Na koho jsou vedeny kybernetické útoky a proč

Proč jsou na některé firmy vedeny soustavné kybernetické útoky, zatímco na jiné prakticky vůbec?

Souvisí s tím nějak výše investic do bezpečnosti, a pokud ano, tak jaká je optimální výše těchto investic?

Nejprve je třeba uvést, že na investice do bezpečnosti je třeba nahlížet spíše jako na nezbytný náklad, který organizace musí vynaložit, pokud chce vůbec obstát na turbulentně se měnícím trhu. Je tomu tak proto, že drtivá většina útoků není cílená, nýbrž plošná.

„Na některé organizace jsou vedeny útoky jen proto, že jsou přítomny na internetu, zatímco na jiné proto, proč tam jsou.“

Obětmi kybernetických útoků a to jak plošných, tak i cílených se stále častěji stávají i malé a střední firmy. Útočníkovi je v zásadě jedno, koho napadne, neboť skenuje určitý IP adresní rozsah, a hledá systémy trpící konkrétní zranitelností, rozesílá phishing e-maily, umísťuje exploit kity na napadené stránky a šíří trojanizované aplikace.

Jednoduše používá jen základní vektory útoku a cílí na tzv. low hanging fruit, tedy firmy, které otázku bezpečnosti moc neřeší, resp. ji neřeší vůbec. Neprovádí bezpečnostní osvětu svých zaměstnanců, a ti se pak stávají oběti triviálních phishingových kampaní a provozují neaktualizovaný systém obsahující známé zranitelnosti a chyby v konfiguraci.

Kyberkriminálníci se jednoznačně snaží minimalizovat své náklady a v okamžiku, kdy se na internetu nachází velké množství firem, které bezpečnost absolutně neřeší, tak neztrácejí čas pokusem o průnik do firmy, která je na tom, co se týká bezpečnosti, podstatně lépe než ostatní.

Z výše uvedeného vyplývá, že pokud na tom budete lépe, než ostatní, a toho lze dosáhnout i s minimálními náklady, tak se významně snižuje riziko, že na vás bude veden kybernetický útok a vy se stanete další obětí. Ovšem pozor, toto tvrzení platí pouze u plošně vedených útoků, nikoliv cílených, kdy útočník neváhá k dosažení svého cíle vynaložit značné prostředky.

Cílené útoky jsou vedeny na organizace, které disponují citlivými informacemi, chráněnými recepturami, významným know-how v oblasti technologie výroby, pracují na vývoji syntetických materiálů, elektroniky, nanotechnologie, léčiv anebo zaujímají podstatné místo na trhu, případně jsou významným dodavatelem některé z výše uvedených organizací.

„Kde nic není, ani hacker nebere.“

Pokud však výše uvedeným vaše organizace nedisponuje, tak na vás APT útok s největší pravděpodobností nikdy veden nebude. To ovšem neznamená, že na vás nemůže být veden cílený útok ze strany konkurence, obzvlášť když se danému odvětví nedaří a přichází krize.

Náklady na zajištění odpovídající úrovně bezpečnosti před cílenými kybernetickými útoky jsou značné a útočník je ve výhodě. Je tomu tak proto, že útočníkovi stačí najít jen jednu jedinou zranitelnost, zatímco vy musíte najít pokud možno všechny a ty následně nechat odstranit.

A vzhledem k množství zranitelností, kterými může každý informační systém trpět, to může být časově i finančně poměrně náročné. Nezapomínejte, byť byly Zákony zranitelností stanoveny již před drahnou dobou, jsou stále platné.

Za tímto účelem je vhodné provést analýzu rizik, ta by vám měla přinést odpověď na otázku, co jsou vaše nejhodnotnější aktiva, jakým hrozbám jste vystaveni a jakých zranitelností by mohlo být zneužito a na ty se zaměřit. Netroufáte-li si na provedení takovéto analýzy rizik sami, tak zvažte asistovanou analýzu rizik.

Poté byste měli být schopni si stanovit priority a zavést odpovídající bezpečnostní opatření na všech vrstvách vašeho informačního systému. Možná budete v pokušení zavést příslušná opatření všude, ale musím vás upozornit, že to není nejlepší přístup k řízení bezpečnosti.

Současně s tím byste měli věnovat dostatečnou pozornost i bezpečnostní osvětě zaměstnanců, a v neposlední řadě pak i přípravě a otestování příslušných incident response plánů, které budou ve finále rozhodovat o tom, jak rychle se dokážete zotavit z proběhnuvšího kybernetického útoku a obnovit běžný provoz.

Nespoléhejte příliš na to, že když jste zavedli příslušná bezpečnostní opatření, tak že jsou dostatečně účinná a ochrání vás před všemi možnými hrozbami. Nechte si váš systém raději otestovat nezávislou třetí stranou.

Štítky: kybernetická bezpečnost

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.