Ak firma počas posledného roka nezaznamenala kybernetický incident, môžu existovať dve vysvetlenia. Buď ju žiadny vážny útok nezasiahol, alebo o ňom zatiaľ nevie.
Moderný kybernetický útok nemusí začať výpadkom, zašifrovanými súbormi ani žiadosťou o výkupné. Útočník sa môže snažiť zostať v systéme čo najdlhšie, sledovať komunikáciu, zbierať údaje a rozširovať svoje oprávnenia. Viditeľná škoda sa môže objaviť až v poslednej fáze.
Pocit bezpečia preto ešte nemusí znamenať, že je firma skutočne odolná.
Sebavedomie slovenským firmám nechýba
Podľa prieskumu Bezpečnosť slovenských firiem v ére AI od spoločnosti ESET je 59 % slovenských organizácií veľmi alebo čiastočne presvedčených, že dokážu odolať kybernetickým hrozbám. Za nedostatočne pripravenú sa považuje iba približne každá desiata firma.
Dôvera vo vlastné opatrenia je pozitívnym signálom. Firmy si bezpečnosť uvedomujú a mnohé už investovali do jej posilnenia.
Pri pohľade na úroveň zavedených opatrení je však obraz menej jednoznačný. Komplexnú správu kybernetickej bezpečnosti uvádza v prieskume 17 % organizácií a proaktívne opatrenia ďalších 28 %. Najväčšia skupina firiem sa spolieha na úroveň označenú ako pokročilá ochrana. Tá však nezahŕňa detekčné mechanizmy, ktoré analyzujú podozrivé správanie v celej firemnej sieti.
Dôležitou otázkou preto nie je iba to, či firma používa bezpečnostné riešenie. Rozhoduje aj to, čo sa stane, keď sa útočníkovi podarí prvú vrstvu ochrany prekonať. Zjednodušene povedané, mnohé slovenské firmy nemajú nástroje, ktoré by dokázali odhaliť najpokročilejšie útoky.
Čo zahŕňajú jednotlivé úrovne ochrany v prieskume.
Základná ochrana sa spolieha na základný antivírus a vstavaný firewall operačného systému, bez oficiálnych pravidiel kybernetickej bezpečnosti a monitoringu.
Pokročilá ochrana zahŕňa ochranu koncových zariadení, vynútenie bezpečného prístupu ku kritickým aplikáciám, využívanie nástrojov na správu a monitoring bezpečnosti a pravidelné aktualizovanie operačného systému a softvéru.
Proaktívne opatrenia implementujú bezpečnostné nástroje na detekciu a reakciu na hrozby, zavádzajú pravidelnú kontrolu zraniteľností a správu záplat vykonávanú interným IT tímom.
Komplexná správa a riadenie vykonáva neustály monitoring, reaguje na incidenty a rieši nápravu, používa nástroje SIEM/SOAR a má dedikovaný bezpečnostný tím alebo poskytovateľa služby.
Prevencia je potrebná, ale nie je neprekonateľná
Každá efektívna ochrana sa začína prevenciou. Aktualizované systémy, zabezpečené účty, viacfaktorová autentifikácia, správne nastavené prístupy a ochrana koncových zariadení dokážu zastaviť veľké množstvo útokov.
Žiadne opatrenie však nedokáže garantovať, že sa do prostredia firmy nikdy nedostane škodlivý súbor alebo kompromitovaný účet.
Zamestnanec môže naletieť presvedčivému phishingu. Dodávateľ môže mať napadnutý účet. Útočník môže zneužiť novú zraniteľnosť alebo starý systém, ktorý firma nedokázala aktualizovať. Legitímne prihlasovacie údaje môžu uniknúť bez toho, aby to ich majiteľ vedel.
V takom prípade sa rozhodujúcou stáva schopnosť firmy všimnúť si, že sa v jej prostredí deje niečo nezvyčajné.
Základná ochrana môže zablokovať známy škodlivý súbor. Sofistikovanejšie nástroje sa však pozerajú aj na správanie v širších súvislostiach. Môžu upozorniť napríklad na neobvyklé prihlásenie, spustenie podozrivého procesu, neoprávnený prístup k údajom alebo komunikáciu zariadenia so známou škodlivou infraštruktúrou.
Rozdiel medzi ochranou a odolnosťou sa ukáže práve vo chvíli, keď prevencia nestačí.
Koľko incidentov zostáva nepovšimnutých?
Počas uplynulého roka zaznamenala bezpečnostný incident približne štvrtina oslovených slovenských organizácií. Globálne ho uviedla takmer polovica firiem.
Nižší podiel na Slovensku môže pôsobiť priaznivo. Berúc do úvahy detekčné schopností organizácií však nemožno automaticky usúdiť, že slovenské firmy čelia výrazne menšiemu počtu útokov.
Incident možno zaznamenať iba vtedy, ak má firma dostatočnú viditeľnosť do svojich zariadení, sietí, používateľských účtov a cloudových služieb. Ak sa spolieha iba na základné nástroje alebo sa bezpečnostným upozorneniam nikto pravidelne nevenuje, nenápadná aktivita môže zostať bez povšimnutia.
Neprítomnosť alarmu totiž nemusí znamenať neprítomnosť problému. Môže znamenať aj to, že ho nemá čo odhaliť alebo kto skontrolovať.
Odolnosť sa nemeria iba počtom zastavených útokov
Kyberneticky odolná firma nie je organizácia, na ktorú nikto nezaútočí. Je to firma, ktorá dokáže incident zvládnuť bez toho, aby vážne ohrozil jej fungovanie.
Takáto pripravenosť zahŕňa niekoľko navzájom prepojených schopností:
Včas rozpoznať podozrivú aktivitu
Čím dlhšie zostane útočník v prostredí firmy, tým viac príležitostí získa na krádež údajov, zmenu nastavení alebo napadnutie ďalších systémov.
Pochopiť rozsah incidentu
Bez presných informácií môže firma izolovať jedno zariadenie, pričom kompromitovaný účet alebo škodlivá aktivita zostanú aktívne inde.
Rýchlo reagovať
Organizácia potrebuje jasné právomoci a postupy. Počas incidentu by nemala prvýkrát zisťovať, kto môže odpojiť zariadenie, zavrieť účet alebo kontaktovať externého partnera.
Udržať alebo obnoviť prevádzku
Zálohy nestačí iba vytvárať. Firma musí vedieť, či sú použiteľné, chránené pred zmenou a či z nich dokáže obnoviť najdôležitejšie systémy v prijateľnom čase.
Incident zdokumentovať a nahlásiť
Organizácia môže potrebovať určiť čas detekcie, priebeh útoku, zasiahnuté systémy a prijaté opatrenia. Bez dostupných dát a logov môže byť takéto vyšetrovanie zdĺhavé.
Poučiť sa
Po vyriešení incidentu treba odstrániť pôvodnú príčinu a upraviť opatrenia tak, aby sa rovnaký scenár neopakoval.
Podľa odpovedí slovenských firiem trvá vyšetrovanie útoku priemerne približne dva týždne. Do tohto obdobia sa môže premietnuť práca technických tímov, obnova prevádzky, komunikácia so zákazníkmi aj riešenie oznamovacích povinností.
Mať nástroj nestačí. Niekto ho musí sledovať
Jednou z najväčších výziev menších firiem nie je iba obstaranie technológie. Je ňou zabezpečenie ľudí, ktorí ju dokážu správne nastaviť, monitorovať a využiť pri incidente.
V mnohých organizáciách sa kybernetickej bezpečnosti venuje IT pracovník popri správe zariadení, používateľských účtov, aplikácií a technickej podpore. Dedikovaného špecialistu na kybernetickú bezpečnosť má podľa prieskumu 12 % slovenských firiem a vlastné bezpečnostné centrum iba 8 %.
Aj kvalitný bezpečnostný nástroj však môže vytvárať upozornenia, ktoré treba preveriť. Niekto musí rozlíšiť bežnú aktivitu od útoku, určiť jeho závažnosť a rozhodnúť o ďalšom postupe.
Hrozby navyše nerešpektujú pracovný čas. Ak sa podozrivá aktivita začne v piatok večer, firma potrebuje vedieť, kto si ju všimne a kto má oprávnenie zakročiť.
Aj menšia firma potrebuje profesionálnu ochranu
Nedostatok interných kapacít nemusí znamenať, že organizácia zostane bez nepretržitého dohľadu. Viac než polovica oslovených slovenských firiem využíva pri správe kybernetickej bezpečnosti externého partnera, či už úplne, alebo v kombinácii s vlastnými zdrojmi.
Jednou z možností je služba Managed Detection and Response, teda MDR. Spája bezpečnostnú technológiu s dohľadom expertov, ktorí vyhodnocujú podozrivú aktivitu a pomáhajú reagovať na incident.
Pre menšiu firmu tak môže byť cestou k schopnostiam, ktoré by si interne budovala len veľmi ťažko:
- nepretržité monitorovanie,
- prístup k bezpečnostným expertom,
- rýchlejšie preverovanie upozornení,
- pomoc pri reakcii na incident,
- lepšia viditeľnosť do priebehu útoku.
MDR nie je náhradou za všetky ostatné bezpečnostné opatrenia. Nevyrieši neaktualizované systémy, chýbajúce zálohy, slabé heslá ani nepripravených zamestnancov. Môže však doplniť chýbajúci dohľad a schopnosť reagovať v čase, keď sa o výsledku incidentu rozhoduje.
Sedem otázok, ktoré odhalia viac než pocit bezpečia
Realistickejší obraz o pripravenosti môže firma získať, ak si odpovie na konkrétne otázky:
- Máme prehľad o podozrivej aktivite na zariadeniach aj v cloude?
- Kto kontroluje bezpečnostné upozornenia mimo pracovného času?
- Ako rýchlo dokážeme izolovať napadnuté zariadenie alebo účet?
- Vieme určiť, čo útočník v našom prostredí urobil?
- Máme otestované zálohy najdôležitejších systémov a dát?
- Vedia zodpovední ľudia, ako postupovať pri incidente?
- Dokážeme zhromaždiť údaje potrebné na jeho nahlásenie?
Ak na niektorú z otázok neexistuje jasná odpoveď, nejde o dôvod na paniku. Je to užitočný signál, kam by mala firma nasmerovať ďalšie zlepšenie.
Sebavedomie má najväčšiu hodnotu vtedy, keď vychádza z overenej pripravenosti. Firma by nemala čakať, kým jej skutočnú úroveň odolnosti preverí útočník.
Dokážu slovenské firmy odhaliť útok?
Ako sa pripravenosť slovenských firiem líši podľa veľkosti, skúsenosti s incidentmi či spôsobu správy bezpečnosti? A do ktorých opatrení plánujú organizácie investovať?
Celý obraz prináša prieskum Bezpečnosť slovenských firiem v ére AI.
