Najčešće greške u pogledu kibernetičke sigurnosti koje kompanije čine

Najčešće greške u pogledu kibernetičke sigurnosti koje kompanije čine
DepositPhotos

Sve veći broj kompanija diljem svijeta shvaća da je kibernetička sigurnost važan čimbenik za uspješno vođenje poslovanja. Cybersecurity Ventures očekuje da će globalni troškovi kibernetičkog kriminala godišnje rasti za 15 posto u sljedećih pet godina, dosežući iznos od 10,5 bilijuna USD godišnje do 2025. godine, u odnosu na 3 bilijuna USD iz 2015. godine. Kao rezultat te spoznaje, kompanije su povećale svoja ulaganja u zaštitu od kibernetičkih napada.

Međutim, mnoga od tih ulaganja ne dobivaju na značaju. Prema nedavnom istraživanju tvrtke Accenture, došlo je do većeg pada od 27 posto u broju sigurnosnih incidenata, što ukazuje na to da se osnove naizgled poboljšavaju. Ipak, organizacije se u prosjeku suočavaju s 22 sigurnosna incidenta godišnje.  Istraživanja pokazuju da u mnogim slučajevima sama organizacija omogućuje kibernetički kriminal. Imajući to na umu, razumno pitanje za kompanije glasi: koje su to greške koje organizacije čine pri postavljanju sustava kibernetičke sigurnosti i kako ih mogu izbjeći da bi se zaštitile od kibernetičkih napada?

Usredotočenost isključivo na tehničke aspekte

Jedna od najčešćih i najkritičnijih grešaka koje kompanije čine je pridavanje pozornosti isključivo tehničkim aspektima kibernetičke sigurnosti. Na primjer, kompanija troši na tisuće dolara za zaštitu mrežnog perimetra ulaganjem u najbolje vatrozide, sustave za otkrivanje upada, vatrozide za mrežne aplikacije i tako dalje. Nakon tako velikog ulaganja kompanija očekuje određene rezultate. Međutim, umjesto toga, dolazi do sigurnosnog incidenta. Zašto? Zato što je kompanija zanemarila osigurati odgovarajuću obuku svojim zaposlenicima.

Kibernetička sigurnost holistički je sustav: zasebno rješenje neće puno pomoći. Umjesto toga, kompanije moraju primijeniti niz mjera. Jedna od tih mjera je obuka zaposlenika, njihovo osvješćivanje o tomu što je sigurnost i kako ona funkcionira. Imajte na umu da je »lanac jak onoliko koliko je jaka njegova najslabija karika«: ako je ta najslabija karika ljudstvo, onda je vjerojatno da će do incidenta doći zbog njihove nespremnosti.

Nepoznavanje neprijatelja

Važan detalj koji mnoge kompanije zaborave uzeti u obzir je pitanje tko bi njezini potencijalni napadači mogli biti, odakle dolaze i kakve posljedice sigurnosni incident može imati na njihovo poslovanje. Zamislite da se koristite internim sustavom za pohranu svih svojih osjetljivih podataka i da ti podatci nisu dostupni osobama izvana jer imate postavljenu jaku zaštitu od bilo kakvih vanjskih napada.

Čak i uz jaku zaštitu, neka od korisnih pitanja koja biste si trebali postaviti su: Odakle bi napadači mogli doći? Jesu li to interni ili eksterni napadi? Što se događa ako dođe do curenja podataka? Koliko će stajati rješavanje problema? Koliki će biti gubitak od potencijalnih prilika? Odgovori na ovakva pitanja i pristupanje sigurnosti s njima u vidu omogućuju kompaniji da postavi obrambeni zid koji će biti teško probiti.

Standardna ograničenja

Još jedna uobičajena greška je ta da kompanije razvijaju sigurnosni sustav samo kako bi bile usklađene s određenim standardima. Usklađenost neće zaštiti vašu kompaniju od napada. Ono što kompanije trebaju činiti je procjenjivati svoje rizike: pojedini incidenti ih mogu stajati bogatstva i ugleda, dok drugi možda neće puno utjecati na njihovo poslovanje.

Ne postoji svemoćan plan zaštite - postoji na tisuće različitih rizika, ali nema potrebe pokušavati spriječiti svaki od njih. Umjesto da se pokušavaju nositi sa svim rizicima, ono što kompanijama može pomoći je bolje razumijevanje materije: kompanije bi trebale znati što štite, procijeniti kako će mjera zaštite općenito pomoći i je li ta zaštita vrijedna troškova ili nije.

Nespremnost na napade iz provjerenih krugova

Mnoge kompanije ne očekuju »društvene napade« odnosno povrede sigurnosti koje uzrokuju njihovi zaposlenici, partneri, kupci, osobe od povjerenja itd.

Dobar koncept kojim se treba voditi je stalna »pretpostavka povrede«. S obzirom na današnje prijetnje, kompanija bi trebala zauzeti stav da se povreda već dogodila ili da je samo pitanje vremena kad će se dogoditi. »Pretpostavka povrede« je način razmišljanja koji ograničava povjerenje i pretpostavlja da interni pa tako i eksterni alati, aplikacije, servisi i ljudi nisu sigurni i da su vjerojatno već kompromitirani. To je vrlo koristan pristup.

Ono što mnogi ljudi ne shvaćaju je to da se nijedna kompanija ne može smatrati potpuno sigurnom. Ne postoji kompanija koju nije moguće hakirati, baš kao što nijedan sigurnosni plan ne može jamčiti zaštitu od svakog napada. Štoviše, s napredovanjem tehnologije svakodnevno se pojavljuju nove prilike za kibernetički kriminal.

Odabir pogrešnog tehnološkog partnera

Mnoge kompanije razumiju da je kibernetička sigurnost složeno pitanje. Kako bi je ispravno implementirale, moraju naći sigurnosnu organizaciju koja je sposobna polučiti uspjeh. Međutim, pri odabiru partnera kompanije često griješe jer pretpostavljaju da su rješenja kibernetičke sigurnosti sveobuhvatna i da odgovaraju svakoj vrsti poslovanja. Činjenica je ta da se prijetnje kojima reklamne kompanije mogu biti izložene razlikuju od prijetnji, primjerice, u području zrakoplovstva ili e-trgovine, telekomunikacija, zdravstva ili građevine. Ako vaš partner za kibernetičku sigurnost nema iskustva u industriji kojom se vi bavite, postoji veća šansa da njegova rješenja neće ispuniti vaša očekivanja i da neće biti učinkovita u sprječavanju incidenata.

Pokušajte naći pravog partnera koji pruža sveobuhvatnu uslugu zaštite: partnera koji će vas savjetovati o sigurnosnoj strategiji, osmišljavati najprikladnija rješenja koja udovoljavaju vašim specifičnim sigurnosnim zahtjevima, provoditi revizije i reagirati na incidente.

Važno je da se vaš partner ne usredotočuje na neprobojan pristup. Umjesto toga bi se trebao usredotočiti na to da napade učini neisplativima u smislu kontinuiranog provođenja procjena, penetracijskog testiranja, vježbi s napadačkim (crvenim) timom kao i primjenom pristupa »pretpostavka povrede«, razvojem priručnika za odgovaranje na incidente i provođenjem obuke, kako o sigurnosti tako i o GDPR-u.

Imajte na umu da bi vaš tehnološki partner trebao biti stručan u širokom dijapazonu tržišta i, kao takav, predložiti vam najprikladnije rješenje za vašu jedinstvenu kompaniju.

napisao: Alexey Stoletny, izvršni direktor u kompaniji Sigma Software, tehnološki direktor u kompaniji Clean.io

 

Sigma Software nudi 60+ prilika za rad na daljinu u Europi! #PodržiteUkrajinu i postanite dio snažnog međunarodnog tehnološkog tima!