Większość polskich firm nieodporna na cyberataki

Jedynie 8 proc. polskich firm jest dojrzałe pod względem bezpieczeństwa cybernetycznego - wynika z przedstawionego we wtorek raportu firmy doradczej PwC. Raport zatytułowano: Cyber-ruletka po polsku, a jego autorzy zastanawiają się, dlaczego firmy w walce z cyberprzestępczością liczą na szczęście.

Jak podano w raporcie, w 2017 r. w wyniku cyberataków straty finansowe poniosło 44 proc. polskich przedsiębiorstw, a 62 proc. odnotowało zakłócenia.

- Cyberzagrożenia to nie tylko problem IT, ale poważne ryzyko biznesowe. Prezesi z prawie wszystkich regionów świata zaliczają je do 5 najważniejszych ryzyk dla swojej firmy. Tylko w Europie Środkowo-Wschodniej i Ameryce Łacińskiej obszar ten wciąż nie stanowi priorytetu. Również w Polsce często obserwujemy cyber-ruletkę, liczenie na szczęście i fałszywe przekonanie, że firma jest dobrze zabezpieczona. Tymczasem, jak od 5 lat pokazują wyniki naszego badania, mamy sporo do nadrobienia – mówi Piotr Urban, partner w PwC, lider usług cyberbezpieczeństwa w regionie Europy Środkowo-Wschodniej.

Nieliczne firmy potrafią się bronić
Indeks Cyberbezpieczeństwa, stworzony przez PwC na podstawie badania ponad 100 polskich firm, wskazuje, że tylko 8% z nich jest w pełni dojrzała pod względem odporności na cyberzagrożenia, to znaczy posiada odpowiednie narzędzia i systemy zabezpieczeń (wdrożone SIEM, Anty APT, IPS/IDS, SOC), dedykowany zespół ds. cyberbezpieczeństwa, a budżet na bezpieczeństwo stanowi co najmniej 10% wartości całego budżetu IT. Kolejnych 7% przedsiębiorstw eksperci PwC uznają za średnio dojrzałe.

- Coraz trudniej nadążyć za rozwojem technologii, która z jednej strony wspiera efektywność biznesu, ułatwia pracę i przyczynia się do większej integracji przedsiębiorstw, konsumentów i międzynarodowych rynków. Z drugiej strony jednak otwiera wrota do świata biznesu dla osób o nieuczciwych zamiarach, stając się źródłem istotnych strat, zarówno finansowych, jak też związanych z reputacją. Polskie firmy przeznaczają na cyberbezpieczeństwo średnio zaledwie 3% swojego całkowitego budżetu IT, a to zdecydowanie za mało, by można było zbudować skuteczną obronę – mówi Tomasz Sawiak, wicedyrektor w zespole ds. cyberbezpieczeństwa w PwC.

 
Bezpieczeństwo ekonomiczne obrotu gospodarczego >>

Incydenty w większości firm
Z danych zebranych w raporcie PwC wynika, że w 2017 r. 65% firm w Polsce wykryło incydenty związane z bezpieczeństwem. Ich najczęstszym źródłem niezmiennie aktualni pracownicy (33%), hakerzy (28%) oraz byli pracownicy (13%). Skutki cyberataków dla polskich przedsiębiorców były dotkliwe. 44% z nich deklaruje, że w wyniku zaistniałych incydentów poniosło straty finansowe. Odsetek ten jest prawdopodobnie jeszcze wyższy, jeśli weźmiemy pod uwagę, że aż 62% firm odnotowało zakłócenia i przerwy w funkcjonowaniu, w tym 26% takie, które trwały więcej niż jeden dzień roboczy.

Utrata lub uszkodzenie danych
W 21% przypadków systemy zostały zainfekowane ransomware, 20% incydentów skończyło się utratą lub uszkodzeniem danych, 11% kradzieżą własności intelektualnej, a 10% wyciekiem danych o klientach.
- Przestoje będące wynikiem cyberincydentu szczególnie dotkliwe mogą być dla firm produkcyjnych, gdzie straty z tym związane bardzo łatwo przełożyć na wymiar finansowy.  Obszar produkcji jest szczególnie podatny na ataki ze względu na zamknięty charakter systemów sterowania, klasy SCADA czy DCS, wykorzystujących przestarzałe technologie informatyczne. Łączenie ich z systemami informacji zarządczej lub ERP otwiera je na współczesne cyberataki. Tym większe znaczenie ma zapewnienie właściwej ochrony systemom sterowania i nadzoru. Nieświadomość związaną z zagrożeniem i jego skutkami pokazuje także fakt, że jedynie co dziesiąta firma w Polsce posiada polisę ubezpieczeniową od ryzyk związanych z cyberbezpieczeństwem” – mówi Patryk Gęborys, wicedyrektor w zespole ds. cyberbezpieczeństwa w PwC.

Ochorna musi kosztować
Średnio firmy przeznaczają jedynie 3% budżetu z puli budżetu IT na działania związane z ochroną przed cyberatakami. Tymczasem podmioty, które w Indeksie Cyberbezpieczeństwa zostały uznane za dojrzałe w tym względzie, wydają średnio 10%. Z badania PwC wynika także, że 20% dużych i średnich firm w Polsce nie posiada żadnego specjalisty od cyberbezpieczeństwa, a 46% nie stworzyła procedur reakcji na incydenty.

Z raportu PwC wynika, że w kolejnych latach priorytetem inwestycyjnym dla firm będzie wdrożenie nowych technologii w organizacjach, takich jak Internet Rzeczy (62%), sztuczna inteligencja (53%) i robotyka (44%). Tymczasem zapytani o priorytety bezpieczeństwa, respondenci wskazują przede wszystkim na zagadnienia związane z bieżącą ochroną i wykonywaniem swoich obowiązków. Zdecydowanie mniejszym zainteresowaniem cieszy się działanie ukierunkowane na zapewnienie spójności między procesami technologicznymi, a bezpieczeństwem funkcji organizacji. Tym samym można stwierdzić, iż cyberbezpieczeństwo w polskiej firmie nie jest elementem integralnym w procesie wdrażania technologii.

Niewiele firm gotowych na RODO
Unijne rozporządzenie o ochronie danych osobowych (RODO) wchodzi w życie 25 maja br. Niewywiązanie się z wynikających z tego dokumentu obowiązków może skutkować karami finansowymi do 20 mln euro lub 4% wartości rocznego światowego obrotu przedsiębiorstwa. Tymczasem z badania PwC wynika, że tylko 3% firm w Polsce ocenia swoja gotowość do wdrożenia RODO na pełną. Aż połowa badanych firm swoją gotowość do wejścia w życie unijnych regulacji ocenia na poziomie poniżej 30%, a 20% w ogóle nie zaczęło jeszcze przygotowania do nowych wymogów.