Tak jak se 2017 začíná rozbíhat, firmy začínají pracovat s obchodními plány a strategií pro nový rok. Kupodivu i počítačoví hackeři dělají to samé - hodnotí úspěchy a slabiny, přemýšlejí o dalším zvýšení příjmů a rozšíření tržního podílu, jenže chytřeji a s menší námahou. Proto cyber zločinci usilovně pracují na vývoji nových, efektivnějších nástrojů. Navzájem se spojují do organizovaných skupin, aby byli schopni provádět sofistikovanější a destruktivnější útoky. Firmy na to musí reagovat jednak nasazením silnější bezpečnosti ale také agilnější prevencí a pozornější reakcí.
Co nám tedy rok 2017 může přinést?
1/ CItelný nárůst vydírání
Odborníci říkají, že ransomware naroste v průběhu příštího roku až několikanásobně. Spolu s růstem výskytu ale bude stoupat i výše požadovaných částek. A to způsobí opravdu vážné problémy. Doposud byly požadované částky relativně malé a přitom hodnota dat mohla být v některých případech i mnoha milionů. Vyděrači si ale již uvědomují hodnotu dat a z plošných útoků na náhodné oběti přecházejí na cílené útoky, které mají zasáhnout úzký okruh vytipovaných firem. Jejich nehorázné požadavky se již teď mnohonásobně zvyšují.
Při odhadování dopadů by si firmy měly uvědomit, že zaplacením výkupného výdaje jen tak neskončí. Je třeba také započítat náklady a práci firem a odborníků, kteří se zabývají šifrováním nebo PR pro nápravou reputace, náhradu vlastních provozních ztrát a způsobených škod, náklady na vyšetřování či poplatky a pokuty státním regulačním úřadům.
2/ „Stékací“ dopad na střední a malé firmy
Hackeři a jejich viry mají podobné vlastnosti. Hledají nejslabší článek a cestu nejmenšího odporu. Zatímco velké firmy zaměstnávají kvůli své ochraně kvalitní odborníky a investují do pevné obrany, střední a menší firmy, které jsou zranitelnějším cílem, jsou těmito kybernetickými incidenty zasaženy. Tento „stékající“ dopad by měl menší firmy nutit, aby věnovaly bezpečnosti mnohem větší pozornost.
Kybernetická bezpečnost je nejčastěji spojena s lidským selháním. Ve firemní bezpečnostní strategii tedy hraje trénink zaměstnanců velmi důležitou roli. A tak by se střední a malé firmy měly začít v některých ohledech (s přihlédnutím ke zdrojům) o svou bezpečnost starat podobně, jako velké firmy. Pomoci mohou například přísnější kontroly a penetrační testy,
3/ Stále agresivnější malware a viry
Ti, kteří IT a bezpečnosti moc nerozumí, si myslí, že viry a malware se moc nemění. Skutečnost je přesně opačná. Jejich design se neustále zlepšuje. Mezi jejich vylepšené schopnosti patří například lepší podvodné metody, rychlejší šíření nebo snazší překonávání firewallů. Novější verze počítačových infekcí jsou také mnohem méně náročné na výkon hardwaru. Méně tak zpomalují počítače a pro uživatele jsou hůře zjistitelné. Díky tomu můžou nakazit nebo zcizit více dat od více uživatelů.
4/ Rostoucí trh s počítačovou kriminalitou
Dark web se stal čilým utajeným tržištěm jak pro technické elity kybernetického podsvětí stejně tak pro vlády, které tyto prostředky ke svým cílům využívají. Dají se zde nakoupit či směnit například data s osobními informacemi, na zakázku vyrobené viry, uniklé informace z firem a organizací a podobně. A to vše pod silnou anonymitou.
Růst tohoto černého trhu je logicky také spojen s rostoucí poptávkou po osobních a zdravotnických informacích. Zesilující proud virů a malwaru bude proto soustředěně cílit na firmy a organizace všech velikostí.
5/ Sofistikovaná manipulace finančních trhů
Pokud někde zaznamenáte zprávu o úniku dat, můžete si myslet, že záměrem pachatele byla pouhá krádež osobních informací. Ta ale často bývá až vrchol pověstného ledovce. Zrakům běžných smrtelníků zůstávají skryty aktivity dobře organizovaných zločinných skupin, které se zaměřují na mnohem větší „výtlak“. Jejich snahou může být například insider trading a manipulace akciových trhů.
Známá je řada případů, kdy pomocí sofistikovaných spear phisingových útoků se hackeři snažili získat informace o finančních výsledcích před zveřejňováním pravidelných firemních výsledků nebo před vyhlášením spojení firem. Valná většina těchto incidentů se událo prostřednictvím zcizení přístupových práv. To ale na druhé straně nabízí firmám možnost upravit svoji bezpečnost tak, aby se podobným případům předcházelo.
6/ Zpřísňující se dohled státních regulátorů
Nároky na kybernetickou bezpečnost firem bude stejně tak zvyšovat zpřísněný dohled státních regulátorů. V letošním roce se firmy a organizace zatím budou připravovat na příchod nového evropského nařízení GDPR, která bude platit od května 2018. Nejenže na ně čeká řada nových povinností ale také pokuty za úniky osobních dat, které ÚOOÚ bude moci udělovat, se velmi razantně zvýší. Pro střední a malé firmy tyto sankce mohou být až likvidační. Příprava na GDPR je v oblasti osobních a citlivých dat velice podobná, jako opatření v rámci zvyšování kybernetické bezpečnosti.
Co říct závěrem
Firmy se určitě setkají s nárůstem sofistikovaných pokusů o průnik k jejich datům. Zločinci budou ve většině případů o pověstný krok napřed, takže své oběti najdou určitě nepřipraveny. Kromě vlastních škod se se firmám a organizacím mohou úřady navíc odměnit tučnou pokutou.
Co pro sebe mohou firmy zatím udělat? Bez ohledu na velikost se rozhodně mohou pustit do proškolení svých zaměstnanců, otestování své zranitelnosti nebo obecného zlepšení nakládání s osobními daty jak u sebe, tak i u svých dodavatelů. Stejně tak mohou posílit svou fyzickou bezpečnost. To může být vhodně doplněno na míru sestaveným pojištěním kybernetických rizik, jako jsou například:
- Pojistně krytí pro případ ztráty či odcizení dat
- Pojistné krytí proti odpovědnosti za ztrátu či odcizení dat
- Pojistné krytí proti porušení ochrany soukromí
- Pojistné krytí proti odpovědnosti za porušení ochrany soukromí
- Pojistné krytí proti přerušení provozu
- Pojistné krytí pro případ vydírání
- Pojistné krytí spojené s reputačními riziky
Petr Moláček, Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript.
Daniel Konečný, Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript.
