Kibernetički kriminalci prilagođavaju se svaki dan. U 2021., hakeri su shvatili da je recept za ransomware jednostavan i daje visok povrat na ulaganje: iskoristite jednu ranjivost i prisilite tvrtke da plate milijune za tu grešku. Dok je 2021. definirana eksponencijalnim rastom ransomwarea, 2022, će u fokusu biti sve veća sofistikacija ove vrste napada i tehnika koje se koriste za iznudu tvrtki.
Štoviše, sljedeći jednadžbu niskog rizika i visokog povrata, napadači će nastaviti koristiti e-mail za kompromitaciju, kao i tehnike prevara plaćanjem. Prevare plaćanjem traže da se podaci o bankovnom računu zamijene podacima o računu koji kontrolira prevarant. Budući da je u većini velikih tvrtki ovo proces koji kontrolira odjel financija, moguće je da se ova vrsta prevare provuče kroz mrežu strogih sigurnosnih mjera implementiranih na razini tvrtke.
Do kraja prve polovice 2021., tvrtke su vidjele 36-postotni rast u ransomware napadima širom Europe, Bliskog Istoka i Afrike (regija EMEA), što je najviši rast među svjetskim regijama u tom razdoblju . Dok će se u Europi incidenti s ransomwareom vjerojatno stabilizirati tijekom 2022., predviđa se da će se njihov broj nastaviti dramatično povećavati u drugim dijelovima regije EMEA odnosno u Africi i na Bliskom Istoku. Kako se ova područja više približavaju digitalnoj ekonomiji, više će biti izložena kibernetičkim napadima. Kibernetički kriminalci će znanje stečeno u Europi jednostavno primijeniti na novim područjima.
Osiguravajuće kuće će prilagoditi police da bi bolje upravljale rizicima
Osiguranje od kibernetičkih napada osmišljeno je da zaštiti tvrtke od najgorih financijskih posljedica, no nenamjerno je uzrok eksplozije ransomwarea. Posljednje što kibernetički kriminalci žele je napasti neosiguranu tvrtku i riskirati da ne budu isplaćeni. Osiguravajuće kuće nude im podlogu da izvrše napad i zahtijevaju više od svoje mete. Kao rezultat, tijekom 2021. većina davatelja usluga osiguranja od kibernetičkih napada poslovala je s gubitkom i sada će postati oprezniji.
U Ujedinjenom Kraljevstvu najveća je vjerojatnost da će kibernetički kriminalci biti isplaćeni. Nedavno istraživanje sigurnosne tvrtke Proofpoint utvrdilo je da je 82 % britanskih tvrtki žrtava ransomwarea platilo hakerima da bi dobili natrag svoje podatke, dok je globalni prosjek bio 58 %. Očito je da osiguravajuće kuće ne mogu podnijeti teret većine višemilijunskih ransomware operacija tako da smanjuju pokrića.
Ove godine vjerojatno ćemo vidjeti veće smanjivanje polica osiguranja od kibernetičkih napada i osiguranja će povlačiti poteze radi smanjenja rizika. Većina osiguravajućih kuća shvaća da je u pitanju igra u kojoj ne mogu pobijediti. Kada se pronađu ranjivosti koje se lako koriste, osiguravajuće kuće će isključiti iz pokrića i police neće donijeti tvrtkama olakšanje kojem su se nadali.
Sigurnosni timovi mogli bi platiti cijenu hipervertikalizacije IT branše
Hipervertikalizacija IT branše u kojoj se IT profesionalci visoko specijaliziraju za samo jedno područje bit će i dalje standardni okvir za branšu. Prednosti za enterprise IT timove su očite, no ipak, u 2022. sigurnosni timovi možda će nastaviti plaćati cijenu toga.
Intenzivno specijalizirani IT timovi mogu se činiti kao prednost jer omogućuju veću razinu stručnosti za pojedine uloge, no veliki nedostatak može biti u tome što upravljanje takvim timovima postaje problematično. U prošlosti, generalizirani timovi bilo su mogućnosti međusobno razumjeti svoje uloge i reaktivno odgovoriti na probleme. Sada, postoji rizik da se nešto provuče između visokospecijaliziranih uloga. Primjerice, nedavna situacija s Java paketom Log4j za sve specijaliziranije operativne i razvojne timove značila je značajan napor u otkrivanju gdje je sve ovaj paket korišten. Hipervertikalizacija se može činiti atraktivnom i ona to jest, ali moramo upamtiti da dolazi sa značajnim rizicima iz sigurnosne perspektive.
Moderno IT okruženje je sve kompliciranije i veća specijaliziranost je potrebna za odgovaranje na nove potrebe. No, tu se mora pronaći ravnoteža. Tvrtke trebaju osigurati da na vrhu postoji općenita razina upravljanja koja spaja sve te različite elemente. To je kritično u sprječavanju tvrtki da se nenamjerno otvore napadima, zbog rupa u internoj infrastrukturi.
Zakonodavstvo će biti ključno u jačanju B2B sigurnosnih pozicija
Već smo vidjeli da zakoni poboljšavaju IoT sigurnosne mjere u industriji potrošačke tehnologije. U 2021. Europska Komisija usvojila je Delegirani akt o kibersigurnosti uz Direktivu o radijskoj opremi koji cilja na to da osigura sve IoT uređaje prije nego što budu dostupni u prodaji na tržištu EU. Akt postavlja zakonske zahtjeve koje proizvođači moraju ispuniti da bi osigurali da su proizvodi sigurniji i osobni podaci građana zaštićeni. Slično, Ujedinjeno Kraljevstvo je nedavno usvojilo Zakon o sigurnosti proizvoda i telekomunikacijske infrastrukture koji traži od tvrtki potrošačke tehnologije da povećaju sigurnost zabranjujući podrazumijevane lozinke i pružajući transparentnost prema korisnicima prilikom popravljanja sigurnosnih ranjivosti. To su koraci u pravom smjeru za ublažavanje rastućih sigurnosnih problema nastalih širenjem IoT-a koje korisnike čine sve ranjivijima na napade.
2022 mora biti godina u kojoj ćemo vidjeti ovu razinu sigurnosnih zakona i u B2B prostoru. Dok mnoge tvrtke planiraju nastaviti nuditi mogućnosti hibridnog rada za zaposlenike, njihov krajolik rizika postaje veći i kompleksniji. U skladu s tim, organizacije se moraju fokusirati na poboljšanje sigurnosti krajnjih točaka usporedno s evoluiranjem načina na koje se radi. Zakonodavstvo će pružiti nacionalne smjernice za sigurnosne timove kojima će se oni trebati voditi, što će organizacijama olakšati usvajanje najnovijih standarda. Isti zakoni donijet će korist i krajnjim potrošačima, možda čak i veću, jer će postrožiti sigurnosne zahtjeve na nizu uređaja. Dok će tvrtke platiti više da bi im zaposlenici imali najsigurnije uređaje, većina potrošača će se odlučiti za jeftiniji, a manje siguran uređaj.
Tvrtke moraju nastaviti evoluirati svoj položaj u kibernetičkoj sigurnosti s rastućim ambicijama napadača. Operacije ransomwarea postat će samo sofisticiranije i preciznije. Kao odgovor, osiguranje od kibernetičkih napada osmišljeno je da tvrtkama u slučaju napada nadoknadi troškove. Ipak, jasno je da organizacije neće moći o njemu ovisiti kako se to činilo u početku. Ne smijemo zaboraviti da je druga strana ransomwarea, prijevare plaćanjem, jednako raširena kao i do sad. Dok će vanjski utjecaji poput zakonodavnih okvira biti ključni u definiranju sigurnosnih standarda, važno je da razmotrimo male interne promjene u kanalima komuniciranja koje mogu napraviti veliku razliku. Tvrtke moraju biti pripravne za ono što dolazi i biti spremne oduprijeti se rastućim ambicijama hakera.
O autoru:
Quentyn Taylor, viši direktor za informacijsku sigurnost i globalni odgovor, Canon EMEA
