W 2023 roku 66% firm w Polsce odnotowało przynajmniej jeden cyberincydent

Z kolei 34% firm zauważyło wzrost intensywności prób cyberataków – wynika z najnowszego badania KPMG. Połowa organizacji wskazuje na trudności związane z rekrutacją i utrzymaniem wykwalifikowanych pracowników jako największy problem w osiągnięciu odpowiedniego poziomu zabezpieczeń. Spadły natomiast obawy firm związane z działaniami zorganizowanych grup cyberprzestępczych. Jednocześnie dla zdecydowanej większości organizacji RODO jest priorytetowym standardem zgodności IT i ochrony danych osobowych.

Wspomniana liczba 66% firm w Polsce, które odnotowały incydenty polegające na naruszeniu bezpieczeństwa, oznacza jej wzrost o 8% w porównaniu z 2022 rokiem. 1 na 10 badanych organizacji w ciągu poprzedniego roku zarejestrowała ponad 30 cyberincydentów. W tej grupie prawie jedną trzecią stanowiły duże firmy zatrudniające powyżej 250 pracowników. Jedna trzecia przedsiębiorstw zaobserwowała natomiast znaczący wzrost liczby prób cyberataków, a 60% firm uważa, że ich liczba pozostała na podobnym poziomie – w porównaniu z 2022 rokiem.

Pomimo większej liczby zaobserwowanych naruszeń bezpieczeństwa w 2023 roku, o 17% zmniejszyły się obawy dotyczące działania zorganizowanych grup cyberprzestępczych, które wciąż pozostają w oczach respondentów największym zagrożeniem w sieci (53% wskazań). Z kolei o 14% zmniejszył się odsetek firm, które obawiają się cyberterrorystów. Połowa respondentów obawia się zagrożenia wynikającego z działalności pojedynczych hakerów. Blisko ¼ firm dostrzega zagrożenie płynące z działania niezadowolonych lub podkupionych pracowników. W kontekście trwającej wojny w Ukrainie, odsetek firm wskazujących na zagrożenie ze strony grup wspieranych przez obce państwa zmniejszył się natomiast z 38% do 24%.

“Wysoce niepokoi zmniejszenie obaw polskich firm względem zaawansowanych grup cyberprzestępczych. Przy obecnej sytuacji geopolitycznej nasilenie cyberataków ze strony grup wspieranych przez obce państwa jest bardzo prawdopodobne. Cyberwojna trwa. Szczególnie narażeni na cyberataki są operatorzy usług kluczowych. Konieczne jest dziś zwiększenie czujności oraz zapewnienie pełnej gotowości zespołów cyberbezpieczeństwa. Wykrycie zaawansowanych hakerów, którzy mogą być już w sieci, wymaga proaktywnych działań oraz wsparcia nowoczesnymi narzędziami” – komentuje Michał Kurek, partner w Dziale Consultingu, szef Zespołu Cyberbezpieczeństwa w KPMG w Polsce i Europie Środkowo-Wschodniej.

Firmy najbardziej obawiają się wyłudzenia danych uwierzytelniających

Organizacje biorące udział w badaniu KPMG zadeklarowały, że największym cyberzagrożeniem są dla nich wyłudzenia danych uwierzytelniających (phishing) oraz wycieki danych za pośrednictwem złośliwego oprogramowania (malware). W czołówce zagrożeń organizacje wymieniają również: kradzież danych przez pracowników oraz zaawansowane ataki ze strony profesjonalistów (Advanced Persistent Threat). Ponad jedna trzecia firm za całkowicie nieistotne niebezpieczeństwa cyfrowe uznała ataki na łańcuch dostaw za pośrednictwem partnerów biznesowych.

Jedna piąta respondentów zadeklarowała pełną dojrzałość swoich zabezpieczeń w większości analizowanych obszarów – co stanowi wynik lepszy o 6% w stosunku do poprzedniej edycji badania. Najwyższy poziom bezpieczeństwa organizacje zgłaszają w obszarze bezpieczeństwa styku z internetem, ochroną przed złośliwym oprogramowaniem oraz reagowaniem na incydenty bezpieczeństwa. Podobnie wysoko oceniane jest bezpieczeństwo sieci wewnętrznej, które również zostało uznane za obszar w pełni dojrzały przez ponad 40% ankietowanych.

Jaka jest największa bariera w budowaniu bezpieczeństwa IT?

Największym wyzwaniem dla firm w osiągnięciu odpowiedniego poziomu zabezpieczeń są obecnie trudności związane z rekrutacją i utrzymaniem wykwalifikowanych pracowników, na które wskazało 53% organizacji. Brak wystarczających budżetów, choć wciąż istotny, spadł na drugie miejsce (43% wskazań). Dodatkowo na zbliżonym poziomie pozostają inne wyzwania: brak klarownie zdefiniowanych wskaźników oraz brak pełnego zaangażowania biznesu i najwyższego kierownictwa. Jedna czwarta badanych wskazała również brak odpowiedniego przypisania odpowiedzialności w zakresie bezpieczeństwa.

Jednym ze sposobów dbania o cyberbezpieczeństwo w firmach jest zlecanie realizacji funkcji lub procesów bezpieczeństwa na zewnątrz. Zdecydowana większość badanych przez KPMG firm zleca różnorodne aspekty bezpieczeństwa danych zewnętrznym dostawcom. W 2023 roku z outsourcingu korzystało 84% organizacji. Do najczęściej zlecanych na zewnątrz zadań należą programy podnoszenia świadomości pracowników (42% wskazań), wsparcie w reakcji na cyberataki (40% wskazań) oraz analiza złośliwego oprogramowania (39% wskazań).

RODO to priorytetowy standard zgodności IT

Standardy zgodności IT i ochrony prywatności danych odgrywają kluczową rolę w cyfrowym świecie, dostarczając ram dla efektywnej ochrony informacji oraz przestrzegania przepisów dotyczących prywatności. I tak, 85% badanych firm zadeklarowało, że RODO stanowi najważniejszy aspekt w ich strukturze organizacyjnej (95% wskazań w przypadku największych firm). Na kolejnych miejscach znalazły się ustawa o krajowym systemie cyberbezpieczeństwa, na którą wskazało 59% firm. Z kolei mniej znaczące dla respondentów wydają się regulacje dotyczące klasyfikowania systemów sztucznej inteligencji według ryzyka i wprowadzania zróżnicowanych wymagań dotyczących ich rozwoju i użytkowania (AI Act), a także regulacja Parlamentu i Rady Europejskiej dotycząca operacyjnej odporności cyfrowej sektora finansowego (DORA).

“W odpowiedzi na rosnące cyberzagrożenia, Unia Europejska wprowadza inicjatywy regulacyjne, takie jak dyrektywa NIS2 i rozporządzenie DORA, mające na celu zwiększenie cyberodporności regionu. Implementacja tych przepisów może być wyzwaniem dla przedsiębiorstw, wymagając adaptacji do nowych wymogów i przygotowania na dynamiczne zmiany w regulacjach cyberbezpieczeństwa w Europie” – uważa Marcin Kieszkowski, starszy menedżer w Dziale Consultingu w Zespole Cyberbezpieczeństwa w KPMG w Polsce.

Istotnym elementem wspierającym organizację w utrzymaniu wysokiego poziomu bezpieczeństwa informatycznego oraz spełnianiu obowiązujących norm i przepisów jest monitorowanie i raportowanie zgodności z wymogami IT. Ponad trzy czwarte respondentów wskazało wewnętrzne narzędzia, a ponad połowa zdecydowała się na zewnętrzne audyty jako najskuteczniejsze metody ochrony danych. Jednocześnie 45% organizacji jest przekonanych, że są bardzo dobrze lub dobrze przygotowane do zmieniających się regulacji.

Mądrzy po szkodzie?

Firmy, które w przeszłości zetknęły się z naruszeniem zgodności IT, deklarują, że w ramach podjętych kroków naprawczych przede wszystkim zorganizowały szkolenia dla pracowników (44% wskazań). 39% organizacji wzmocniło swoje zabezpieczenia IT, a 1/3 firm wprowadziła całkowicie nowe procedury bezpieczeństwa lub dokonała aktualizacji istniejących polityk bezpieczeństwa. Zaskakujący jest natomiast fakt, że 32% respondentów nie zrobiło nic po wykrytym naruszeniu zgodności IT.

W zapewnieniu cyberbezpieczeństwa kluczowe jest również zapewnienie bezpiecznych partnerstw z innymi firmami. Z badania KPMG w Polsce wynika, że firmy stosują różnorodne strategie i procedury mające na celu skuteczną weryfikację oraz nadzór nad swoimi podwykonawcami. Najczęściej jest to ankieta ochrony danych wypełniana na etapie wyboru dostawcy lub zawarcia umowy (51% wskazań). Inne popularne narzędzia weryfikacji to ankieta bezpieczeństwa (42% wskazań) oraz audyt bezpieczeństwa informacji u podwykonawcy (34% wskazań).