דו"ח תקופתי בנושא סייבר ופרצות אבטחה פורסם לפני מספר ימים בבריטניה. מדובר במחקר שמבוסס על סקר, שנועד לבדוק את החוסן של בריטניה בפני מתקפות סייבר וליידע את הממשלה והאזרחים בנושא. הסקר בוצע בסוף 2022 ותחילת 2023.
לפי הדו"ח, מתקפות הסייבר ממשיכות להוות איום, אולם בארגונים קטנים מיוחסת לסיכון הסייבר חשיבות נמוכה יותר לעומת השנה הקודמת. נראה שמנהלי אבטחת המידע בארגונים קטנים רואים באבטחת סייבר פרמטר פחות קריטי באקלים הכלכלי הנוכחי, לעומת שנים קודמות.
32% מהעסקים בבריטניה דיווחו כי חוו מתקפות או פרצות אבטחה במהלך 12 החודשים האחרונים. בקרב עסקים בינוניים, 59% דיווחו על מתקפות כאלה. בקרב עסקים גדולים, האחוזים עולים ל-69% – ייתכן שניתן לייחס את השכיחות הנמוכה יותר בעסקים קטנים ובינוניים ליכולות זיהוי טובות פחות של ניסיונות תקיפה בעלי השפעה נמוכה. כמו כן, במגזר השלישי, בו נסקרו עמותות וארגוני סיוע עם מחזור שנתי של מעל 500 אלף ליש"ט, דיווחו 56% מהארגונים על מתקפות סייבר.
מדובר בירידה של כ-39% במספר העסקים שדיווחו על מתקפות סייבר, לעומת הדוח של השנה שעברה. הירידה נובעת בעיקר מהעסקים הקטנים, שכאמור לא מציבים את הגנת הסייבר בעדיפות ראשונה. החוקרים שביצעו את הסקר מעריכים כי כל מתקפה שזוהתה (כולל מתקפות בעלות השפעה מינורית) גרמה בממוצע לנזק של 1,100 ליש"ט לעסק בכל גודל. אולם, אם בוחנים את החברות הבינוניות והגדולות, הנזק הממוצע עולה משמעותית לכמעט 5,000 ליש"ט.
אבטחת מידע לעסקים אינה בעדיפות עליונה עבור עסקים זעירים. רק 68% מדווחים על אבטחת סייבר כנושא בעדיפות גבוהה, לעומת 80% במהלך 2022.
איומים והגנה על המידע
איומי הסייבר הנפוצים ביותר אינם מתוחכמים במיוחד, לכן ההמלצה של גורמי הממשל בבריטניה לעסקים ועמותות היא להקפיד על כמה אמצעי "היגיינת סייבר" כדי לטפל בנושא אבטחת המידע. לרוב העסקים יש אמצעי הגנה בסיסיים, כמו תוכנות לאיתור נוזקות (malware), גיבויים בענן, סיסמאות חזקות, הרשאות אדמין מוגבלות ופיירוול. נראה שיש עלייה בהקפדה על סיסמאות חזקות וגם בשימוש בפיירוול, וגם בהגבלה של הרשאות גבוהות (Admin).
ניהול סיכונים ושרשרת אספקה
נראה שעסקים מודעים יותר לסיכוני הסייבר לעומת עמותות, וגם נוטים לפעול יותר בתחום זיהוי סיכוני סייבר. העסקים הגדולים מתוחכמים יותר מהעסקים הקטנים בעניין זה – נתון לא מפתיע, מכיוון שעל פי הדו"ח הם גם נמצאים בסיכון גבוה יותר. יש לא מעט נתונים הסותרים תפיסה זו, זאת מכיוון שעסקים קטנים מהווים לא פעם "מטרה קלה" לתוקפים, הם אינם ערוכים לניהול והכלה נכונה של אירוע סייבר, יכולות ההתאוששות שלהם פחותות, וחשיפתם לאירוע סייבר משמעותי עשויה להביא אף לסגירתם.
רק שלושה מתוך עשרה עסקים בבריטניה ביצעו הערכה של סיכוני סייבר בשנה האחרונה. בקרב עסקים גדולים, מדובר על 63% שביצעו הערכה כזו. כ-30% מהעסקים מפעילים כלי ניטור לאבטחת מידע (72% מהעסקים הגדולים). כ-37% מהעסקים מבוטחים נגד מתקפות סייבר (ביטוח נגד מתקפות סייבר נפוץ יותר בקרב עסקים בינוניים לעומת חברות גדולות).
רק אחד מתוך עשרה עסקים לערך ציין כי הוא בודק את הסיכונים הצפויים מהספקים הישירים שלו, אך בהתייחס למגזר החברות הגדולות 55% בוחנים סיכוני שרשרת אספקה ישירים. סיכוני הסייבר הנובעים מתלות תפעולית בספקים ולעתים אף מגישת ספקים למערכות החברה, התממשו לא פעם באירועים דמויי תאונת שרשרת. על פי דיווחים, מתקפת הסייבר על חברת התוכנה עמיטל, למשל, הביאה לפי ההערכות לפריצה ל-15-20 חברות נוספות אשר נמנו על לקוחותיה.
ל-53% מהעסקים הגדולים בבריטניה יש חברי הנהלה שאחראים ישירות על אבטחת מידע וסייבר בחברה. ל-49% מהעסקים הבינוניים ול-68% מהעסקים הגדולים יש אסטרטגיית סייבר רשמית ומסודרת. רק כ-33% מהעסקים הגדולים בבריטניה כוללים סיכוני סייבר בדו"חות השנתיים.
המודעות הגוברת לסיכוני סייבר ולצורך להתמודד איתם, מביאה לכך שכמחצית מהעסקים בבריטניה מדווחים כי חיפשו מידע או הכוונה בנושא אבטחת מידע מחוץ לארגון – בין אם מדובר בייעוץ סייבר, מומחי IT וכו'.
החוקרים מסבירים כי האקלים הכלכלי השונה השנה, משפיע על ההתייחסות של העסקים לנושא אבטחת המידע. עסקים קטנים הסבירו שהם נושאים בעלויות גבוהות יותר וצריכים לתכנן את התזרים בצורה מהודקת יותר לאור האינפלציה, מחירי האנרגיה והאי-וודאות הכלכלית. לכן, רואים בסקר שעסקים קטנים מייחסים לאבטחת סייבר עדיפות נמוכה יותר בהשוואה לשנים קודמות. תופעה זו עלולה לגרום לכך שעסקים קטנים לא יזהו בזמן את סיכוני האבטחה – וזה גם מסביר מדוע פחות מהם דיווחו על מתקפות סייבר. זה לא שהמתקפות לא מתרחשות, הם פשוט לא מזהים אותן. למעשה, עם תום משבר הקורונה העולמ, חלה עלייה משמעותית בתקיפות סייבר.
החוקרים זיהו 4 אזורים שבהם ארגונים יכולים לשפר את הגישה שלהם לנושא אבטחת הסייבר, ולטייב את ההגנה שלהם על המידע:
- תקשורת טובה ומתמשכת בין צוותי ה-IT ובין ההנהלה והעובדים, והנחלת תרבות עבודה מודעת לסיכוני אבטחת מידע.
- אימוץ אסטרטגיות אבטחת מידע מסודרות מסייע מאוד להתמודדות עם איומי סייבר.
- לא מספיק ארגונים מתייחסים לסיכונים בשרשרת האספקה.
- לארגונים רבים אין עדיין תוכנית או צוות תגובה למתקפות סייבר (IR) מסודרים.
