De ce multe organizații au dificultăți în a ține pasul cu evoluția amenințărilor și în a-și gestiona eficient riscurile cibernetice?

Companiile de servicii financiare sunt o țintă populară pentru infractorii cibernetici de multă vreme încoace. Este simplu de înțeles de ce, întrucât, dincolo de faptul că operează cu bani, companiile financiare gestionează o serie de date sensibile ale clienților pe care infractorii le utilizează în diferite scheme de fraudă sau le vând pe piețele dark web. Potrivit raportului efectuat de Verizon, 2020 Data Breach Investigations, doar în ultimul an, industria financiară s-a confruntat cu peste 1.500 de incidente, cu 448 de scurgeri de date confirmate.

Pe lângă amenințările de lungă durată, majoritatea companiilor au trebuit să se confrunte recent cu tranziția către munca de la distanță. Schimbarea a avut loc într-un termen extrem de scurt, lăsând companiilor puțin timp să implementeze măsuri adecvate de securitate cibernetică sau să pregătească angajații pentru amenințări cibernetice iminente. Și, în timp ce pandemia va dispărea în cele din urmă, munca la distanță probabil că va mai rămâne în peisaj – adăugându-se la lista provocărilor cu care companiile trebuie să facă față atunci când își pregătesc planurile și politicile de securitate cibernetică. Companiile se confruntau deja cu aceste aspecte din cauza unor diverși factori - pe care îi vom prezenta în cele ce urmează:

Lipsa personalului specializat

Deși multe companii caută profesioniști în domeniul securității cibernetice, experimentați sau novici, care să se alăture echipelor lor și să îi ajute să consolideze un scut solid împotriva diverselor amenințări, acestea nu găsesc suficiente persoane din care să aleagă. Deși decalajul privind ocuparea forței de muncă în domeniul securității cibernetice s-a micșorat pentru prima dată în ultimii ani, încă există un deficit global de 3,12 milioane de persoane. Pentru a compensa deficitul global de talente, nivelurile de ocupare a forței de muncă ar trebui să crească cu 41% în Statele Unite și 89% în întreaga lume. Prin urmare, pentru a atrage cele mai bune și mai strălucite minți în acest domeniu, companiile vor trebui să ofere salarii competitive și oportunități de muncă satisfăcătoare.

Bugete insuficiente

Un aspect cheie care împiedică companiile să abordeze direct amenințările cibernetice are legătură cu insuficiența bugetelor alocate securității cibernetice. Potrivit unui sondaj realizat de firma de consultanță Ernst & Young, 87% dintre organizațiile chestionate au declarat că nu au un buget suficient pentru a atinge nivelurile de securitate și reziliență cibernetică pe care le doresc. Lipsa resurselor înseamnă că organizațiile nu pot angaja suficient personal în domeniul securității IT sau nu pot institui măsuri tehnice care să fie suficient de rezistente , atunci când apar diferite amenințări cibernetice.

Supraevaluarea gradului de securitate cibernetică

O greșeală obișnuită pe care o fac companiile este că supraestimează cât de bune sunt măsurile lor de securitate cibernetică. Deși pot crede că sunt în control absolut, este posibil ca organizațiile să nu aibă cele mai bune politici de gestionare a patch-urilor de vulnerabilitate. Un exemplu bun - dar în același timp, nefericit - este vulnerabilitatea BlueKeep prezentă în Windows. Patch-ul a fost emis în mai 2019, Microsoft îndemnând pe toată lumea să implementeze patch-urile imediat; o lună mai târziu, deși Agenția Națională de Securitate a emis propriul avertisment, în iulie încă figurau peste 805.000 de mașini vulnerabile la acest defect de securitate. Totul a culminat cu primele atacuri BlueKeep în noiembrie. Este de la sine înțeles că patching-ul unei vulnerabilități atât de severe nu ar trebui în niciun caz să fie amânat timp de șase luni.

Lipsa training-ului pe partea de conștientizare a amenințărilor

Un alt eveniment obișnuit care subminează securitatea cibernetică a unei companii este acela că angajații nu primesc suficiente instruiri de conștientizare a pericolelor cibernetice. Probabil că riscul ca angajații să fie păcăliți să descarce malware sau să ofere credențialele companiei au fost amplificate din cauza schimbării produse de COVID-19 către un mod de lucru la distanță. Potrivit unui studiu realizat de Institutul Ponemon, deși companiile au înregistrat o creștere a atacurilor cibernetice în timpul pandemiei (inclusiv atacuri de phishing și inginerie socială), 24% dintre respondenți au considerat că organizațiile lor nu au oferit o pregătire suficientă cu privire la riscurile asociate lucrului la distanță. În mod îngrijorător, studiul a descoperit, de asemenea, că peste jumătate dintre companii nu aveau deloc politici de securitate care să acopere cerințele pentru angajații la distanță.

Subestimarea valorii securității cibernetice

Unele organizații subestimează valoarea securității cibernetice pentru afacerea lor și optează în schimb să investească în alte aspecte pe care le consideră mai utile, cum ar fi finanțarea extinderilor sau dezvoltarea de noi produse. Aceștia ar putea susține că avantajele nu sunt suficiente în raport cu costurile investite și că prețul unor măsuri preventive de securitate l-ar putea depăsi pe cel al potențialelor pierderi cauzate de o breșă de date. Cu toate acestea, deși amenzile și pierderile potențiale pot fi mai mici pe termen scurt, daunele reputaționale ar putea duce la o scădere mai mare, inclusiv pierderea încrederii clienților, ceea ce ar afecta fluxurile de venituri. Alternativ, dacă au succes, infractorii cibernetici ar putea avea acces la proprietatea intelectuală a companiei, pe care ar putea să o vândă împreună cu datele clienților pe dark web. Prin urmare, securitatea cibernetică ar trebui întotdeauna să fie o prioritate, deoarece servește atât pentru protejarea companiei, cât și pentru clienții săi.

Concluzie

Orice combinație a factorilor menționați anterior ar putea aduce probleme pentru majoritatea organizațiilor, atunci când se confruntă cu un atac cibernetic. Într-o notă pozitivă, companiile de servicii financiare au început să ia în serios preocupările legate de securitatea cibernetică, la cel mai înalt nivel. Compania globală de consultanță în management, McKinsey, a constatat că 95% dintre comitetele consiliului de administrație pe care le-au chestionat revizuiesc riscurile cibernetice și tehnologice de cel puțin patru ori pe an. Cu toate acestea, este demn de remarcat faptul că sporirea gradului de conștientizare în top management trebuie să meargă mână în mână cu investirea unor sume adecvate în soluții de securitate cibernetică și formarea personalului la cele mai înalte standarde posibile.