Praca zdalna obnażyła problemy MŚP

W ubiegłym roku 67 proc. przedsiębiorstw z segmentu MŚP padło ofiarą ataku cybernetycznego, co kosztowało każde z nich średnio około 85 tys. zł – wynika z danych opublikowanych przez PZU. Co więcej, około 60 proc. firm, które wskutek incydentu zawiesiły działalność, już jej nie wznowiło. Mimo to większość, bo 82 proc. przedstawicieli sektora małych i średnich firm uważa, że nie dysponują niczym, co byłoby warte uwagi cyberprzestępców. W tym roku skutki braku czujności i związane z tym niedoinwestowanie infrastruktury dodatkowo zwielokrotnione zostały przez skutki pandemii, zwłaszcza powszechną już pracę zdalną. Luk i niedociągnięć jest sporo, a ich wyliczenie sugeruje, na co integratorzy mogą zwrócić uwagę właścicielom MŚP, aby poprawić ich poziom firmowej ochrony.

Przede wszystkim należałoby zacząć od zabezpieczeń dotyczących wspomnianej pracy zdalnej, bo jak wynika z praktyki wielu producentów, przedsiębiorcy niespecjalnie przejmują się związanymi z tym zagrożeniami. Wśród zaobserwowanych błędów prym wiedzie brak VPN-a, ale także brak aktualizacji oprogramowania. Jeśli chodzi o tę drugą kwestię, to sporo firm nadal używa komputerów z Windows 7.

– W Polsce praca zdalna jest oparta głównie o model, w którym pracodawca daje pracownikowi komputer, z którym ten idzie do domu. Często nie ma żadnych narzędzi, które sprawią, że poza siecią firmową sprzęt będzie bezpieczny, jak VPN, oprogramowanie antymalware’owe i tak dalej – zauważa Mateusz Pastewski, Cybersecurity Sales Manager w Cisco.

Dane globalne tego producenta potwierdzają, że ochrona dostępu do sieci i zasobów firmowych to największe wyzwanie w zakresie cyberbezpieczeństwa, z którym mierzy się większość organizacji (62 proc.) obsługujących pracowników zdalnych. Kolejne miejsce zajmuje ochrona samych laptopów (56 proc.). Tymczasem MŚP, jeśli w ogóle stosują ochronę, to najczęściej są to antywirusy w cenie kilkuset złotych.

Kolejnym problemem jest to, że w małych przedsiębiorstwach zwykle nie ma komu zadbać o bezpieczeństwo informatyczne. Najczęściej brakuje zresztą kogokolwiek zajmującego się IT (według GUS blisko 80 proc. małych firm i ponad 50 proc. średnich nie ma ani jednego pracownika IT), a jak już taka osoba jest, to pełni rolę „człowieka od wszystkiego”. Problemy kadrowe zdają się potwierdzać obserwacje Marken, dystrybutora Bitdefender, który odnotowuje obecnie wzmożony popyt przede wszystkim na specjalistów IT, co wynika jego zdaniem z szybkich zmian w modelu pracy i potrzeby dostosowania się firm do nowych warunków. Według danych Vecto z 2018 r. ponad 60 proc. polskich firm nie korzysta z usług specjalisty ds. cyberbezpieczeństwa. Co ciekawe, jednocześnie tylko niecałe 40 proc. uznawało poziom bezpieczeństwa swojej sieci za wystarczający.

Niefrasobliwości wielu szefów firm towarzyszy niska świadomość zagrożeń po stronie niektórych pracowników. Nieprzypadkowo próby wyłudzenia danych koncentrują się na ludziach (nie tylko zresztą w MŚP), a phishing nadal pozostaje najpopularniejszym, bo wciąż skutecznym sposobem ataku. Tym samym realnie nie tyle wyrafinowane sposoby ataku, co zwykła wiadomość e-mail ze złośliwym linkiem czy załącznikiem generuje dziś największe ryzyko dla małych firm. Skalę tego niebezpieczeństwa pokazują nowe dane Microsoftu – globalnie w minionym roku zablokowano 13 mld złośliwych i podejrzanych wiadomości e-mail. Z tego 1 mld zawierał adresy URL utworzone po to, aby przeprowadzić atak phishingowy na dane uwierzytelniające.

– Głównym zagrożeniem dla bezpieczeństwa sieci, zasobów i ciągłości funkcjonowania MŚP jest niefrasobliwość, nieodpowiedzialność, brak kompetencji użytkowników i, w tym kontekście, brak polityki bezpieczeństwa, która obejmowałaby temat zachowania użytkowników – podkreśla Grzegorz Michałek, prezes Arcabita.

Według niego te zachowania nie są niczym nowym, jednak zostały zwielokrotnione przez ogromny wzrost liczby pracowników zdalnych, przez co zwiększyła się liczba incydentów obejmujących utratę lub uszkodzenie danych. Ci, którzy wykorzystują do swoich celów ransomware, mają właśnie żniwa stulecia, a jeszcze przed pandemią ten typ ataku był uznawany za największe zagrożenie w polskich MŚP. Z ówczesnego raportu Xopero Software wynika, że obawiało się go blisko 80 proc. ankietowanych. Inne rodzaje ryzyka budziły mniejszy niepokój – na awarię, utratę lub kradzież sprzętu wskazywało 47 proc. respondentów, na uszkodzenia plików 41,5 proc., zaś na ataki malware 37,2 proc.

Po upływie roku i zmianie modelu pracy na mniej niebezpieczną niż zwykle nadal zatrważająca liczba systemów w MŚP pracuje bez kopii zapasowych i procedur przywracania z nich operacyjności systemów. Jakby jeszcze grzechów MŚP było mało, podkreślano brak procedur bezpieczeństwa, na przykład w zakresie BYOD, nie mówiąc o analizach wpływu bezpieczeństwa informatycznego na ryzyko prowadzenia biznesu.

– Większość MŚP nie prowadzi analizy ryzyka wywołanego incydentami informatycznymi, nie są zadawane pytania i nie są planowane reakcje na incydenty – mówi Tomasz Rot, dyrektor sprzedaży na Europę Środkowo-Wschodnią w Barracuda Networks.

Do tego w tym roku wzrosło ryzyko związane z częstszym korzystaniem z chmury, zwłaszcza rozwiązań do zdalnej komunikacji – za czym nie idzie wdrażanie odpowiednich rozwiązań i procedur.

Klienci chcą konkretów, nie laurek

Jeśli chodzi o sposoby na ograniczenie problemów z bezpieczeństwem sieci w małych i średnich firmach, to kluczowa jest nie tyle sama oferta, ile podejście do klienta i właściwa z nim rozmowa.

– Klasyczny marketing, czyli zachwalanie produktów, w sektorze MŚP nie działa. Jednak jeśli przedsiębiorcy się wyjaśni, jakie są ryzyka i jak je wyeliminuje dane rozwiązanie, to ludzie dają się przekonać. Jeżeli nasze rady i zaproponowane rozwiązania przejdą próbę czasu i okażą się skuteczne, klient zostaje z nami na dłużej – mówi Andrzej Kobus, właściciel AMK-INFO.

Jak przy tym zauważa, większość przedsiębiorców szuka pomocy dopiero wówczas, gdy pojawią się problemy. Nawet w tym roku, w ocenie warszawskiego integratora, nie widać wzrostu zainteresowania bezpieczeństwem informatycznym ze strony MŚP. Dlatego, jak radzi Grzegorz Michałek, integratorzy i resellerzy powinni we własnym interesie sami aktywnie skupić się na eliminacji złych nawyków klientów.

Zdaniem integratora

– Oferowana im polityka bezpieczeństwa powinna być skuteczna i przystająca do sytuacji już w obliczu pierwszych objawów kryzysu. Nie może polegać jedynie na tym, żeby osoba odpowiedzialna potrafiła już po fakcie wskazać, dlaczego wszystko padło – uważa szef Arcabitu.

W tym duchu Michał Chodnicki, Regional Technical Manager w TP-Linku, radzi, by budując system informatyczny zakładać uprawnienia bazujące na rolach. Każdy z użytkowników powinien posiadać tylko i wyłącznie takie uprawnienia, które są mu niezbędne do wykonywania powierzonych mu zadań.

– Uwzględnienie regulacji prawnych, wymogów biznesowych przy jednoczesnej rzetelnej ochronie aktywów informacyjnych, to klucz, który bez wątpienia doprowadzi do wzmocnienia pozycji integratora na rynku – mówi przedstawiciel TP-Linka.

Marsz w kierunku usług

Co do konkretnych rozwiązań, to – jak zauważa Tomasz Rot z Barracuda Networks – obecnie w niektórych sektorach widoczne jest zainteresowanie rozwiązaniami as-a-service. Właściciele e-sklepów i systemów obsługi klienta rozglądają się za aplikacjami internetowymi (usługami WAF, WAF-as-a-Service, WAF w chmurze publicznej). Rośnie także zapotrzebowanie na ochronę biznesowej poczty elektronicznej, a wielu przedstawicieli MŚP powinno też zwrócić uwagę na rozwiązania zsynchronizowanej ochrony (Synchronized Security), w których poszczególne elementy systemu dzielą się między sobą informacjami o incydentach i pozwalają automatycznie blokować ataki.

Zdaniem dystrybutora

Maciej Leszczak, System Engineer, Veracomp  

Rolą integratorów jest uświadamianie klientów w kwestii zagrożeń oraz informowanie, w jaki sposób można się zabezpieczyć. Istotne są szkolenia. Często spotykam się z tym, że we wdrożonym rozwiązaniu klient posiada funkcje bezpieczeństwa, ale ich nie wykorzystuje, bo o nich nie wiedział. Jeśli miałbym doradzać produkty, na których warto będzie się skoncentrować, to byłyby to: rozwiązania do dwuskładnikowego uwierzytelniania, system ochrony poczty, Network Access Control, ochrona stacji końcowych. Mając na uwadze pracę w usługach chmurowych dobrze mieć również podgląd na pliki, jakie są tam składowane, a w tym pomoże CASB – Cloud Access Security Broker. Obecnie jest największy popyt na zabezpieczenie pracy zdalnej. Wydaje mi się, że w momencie, kiedy firmy przejdą już na hybrydowy tryb pracy, będą celować w rozwiązania, które pomogą zoptymalizować procesy i podnieść bezpieczeństwo. Niewykluczone, że zmigrują część usług do chmury, w których wymogiem będzie zapewnienie bezpieczeństwa dla tychże systemów.

  

– Do właściwego wdrożenia takich rozwiązań i administrowania nimi potrzebna jest wiedza i przygotowanie. Dlatego w przypadku małych firm najlepiej sprawdzi się korzystanie z nich w modelu usługowym – uważa Łukasz Formas, Team Lead System Engineering EE w Sophosie.

I rzeczywiście, w sektorze MŚP widoczne jest rosnące zapotrzebowanie na rozwiązania oferowane w formie usługi, ponieważ w firmach brakuje fachowców od bezpieczeństwa cyfrowego. Stąd sugestie, że integratorzy powinni w tym kierunku rozwijać swoje kompetencje.

– Integratorzy i resellerzy powinni przekształcić się w dostawców usług. To jedyny sposób na utrzymanie pozycji rynkowej z wartością dodaną – podsumowuje Pavel Minarik, Chief Technology Officer we Flowmon Networks.

Zdaniem producenta

Tomasz Rot, Sales Director CEE, Barracuda Networks  

W MŚP brakuje specjalistów, wiedzy, budżety są niedoszacowane. Bezpieczeństwo informatyczne jest obsługiwane w trybie „gaszenia pożarów”, inwestycje są prowadzone w reakcji na incydenty, a nie po to, by ich uniknąć. Zdumiewająco duża liczba firm z sektora MŚP ufa w zabezpieczenia na poziomie sieciowym, jak firewalle i UTM-y. Brakuje świadomości zagrożeń w warstwach powyżej sieci. Sektor MŚP nagminnie ignoruje bezpieczeństwo danych na zasadzie: „my nie mamy żadnych wartościowych danych”, z kolei bezpieczeństwo aplikacji, bo: „sygnatury IPS ochronią naszą witrynę, nasz sklep, nasz system obsługi klientów”, a bezpieczeństwo poczty, gdyż: „jeśli potrzebujemy opłacić fakturę to wysyłamy email do księgowości”.

  

Łukasz Formas, kierownik zespołu inżynierów, Sophos  

W przypadku mniejszych klientów, którzy nie mają działów IT lub nie mogą ich rozwijać, integratorzy mogą pełnić ważną rolę doradcy oraz „pierwszej linii frontu”. Niektórzy producenci rozwiązań ochronnych oferują je w modelu MSP – Managed Security Partner. Umożliwia to integratorom korzystanie z infrastruktury do monitorowania sieci w trybie 24/7 oraz centralne zarządzanie systemem bezpieczeństwa klientów. Daje także możliwość finansowania inwestycji z innych środków budżetowych – nie tylko tych na utrzymanie systemu, ale też jego rozwój.

  

Mateusz Pastewski, Cybersecurity Sales Manager, Cisco  

Wykorzystanie przez integratora usług chmurowych do budowania własnego rozwiązania jest optymalne, jeżeli weźmiemy pod uwagę to, że tak przygotowana oferta będzie najlepszą odpowiedzią na potrzeby klientów, a jednocześnie oferuje niski próg wejścia dla partnera. Na polskim rynku działają już integratorzy, którzy na bazie rozwiązań producentów oferują własne zarządzane usługi bezpieczeństwa lub SOC – Security Operation Center.

  

Michał Chodnicki, Regional Technical Manager, TP-Link  

Technologie IDS – Intrusion Detection System, IPS – Intrusion Prevention System, zapory sieciowe monitorujące ruch wchodzący i wychodzący, zintegrowany system antywirusowy, VPN i SSL w sieciach i urządzeniach mobilnych oraz usługi chmurowe – to wszystko są rozwiązania, na które popyt będzie stale wzrastał. MŚP poprzez obecną sytuację oraz wszechobecny tryb pracy zdalnej, zmuszone będą do zwiększenia inwestycji w tym zakresie.