Kyberkriminalita v Rakousku: Jak reagují firmy na útoky podporované státy?

Hlavní závěry shrnula KPMG Rakousko (KPMG Austria GmbH) společně s Kompetenčním centrem Bezpečné Rakousko (dříve Kuratoriem Bezpečné Rakousko; Komptenezzentrum Sicheres Österreich) už posedmé v tradiční studii „Kyberbezpečnost v Rakousku“. Při jejím sestavování oslovila KPMG v lednu a v únoru 2022 s anketou asi 550 rakouských firem. Účastníci se rekrutovali jak ze segmentu SME (malé a střední podniky), tak i z velkých podniků ze 12 různých oborů. Respondenti pocházeli z 8 % i z pojišťoven.

Dotazovaní dostali každý odpovídající on-line dotazník se specifickými otázkami podle jejich funkce – anketa oslovovala členy dozorčích rad, představenstev nebo jednatele, dále šéfy IT, osoby pověřené bezpečností a další vedoucí pracovníky. Vedle kvantitativních dotazů byla účastníkům dána i možnost sdílet další dojmy a poznatky nebo komentáře. Vyhodnocení ankety proběhlo na straně expertů KPMG z oblasti IT Advisory.

Fenomén bez hranic

Hlavní pozornost studie byla zaměřena na otázku, jak se vypořádávají rakouské podniky s novými výzvami na poli kybernetické kriminality a jaká bezpečnostní opatření v kybernetické oblasti přijímají. Kybernetická bezpečnost nezná státní hranice. Tento fakt je v novém vydání studie zdůrazněný. Konflikty, jako ten nejnovější mezi Ukrajinou a Ruskem, mohou proto bezpečnostní situaci v kyberprostoru rakouských firem rychle a drasticky ovlivnit.

Více než polovina respondentů (52 %) připustila, že kybernetické útoky podporované státem pro ně získaly na významu. Přitom dotazování v anketě bylo provedeno ještě před vypuknutím války čili lze počítat v posledních měsících s dalším zostřením ohrožení v digitálním prostředí. Takzvané ATPs (Advanced Persistant Threads, tedy cílené efektivní ataky na kritickou IT infrastrukturu a důvěrná data úřadů a velkých podniků) patří podle studie už u 22 % respondentů ke „každodenní agendě“.

Obrat v boji s kybernetickou bezpečností

Rychlost, s jakou se kyberprostor mění, vyžaduje, aby byly v každé firmě definovány a chráněny nejdůležitější operativní procesy. Nezbytná je odpovídající firemní kultura, jež myslí na kybernetickou bezpečnost od A do Z. Pozornost se musí soustředit rovnoměrně na snížení zranitelnosti, tedy pravděpodobnosti napadení, a na management případných následků útoku, konstatovala KPMG. Podle ní se rakouské podniky právě nacházejí ve fázi obratu ve věci kybernetické bezpečnosti. „Klíčovým heslem pro jeho uskutečnění je akceschopnost.“

Více než třetina dotázaných (36 %) totiž očekává, že kybernetická bezpečnost se v nadcházejících 12 měsících zhorší, zatímco jen čtvrtina (26 %) zůstává optimistická. K optimistům patří hlavně osoby odpovědné za bezpečnost; představenstva a jednatelé naproti tomu vyjadřují obavy ze zostření. A vzhledem k tomu, že je tato otázka vnímána z pohledu provozu firem jako palčivější a ošemetnější, rostou i rozpočty určené na budování kybernetické obrany: 71 % oslovených uvedlo, že do této sféry putují nyní vyšší finanční prostředky. 73 % z nich tak činí kvůli novým hrozbám, 9 % zvýšilo rozpočet na bezpečnost kvůli pandemii covidu.

Škody jdou do milionů

Kybernetická kriminalita se mezitím vyvinula do výnosného odvětví. Bezmála denně se objevují nové výhružky a ohrožení. Scéna aktérů se profesionalizovala a nyní působí ve formě „Cyber Crime as a Service“, tedy útok si lze objednat jako cokoli jiného na trhu. Velká část útoků už necílí jako dříve na krádeže nebo zablokování dat s následným vydíráním; odcizení a vyhrožování firmám a státním institucím se nyní děje i tak, že se postižený vydírá s tím, že „lup“ bude předán třetímu subjektu.

67 % respondentů v posledních 12 měsících čelilo kybernetickému útoku, stojí v reportu ze studie KPMG. A každému pátému napadenému vznikla takovým atakem finanční škoda. Většina škod je podle sdělení z rakouských firem naštěstí spíše malá. Necelá polovina (46 %) oslovených postižených je vyčíslila na částku do 10 000 EUR. Nicméně desetina uvedla škody až do výše 500 000 EUR a 2 % dokonce tratila sumy v řádu milionů.

Lidé jsou kritický článek

Kybernetická bezpečnost není vlastně čisté IT téma, píše se ve zprávě. Spíše jde o širokou sféru zabývající se všemi aspekty kyberbezpečnosti a bezpečnosti obecně, a hlavně o osoby, které mají tuto oblast na starosti. Protože ty mohou vybudovat ten nejlepší a nejsilnější štít (firewall), ale jsou na druhou stranu i největším slabým místem.

Největší podíl problémů vznikajících na poli kybernetické bezpečnosti připadá na lidský faktor, píše KPMG. Čím sofistikovanější útoky, tím více je rozhodující člověk na druhé straně. A situaci zhoršuje i hybridní způsob práce, který je zranitelnější.

Velké téma je rovněž nedostatek kvalifikovaných odborníků na kybernetickou bezpečnost. Tři čtvrtiny respondentů (74 %) uvedly, že mají problémy s náborem odborníků v IT obecně. 4 z 10 oslovených připustili, že rekrutují i pracovníky přímo z jiných podniků a 26 % „loví“ vhodné adepty v cizině.