Raport Symantec o bezpieczeństwie MSP

Firma Symantec opublikowała wyniki badań dotyczące stosunku małych i średnich przedsiębiorstw do kwestii bezpieczeństwa. Badania te wykazały szereg niedociągnięć i braków we wszystkich dziedzinach związanych z bezpieczeństwem, pomimo iż w badaniu wzięły udział firmy świadome wszelkich zagrożeń. Polskie firmy z sektora MSP znalazły się wśród przedsiębiorstw szczególnie podatnych na zagrożenia — 18 procent respondentów przyznało, że w ciągu ostatniego roku doszło u nich do naruszenia zasad bezpieczeństwa powodującego utratę potencjalnych przychodów. To więcej niż średnich wyników w Europie, które wyniosły 8 procent.  

Badanie firmy Symantec ujawnia luki w zabezpieczeniach polskich przedsiębiorstw z sektora MSP

Małe i średnie przedsiębiorstwa nie nadążają za pojawiającymi się zagrożeniami, przez co zaledwie 30 procent osób odpowiedzialnych za IT w polskich firmach czuje, że ich sieć jest bezpieczna.

Ankieta przeprowadzona z udziałem 934 respondentów z dziesięciu krajów europejskich wykazała, że chociaż wiele firm ma świadomość istnienia „typowych” zagrożeń, takich jak wirusy (93% – w Polsce 94%), spam (91% - w Polsce 86%) i konie trojańskie (82% - w Polsce 83%), to nadal znaczna część firm dysponuje niedostatecznymi środkami do zapobiegania naruszeniom zasad bezpieczeństwa wynikającym z nowych zagrożeń. Wiele małych i średnich firm nadal nie ma świadomości istnienia pojawiających się obecnie zagrożeń, takich jak próby wyłudzenia informacji od szeregowych pracowników (tzw. „minnowing”) lub ich kierowników (tzw. „whaling”) — pojęć tych nie zna w Polsce odpowiednio 54 i 56 procent ankietowanych.

Ankieta wykazała również, że — pomimo zakrojonych na szeroką skalę działań edukacyjnych prowadzonych przez producentów zabezpieczeń — pracownicy polskich firm z sektora MSP nie zdają sobie sprawy z tego, że za bezpieczeństwo środowiska informatycznego odpowiada każdy użytkownik. Wyniki wskazują, że zdaniem 45 procent badanych jest to wyłącznie obowiązkiem menedżera ds. IT, a 34 procent ankietowanych obarcza odpowiedzialnością kierownictwo firmy - dyrektora zarządzającego lub prezesa.

W odpowiedzi na pytanie o sposób zakupu zabezpieczeń informatycznych zaledwie 26 procent małych przedsiębiorstw w Polsce stwierdziło, że korzysta w tym celu z usług zewnętrznego, wyspecjalizowanego dostawcy usług informatycznych. Aż 67 procent respondentów przyznało się do kupienia gotowych produktów w zwykłym sklepie komputerowym — liczba ta jest niepokojąca, ponieważ tego rodzaju sklepy nie oferują zazwyczaj rozwiązań przeznaczonych dla przedsiębiorstw. Dla porównania w Wielkiej Brytanii do zakupu gotowych produktów w sklepie komputerowym przyznało się 42 procent respondentów. Jeszcze większym zaskoczeniem był fakt, że 7 procent firm korzysta z programów załączanych bezpłatnie na płytach do czasopism.

— Cieszymy się z tego, że małe przedsiębiorstwa mają świadomość zagrożeń, jakie niesie ze sobą era Internetu. Jednocześnie jednak wyniki badań wskazują, że firmy z sektora MSP zdecydowanie zbyt rzadko wdrażają zawczasu właściwą infrastrukturę, pozwalającą nadążać za zmieniającymi się zagrożeniami — powiedział Andrzej Kontkiewicz, Technical Presales Manager Eastern Europe w firmie Symantec. — Programy antywirusowe i zapory ogniowe stanowią niezbędną podstawę, ale same nie są w stanie zapewnić firmie wystarczającej ochrony. Bez kompleksowych rozwiązań małe przedsiębiorstwa mogą być narażone na znaczne ryzyko.

— Przestoje w pracy systemów i utrata informacji należą do największych zagrożeń dla wizerunku firmy i lojalności jej klientów — dodał Andrzej Kontkiewicz. — Każde naruszenie zasad bezpieczeństwa, bez względu na rodzaj i wielkość, może mieć ogromny wpływ na działanie małej firmy. Dlatego im więcej osób będzie miało świadomość, że należy bronić się przed takimi zagrożeniami, tym bezpieczniejszy będzie dynamicznie rozwijający się sektor małych i średnich przedsiębiorstw. Małe firmy muszą zdać sobie sprawę z tego, że posiadane przez nie informacje o klientach i partnerach są równie cenne, jak inne aktywa, przez co każde naruszenie ich bezpieczeństwa może mieć istotny wpływ na przyszłą rentowność firmy i postrzeganie jej marki.

Spośród wszystkich ankietowanych firm aż 53 procent padło w ciągu ostatniego roku ofiarą ataku lub awarii systemu powodującej utratę informacji (w Polsce wskazało taką odpowiedź 50 procent ankietowanych), a 14 procent utraciło z tego powodu potencjalne przychody. Wśród podstawowych przyczyn wymieniano przestoje systemu oraz luki w zabezpieczeniach. Ponadto niepokojąca dla właścicieli firm w Polsce może być informacja, że u 45 procent respondentów przyczyną awarii systemu lub utraty informacji były błędy popełnione przez pracowników. Dla porównania w Wielkiej Brytanii wskaźnik ten wyniósł 31 procent.

— Przyczyny braku odpowiedniego przygotowania wyszły na jaw, gdy zapytano respondentów o częstotliwość, z jaką aktualizują zabezpieczenia informatyczne — powiedział Andrzej Kontkiewicz z firmy Symantec. — O ile 37 procent robi to codziennie, o tyle 22 procent raz w tygodniu, a 16 procent — raz w miesiącu. Na szczęście tylko 1 procent firm aktualizuje zabezpieczenia raz w roku. Dla porównania średnia europejska wyniosła 5 procent w przypadku aktualizacji raz w roku.
W odpowiedzi na pytanie o ryzyko, jakie stwarzają nowe systemy i infrastruktury informatyczne, kierownicy działów IT wskazali, że największym zmartwieniem jest dla nich bezpieczeństwo infrastruktur bezprzewodowych (które za podstawowy problem uznało 52 procent ankietowanych w Polsce), a w następnej kolejności — telefony komórkowe i bezpieczeństwo telefonii IP (po 41 procent).

Podsumowanie raportu — wyniki ogólnoeuropejskie

Przyczyny:
* 85% respondentów twierdzi, że zna typowe zagrożenia, takie jak wirusy, spam, konie trojańskie, programy szpiegujace i robaki.
* Jednocześnie jednak aż 33% procent osób nie zdaje sobie sprawy z istnienia nowych zagrożeń, takich jak sieci botów, rootkity, „pharming” (wyłudzanie informacji poprzez kierowanie użytkowników na fałszywe strony internetowe), „whaling” (wyłudzanie informacji od kadry kierowniczej firm) oraz „minnowing” (wyłudzanie informacji od szeregowych pracowników).
* Powyższą prawidłowość odzwierciedla fakt, że większość firm posiada programy antywirusowe (97%) i zapory ogniowe (93%).
* Niemal jedna trzecia (29%) nie posiada natomiast rozwiązań do tworzenia kopii zapasowych i odtwarzania danych, 65% nie stosuje szyfrowania, a 72% nie korzysta z narzędzi do wykrywania luk w zabezpieczeniach.
* 24% respondentów przyznało, że posiadane przez nich rozwiązania zabezpieczające nie obejmują wszystkich pracowników.
* Dwie trzecie firm mających mniej niż 100 pracowników nie zatrudnia wyspecjalizowanego kierownika ds. informatycznych.
* Mniej niż połowa ankietowanych (47%) uważa, że posiada w firmie bezpieczne środowisko informatyczne.
* Zdaniem 26% firm nie ma to znaczenia, ponieważ nigdy nie padły one ofiarą poważnych ataków.

Skutki:
* Ponad jedna czwarta ankietowanych (22%) miała w ostatnim roku do czynienia z atakami powodującymi utratę danych.
* 41% zaatakowanych firm twierdzi, że przyczyną były awarie systemów i naruszenia bezpieczeństwa, a 34% — błędy pracowników.
* U 17% ankietowanych atak na systemy informatyczne spowodował utratę potencjalnych przychodów.
* 35% respondentów twierdzi, że nowi pracownicy nie otrzymują zaleceń dotyczących zasad bezpieczeństwa obowiązujących w firmie.
* W przypadku 25% firm nie obowiązują żadne zasady korzystania z systemów informatycznych.

Przeszkody:
* Zdaniem 23% ankietowanych przeszkodą w stworzeniu bezpieczniejszego środowiska są ograniczenia finansowe.
* 15% respondentów twierdzi, że zabezpieczenia nie są dla kierownictwa sprawą priorytetową, chociaż zdaniem 32% osób to właśnie dyrektor zrządzający ponosi odpowiedzialność za zapewnienie skutecznej ochrony firmy.
* Zdaniem jednej trzeciej (32%) pytanych problemem utrudniającym stworzenie skutecznych zabezpieczeń jest brak czasu i wystarczającej wiedzy.
* Konsekwencją braku wystarczającej wiedzy jest fakt, że aż 39% firm kupiło zwykłe rozwiązania zabezpieczające oferowane w sklepach, a co dziesiąta firma skorzystała z programów dołączanych bezpłatnie do czasopism.
---
Informacje na temat badania
Badanie zostało przeprowadzone na grupie 934 respondentów spośród 10 krajów europejskich w tym 83 ankietowanych z Polski. Wszystkie osoby pracują w przedsiębiorstwach zatrudniających od 10 do 100 pracowników i odpowiadają za infrastrukturę IT w swoich firmach.