Zaniedbania w cyberbezpieczeństwie słono kosztują. Firmy tracą średnio ponad 4 mln dolarów rocznie z powodu ataków hakerów, wynika z raportu IBM Security. Kto za to płaci? Na pewno nie korporacje – aż 6 na 10 ankietowanych firm przyznaje, że kosztami obarcza swoich klientów.
Raport IBM Security został skonstruowany na podstawie analizy rzeczywistych naruszeń danych, dostarczonych przez 550 organizacji z całego świata. Analiza dotyczyła okresu od marca 2021 r. do marca 2022 r. Badanie zostało sponsorowane i przeprowadzone przez firmę Ponemon Institute, na zlecenie IBM.
Autorzy dokumentu zwracają uwagę na rosnące koszty spowodowane cyberatakami. Średni koszt naruszenia bezpieczeństwa wśród badanych organizacji wyniósł 4,35 mln dolarów. To rekordowy poziom i wzrost o prawie 13 proc. względem badania sprzed dwóch lat.
Badacze wskazują na zależność pomiędzy stratami, powstałymi w wyniku cyberataków, a wzrostem cen produktów i usług. W analizowanej próbie aż 6 na 10 (60 proc.) podmiotów podniosło ceny.
– Ceny produktów rosną nie tylko z powodu inflacji, ale także cyberataków. Mało kto zdaje sobie sprawę, że te kosztują i to słono. Najlepszym tego dowodem jest atak na infrastrukturę krytyczną operatora amerykańskiej sieci rurociągów paliwowych Colonial Pipeline. W tym przypadku sam okup wypłacony przestępcom kosztował firmę 5 mln dolarów. Do tego trzeba doliczyć brak możliwości realizowania dostaw, straty wizerunkowe oraz koszty zabezpieczeń. Te koszty firmy przerzucają siłą rzeczy na klientów rekompensując straty – tłumaczy Krzysztof Wójtowicz, dyrektor sprzedaży w ICsec S.A.
Autorzy opracowania podkreślają znaczenie „efektu prześladowania” – psychologicznego procesu generowanego przez powtarzające się naruszenia bezpieczeństwa. Raport IBM wskazuje, że zdecydowana większość (83 proc.) badanych podmiotów doświadczyło więcej niż jednego ataku podczas swojej działalności. Skutki włamań są odczuwalne w dłuższym okresie i mają tendencję wzrostową - prawie połowa (50 proc.) kosztów naruszeń jest ponoszonych ponad rok po incydencie.
– Średni czas od wycieku do jego wykrycia to około 6 miesięcy. W tym czasie organizacja jest narażona na niekontrolowany wyciek informacji i zasobów. Zdarza się, że wiadomości z żądaniem okupu wysyłane są dopiero po roku od włamania – tłumaczy Wójtowicz.
Wśród zbadanych organizacji, prawie 80 proc. nie stosuje strategii zerowego zaufania (podejście do bezpieczeństwa zakładające weryfikację każdej transakcji i każdego adresu IP, pod kątem możliwego cyberataku). W ich przypadku średnie koszty włamań wynoszą 5,4 mln dol., a zatem jest to więcej o 1,17 mln dolarów w porównaniu z podmiotami, które do reguł zero trust się stosują.
Według autorów raportu, nie opłaca się płacić okupu na żądanie cyberprzestępców. Te podmioty, które w wyniku ataku ransomware zdecydowały się spełnić żądanie, odnotowały jedynie 630 tys. dolarów mniej przeciętnych kosztów naruszenia, w porównaniu z tymi, które zdecydowały się cyberprzestępcom nie płacić. W tych wyliczeniach nie jest uwzględniony koszt zapłaty okupu, który, dodany do rachunku, sprawia często, że zapłacenie haraczu jest nie tylko przeciwskuteczne (zachęca do kolejnych ataków), ale też nieopłacalne finansowo – łączny koszt może się okazać wyższy.
Organizacje mają sporo do poprawy, jeśli chodzi o poziom zabezpieczeń w informatycznych środowiskach chmurowych. 43 proc. przebadanych organizacji nie ma żadnych bądź jedynie podstawowe zabezpieczenia w swoich środowiskach chmurowych.
– Kluczową kategorią, jeśli chodzi o wykrywanie zabezpieczeń, jest czas reakcji. Zdiagnozowanie zagrożenia we właściwym momencie pozwala zminimalizować szkody wyrządzone atakami. Firmy stoją obecnie przed wyborem: podwyższyć ceny, kompensując sobie w ten sposób straty powstałe w wyniku włamań, albo zainwestować w technologie gwarantujące odpowiednie reagowanie i wykrywanie – zauważa ekspert ICsec S.A.
