A kibertámadások által okozott kár tovább nőtt, különösen az egészségügyi ágazatban

A PwC 71 ország 3 800 üzleti és technológiai vezetőjének körében végzett felmérése rámutat, hogy az információbiztonsági incidenseket elszenvedő vállalkozások száma tovább nőtt az elmúlt egy évben. A támadások az egészségügyi ágazat szereplőit érintették leginkább. A káros kibertámadások globálisan átlagosan 4,4 millió dolláros kárt okoztak a vállalkozásoknak, míg az egészségügyi ágazatban ez a költség 25%-kal magasabb – 5,3 millió dollár volt. A vizsgált időszakban az egészségügyi szervezetek válaszadóinak közel fele (47%) számolt be 1 millió dolláros vagy azt meghaladó értékű adatvédelmi incidensről. A többi szektor esetében ez az arány: technológiai, média és telekommunikáció 43%, pénzügyi szolgáltatók 38%, energiaszektor 37%, ipar- és autógyártás 33%, kiskereskedelem 28%.

Mesterséges intelligencia: egyszerre áldás és átok 

Az üzleti és a technológiai vezetők körében egyre nagyobb aggodalomra ad okot a kiberbiztonsággal kapcsolatban a generatív mesterséges intelligencia (MI) terjedése, hiszen alkalmazásával többek között jobban célozhatóak és sokkal hihetőbbé tehetőek a munkavállalókat célzó átverések. Az informatikai szakemberek számára intő jel, hogy a válaszadók 52%-a szerint a generatív MI katasztrofális kibertámadásokhoz vezethet a következő 12 hónapban. Ugyanakkor az is elgondolkodtató, hogy tízből közel nyolc válaszadó (77%) kívánja a generatív MI-t etikus és felelősségteljes módon használni.

Miközben látják a kockázatait, a vezetők háromnegyede kifejezetten érdeklődik a generatív mesterséges intelligenciában rejlő üzletfejlesztési lehetőségek iránt: 77%-uk egyetértett azzal, hogy a következő három éven belül segíteni fogja szervezetüket új üzletágak kialakításában, míg 75%-uk szerint az alkalmazottak produktivitását fogják növelni a következő 12 hónapban.

„A vezetők technológiába vetett hite nem alaptalan, hiszen a generatív MI kiválóan alkalmas egy kiberincidensről – különböző rendszerekből és forrásokból származó – nagy mennyiségű adat szintetizálására, ezzel segítve a vezetőket a történtek megértésében, azaz egy incidens felismerésére és gyors elemzésére is kitűnően alkalmazható. A generatív MI képes arra is, hogy könnyen érthető nyelvezettel mutassa be az összetett fenyegetéseket, tanácsot adjon a megelőzési és megoldási stratégiákkal kapcsolatban, valamint segítséget nyújtson az incidensek kivizsgálásában” – emelte ki Durojaiye Péter, a PwC magyarországi és közép-kelet-európai kibervédelmi csoportjának, valamint az EMEA régió Cybersecurity Impact Centerének vezetője.

A fenyegetettségek növekedése ellenére a vállalatok jelentős része nem ismeri és nem elemzi a kiberkockázatokat 

Az éghajlatváltozással kapcsolatos természeti katasztrófák számának folyamatos növekedése, a Covid-19-világjárvány szűnni nem akaró hatásai és a növekvő egyenlőtlenségek ellenére a megkérdezett vezetők a digitális technológiát a legfontosabb kockázatok közé sorolták a következő 12 hónapra nézve. Ugyanakkor a három legfontosabb kiberfenyegetés – a felhőhöz kapcsolódó kockázatok, a csatlakoztatott eszközök elleni támadások, valamint a hackelés és kiszivárogtatás – ellenére a vállalatok több mint egyharmada nem tett kockázatkezelési erőfeszítéseket, és csak minden negyedik vállalat javította kiberrezilienciáját az elmúlt 12 hónapban.

A szervezeteknek mindössze két százaléka optimalizálja és fejleszti folyamatosan a kibertámadásokkal szembeni ellenállóképességét valamennyi területen. Egy másik megdöbbentő eredmény, hogy a megkérdezett vezetők több mint 40%-a nem érti a feltörekvő technológiák, például a virtuális környezeti eszközök, a generatív MI, a vállalati blokklánc, a kvantum-számítástechnika és a kiterjesztett valóság jelentette kiberkockázatokat.

„A szervezeteknek fel kell ismerniük, hogy a jövő technológiáinak alkalmazása nem csak üzleti előnyt hozhat, hanem új kockázatokat is jelent, ezért ezek elemzése és kezelése kiemelten fontos a sikeres bevezetéshez. Például az MI széleskörű alkalmazásához figyelembe kell venni a hagyományos biztonsági és adatvédelmi kockázatok mellett a tanulási folyamattal és bemeneti adatokkal kapcsolatos kibervédelmi és üzleti kockázatokat is. Ugyanígy egy virtuális környezetben új értelmet nyer a személyes adatvédelem a nagyfokú biometrikus adatfeldolgozás révén, ami szintén túlmutat a korábbi adatvédelmi gyakorlaton” – összegezte Gyimesi Csaba, a PwC Magyarország kibervédelmi csoportjának igazgatója.

Mit nyerhetnek a cégek a kiberbiztonsági gyakorlatok bevezetésével? 

A vállalatok csak kevesebb mint egyharmada alkalmazza folyamatosan és konzekvensen a legfontosabb kiberbiztonsági gyakorlatokat, holott ez kulcsfontosságú az incidensek elleni védekezésben. A felmérés szerint a kutatásban résztvevő cégek mindössze 5 százaléka rendelkezik információbiztonsági gyakorlatokat következetesen alkalmazó kiberbiztonsági csapatokkal – ők a digitális bizalom letéteményesei.

Ezek a szervezetek kisebb értékű kibertámadásokat szenvedtek el a vizsgált időszakban, mint azok a vállalatok, akik nem alkalmazzák rendszeresen az információbiztonsági gyakorlatokat: míg az összes szervezet 36%-át érte 1 millió dolláros kárt meghaladó kibertámadás, ez az arány a digitális bizalom letéteményesei esetében csak 29%.

„A gyakorlatok nem csak a tudatosságot és így a megelőzést segítik elő nagymértékben, de a begyakorolt reagálási tervek mentén sokkal hatékonyabban kezelik a bekövetkező incidenseket is” – tette hozzá Gyimesi Csaba.

A többi válaszadóhoz képest pozitívabban látják a generatív MI lehetséges hatását is, szerintük:

• új üzletágakat fog kialakítani (49%, szemben az összes válaszadó 33%-ával);
• generatív MI-alapú eszközöket fognak használni a kibervédelemhez (44%, szemben az összes válaszadó 27%-ával);
• kevésbé valószínű, hogy a generatív mesterséges intelligencia katasztrofális kibertámadásokhoz fog vezetni (33%, szemben az összes válaszadó 22%-ával);
• nem várható, hogy a generatív MI-alapú eszközöket a vonatkozó belső szabályzatok bevezetése előtt alkalmazni fogják.

Újragondolt kiberbiztonsági stratégia

A válaszadók 96%-a nyilatkozott úgy, hogy kiberbiztonsági stratégiáját a COVID-19-járvány miatt módosítani fogja. Számottevően növekedett a kibervédelmi intézkedések stratégiai jelentősége, a tavalyi 25%-kal szemben a válaszadók 50%-a jelölte meg azt a választ, hogy a kiberbiztonsági szempontokat nagyobb valószínűséggel minden üzleti döntésnél figyelembe fogja venni. Ezen kívül a megkérdezettek 51%-a szerint nagyobb a valószínűsége annak, hogy az információbiztonsági vezetővel gyakran fog együttműködni.

A járvány első három hónapja alatt a vezérigazgatók arról számoltak be, hogy a vállalatukon belül meglepő ütemben gyorsult és az öt éves terv második vagy harmadik évének szintjére lépett a digitalizáció.

„A COVID-19-járvány korábban soha nem tapasztalt gyorsasággal kényszerítette rá a vállalatokat a digitális transzformációra. A bizalom és hitelesség kulcsfontosságúvá vált. Az információbiztonsági vezetők erősödő szerepe, illetve vállalaton belüli fontossága minden eddiginél kritikusabb, mind a vállalat túlélése, mind annak növekedése szempontjából. A kiberbiztonságnak a vállalat üzleti értékteremtő tevékenységét kell elősegíteni, az általa teremtett megbízható környezetben az ügyfelek, partnerek és a munkavállalók is hatékonyan végezhetik feladataikat” – mondta Durojaiye Péter, a PwC Magyarország kibervédelmi csoportjának és az EMEA régió Cybersecurity Impact Centerének vezetője.

A cégvezetők 29%-a elsősorban gyorsabb és hatékonyabb munkavégzést szeretne a digitalizációval elérni, 31%-a pedig új képességekkel segíti a modernizációt. A válaszadók 35%-a, vagyis több mint egyharmada nyilatkozott úgy, hogy a költségcsökkentés érdekében gyorsítja az automatizációt.

„A nagyfokú digitalizáció és automatizáció új kihívásokat rejt a kiberbiztonság területén. Például az ipari rendszerek és folyamatok automatizálásához elengedhetetlen annak kiberbiztonsági felülvizsgálata, különösen, hogy ezen technológiák más információbiztonsági megközelítést igényelnek, mint a hagyományos IT-rendszerek. És mivel ezen eszközök és megoldások életciklusa sokkal hosszabb, kiemelten fontos a biztonsági vetület beépítése már a kezdeti, tervezési ciklusban” – tette hozzá Gyimesi Csaba, a PwC Magyarország kibervédelmi csoportjának igazgatója.

Munkaerő kerestetik

2021-ben 3,5 millió kiberbiztonsági állás vár betöltésre, ami jól mutatja, hogy a kiberbiztonsági ágazat a képzett munkaerő hiányával küzd. A felmérésben részt vett cégvezetők 51%-a tervezi, hogy a következő évben teljes munkaidős kiberbiztonsági munkatársakat alkalmaz, és több mint 22%-a nyilatkozott úgy, hogy legalább 5%-kal bővíteni fogja a létszámot.

A cégvezetők leginkább a felhő alapú megoldástervezés (43%), biztonsági hírszerzés (40%) és adatelemzés (37%) munkakörökbe keresnek munkatársakat. Több vállalat alternatív megoldásként belső erőforrásokból biztosított munkaerőt ezekre a munkakörökre úgy, hogy a meglévő munkatársak fejlesztését tette lehetővé a digitális készségek, az üzleti érzék és a szociális készségek terén, vagyis azokon a területeken, amelyekre külső munkaerőt is felvesz. Néhány vállalat menedzselt szolgáltatások igénybevételével fedi le a sokrétűen tehetséges munkavállalók és fejlett technológiák iránti sürgős igényt.

„Az egyik felértékelődő kiszervezett menedzselt szolgáltatás a biztonsági monitorozás, és a kapcsolódó incidenskezelés. Egy jól megtervezett biztonsági stratégia elengedhetetlen része – a különböző biztonsági megoldások alkalmazása mellett – az ezen védelmi vonalakon is átjutó támadások kezelése. Egy-egy ilyen incidens estében létfontosságú az időben történő észlelés mellett a szakszerű, gyors reagálás, amely magában foglalja a közvetlen elhárítási feladatokon túl a továbbgyűrűzés megakadályozását, illetve az esetleges károk helyreállítási munkálatait, ahol szintén kritikus kérdés lehet az idő” – hangsúlyozta Kovács Zoltán, a PwC Magyarország kiberbiztonsági szolgáltatásokért felelős csapatának incidenskezelési vezetője.

Kovács Zoltán szerint ezen feladatok végrehajtása speciális tudással, illetve gyakorlattal rendelkező, egymással szorosan együttműködő szakemberekből álló csapatot igényel, melyet kiépíteni hosszú és költséges folyamat. Akárcsak a fizikai biztonság esetében, itt is megoldás lehet külső szakértőkre bízni a feladatot, akik az állandóan ezen a területen történő működéssel szerzett tapasztalatokkal felvértezve erős, valódi védelmi vonalat tudnak képezni.

A kiberbiztonságra fordított források újratervezése

A vállalatok 55%-a, vagyis több mint fele jelölte meg azt a választ, hogy 2021-ben több forrást fog a kiberbiztonságra fordítani. Ez jó hír ugyan, az iparágban azonban változásokra lehet számítani azok jövőbeni kezelése tekintetében. A felmérés résztvevőinek több mint fele (55%-a) nem biztos abban, hogy a kiberbiztonsági kiadások a vállalat legjelentősebb kockázatainak elhárítását célozzák meg. A válaszadók 44%-a a költségvetési folyamatok módosítását mérlegeli, 37%-a pedig határozottan egyetért azzal, hogy a kiberbiztonsági kockázatok számszerűsítése jelentős mértékben javíthatja a kockázatok elhárítását célzó kiadások kezelését. Mindemellett a válaszadók több mint egyharmada ért egyet határozottan azzal, hogy a vállalatok képesek kiberbiztonsági helyzetüket úgy erősíteni, hogy költségeiket – az automatizációnak és a technológiai észszerűsítéseknek köszönhetően – visszafogják.

„A jelenlegi kihívásokkal teli gazdasági környezet komoly döntések elé állítja a vállalati menedzsmentet. Az erőforrások optimalizálása most még inkább elengedhetetlen az üzleti túléléshez, ezért sok esetben a nem kritikus területektől nagymértékű elvonást kénytelenek végrehajtani. Noha a vállalat elektronikus rendszereit érő támadások volumene, illetve a digitalizáció és automatizáció mentén pedig a vállalat kiberbiztonsági kitettsége is folyamatosan nő, a vezetés gyakran mégsem látja a kibervédelem közvetlen értékét” – mondta Gyimesi Csaba.

A PwC szakértője szerint az ellentmondás feloldására jó megoldás lehet egyfajta kiberbiztonsági műszerfal (dashboard), amely strukturáltan, különböző metrikákon keresztül tudja bemutatni a kiberbiztonsági terület teljesítményét és hatásait, ami ezáltal támogatja a kockázatokkal arányos védelem kialakítását. Kulcsfontosságú, hogy az üzleti és pénzügyi döntésekért felelős vezetők számára is láthatóvá váljon a kiberbiztonság hozzáadott értéke.

Felkészülés a kibertámadásokra

Az innováció és a technológia változást hoz a vállalatok kibertámadókkal szembeni felkészülésében: a cégvezetők 43%-a nyilatkozta azt, hogy javított az ügyfélélményen, illetve gyorsabban reagál az incidensekre és zavarokra. A legtöbb válaszadó a következő két-három évben azt szeretné elérni, hogy vállalata nagyobb arányban tudja kivédeni a támadásokat, gyorsabban tudjon reagálni a zavarokra, vezetői bizakodóbbak legyenek azzal kapcsolatban, hogy képesek a veszélyeket kezelni és javuljon az ügyfélélmény.

A felmérés eredményei azt mutatják, hogy a nagyvállalatok vezetői nagyobb valószínűséggel számoltak be a fejlett technológiákra történő stratégiai váltás, illetve a biztonsági műveletek átszervezése által elért előnyökről.

Ezek az eredmények azt mutatják, hogy a támadók elleni védekezés terén az érdemi előrelépéshez nélkülözhetetlen a technológiákba, folyamatokba és képességekbe, valamint a munkaerőbe történő befektetés. Az eredmények az információbiztonsági vezető fontosságát is kiemelik, aki jelentős szerepet játszhat az átalakulásban.

A rugalmasság kiépítése

Olyan évünk volt, amikor sok minden történt meg első alkalommal, a gazdasági, közegészségügyi és kiberbiztonsági szervezeteknél jóval gyakrabban fordultak elő behatolások, zsarolóprogramok, az egészségügyi és oktatási intézményeket érintő adatvédelmi incidensek, illetve adathalászat. Ennek eredményeként a felmérésben részt vevő cégvezetők 40%-a tervez gyakoribb reziliencia-tesztelést annak érdekében, hogy zavart okozó kiberbiztonsági esemény bekövetkezése esetén is biztosítsa az alapvető üzleti szolgáltatások működését.

„Egy-egy kiberbiztonsági incidens esetén ugyanolyan fontos a hagyományos üzletfolytonossági tervek (BCP) és folyamatok, a rendszervisszaállítási módszerek (DRP) megléte, mint a megfelelő incidenskezelési folyamatok követése. Ebbe beletartozik a felderítés, az incidensek okainak részletes feltárása és az esetek tanulságainak feldolgozása is. Illetve nagyon fontos, hogy nem elég ezen folyamatokat definiálni, hanem a megfelelő felkészülés érdekében rendszeresen tesztelni is kell azokat szimulált esetekkel, gyakorlatokkal” – tette hozzá Kovács Zoltán.

A 2021-ben fenyegető veszélyek: a „nagyon valószínű” veszélyek rangsorában a tárgyak internete (IoT) és a felhőszolgáltatók állnak vezető helyen (melyet a válaszadók 33%-a jelölt meg), míg a „jelentős negatív hatással” bíró veszélyek listáját a felhőszolgáltatások elleni kibertámadások vezetik (melyet a válaszadók 24%-a választott).

A teljes jelentés a https://www.pwc.com/us/en/forms/global-digital-trust-insights-download.html hivatkozásról tölthető le.