Niekto kedysi povedal, že definíciou šialenstva je „robiť to isté znova a znova a očakávať pritom iné výsledky“. Pokiaľ sa bavíme o kybernetickej bezpečnosti, je to často krát bežný prístup: neriešiť základné problémy, ignorovať zraniteľné miesta, a potom byť rok čo rok prekvapený, keď príde k útoku. Myslíte, že vašej organizácie sa to netýka? Uisťujem Vás, že sú len dve možnosti. Buď ste sa obeťou hackerského útoku už stali, alebo sa ňou stanete.

Ransomvér a jeho stúpajúce čísla

Hlavným rozdielom oproti minulosti je, že cena, ktorú organizácie platia za vlastnú benevolenciu je dnes oveľa vyššia. Veľkým strašiakom súčasného online sveta sa stal škodlivý softvér s názvom  ransomvér. Prieskumy uskutočnené v 30 krajinách napríklad ukázali, že priemerné náklady spojené s ransomvérovými útokmi (výška výkupného, prestoje a náklady na ľudí, prevádzkovo-technické sanácie a ďaľšie) sa výrazne zvýšili zo 761 106 dolárov v roku 2020 na 1,85 milióna dolárov v roku 2021. Z výsledkov jasne vidieť, že celkové náklady spojené s ransomvérovým útokom sa viac ako zdvojnásobili za jediný rok. Ransomvéroví útočníci stále vylepšujú svoje metódy aby zvýšili účinok útoku – zameriavajú sa na cloud, dodávateľský reťazec alebo poskytovateľov spravovaných služieb. V absolútnych číslach boli celkové náklady organizácií spojené s ransomvérovými útokmi v roku 2020 20 miliárd. Bavíme sa tu iba o jednom konkrétnom type kybernetickej hrozby.

Terčom ste práve Vy

Vo februári 2022 vydali orgány kybernetickej bezpečnosti v Austrálii, USA a Spojenom kráľovstve spoločné odporúčanie, v ktorom zdôraznili zvýšenú globalizovanú hrozbu ransomvéru. Čo však považovali za dôležité zdôrazniť, potenciálnymi cieľmi sú organizácie všetkých veľkostí. Nielen „veľké ryby“ ako by sa mohlo zdať. Hrozby sú totiž všadeprítomné, zasahujú všetky úrovne podnikania a malé a stredné podniky sú obľúbeným terčom kyberzločincov. A to najmä preto, že mnohé z nich nemajú často dostatok prostriedkov na zabezpečenie skutočne kvalitnej bezpečnostnej infraštruktúry, alebo celý problém podcenia práve pod dojmom, že sú pre hackerov nezaujímaví. Opak je pritom pravdou. Poškodenie zariadenia kritickej infraštruktúry alebo podobné prerušenia pri veľkých korporátoch pútajú pozornosť orgánov činných v trestnom konaní. To je niečo, čo žiadny hacker nechce. Ukazuje sa, že menšie až stredne veľké firmy sú častejšie zasiahnuté ransomvérovými útokmi, a to v priemere približne o 70 percent. Priemerná veľkosť spoločnosti čeliacej ransomvérovým útokom v roku 2019 bola 645 zamestnancov, toto číslo má pritom tendenciu klesať.

Ako z toho celého von?

Smutným faktom ostáva, že je stále príliš jednoduché pristupovať k sieťam organizácií a spôsobiť škodu často prostredníctvom známej zraniteľnosti. Bez riešenia týchto problémov budú hackeri s vysokou úspešnosťou pokračovať vo svojom úsilí aj naďalej. Odborníci predpovedajú, že vývoj ransomvéru bude jedným z najväčších hrozieb aj v blízkej a strednej budúcnosti. Je to nekonečný boj, a jediným skutočným riešením je začať brať potrebu zvýšenia kybernetickej bezpečnosti vážne naprieč organizáciami všetkých veľkostí a zamerania. Komplexný nástroj pre zlepšenie úrovne informačnej bezpečnosti naprieč všetkými procesmi organizácie s presahom do dodávateľského reťazca predstavuje norma ISO 27001 (resp. v automobilovom priemysle jej alternatíva TISAX). Výber opatrení obsiahnutých v ISO 27001 je založený na dlhoročných skúsenostiach v danej problematike, pričom norma sa nezameriava len na opatrenia IT, ale aj na opatrenia na zabezpečenie informovanosti všetkých zamestnancov, čo sa javí ako kriticky dôležité. V neposlednom rade dôraz kladie aj na správny manažment dodávateľov, bezpečnosť pri vývoji a akvizícii nových systémov, fyzickú bezpečnosť, bezpečnosť komunikácie a mnoho ďalšieho. V súvislosti s hrozbami ktorým svet v online prostredí čelí je ISO 27001 ideálnym nástrojom na minimalizáciu možnosti, že sa práve vaša organizácie ocitne na zozname obetí kyberzločincov.

Ako začať?

Prvým a najzákladnejším nástrojom pri implementácii noriem ISO27001 a TISAX je GAP analýza. Prostredníctvom tohto nástroja dokáže získať spoločnosť vedomosť o tom, aká je skutočná medzera (GAP) medzi želaným stavom, ktorý popisuje norma a aktuálnym stavom jej zabezpečenia. Všetko čo potrebujete, je odpovedať na otázky (pri ISO 27001 je to 160 otázok) a vybrať jednu z odhadovaných úrovní implementácie pre každé opatrenie. Celá analýza prebieha za asistencie skúseného konzultanta. Výsledkom je graf alebo tabuľka so znázornením úrovne plnenia jednotlivých požiadaviek. Vynikajúci nástroj pre spoločnosti všetkých typov a veľkostí ak hľadajú odpoveď na otázku, čo všetko obnáša normu implementovať, alebo by potrebovali získať prehľad o dodatočných s tým spojených nákladoch.

Zdroje:

https://purplesec.us/resources/cyber-security-statistics/#Ransomware

https://cyber-edge.com/wp-content/uploads/2022/04/CyberEdge-2022-CDR-Report.pdf

https://australiancybersecuritymagazine.com.au/magazines/

ENISA Threat Landscape 2021 – report

GAP analýza:

• poskytuje organizácii prehľad o aktuálnom stave zabezpečenia z hľadiska informačnej bezpečnosti v porovnaní s požiadavkami noriem ISO 27001 / TISAX
• slúži ako usmernenie pre organizáciu pri jej úsilí dosiahnuť certifikáciu ISO27001 / TISAX
• objasňuje, čo všetko je potrebné zahrnúť do rozsahu ISMS a ktoré opatrenia je potrebné implementovať
• pomáha odhadnúť zdroje a rozpočtové potreby projektu implementácie ISO 27001 /TISAX
• umožňuje (na základe poznatkov z nej získaných) organizácii vypracovať strategický plán implementácie potrebných opatrení kybernetickej bezpečnosti
• poskytuje potenciálny časový plán na dosiahnutie certifikácie ISO27001 / TISAX
• pomôže organizácii po všetkých stránkach priblížiť sa k dosiahnutiu akreditovanej certifikácie