Raport Mastercard: większość firm MŚP czuje się bezpiecznie, mimo że co czwarta została już zaatakowana

Mimo rosnącej liczby cyberincydentów, polskie przedsiębiorstwa nadal zbyt często wzmacniają cyberodporność dopiero po tym, jak zostaną zaatakowane. Wyniki badania Mastercard pokazują, że o ile największe organizacje zwiększają inwestycje w tym obszarze, wiele małych firm wciąż nie dostrzega skali zagrożeń. Tymczasem dla cyberprzestępców nie istnieje pojęcie „zbyt mały, by zaatakować”.

Badanie zrealizowane metodą CATI objęło 300 podmiotów gospodarczych: 125 małych firm (do 50 pracowników), 125 średnich (51–250 pracowników) oraz 50 dużych organizacji (powyżej 250 osób). Osoby odpowiedzialne za cyberbezpieczeństwo w tych organizacjach podzieliły się swoimi doświadczeniami, obawami i realnymi działaniami obronnymi.

Wnioski? Choć zagrożenia cyfrowe ewoluują w zastraszającym tempie, podejście wielu przedsiębiorców wciąż opiera się na wierze, że „jakoś to będzie”.

Co i dlaczego chcą nam ukraść?

Percepcja tego, co w firmie jest najcenniejsze i najbardziej narażone na atak, różni się w zależności od skali działalności. Właściciele małych firm najmocniej obawiają się o dane klientów oraz informacje finansowe. W organizacjach zatrudniających powyżej 50 osób uwaga przesuwa się natomiast w kierunku wewnętrznej infrastruktury IT. Wynika to z większej złożoności ich środowisk sieciowych.

Szczegółowa analiza obszarów uznawanych za najbardziej podatne na cyberataki ukazuje te różnice:

• Dane klientów (osobowe, finansowe, loginy) – wskazuje na nie 46% małych firm, 54% średnich oraz 44% dużych przedsiębiorstw.
• Dane finansowe i księgowe – uznawane za krytyczne przez 41% małych, 38% średnich oraz 48% dużych graczy.
• Wewnętrzne systemy IT (serwery, sieć) – jedynie 39% małych firm obawia się o swoją infrastrukturę, podczas gdy w przypadku średnich wskaźnik ten szybuje do 64%, a w dużych wynosi 62%.
• Pozostałe zasoby – ataki na bazy danych produktów i transakcji niepokoją głównie duże firmy (42% wskazań wobec 26% w małych), podobnie jak na dane pracowników (44% duże vs 21% małe) oraz poufne know-how i dokumenty strategiczne (42% duże vs 16% małe).

Fundamentalny wpływ na postrzeganie tych ryzyk mają m.in. doświadczenia w zakresie wykorzystania usług CyberSec. Firmy, które kiedykolwiek delegowały utrzymanie poziomu cyberbezpieczeństwa organizacji zewnętrznym dostawcom oceniają rzeczywistość zdecydowanie bardziej realistycznie. W tej grupie nawet 59% badanych (wobec 46% ogółu) widzi zagrożenie dla danych klientów. Może to również świadczyć o większej dojrzałości w ocenie znaczenia posiadanych danych biznesowych dla funkcjonowania ich organizacji.

Obawy determinuje również przynależność do danego sektora działalności. I tak, branża produkcyjna częściej niż inne wskazuje na ryzyko utraty strategicznego know-how, co wynika z kluczowej roli technologii i procesów w ich działalności. Z kolei w handlu naturalnym punktem zapalnym są bazy transakcyjne i rejestry zamówień.

Świadomość rośnie dopiero po szkodzie

Najbardziej uderzającym wnioskiem płynącym z raportu Mastercard jest optymizm najmniejszych przedsiębiorców. Otóż zaledwie 5% małych firm w Polsce ocenia ryzyko cyberataku na swój biznes jako bardzo wysokie, a aż 71% z nich twierdzi, że prawdopodobieństwo takiego incydentu jest raczej niskie lub bardzo niskie. Wskaźnik ten zmienia się wraz ze wzrostem skali biznesu. W średnich firmach obawę (ryzyko wysokie i bardzo wysokie) deklaruje 21% badanych (przy 40% wskazań na ryzyko niskie i bardzo niskie), a w dużych przedsiębiorstwach 18% widzi wysokie zagrożenie (28% uważa je za znikome).

Prawdziwym katalizatorem zmiany myślenia jest jednak bezpośrednie zderzenie z cyberprzestępczością. Podmioty, które w przeszłości doświadczyły cyberataku, znacznie częściej oceniają ryzyko w obszarze cyberbezpieczeństwa jako wysokie. Taką perspektywę wyraża 25% przedstawicieli wspomnianych organizacji, wobec zaledwie 7% respondentów z firm, które nie miały dotąd podobnych incydentów.

W ujęciu branżowym najwyższy poziom obaw znów deklaruje produkcja (16% wskazań na wysokie ryzyko) oraz usługi (17%), najniższy zaś budownictwo (10%) i handel (zaledwie 2%), co może budzić niepokój chociażby w kontekście rosnącej skali transakcji e-commerce.

Czy mamy plan awaryjny?

W polskim porządku prawnym posiadanie sformalizowanych procedur z zakresu cyberbezpieczeństwa nie jest powszechnym obowiązkiem, co potwierdzają wyniki cytowanego badania. Jeśli chodzi o posiadanie udokumentowanego planu reagowania na incydenty, wyniki badania prezentują się następująco:

• Małe firmy – tylko 18% ma taki plan, 76% nie posiada go wcale, a u 6% jest on w trakcie opracowywania.
• Średnie firmy – 62% posiada plan, 22% nie ma, a 16% go opracowuje.
• Duże firmy – aż 78% posiada gotowe procedury, 8% nie ma takiego dokumentu, a 14% nad nimi pracuje.

Nie jest zaskoczeniem, że firmy, które padły ofiarą ataku znacznie częściej dysponują gotowymi scenariuszami kryzysowymi (55% vs 40%). Z kolei w ujęciu sektorowym taki dokument najczęściej występuje w produkcji (53%), a najrzadziej w handlu (35%).

Podobnie sytuacja wygląda w kwestii szkoleń pracowników. W małych firmach aż 54% personelu nigdy nie przeszło szkolenia z zakresu cyberbezpieczeństwa. Z kolei w średnich przedsiębiorstwach regularne szkolenia (raz w roku) prowadzi już 55% podmiotów. W dużych podmiotach odsetek ten rośnie do 64% (tylko 4% dużych firm nie szkoli kadr w ogóle).

Edukacja pracowników ma miejsce najczęściej w obszarach, w których funkcjonowanie wymaga gromadzenia danych klientów (49% vs 32% ogółem) oraz w firmach produkcyjnych (81% z nich szkoli kadrę regularnie lub sporadycznie). Niestety, w branży handlowej czy w budownictwie kwestie te bywają postrzegane jako drugorzędne. Ok. 40% firm z tych sektorów w ogóle nie prowadzi szkoleń z obszaru CyberSec.

„Dominującym ryzykiem dla firm są ataki kierowane w pracowników, ponieważ to człowiek często jest najsłabszym ogniwem w łańcuchu odporności cyfrowej organizacji. Dlatego dla każdej firmy, bez względu na wielkość, kluczowe znaczenie ma edukacja – zarówno w kwestii zwiększania świadomości na temat zagrożeń, jak również w zakresie wprowadzania standardów higieny cyfrowej” – komentuje Małgorzata Domagała, VP, dyrektorka ds. produktów i rozwiązań Mastercard na Polskę, Czechy, Słowację.

„Mastercard udostępnia autorskie kompendium wiedzy o cyberbezpieczeństwie, gdzie właściciele firm mogą znaleźć przydatne wskazówki dotyczące zagrożeń i rozwiązań. Chętnie dzielimy się naszym know-how i doświadczeniami. Chcemy, aby przedsiębiorcy stale poszerzali swoją edukację cyfrową” – dodaje.

Realne ataki i ich skutki

Statystyki dotyczące faktycznych incydentów nie pozostawiają złudzeń. Aż 25% małych firm w Polsce doświadczyło skutecznego cyberataku. W przypadku średnich przedsiębiorstw odsetek ten wzrasta do 44%, a w dużych strukturach wynosi 50%. Najbardziej narażona okazuje się branża produkcyjna, gdzie nawet 49% ankietowanych przedsiębiorstw zostało zaatakowanych. Dla porównania w handlu odsetek ten wynosi 38%, w usługach 30%, a w budownictwie 28%.

Polskie firmy najczęściej padają ofiarą następujących incydentów:

• Atak typu ransomware (szyfrowanie danych i żądanie okupu) – dotknęło 23% małych, 15% średnich oraz 28% dużych przedsiębiorstw.
• Email/SMS Social Engineering (phishing) – manipulacji za pomocą wiadomości doświadczyło 19% małych, 29% średnich oraz 24% dużych podmiotów.
• Ataki na systemy uwierzytelniania – wskazało na nie odpowiednio 19% małych, 20% średnich i 16% dużych organizacji.

Niski odsetek wskazań dla złośliwego oprogramowania (malware) czy działań rozpoznawczych sugeruje, że firmy dostrzegają incydenty dopiero w fazie ich niszczycielskich skutków, a nie na etapie wczesnego przygotowania ataku przez sprawcę.

Reakcja post-factum i budżety na ochronę

Wnioski z badania Mastercard pokazują, że polskie firmy reagują na incydenty związane z cyberbezpieczeństwem głównie w sposób doraźny i techniczny. Takie działania najczęściej koncentrują się na wdrożeniu nowych zabezpieczeń lub wzmocnieniu istniejących. Mowa tu przede wszystkim o inicjatywach mających na celu zwiększenie efektywności zapór firewall czy modernizacji narzędzi wykorzystywanych do tworzenia i przywracania kopii zapasowych (35% małych firm, 49% średnich, 44% dużych).

Małe firmy relatywnie częściej sięgają po wsparcie zewnętrznych ekspertów (23% wobec 12% w dużych firmach), co wynika z braku własnych zasobów. Znamienne jest jednak to, jak rzadko wyciągane są wnioski o charakterze organizacyjnym. Zaledwie 6% małych, 16% średnich i tylko 8% dużych firm decyduje się po incydencie na rzetelny przegląd i aktualizację procedur bezpieczeństwa.

Podejście do ochrony naturalnie determinuje także zasobność firmowych portfeli. W małych firmach roczne wydatki na cyberbezpieczeństwo zazwyczaj nie przekraczają 10 tys. zł. Średnie firmy najczęściej przeznaczają na ten cel kwoty w przedziale od 10 tys. do 50 tys. zł, a w dużych organizacjach budżety te regularnie przekraczają próg 50 tys. zł. Przekłada się to bezpośrednio m.in. na regularność audytów – rzetelną ocenę ryzyka w ciągu ostatnich 12 miesięcy przeprowadziło 72% dużych firm, 55% średnich i zaledwie 15% małych.

Jak budować realną cyberodporność?

Biorąc pod uwagę powyższe dane, nie ulega wątpliwości, że współczesna arena zmagań z cyberprzestępczością wymaga przejścia od modelu reaktywnego do proaktywnego. W odpowiedzi na te wyzwania firma Mastercard rozwija zaawansowane portfolio narzędzi wspierających przedsiębiorstwa na każdym etapie budowania odporności cyfrowej.

Dla średnich firm, które często posiadają już własne aplikacje webowe, ale nie dysponują budżetami na utrzymanie całodobowych zespołów SOC, kluczowa staje się automatyzacja ochrony.

Oferowane przez Mastercard rozwiązania klasy Threat Protection zapewniają m.in. natywną ochronę aplikacji w chmurze. Dzięki technologii Baffin Bay możliwe jest m.in. filtrowanie złośliwego ruchu w czasie rzeczywistym, co pozwala na odpieranie ataków DDoS i neutralizację aktywności botów, zanim te dotrą do firmowej infrastruktury.

Duże organizacje potrzebują z kolei narzędzi pozwalających na całościowe i mierzalne zarządzanie ryzykiem. W tym wypadku zastosowanie znajdują zaawansowane systemy analityczne i symulacyjne Mastercard, w tym:

• Cyber Quant (CQ) – system, który umożliwia precyzyją ocenę dojrzałości cyberbezpieczeństwa organizacji i kwantyfikację ryzyk z obszaru CyberSec, co ułatwia podejmowanie decyzji o priorytetach inwestycyjnych.
• Cyber Front (CF) – narzędzie, które w kontrolowany sposób symuluje realne techniki hakerskie, weryfikując skuteczność wdrożonych systemów detekcji i obrony.
• Ćwiczenie w zakresie cyberkryzysu (CCX) – pozwala na przeprowadzenie realistycznych symulacji kryzysowych dla zespołów decyzyjnych, ucząc płynnej komunikacji pod presją czasu.
• RiskRecon (RR) – rozwiązanie dedykowane do ciągłej, zewnętrznej oceny stanu zabezpieczeń u poddostawców i partnerów handlowych, eliminujące ryzyko ataków przez łańcuch dostaw.

„Jednym z istotnych ogniw sukcesu w walce z cyberprzestępczością jest systemowe podejście do cyberprzestępczości. Wspólnym interesem całego rynku – zarówno dla dużych, jak i małych podmiotów – jest zaś zbudowanie odporności cyfrowej po to, aby wzajemnie się wzmacniać i uzupełniać” – mówi Małgorzata Domagała.

„W Mastercard tworzymy holistyczne i skalowalne rozwiązania, które dostosowane są zarówno do wielkości organizacji jak i potencjalnych, konkretnych zagrożeń. Łączymy zaawansowane dane, technologie oraz ekspercką wiedzę, pomagając organizacjom zarządzać ryzykiem, zapobiegać nadużyciom oraz adresować rosnące wymogi regulacyjne” – podsumowuje.

Zmieniające się regulacje prawne również kładą rosnący nacisk na poziom odporności cyfrowej przedsiębiorstw. Oferta Mastercard stanowi nieoczywiste wsparcie na drodze do zapewnienia bezpieczeństwa i dostępności środowisk IT m.in. dla organizacji objętych Dyrektywą NIS2, a więc podmiotów kluczowych oraz ważnych w myśl Ustawy o Krajowym Systemie Cyberbezpieczeństwa, a nierzadko także ich podwykonawców.