{"id":58934,"date":"2022-09-30T14:08:45","date_gmt":"2022-09-30T12:08:45","guid":{"rendered":"https:\/\/biznes.t-mobile.pl\/?p=58934"},"modified":"2023-02-22T10:26:05","modified_gmt":"2023-02-22T09:26:05","slug":"cyfrowe-bezpieczenstwo-to-realne-zyski-dla-firm","status":"publish","type":"post","link":"https:\/\/biznes.t-mobile.pl\/pl\/cyfrowe-bezpieczenstwo-to-realne-zyski-dla-firm","title":{"rendered":"Cyfrowe bezpiecze\u0144stwo to realne zyski dla firm"},"content":{"rendered":"\n\n\n
Z TEGO ARTYKU\u0141U DOWIESZ SI\u0118:<\/span><\/strong>\n

\u00a0<\/p>\n

    \n
  1. JAKIE STRATY SPOWODOWA\u0106 MO\u017bE NAWET POJEDYNCZY, UDANY ATAK CYBERPRZEST\u0118PC\u00d3W?<\/strong><\/li>\n
  2. JAK OBLICZY\u0106 POTENCJALNE STRATY CYBERATAKU?<\/strong><\/li>\n
  3. JAK OSZACOWA\u0106 RYZYKO INCYDENTU BEZPIECZE\u0143STWA?<\/strong><\/li>\n
  4. DLACZEGO ZNACZNA CZ\u0118\u015a\u0106 FIRM NIE DECYDUJE SI\u0118 NA INWESTOWANIE W\u00a0INFRASTRUKTUR\u0118 BEZPIECZE\u0143STWA?<\/strong><\/li>\n
  5. CZY WARTO ROZWA\u017bY\u0106 POWIERZENIE BEZPIECZE\u0143STWA CYFROWEGO ORGANIZACJI ZEWN\u0118TRZNYM PODMIOTOM?<\/strong><\/li>\n<\/ol>\n<\/td>\n<\/tr>\n<\/thead>\n<\/table>\n

    Oszacowanie strat wynikaj\u0105cych z cyberatak\u00f3w jest niezwykle trudnym zadaniem. Ich ofiary \u2013 czy to najwi\u0119ksze koncerny i instytucje publiczne, czy ma\u0142e i \u015brednie firmy lub startupy, ze zrozumia\u0142ych wzgl\u0119d\u00f3w staraj\u0105 si\u0119 nie dzieli\u0107 wszem i wobec takimi informacjami. Dodatkowo cz\u0119\u015b\u0107 strat, jak wizerunek przedsi\u0119biorstwa czy zaufanie do niego, s\u0105 wr\u0119cz niepoliczalne. Do\u015b\u0107 powiedzie\u0107, \u017ce jeden zako\u0144czony sukcesem atak (stanowi\u0105cy zazwyczaj element szerszej, wielopoziomowej operacji) kosztowa\u0107 mo\u017ce znikni\u0119cie danej marki z rynku.<\/p>\n

    Z danych presti\u017cowego centrum badawczego Ponemon Institute wynika, \u017ce \u015bredni koszt incydentu bezpiecze\u0144stwa w 2021 r. (z uwzgl\u0119dnieniem m.in. p\u0142atno\u015bci okupu czy odszkodowa\u0144 dla klient\u00f3w) wyni\u00f3s\u0142 4,24 miliony dolar\u00f3w2<\/sup>.<\/p>\n

    Tymczasem autorzy najnowszego badania KPMG \u201eBarometr Cyberbezpiecze\u0144stwa\u201d3<\/sup> informuj\u0105, \u017ce w zesz\u0142ym roku a\u017c 69% organizacji w Polsce zanotowa\u0142o przynajmniej jeden cyberincydent. Szeroko rozumiana cyberprzest\u0119pczo\u015b\u0107 uznawana jest za najwi\u0119ksze zagro\u017cenie dla prowadzenia biznesu przez rekordowy w historii odsetek 92% polskich firm.<\/p>\n

    Co wi\u0119cej, wed\u0142ug Check Point Research w sierpniu tego roku Polska odnotowa\u0142a 42-proc. wzrost atak\u00f3w cybernetycznych. Na pocz\u0105tku tego miesi\u0105ca dokonywano w naszym kraju przeci\u0119tnie 687 atak\u00f3w na pojedyncz\u0105 sie\u0107 firmow\u0105. Pod koniec miesi\u0105ca liczba ta wynios\u0142a ju\u017c 9774<\/sup>.<\/p>\n

    Obliczamy potencjalne straty cyberataku<\/h2>\n

    Ka\u017cda osoba odpowiedzialna za finanse firmy z pewno\u015bci\u0105 wie, na czym polega bud\u017cetowanie. W przypadku okre\u015blenia op\u0142acalno\u015bci inwestycji w bezpiecze\u0144stwo cyfrowe, proces ten warto rozpocz\u0105\u0107 od kalkulacji koszt\u00f3w, jakie m\u00f3g\u0142by wygenerowa\u0107 potencjalny incydent. Niezale\u017cnie od wielko\u015bci czy bran\u017cy danego przedsi\u0119biorstwa, ich lista jest podobna: wydatki na reakcj\u0119 na atak, przeprowadzenie oceny strat, odtworzenie stanu sprzed ataku, a tak\u017ce ka\u017cd\u0105 utrat\u0119 dochodu i ka\u017cdy inny uszczerbek powsta\u0142y w wyniku przerwy w \u015bwiadczeniu us\u0142ug.<\/p>\n

    Specyfika incydentu cybernetycznego ka\u017ce bra\u0107 pod uwag\u0119 wszystkie aktywa na kt\u00f3re mo\u017ce mie\u0107 on wp\u0142yw. Ca\u0142kowity koszt incydentu powinien obejmowa\u0107 koszty strat bezpo\u015brednich (przestoje, wymiana sprz\u0119tu, utrata danych) oraz koszty z tytu\u0142u strat po\u015brednich (czas pracy zwi\u0105zany z wyja\u015bnieniem incydentu, utrata reputacji, wp\u0142yw na wizerunek).<\/p>\n

    W literaturze fachowej wsp\u00f3\u0142czynnik ten nazywany jest SLE (ang. Single Loss Expectancy), czyli jednorazow\u0105 oczekiwan\u0105 strat\u0105. Jego oszacowanie zale\u017cy od specyfiki danej firmy i przyj\u0119tej metodologii. SLE skradzionego laptopa mo\u017ce by\u0107 bowiem warto\u015bci\u0105 samego sprz\u0119tu, natomiast uwzgl\u0119dniaj\u0105c znajduj\u0105ce si\u0119 w nim informacje wra\u017cliwe, warto\u015b\u0107 wsp\u00f3\u0142czynnika diametralnie ro\u015bnie5<\/sup>.<\/p>\n

    Drugim krokiem jest oszacowanie ARO (ang. – Annual Rate of Occurence), czyli roczny wsp\u00f3\u0142czynnik wyst\u0105pienia. Odnosi si\u0119 on do oczekiwanej cz\u0119stotliwo\u015bci wyst\u0119powania ryzyka lub zagro\u017cenia, w tym wypadku cybernetycznego. Decyduj\u0105c si\u0119 na obliczenie go w przedzia\u0142ach rocznych, jeden atak w ci\u0105gu 12 miesi\u0119cy dawa\u0142by warto\u015b\u0107 ARO na poziomie 1. Je\u017celi jednak incydent pojawia si\u0119 raz na dwa lata \u2013 wynosi on w\u00f3wczas 0.5.<\/p>\n

    Iloczyn SLE i ARO nazywa si\u0119 ALE (ang. Annual Loss Expentancy) i okre\u015bla on warto\u015b\u0107 rocznej straty, jakiej nale\u017cy spodziewa\u0107 si\u0119 w zwi\u0105zku z potencjalnym zagro\u017ceniem cyberprzest\u0119pc\u00f3w.<\/p>\n

    W dzisiejszym, coraz bardziej cyfrowym \u015bwiecie, gdzie sie\u0107 wykorzystywana jest nie tylko do bie\u017c\u0105cej obs\u0142ugi klient\u00f3w, ale r\u00f3wnie\u017c przechowywania ich danych oraz innych, kluczowych dla danej organizacji informacji, wsp\u00f3\u0142czynnik ALE wzrasta\u0107 mo\u017ce do trudnych do wyobra\u017cenia, id\u0105cych w miliony z\u0142otych warto\u015bci. Tym bardziej szokuj\u0105cym jest wi\u0119c fakt, \u017ce – jak wynika ze wspomnianego wy\u017cej raportu KPMG – prawie po\u0142owa firm (48%) nie planuje wcale inwestowa\u0107 w bezpiecze\u0144stwo w procesach wytwarzania oprogramowania, a 42% nie zamierza ponosi\u0107 nak\u0142ad\u00f3w na klasyfikacj\u0119 i kontrol\u0119 aktyw\u00f3w. Wzgl\u0119dem badania przeprowadzonego przed rokiem, na pocz\u0105tku 2022 roku we wszystkich obszarach zabezpiecze\u0144 odnotowano zwi\u0119kszony odsetek przedsi\u0119biorstw niezamierzaj\u0105cych przeznacza\u0107 na nie nak\u0142ad\u00f3w inwestycyjnych.<\/p>\n

    W\u0142asny potencja\u0142 czy mo\u017ce outsoursing?<\/h2>\n

    Istnieje pewne logiczne wyja\u015bnienie paradoksu zwi\u0105zanego z deklaracjami znacznej cz\u0119\u015bci firm dotycz\u0105cym braku inwestycji w infrastruktur\u0119 bezpiecze\u0144stwa przy jednoczesnym rozumieniu rosn\u0105cego zagro\u017cenia ze strony haker\u00f3w, obserwowanego od czas\u00f3w pandemii, a nast\u0119pnie 24 lutego, czyli inwazji Rosji na Ukrain\u0119. Wskazuj\u0105 one bowiem na skal\u0119 wydatk\u00f3w zwi\u0105zanych z budow\u0105, rozbudow\u0105 b\u0105d\u017a utrzymaniem w\u0142asnego dzia\u0142u dedykowanemu ochronie cyfrowej firmy.<\/p>\n

    Wszyscy obserwujemy trendy na rynku pracy \u2013 z jednej strony deficyt fachowc\u00f3w, z drugiej rosn\u0105c\u0105 presj\u0119 p\u0142acow\u0105, ustalaj\u0105c\u0105 poziom oczekiwanego wynagrodzenia powy\u017cej mo\u017cliwo\u015bci du\u017cej cz\u0119\u015bci przedsi\u0119biorstw, zw\u0142aszcza z sektora M\u015aP. Dodatkowo dzia\u0142 IT jawi si\u0119 jako przys\u0142owiowa \u201estudnia bez dna\u201d, wymagaj\u0105ca ci\u0105g\u0142ych nak\u0142ad\u00f3w inwestycyjnych w sprz\u0119t, oprogramowanie, usuwanie usterek, konieczno\u015b\u0107 ca\u0142odobowego funkcjonowania.<\/p>\n

    Dla dw\u00f3ch trzecich organizacji w Polsce optymalnym rozwi\u0105zaniem okazuje si\u0119 skorzystanie z us\u0142ug profesjonalnych firm zewn\u0119trznych. Jest to istotny wzrost wzgl\u0119dem ubieg\u0142ego roku, kiedy to tylko nieco ponad po\u0142owa przedsi\u0119biorstw deklarowa\u0142a zlecanie stworzenia polityki bezpiecze\u0144stwa dostawcom zewn\u0119trznym. W wi\u0119kszo\u015bci przypadk\u00f3w firmy decyduj\u0105 si\u0119 na outsoursing ca\u0142o\u015bciowy (wi\u0119cej ni\u017c jeden model b\u0105d\u017a proces), a tendencja za ca\u0142y czas ro\u015bnie.<\/p>\n

    Doskona\u0142ym przyk\u0142adem jest jeden z klient\u00f3w T-Mobile, stanowi\u0105cy jednostk\u0119 samorz\u0105du terytorialnego. W jego przypadku koszt stworzenia i utrzymania w\u0142asnej infrastruktury bezpiecze\u0144stwa (uwzgl\u0119dniaj\u0105cy m.in. wynagrodzenia, szkolenia, wydatki na sprz\u0119t i licencje czy wyposa\u017cenie) ponad dwukrotnie w skali roku przewy\u017csza\u0142 cen\u0119 us\u0142ugi ochrony przed cyberzagro\u017ceniami.<\/p>\n

    Z biegiem czasu r\u00f3\u017cnice pomi\u0119dzy kosztami utrzymywania w\u0142asnego dzia\u0142u IT a korzystaniem z us\u0142ug dostawc\u00f3w zewn\u0119trznych, zazwyczaj elastycznie i indywidualnie wsp\u00f3\u0142pracuj\u0105cych z ka\u017cdym klientem, uwzgl\u0119dniaj\u0105c jego specyfik\u0119, coraz bardziej si\u0119 pog\u0142\u0119biaj\u0105. Szacuje si\u0119, \u017ce wydatki zwi\u0105zane z outsoursingiem \u2013 bior\u0105c pod uwag\u0119 opisane wcze\u015bniej obliczenia ALE \u2013 zwracaj\u0105 si\u0119 ju\u017c po kilku miesi\u0105cach od podpisania umowy. Ocenia si\u0119 bowiem, \u017ce ju\u017c dzi\u015b firmy przeznaczaj\u0105 na ryzyko cybernetyczne \u015brednio od 1,7% do 12% wydatk\u00f3w na IT (czasami nawet do 20% w zale\u017cno\u015bci od poziomu ryzyka), a rzadko wydaj\u0105 mniej ni\u017c 5%6<\/sup>. Outsoursing w tym kontek\u015bcie wydaje wi\u0119c nie tylko drog\u0105 do minimalizacji ryzyka, ile wyra\u017anego ograniczania zb\u0119dnych wydatk\u00f3w.<\/p>\n

    W stosunku do stanu sprzed wojny SOC T-Mobile Polska obs\u0142u\u017cy\u0142 o 40% wi\u0119cej incydent\u00f3w bezpiecze\u0144stwa. G\u0142\u00f3wnie by\u0142o to z\u0142o\u015bliwe oprogramowanie, exploity oraz ataki typu brute force. Wzrost atak\u00f3w typu DDOS na infrastruktur\u0119 naszych klient\u00f3w jest ponad 20% wi\u0119kszy w stosunku do tego samego okresu w poprzednim roku, natomiast w stosunku do infrastruktury T-Mobile jako operatora wzr\u00f3s\u0142 o ponad 60%.<\/p>\n

    Eksperci zwracaj\u0105 r\u00f3wnie\u017c uwag\u0119, \u017ce nie ma co liczy\u0107 na odwr\u00f3cenie si\u0119 trendu i zanik aktywno\u015bci cyberprzest\u0119pc\u00f3w. \u015awiat staje si\u0119 coraz bardziej cyfrowy \u2013 zmienia si\u0119 wi\u0119c charakter dzia\u0142alno\u015bci z\u0142odziei i oszust\u00f3w. Do lamusa odesz\u0142y przerysowane przez Hollywood napady na bank w maskach czy po\u0144czochach na g\u0142owie, a do w\u0142amania wystarczy dzi\u015b pierwszy lepszy komputer. Co gorsza, rachunek potencjalnych strat i zysk\u00f3w sk\u0142ania cyberprzest\u0119pc\u00f3w do testowania odporno\u015bci coraz mniejszych firm7<\/sup>, kt\u00f3re nie odrobi\u0142y uwsp\u00f3\u0142cze\u015bnionej lekcji Leonarda Savage’a i nie chcia\u0142y b\u0105d\u017a nie zd\u0105\u017cy\u0142y zainwestowa\u0107 w odpowiedni\u0105, cyfrow\u0105 ochron\u0119 swoich system\u00f3w.<\/p>\n

    Podsumowanie<\/h3>\n