nyní na pořadu dne. Manažeři IT by proto měli bezpečnostním rizikům dodavatelského řetězce věnovat zvýšenou pozornost, ale nikoliv proto, že tyto útoky, které páchají národní státy, považují za vysoce cílené. I když je pravda, že národní státy mohou vytvořit plány pro tyto útoky, jakmile jsou tyto techniky zveřejněny, ostatní kybernetičtí zločinci je často přijímají pro jejich vynalézavost a vysokou úspěšnost,“ říká Wisniewski. „Útoky v dodavatelském řetězci jsou také účinným způsobem, jak mohou kybernetičtí zločinci provádět automatizované, aktivní útoky, kde si vybírají oběť z větší skupiny cílů a pak aktivně proniknou do této specifické organizace pomocí běžných hackerských postupů.“

Chybí znalosti i peníze

Dle průzkumu IT manažeři vynakládají na správu bezpečnosti v průměru 26 % svého času. Celkem 86 % dotázaných má za to, že je vhodné zlepšit bezpečnostní dovednosti, a 80 % by uvítalo zkušenější bezpečnostní tým, který by odhalil, vyšetřil a reagoval na bezpečnostní incidenty. Problémem je také nábor talentů, kdy 79 % tvrdí, že nábor lidí s dovednostmi kybernetické bezpečnosti, které potřebují, je velkým problémem.

Téměř 66 % IT manažerů uvedlo, že rozpočet jejich organizací je v případě kybernetické bezpečnosti nižší, než by bylo potřeba – a to včetně rozpočtu na lidské zdroje i technologie. Dalším problémem je zastaralé bezpečnostní technologie, na což si stěžuje 75 % respondentů. Tento nedostatek odborných znalostí, nízké rozpočty a zastaralost technologií naznačuje, že IT manažeři se snaží reagovat na kybernetické útoky místo toho, aby aktivně plánovali a řešili to, co bude příště.

„Pokud organizace budou využívat bezpečnostní systém s produkty, které spolupracují na sdílení informací a automaticky reagují na hrozby, mohou se týmy IT bezpečnosti vyhnout pasti nepřetržitého dohánění po včerejším útoku a lépe se připravit na to, co přijde zítra,“ dodává Wisniewski. „Zavedený bezpečnostní systém pomůže zmírnit rozdíly v bezpečnostních dovednostech, kterým čelí IT manažeři. Úroveň je třeba zvýšit pomocí jednoduchých nástrojů, které jsou vzájemně koordinované v rámci celé organizace.“

Obrázek: macrovector / Freepik