Firmy niewłaściwie dbają o cyberbezpieczeństwo

Polskie przedsiębiorstwa coraz częściej korzystają z aplikacji internetowych, ale nie zawsze bezpieczeństwo tych narzędzi jest dla nich proprytetem wynika z raportu Ernst & Young. Badania wskazują, że dziewięć spośród dziesięciu instalowanych aplikacji, które nie były poddane próbie bezpieczeństwa, zawiera błędy, które mogą być wykorzystane przez hakerów do próby ataku i wyłudzenia ważnych dla firmy lub dla jej klientów informacji.

Raport przygotowany przez firmę doradczą Ernst & Young wykazał, że 3 na 4 dyrektorów IT zauważyło w ostatnim czasie wzmożoną próbę ataków hakerskich. Ich celem była przede wszystkim próba przejęcia zgromadzonych danych. Mimo tych niepokojących statystyk nie wszystkie przedsiębiorstwa przykładają należytą wagę, zarówno do samej ochrony sprzętu i oprogramowania, jak i weryfikacji stanu ich bezpieczeństwa. 63 procent ankietowanych przyznało, że w ich firmie nie ma opracowanej i wdrożonej architektury bezpieczeństwa, a 70 procent ma świadomość, ze stosowany przez nich system zabezpieczeń nie gwarantuje kompleksowego zabezpieczenia.

Skutki tego mogą okazać się opłakane. Hakerzy dokonując włamania do systemu często próbują np. ingerować w treść stron internetowych firmy, co niekorzystnie może wpływać na jej reputację.

– Jeżeli są to aplikacje, przetwarzające dane finansowe klientów, numery kart kredytowych w sklepach internetowych, jeżeli tego rodzaju informacje wyciekną, dla niewielkiej firmy może to być koniec ich działalności, bo potem ich koszty obsługi takich incydentów bezpieczeństwa, mogą być bardzo wysokie – mówi Michał Kurek, manager w dziale zarządzania ryzykiem informatycznym w Ernst & Young.

Z raportu wynika również, że mimo rosnących nakładów finansowych, ponoszonych przez firmy na poprawę poziomu bezpieczeństwa, zwiększa się skala zagrożeń. Wynika to m.in. z faktu, że nie zawsze wiemy, co dokładnie chcemy chronić.

– Bardzo ważne jest to, żebyśmy dokonali określonej klasyfikacji i żebyśmy wiedzieli, co chcemy chronić, jaka informacja dla nas jest kluczowa, po to, żeby móc wdrożyć adekwatne rozwiązania, które te informacje będą później chroniły – dodaje Kazimierz Konecki, partner w Ernst & Young.

Dlatego o bezpieczeństwie należy myśleć już z chwilą projektowania aplikacji. Jest to, po pierwsze, łatwiejsze, jak i tańsze. Ewentualne poprawki nanoszone w kolejnych etapach realizacji projektu zwiększają jego koszty. Wdrożenie aplikacji do seryjnej produkcji oraz wejście na rynek musi być poprzedzone symulacją działań hakerów. Pozwala to wykryć błędy i załatać ewentualne dziury w zabezpieczeniu oprogramowania. Zajmują się tym profesjonalne firmy, skupiające specjalistów, czyli tzw. etycznych hakerów, świadczące później swoje usługi firmom, zajmującym się produkcją oprogramowania.

Na pewno ważne jest, żeby osoba realizująca taki test bezpieczeństwa nie była programistą, byłą niezależna, żeby nie audytowała swojego dziecka, bo wtedy jest w człowieku tendencja do ignorowania pewnych mniej istotnych dziur i luk zwraca uwagę Michał Kurek.

Koszt takiego testu waha się w granicach od kilku do kilkuset tysięcy złotych. Zależy to od stopnia skomplikowania aplikacji. Zdarza się, że takie testy są droższe od samego opracowania i wdrożenia danego oprogramowania. Warto jednak wtedy policzyć, czy mimo to nie trzeba ich przeprowadzić. Straty, jakie mogą powstać z powodu niedostatecznego zabezpieczenia aplikacji, mogą okazać się o wiele większe.

– Trzeba pomyśleć, jakie są skutki luk, które są w tej aplikacji, czy koszty dla marki naszej firmy nie przewyższą strat związanych z zaoszczędzeniem pewnej kwoty – dodaje Michał Kurek.

Blisko połowa ankietowanych przez Ernst & Young uważa, że na poprawę jakości bezpieczeństwa systemów IT w firmie wpływa blokada portali społecznościowych.

– Pracownicy bardzo często na portalach społecznościowych udostępniają różnego rodzaju informacje o swojej organizacji w sposób świadomy lub nie – mówi Kazimierz Konecki.- Ale zablokowanie dostępu nie jest rozwiązaniem, ponieważ pracownik nie musi mieć dostępu do takiego portalu w pracy, ale może robić to też w domu.

Dlatego najważniejsze w tym przypadku jest uświadamianie pracowników, jakie konsekwencje niesie za sobą udostępnianie tą drogą określonych informacji, często kluczowych dla firmy, w której pracują.