Cyberbezpieczeństwo musi być dziś priorytetem dla firm. Jak przekonać do tego zarząd?

Ransomware, DDoS, phishing – przedsiębiorstwa walczą z cyberatakami każdego dnia. Jednocześnie świat mierzy się ze skutkami spowolnienia gospodarczego i wysokiej inflacji. Wiele nowych inwestycji jest przekładanych na lepsze czasy. Nie można tak jednak zrobić w przypadku rozwiązań z obszaru cyberbezpieczeństwa. Dlaczego ten obszar jest tak ważny i jak przekonać zarząd, że narzędzia do walki z cyberprzestępcami są w firmie niezbędne?

Choć świadomość konieczności wdrażania rozwiązań z obszaru cybersecurity rośnie, nie dotyczy wszystkich branż i działów. IT zazwyczaj rozumie wagę problemu, jednak kadra zarządzająca nie zawsze jest chętna do ponoszenia kosztów związanych z cybersecurity. Powód jest prosty – brak świadomości tego, że cyberatak nie jest tylko problemem IT, a wpływa na działalność całej firmy.

– Wpływ ten jest dziś większy niż kiedykolwiek, bo zmienia się sposób prowadzenia biznesu – pracujemy zdalnie, w zespołach rozproszonych, mamy wielu kontrahentów i partnerów zewnętrznych, rosnącą infrastrukturę IT i powiększającą się liczbę aplikacji, z których korzystamy w codziennej pracy. To wszystko daje cyberprzestępcom nowe możliwości ataków i w rzeczywistości podnosi podatność firmy – mówi Krzysztof Andrian, prezes zarządu Concept Data.

Kluczowe w takich warunkach jest dbanie o bezpieczny dostęp do systemów oraz zarządzanie cyfrową tożsamością, w tym wdrażanie wieloskładnikowego uwierzytelniania i narzędzi SSO oraz Adaptive MFA. Firmy powinny stosować podejście Zero Trust, czyli traktować każdego próbującego dostać się do systemów firmy z podejrzliwością i dokładnie sprawdzać jego tożsamość, aby zapobiec niepożądanym zdarzeniom, takim jak kradzież danych czy infekcje złośliwym oprogramowaniem. Jednak jak przekonać do tego zarząd?

Cyberatak to koszt i utrata reputacji oraz zaufania

Osobom, które mają wątpliwości, czy warto inwestować w narzędzia chroniące przed cyberatakami, należy przede wszystkim przypominać, że skutki ataków są długofalowe i dotykają całej firmy, a nie tylko działów IT. Wpływają na przedsiębiorstwo na wiele różnych sposobów.

1. Wysokie koszty walki ze skutkami ataku

Każdy cyberatak to ogromny koszt finansowy dla firmy. Według raportu FBI, tylko w Stanach Zjednoczonych szkody finansowe wynikające z cyberataków osiągnęły w 2022 roku 10,2 mld dolarów. Co składa się na te koszty? Między innymi okup (w przypadku ataków ransomware), odzyskanie danych, ponowne uruchomienie infrastruktury IT czy opłacenie kar (np. wynikających z RODO).

2. Utrata zaufania klientów, kontrahentów i inwestorów

Firma wykorzystują dziś w swojej działalności wiele kanałów cyfrowych. Kontaktują się z podwykonawcami czy kontrahentami przez pocztę e-mail, udostępniają im swoje systemy. W przypadku zainfekowania ich złośliwym oprogramowaniem cierpi reputacja firmy i jej kontakty z partnerami i współpracownikami, którzy zaczynają się zastanawiać, czy oni sami są teraz bezpieczni. A jeśli z firmy wyciekną dane klientów, zaufanie do niej maleje. Z analizy opublikowanej w 2021 r. na portalu Comparitech wynika też, że spadają wyceny skutecznie zaatakowanych spółek. Ujawnione naruszenia bezpieczeństwa miały bezpośredni, niekorzystny wpływ na cenę akcji przebadanych 34 spółek notowanych na nowojorskiej giełdzie papierów wartościowych. Wpływ ten był odczuwalny nawet długo po ataku, choć oczywiście z biegiem czasu malał.

3. Przestoje w działalności biznesowej

Przywracanie systemów po cyberataku i tym samym – płynności pracy może trwać naprawdę długo. A to powoduje kolejne koszty wynikające z niewywiązywania się z umów, z nieporozumień z kontrahentami i partnerami biznesowymi, klientami, usługobiorcami. Te nieporozumienia mogą się przełożyć w ostatecznym rozrachunku nawet na zerwanie umów i zakończenie współpracy.

Jakie rozwiązania wybrać?

Jednak nawet uświadomienie sobie tego, że cyberbezpieczeństwo jest ważne, nie oznacza jeszcze końca wątpliwości. Prezesi czy dyrektorzy finansowi, którzy mają zaakceptować wydatek na nowe rozwiązania, mogą się zastanawiać, czy zaproponowane przez dział IT narzędzie rzeczywiście będzie dobrym wyborem dla ich firmy? Bo nie chodzi o to, aby wdrożyć coś, co działa dziś, ale o to, by inwestycja w cyberbezpieczeństwo przyniosła długofalowe korzyści.

– To, co dla ludzi IT jest oczywiste, dla zarządów czy dyrektorów finansowych może być zupełnie nieznanym obszarem. Dlatego tak ważne jest partnerstwo biznesowe z dostawcą rozwiązań z obszaru cyberbezpieczeństwa. Nie da się skutecznie zabezpieczyć przedsiębiorstwa, wdrażając rozwiązanie, które nie pasuje do strategii i procesów działających w konkretnej firmie. Podstawą wyboru systemów security jest ścisła kooperacja z dostawcą, a właściwie doradcą, który ma w portfolio różne narzędzia IT i bardzo dobrze pozna całą firmę, jej procesy, plany rozwoju, strategię oraz technologie, z jakich korzysta – i dopiero na podstawie tej wiedzy zaproponuje rozwiązania dopasowane do potrzeb przedsiębiorstwa – dodaje Krzysztof Andrian.

Dzięki tego typu współpracy można kontrolować, racjonalizować i rozkładać w czasie wydatki na cyberbezpieczeństwo. Doradca dobierze tylko rzeczywiście potrzebne narzędzia, pasujące do infrastruktury i sposobu pracy przedsiębiorstwa. Zaproponuje też strategię rozwoju programu cybersecurity dopasowaną do strategii rozwoju firmy. Pomoże w szkoleniach pracowników. Dzięki temu przedsiębiorstwo uniknie wydatków na niepotrzebne jej systemy lub na rozwiązania, które za kilka miesięcy przestaną być wystarczające.

Cyberbezpieczeństwo dla każdego w takim samym stopniu?

Czy jednak rzeczywiście każda firma potrzebuje strategii rozwoju cyberbezpieczeństwa? Część przedsiębiorstw musi szczególnie interesować się tym obszarem, bo działa w regulowanych branżach, takich jak bankowość, ubezpieczenia, medycyna, farmacja. Część doświadczyła już cyberataków i w konsekwencji tych wydarzeń stała się bardziej świadoma problemu. Część jednak wciąż nie wie, czy przy jej skali działalności inwestycje w zabezpieczenia rzeczywiście mają sens?

– Każdy prezes czy właściciel firmy wahający się, czy traktować cyberbezpieczeństwo poważnie, powinien odpowiedzieć sobie na podstawowe pytanie: które dane w jego organizacji stanowią o jej przewadze konkurencyjnej, i przeanalizować, gdzie te dane są przechowywane i jak dobrze chronione. Firma, której przewaga konkurencyjna opiera się na własności intelektualnej, musi szczególnie chronić swoje zasoby. Wyniki badań R&D, prototypy, patenty – to są dane wrażliwe, które również mogą zainteresować cyberprzestępców. A ich upublicznienie wiąże się z utratą konkurencyjności i roli na rynku – wyjaśnia Krzysztof Andrian.

Każdy cyberatak może mieć dla firmy długofalowe, negatywne konsekwencje. Utrata danych pracowników czy klientów to koszt i uszczerbek na reputacji przedsiębiorstwa. Dzięki dobrej współpracy z dostawcą rozwiązań oraz traktowaniu cyberbezpieczeństwa w kategoriach długofalowego projektu można w rozsądny sposób zabezpieczyć zasoby firmy i uchronić ją przed skutkami działań cyberprzestępców.