Modern Office Manager Informacje dla osób zarządzających w firmie
Może się wydawać, że niewielka skala działalności gospodarczej zapewnia firmie pewną dozę anonimowości i czyni ją mniej atrakcyjnym celem dla cyberprzestępców. To jednak złudne wrażenie. Choć mniejsze podmioty nie dysponują takimi zasobami jak korporacje, w oczach napastników często stanowią „miękkie podbrzusze” gospodarki ze względu na niższy próg trudności w przełamaniu zabezpieczeń. Jak wynika z raportu ESET i DAGMA Bezpieczeństwo IT[1], sektor MŚP zmaga się z istotnym deficytem ochrony: poprawną znajomość procedur deklaruje jedynie 43% pracowników małych firm, podczas gdy w dużych organizacjach wskaźnik ten sięga 65%. Sytuację komplikuje fakt, że dla 38% mniejszych podmiotów kluczową barierą w budowie cyfrowej odporności pozostaje zbyt niski budżet.
Współczesne techniki ataków na sektor MŚP bazują przede wszystkim na wykorzystaniu pośpiechu oraz luk w obiegu dokumentów. Jednym z najdotkliwszych zjawisk jest Business Email Compromise (BEC), który często przybiera formę oszustwa na dostawcę. Napastnicy, po wcześniejszym rozpoznaniu relacji biznesowych firmy, podszywają się pod realnego kontrahenta i przesyłają informację o zmianie numeru konta do wpłat. Dla małej firmy, która nie posiada wielostopniowych procedur weryfikacji płatności, skutkuje to przelaniem środków bezpośrednio do rąk przestępców.
Innym popularnym mechanizmem są oszustwa związane z infrastrukturą cyfrową. Przedsiębiorcy otrzymują fałszywe ponaglenia dotyczące wygasających domen internetowych lub licencji, które pod rygorem zablokowania usług wymagają natychmiastowej wpłaty. W rzeczywistości linki prowadzą do fałszywych bramek płatności, służących do wyłudzania danych do kont bankowych i kradzieży środków.
Arsenał metod stosowanych wobec mniejszych podmiotów jest jednak znacznie szerszy i coraz częściej wykracza poza proste próby wyłudzeń. Jak wynika z analiz ESET, przestępcy umiejętnie wykorzystują autorytet instytucji publicznych oraz zaufanie w relacjach B2B. Coraz popularniejsze stają się ataki na łańcuch dostaw, w których napastnicy przejmują komunikację zaufanego partnera, by uwiarygodnić swoje działania. Równie skuteczną metodą jest budowanie poczucia zagrożenia prawnego – podszywanie się pod organy regulacyjne czy kancelarie informujące o rzekomych naruszeniach przepisów.
Oszustwa skierowane przeciwko mniejszym podmiotom stają się coraz bardziej wyrafinowane, m.in. dzięki wykorzystaniu sztucznej inteligencji, która pozwala sprawcom na tworzenie niemal perfekcyjnie spersonalizowanych wiadomości. Małe firmy często stają się celem tzw. spearphishingu oraz oszustw operacyjnych, takich jak fałszywe wezwania do odnowienia domen czy faktury za rzekome wsparcie techniczne. W środowisku, w którym procedury weryfikacji są uproszczone, a pracownicy często działają pod presją czasu, jedna nieostrożna decyzja może prowadzić do kradzieży danych dostępowych do sieci firmowej i poważnych strat finansowych.
– mówi Kamil Sadkowski, analityk cyberzagrożeń ESET.
Bariera finansowa i luka w ofercie
Choć zagrożenia stają się coraz bardziej złożone, możliwości obronne sektora MŚP pozostają pod silną presją ekonomiczną. Z danych ESET i DAGMA Bezpieczeństwo IT wynika, że to właśnie małe firmy są najbardziej narażone na ryzyko wynikające z niedoinwestowania – zbyt niski budżet wskazuje 38% ekspertów, a wysokie koszty wdrożeń kolejne 33%.
Problem ma jednak również wymiar strukturalny. Co szósta mała organizacja (17%) wskazuje na brak rozwiązań cyberbezpieczeństwa dopasowanych do jej specyficznych potrzeb. Eksperci zwracają uwagę na niedostateczną elastyczność ofert dostawców, które często są projektowane z myślą o dużych korporacjach, pozostawiając mniejsze podmioty z wyborem między rozwiązaniami zbyt kosztownymi a niewystarczającymi. W efekcie powstaje luka inwestycyjna, której nie da się zasypać jedynie doraźnymi działaniami. Skuteczna ochrona wymaga bowiem nie tylko oprogramowania, ale przede wszystkim stałego nadzoru i kompetencji, na których etatowe utrzymanie najmniejsze firmy rzadko mogą sobie pozwolić.
Ewolucja modelu ochrony
Utrzymywanie pełnowymiarowych zespołów IT oraz kosztowne, jednorazowe inwestycje w infrastrukturę stają się dla wielu mniejszych podmiotów barierą nie do przejścia. W obliczu dynamicznie zmieniających się zagrożeń, rynek zmierza w stronę profesjonalizacji usług zewnętrznych. Pozwala to na przesunięcie ciężaru odpowiedzialności za konfigurację i monitoring systemów na wyspecjalizowane podmioty trzecie.
Tak małe organizacje nigdy nie będą mogły pozwolić sobie na szeroki katalog zabezpieczeń, jakich stosowanie już raportują duże organizacje. Najmniejsi potrzebują zaufanych partnerów, którzy pomogą im poprawić bezpieczeństwo w zupełnie podstawowych obszarach. Zatroszczą się o podstawowe zabezpieczenia i ich należytą konfigurację. Wezmą na siebie regularne szkolenia pracowników. Takie firmy już się rodzą, oferując najmniejszym podmiotom usługi cyberbezpieczeństwa w prostych modelach płatności miesięcznych. Obserwujemy więc jak dynamicznie rodzi się w Polsce rynek – na razie małych – dostawców rozwiązań usług zarządzanych (Managed Service Providers) .
– mówi Paweł Jurek, Business Development Director, DAGMA Bezpieczeństwo IT.
W dobie profesjonalizacji cyberprzestępczości, odporność cyfrowa przestaje być domeną działów IT, a staje się fundamentem stabilności finansowej małego przedsiębiorstwa. Dane pokazują, że bariera 38% zbyt niskich budżetów nie musi oznaczać kapitulacji – pod warunkiem porzucenia modelu jednorazowych, kosztownych inwestycji na rzecz ciągłego wsparcia i dopasowanych usług. W polskich realiach rynkowych kluczem do przetrwania sektora MŚP nie będzie zatem wyścig zbrojeń na najdroższe technologie, lecz umiejętność delegowania ochrony tam, gdzie własne zasoby i świadomość kadr okazują się niewystarczające.
