Cyberparadoks Wielkiej Brytanii: lepiej przygotowani, ale częściej atakowani

Krajobraz cyberbezpieczeństwa w Wielkiej Brytanii znajduje się teraz na rozdrożu: brytyjskie organizacje są lepiej przygotowane strukturalnie niż kiedykolwiek – dzięki solidnym strategiom tworzenia kopii zapasowych i formalnym ramom odporności. Mimo to prawie osiem na dziesięć organizacji zgłosiło, że w ciągu ostatnich 12 miesięcy doświadczyło ataku cybernetycznego. Okazuje się, że gotowość i narażenie nie wykluczają się nawzajem.

Wyniki najnowszego badania ManageEngine pokazują, że Wielka Brytania poczyniła rzeczywisty postęp w obliczu utrzymującego się krajobrazu zagrożeń. Zrozumienie przyczyny tego kontrastu jest pierwszym krokiem w kierunku jego rozwiązania.

Zwykli podejrzani i ich modus operandi

Wycieki danych (39 %), phishing (48 %) i ransomware (46 %) znajdują się na szczycie listy incydentów doświadczanych przez organizacje w Wielkiej Brytanii, a fakt, że są to główni sprawcy, sam w sobie wiele mówi. Nie są to nowe ani niedawno wyewoluowane typy ataków – są to dobrze zbadane zagrożenia istniejące od dziesięcioleci. Mimo znaczących postępów w cyberbezpieczeństwie nadal wywołują skutki w alarmująco częstym tempie.

Zakres szkód, które powodują, również wyróżnia je szczególnie. Często te incydenty nie pozostają odizolowane – niosą ze sobą realne konsekwencje, które rozprzestrzeniają się na większe i bardziej niebezpieczne skutki, czasami wpływając na całą organizację.

Jednak, choć przyczyny są frustrująco znajome, stanowią ponury przypomnienie. Wykorzystywanie luk, błąd ludzki i słabości podmiotów trzecich nieustannie pojawiają się jako główne przyczyny najpoważniejszych incydentów. Ścieżki, które wykorzystują atakujący, są w dużej mierze takie same, jak od zawsze, wplecione w same podstawy cyberbezpieczeństwa. Odpowiedź, choć niewygodna, wskazuje mniej na wyrafinowanie napastników, a bardziej na luki w konsekwencji stosowania przez organizacje tego, co już wiedzą.

Recenzje się odbywają. Ale przemyślenia ledwie zachodzą.

Trzeba przyznać, że organizacje w Wielkiej Brytanii nie ignorują całkowicie rzeczywistości. Większość respondentów (96 %) w badaniu przeprowadziła formalny przegląd po incydencie po doświadczeniu ataku – co jest imponującą liczbą świadczącą o odpowiedniej dyscyplinie.

Jednak tutaj kontrast staje się naprawdę widoczny. Mimo niemal perfekcyjnych liczb w zakresie przeglądów po incydentach, mniej niż cztery na dziesięć organizacji podjęło się wprowadzenia szerszych, długoterminowych ulepszeń w swoich strategiach odporności. Większość z nich jedynie wprowadziła ukierunkowane poprawki lub łatki w dotknięte luki i poszła dalej.

To dowodzi fundamentalnej różnicy między jedynie reagowaniem a rzeczywistym uczeniem się. Łatanie luki jest niezbędne do zapewnienia ciągłości działania, ale nie powinno się na tym kończyć. Budowanie ram bezpieczeństwa, które utrudniają przyszłe wykorzystanie luk, świadczy o prawdziwej odporności. Większość organizacji w Wielkiej Brytanii wykazała się dobrą praktyką w pierwszym zakresie, jednocześnie konsekwentnie zawodząc w drugim.

Kiedy najwyższe kierownictwo reaguje tylko na pożary

Część wyjaśnienia leży w samych najwyższych rangą menedżerach. Choć 94 % brytyjskich firm ma jasno określone obowiązki związane z incydentami cyberbezpieczeństwa, a 97 % posiada strategię tworzenia kopii zapasowych, rzeczywistość zaangażowania przywództwa przedstawia nieco inną historię. Tylko jedna trzecia respondentów opisała udział zarządu i kadry C‑suite jako „wysoki i ciągły”. Znaczna liczba zauważyła, że ich przywództwo angażuje się, ale jedynie wtedy, gdy już doszło do poważnego kryzysu.

Ten reaktywny schemat ma naprawdę poważne konsekwencje. Organizacje, których przywódcy zwracają uwagę dopiero po wystąpieniu problemu, są ograniczone w zdolności budowania przyszłościowej odporności, jakiej wymaga dzisiejszy nieustannie zmieniający się krajobraz zagrożeń. Przywództwo w trybie kryzysowym pomaga tymczasowo ugasić pożary, ale nie jest wiarygodną strategią.

AI jest na radarze — ale sama pewność nie jest strategią

Pozytywną stroną jest to, że organizacje w Wielkiej Brytanii nie są całkowicie nieświadome nadchodzących zagrożeń. Ataki zasilane sztuczną inteligencją są teraz prognozowane jako największe ryzyko w ciągu najbliższych 12 miesięcy, a priorytety inwestycyjne również się w tym kierunku zmieniają. Zarządzanie, monitorowanie i gotowość na AI również zyskują na znaczeniu w agendzie.

Pewność jest również dość wysoka, ale pewność bez solidnej struktury, która ją wspiera, staje się zupełnie nowym rodzajem podatności.

Cyberparadoks Wielkiej Brytanii nie zostanie rozwiązany jedynie poprzez inwestowanie w bardziej zaawansowaną technologię, wdrażanie gruntownych przeglądów po incydentach, czy nawet zwiększoną świadomość zarządu — choć wszystkie te elementy mają znaczenie łącznie. Zostanie rozwiązany, gdy organizacje przestaną traktować każdy incydent wyłącznie jako problem do zamknięcia i zaczną postrzegać go jako lekcję, z której można się czegoś nauczyć. Fundamenty już istnieją, teraz liczy się konsekwencja w ciągłym doskonaleniu.