Cyberportret polskiego biznesu. Ponad 40 proc. firm nie stosuje jednego z najważniejszych zabezpieczeń

Polska jest krajem atrakcyjnym z punktu widzenia hakerów, głównie tych ze Wschodu. Problemy związane z ich aktywnością zauważalnie nasiliły się po rosyjskiej inwazji na Ukrainę w lutym 2022 roku. Wciąż jednak wiele polskich firm nie wprowadza nawet podstawowych działań ochronnych. Jak wynika z najnowszego raportu "Cyberportret polskiego biznesu", przygotowanego przez ESET i DAGMA Bezpieczeństwo IT, nawet 41 proc. przedsiębiorstw nie stosuje oprogramowania antywirusowego, co naraża je na poważne zagrożenie atakami.

Najmniejszą świadomość tego, jak ważne jest posiadanie antywirusa mają średnie firmy zatrudniające 250–500 pracowników (w tej grupie używanie takiego oprogramowania deklaruje zaledwie 42 proc. firm).

Raport przygotowany przez ESET i DAGMA Bezpieczeństwo IT to pierwsza tak kompleksowa publikacja o cyberzagrożeniach w polskim biznesie. Wnioski nie napawają optymizmem. W ostatnich latach aż 88 proc. firm w Polsce było celem ataku hakerów lub wycieku danych. Cyberataki zdarzają się częściej, niż mogłoby się wydawać. Już co piąty pracownik padł ofiarą hakerów w miejscu pracy, a co trzeci przyznał, że ma taką osobę w swoim najbliższym otoczeniu.

Warto zaznaczyć, że podane statystyki dotyczą tylko tzw. ataków uświadomionych. Rzeczywista liczba osób, które padły ofiarą hakerów, może być dużo większa. Wiele osób nie sygnalizuje takiego procederu z obawy przed stygmatyzacją w miejscu pracy ze względu np. na brak ostrożności. Często też przez długi czas nie wiemy, że padliśmy ofiarą cyberataku.

Dlatego podnoszenie poziomu wiedzy oraz wzrost świadomości wśród pracowników są kluczowe dla zapewnienia cyberbezpieczeństwa firmy. Eksperci jako obszar wymagający pilnej interwencji wskazują szkolenia zespołu. Co ważne, potrzebę taką dostrzegają też pracownicy – 70 proc. z nich oceniło, że kursy w zakresie cyberochrony pozytywnie wpłynęły na ich poczucie bezpieczeństwa.

Tymczasem w ciągu ostatnich pięciu lat ponad połowa polskich pracowników (52 proc.) nie przeszła żadnego szkolenia z cyberbezpieczeństwa. Jednocześnie tylko 26 proc. angażowało się w naukę na ten temat w swoim miejscu pracy więcej niż raz. Biorąc pod uwagę tempo zmian w cyfrowym świecie oraz powstawania nowych zagrożeń, odsetek ten jest zdecydowanie zbyt niski.

Lista zaniedbań po stronie firm jest dłuższa. Tylko 48 proc. pracowników uważa, że potrafi w odpowiednim momencie zareagować na zagrożenie cyberatakiem, a jedynie co drugi twierdzi, że na służbowych kontach i urządzeniach korzysta z niepowtarzających się haseł. Co może w tym kontekście niepokoić, aż 2/3 badanych przyznaje się do używania firmowego sprzętu do celów prywatnych.

Co więcej, zaledwie co trzecia firma w Polsce przeprowadza testy penetracyjne swoich systemów i sieci IT, które są kluczowe dla identyfikacji ubytków w zabezpieczeniach.

- Testy penetracyjne powinny być przeprowadzane regularnie w każdej dużej organizacji. Składają się one z szeregu czynności i etapów analogicznych do tych stosowanych przez cyberprzestępców. Cel to odnalezienie jak największej liczby dotkliwych słabości w systemach i sieciach firmowych, zanim zrobią to osoby o złych zamiarach. Brak testów można porównać do wychodzenia z domu przed nadciągającą burzą bez sprawdzenia, czy mamy zamknięte okna – alarmuje Kamil Sadkowski, analityk laboratorium antywirusowego ESET.

Cyberatak często oznacza dla firmy poważne konsekwencje. Przedsiębiorcy biorący udział w badaniu najbardziej obawiają się potencjalnych strat finansowych, pogorszenia reputacji marki oraz spadku zaufania ze strony klientów i partnerów biznesowych.

Jak chronią się dziś polskie firmy? Przedsiębiorcy stosują różne narzędzia, ale – jak zauważają eksperci – częściej działania te skupiają się na firmowej polityce bezpieczeństwa czy ogólnie przyjętych zasadach, a rzadziej na proaktywnym wykrywaniu i silnej kontroli cyberzagrożeń.

Wśród najbardziej popularnych rozwiązań jest uwierzytelnianie silnym hasłem (54 proc. badanych), kontrola dostępu do sieci (48 proc.) oraz tworzenie kopii zapasowych w osobnej lokalizacji i wykorzystanie sieci VPN (47 proc.). Tylko co trzecia firma sięga po co najmniej dwa mechanizmy uwierzytelniania lub techniki szyfrowania danych. Podobny odsetek przedsiębiorstw w Polsce przeprowadza regularne testy bezpieczeństwa teleinformatycznego, a także stosuje systemy monitorowania pozwalające wykryć podejrzane działania.

- Dla zachowania bezpieczeństwa kluczowe jest rozumienie różnic pomiędzy zagrożeniami w świecie rzeczywistym i wirtualnym. Niezbędna jest edukacja pracowników w zakresie tych właśnie różnic, mechanizmów ataków oraz zasad bezpieczeństwa. Jak pokazuje raport, wydaje się, że szczególnie nie najlepiej jest w zakresie rozumienia przez pracowników mechanizmów ataków oraz tego, w jaki sposób działają cyberprzestępcy. Bez należytej wiedzy i cyberhigieny będziemy wobec nich bezradni – podkreśla Anna Piechocka, dyrektor zarządzająca DAGMA Bezpieczeństwo IT.

Pełną treść "Cyberportret polskiego biznesu" można znaleźć tutaj.