Przestępstwa cybernetyczne przybierają na sile i stanowią zagrożenie dla każdego obszaru prowadzonej działalności. Należy się spodziewać, że ten typ przestępstw będzie występował coraz częściej, będzie nim coraz trudniej zarządzać i będzie dotyczył nie tylko dużych firm. Dlatego przedsiębiorstwa będą zmuszone podejmować nowe działania, a funkcja zarządzania ryzykiem cybernetycznym w firmach stanie się jedną z kluczowych – wynika z raportu Aon Cybersecurity Predictions.
Rok 2018 to w obszarze ryzyka związanego z przestępczością komputerową czas zwiększonej czujności regulatorów, możliwość ataków na firmy globalne za pośrednictwem ich dostawców – małych i średnich firm, konieczność dostrzeżenia i docenienia przez zarządzających ryzyk płynących z wewnątrz organizacji, rosnąca rola uwierzytelniania wieloskładnikowego i konieczność wprowadzania polis cybernetycznych szytych na miarę potrzeb poszczególnych firm.
W 2017 roku przestępstwa cybernetyczne spowodowały spustoszenie na wiele sposobów, począwszy od ataków fishingowych, które wpływały na wyniki wyborów, aż po wirusy typu ransomware, które na całym świecie przenikały do systemów operacyjnych szyfrując dane i zakłócając funkcjonowanie przedsiębiorstw. Wraz z rozwojem Internetu Rzeczy, nastąpił również wzrost liczby ataków typu DDoS ograniczających funkcjonalność przedmiotów podłączonych do Sieci – komentuje Michał Jatczak, Lider Praktyki Cyber w Aon Polska.
W 2018 przewidujemy wzrost narażenia na ryzyko cybernetyczne w związku z przenikaniem się trzech trendów:
• uzależnienie przedsiębiorstw od technologii
• wzrost nacisku regulatorów na ochronę danych konsumentów
• wzrost wartości aktywów niematerialnych
Kompilacja powyższych trendów będzie wymagała zintegrowanego podejścia do bezpieczeństwa informatycznego uwzględniającego zarówno obszar zarządzania przedsiębiorstwem jak i zarządzania ryzykiem.
Prognoza Aon na 2018 rok pokazuje, że rosnąca skala i siła oddziaływania ataków cybernetycznych wraz z przyjmowaniem przez przedsiębiorstwa coraz większej odpowiedzialności za konsekwencje cyberataków, spowodują daleko idące zmiany w postrzeganiu tego ryzyka. Przewiduje się, że istotnie wzrośnie rola osób zarządzających ryzykiem w firmie, uwierzytelniania wieloskładnikowego oraz zagrożenia pochodzące z wewnątrz firmy, od jej pracowników.
Kluczowe wnioski płynące z raportu:
• Konieczność wprowadzania dedykowanych ubezpieczeń od przestępstw cybernetycznych
W miarę upubliczniania kolejnych ataków powodujących spadek przychodów i wyceny akcji, zakłócenie działalności oraz wnoszenie roszczeń przeciwko zarządom spółek, biznes w większym stopniu zwróci uwagę na dedykowane, szyte na miarę ubezpieczenia przestępstw cybernetycznych. Ubezpieczenie to upowszechni się także poza tradycyjnymi kupcami z branży handlowej, finansowej czy zdrowotnej i zostanie zauważone przez inne branże jak np. przemysł produkcyjny, transport, usługi komunalne, rafinerie czy przemysł gazowniczy.
Atak cybernetyczny to ten moment, kiedy świat materialny i wirtualny spotykają się i wydarzenia w tym drugim istotnie wpływają na pierwszy, a wyrafinowane cyber-ataki w coraz większym stopniu mają realny wpływ na działalność biznesową przedsiębiorstw. Przedsiębiorcy zaczynają dostrzegać, że wraz z rozwojem technologii ryzyko cybernetyczne stało się kluczowym ryzykiem dla ich przedsiębiorstwa. Dlatego w 2018 roku należy oczekiwać, że dyrektorzy ds. zarządzania ryzykiem i szefowie ds. bezpieczeństwa będą wypracowywać rozwiązania i pomagać organizacjom zrozumieć rzeczywisty wpływ ryzyka cybernetycznego na ich działalność biznesową – dodaje Michał Jatczak.
• Zwiększona czujność regulatorów związana z przestępczością komputerową
Regulatorzy na poziomie międzynarodowym, krajowym i lokalnym będą w większym stopniu egzekwowali stosowanie przez firmy istniejących przepisów w zakresie zabezpieczeń przez atakami cybernetycznymi, jak również wprowadzać będą kolejne regulacje. Unia Europejska będzie rozliczać globalne przedsiębiorstwa z nieprzestrzegania GDPR, a w USA organizacje zarządzające big data (przechowujące i sprzedające dane) będą szczegółowo sprawdzane pod kątem tego, w jaki sposób gromadzą, wykorzystują i zabezpieczają dane. Można się też spodziewać, że firmy będą naciskały regulatorów, by ci ujednolicili regulacje dotyczące przestępstw cybernetycznych.
• Atak na gigantów poprzez Internet Rzeczy
Przestępcy komputerowi będą próbowali atakować przedsiębiorstwa dostarczające usługi firmom globalnym za pomocą przedmiotów Internetu Rzeczy. W 2018 roku międzynarodowe organizacje będą zmuszone przeanalizować ryzyko związane z wykorzystaniem Internetu Rzeczy w kontekście zarządzania ryzykiem swoich kontrahentów. Na razie firmy globalne nie dostrzegają tego zagrożenia i nie dopuszczają do siebie informacji, że właśnie za pośrednictwem dostawców ich firma może zostać zaatakowana, a Internet Rzeczy wykorzystany jako droga do ich sieci wewnętrznej. Realne ataki przeprowadzone w ten sposób będą sygnałem dla dużych organizacji, aby zaktualizować swoje podejście do zarządzania ryzykiem dostawców. Z kolei małe i średnie firmy staną przed koniecznością wdrożenia lepszych zabezpieczeń, w przeciwnym razie będą musiały liczyć się z utratą kontraktów.
• Rosnąca rola uwierzytelniania wieloskładnikowego
W sytuacji nieustannie hakowanych haseł oraz obchodzenia przez napastników fizycznych zabezpieczeń biometrycznych, uwierzytelnianie wieloskładnikowe staje się ważniejsze niż kiedykolwiek przedtem. Wprawdzie poza hasłami firmy wprowadzają nowe metody uwierzytelniania, takie jak rozpoznawanie twarzy czy odcisków palców, jednakże te technologie nadal nie są doskonałe. Raport Aon przewiduje, że coraz więcej firm będzie wdrażać uwierzytelnianie wieloskładnikowe w celu zwalczenia ataków na hasła oraz na dane biometryczne.
Uwierzytelnianie wieloskładnikowe będzie wymagało od poszczególnych osób pokazania wielu dowodów w celu uwierzytelnienia. W związku ze wzrostem zainteresowania uwierzytelnianiem wieloskładnikowym i oczekiwaniami konsumentów, należy się spodziewać implementacji uwierzytelnienia z wykorzystaniem behawioralnych metod biometrycznych.
• Transakcje punktowe zagrożone
Przestępcy będą atakować transakcje, w których zamiast waluty wykorzystywane są punkty. Dlatego przedsiębiorstwa stosujące tego rodzaju model, np. w prowadzonych programach lojalnościowych czy upominkowych, będą musiały konstruować platformy pozwalające na szybkie zgłaszanie usterek i nagradzanie zgłaszających je użytkowników (tzw. bug bounty programs). W miarę jak coraz więcej przedsiębiorstw będzie wprowadzać te programy, poszukiwane stanie się wsparcie zewnętrznych ekspertów pozwalające uniknąć ryzyk związanych z nieprawidłowym skonfigurowaniem programów.
• Kryptowaluty a rozwój ransomware
W 2018 roku przestępcy wymuszający okup zmienią swoją dotychczasową taktykę. Raport Aon przewiduje, że atakujący używający zwyczajnego złośliwego oprogramowania, np. powodującego blokadę usług (atak DDoS – rozproszona odmowa usługi) lub uruchamia reklamy na tysiącach terminali roboczych, spowodują masową epidemię oprogramowania wymuszającego okup. Napastnicy będą kontynuowali ataki mające na celu zablokowanie maksymalnie wielu systemów, ale zgodnie z raportem Aon wzrośnie też liczba ataków skierowanych przeciwko konkretnym firmom, z żądaniem płatności okupu o wysokości proporcjonalnej do wartości zaatakowanych aktywów. Kryptowaluty będą nadal sprzyjały tego typu atakom, pomimo coraz skuteczniejszemu śledzeniu ataków przez organy ścigania.
• Istotne znaczenie ryzyk cybernetycznych pochodzących z wewnątrz organizacji
Ryzyka płynące z wewnątrz organizacji będą nadal stanowiły zagrożenie dla firm, które cały czas nie doceniają ich znaczenia. W 2017 roku przedsiębiorstwa nie inwestowały w proaktywne programy zapobiegające temu ryzyku. Zgodnie z raportem Aon, rok 2018 nie przyniesie w tym zakresie większych zmian. Przedsiębiorstwa często nie prowadzą dla pracowników odpowiednich szkoleń w zakresie bezpieczeństwa informatycznego. Nie ma pełnych danych dotyczących zakresu ataków cybernetycznych spowodowanych przez czynnik ludzki. Dlatego wiele przedsiębiorstw nadal będzie głównie reagować na już zaistniałe incydenty i ukrywać je za zamkniętymi drzwiami, pozostając nieświadomymi rzeczywistych kosztów i wpływu czynnika ludzkiego/ wewnętrznego na ich organizacje.
Informacja na temat raportu
Raport Aon Cybersecurity Predictions został przygotowany w styczniu 2018 roku przez Stroz Friedberg – spółkę należącą do grupy Aon plc.
