Małe i średnie firmy są najbardziej odsłonięte na ataki. Ogromna większość przedsiębiorców z sektora MŚP nie zdaje sobie sprawy z tego, jak kosztowne jest wyjście z kryzysu po incydencie bezpieczeństwa w firmie.

90% małych i średnich przedsiębiorców bagatelizuje koszty związane z cyberzagrożeniami

Choć mogłoby się wydawać, że tylko wielkie korporacje są narażone na cyberzagrożenia, wcale tak nie jest. Średnie i małe przedsiębiorstwa także cierpią z powodu ataków i wycieków danych, a większość z nich nie zdaje sobie sprawy z tego, jak wysokie są koszty radzenia sobie ze skutkami podobnych incydentów.

Firma Cowbell, jeden z dostawców rozwiązań z zakresu cyberubezpieczeń, opublikowała niedawno raport Cyber Round-Up: Q2 2023, w którym to wykazała, jak wielu właścicieli średnich firm bagatelizuje koszty wiążące się z cyberzagrożeniami. Według badania rażące 90%(!) przedsiębiorców przyznało, że incydent bezpieczeństwa kosztował ich więcej, niż się spodziewali.

W tym miejscu warto podkreślić wagę, jaką ma cyberbezpieczeństwo dla każdej firmy – również średniej i małej. Tylko ponad połowa ankietowanych (55%) twierdzi, że jest przygotowana na ewentualny cyberatak. Równocześnie skala zagrożenia stale rośnie – od rozpoczęcia wojny w Ukrainie polskie firmy i instytucje rządowe są wciąż atakowane przez hakerów. Nie chodzi tu jedynie o duże korporacje, ale i średnie, a nawet niewielkie, rodzinne biznesy.

Każdy przedsiębiorca powinien mieć więc na uwadze to, że w dzisiejszych czasach ochrona przed zagrożeniami w Internecie jest tak samo ważna, jak ochrona przed zagrożeniami w świecie „realnym”. Narzędzia takie jak Windows VPN (szczególnie w miejscach stosujących zdalny i hybrydowy model pracy), firewalle, zabezpieczenia sprzętowe czy systemy weryfikacji pracowników to nie dodatkowe środki ochrony, ale absolutne minimum w każdym biznesie.

Małe i średnie firmy są najbardziej odsłonięte na ataki

Wbrew pozorom to nie największe, przodujące na rynku przedsiębiorstwa są najbardziej narażone na ataki ze strony hakerów i inne zagrożenia. Owszem, ataki na tego typu biznesy mogą być dla cyberprzestępców najbardziej lukratywne, jednak firmy operujące dużymi budżetami są również lepiej chronione.

Sektor MŚP zawiera natomiast biznesy, w których inwestowanie w cyberbezpieczeństwo nie jest aż taką oczywistością, a środki są ograniczone. Sprawia to, że to właśnie małe i średnie firmy są odsłonięte na działania przestępców. Jednocześnie straty w ich przypadku są także bardziej dotkliwe. Uszczerbek na reputacji, spadek zaufania partnerów i klientów, koszty spraw sądowych czy przerwy w działaniu mogą doprowadzić średnie przedsiębiorstwo nawet do bankructwa.

Koszty cyberataków przekraczają oczekiwania przedsiębiorców

Kluczowym spostrzeżeniem wynikającym z badania przeprowadzonego przez Cowbell jest to, że aż 90% małych i średnich przedsiębiorców bagatelizowało koszty wiążące się z cyberatakiem, dopóki nie przekonało się o nich na własnej skórze. Być może powodem jest to, że nie wszyscy wiedzą, co konkretnie zalicza się do tych kosztów. Dla wielu osób liczą się bezpośrednie skutki ataku, a więc utracone dane, okupy (które opłaciłoby 34% ankietowanych) i przerwy w działaniu firmy.

Warto jednak pamiętać, że skutki cyberataków są szersze. Zalicza się do nich między innymi spadek zaufania konsumentów, a w konsekwencji – sprzedaży. 81% badanych, którzy doświadczyli ataku, zauważyło, że obroty ich biznesów zmalały po incydencie. Z kolei 61% stwierdziło, że nie mogło podnieść się po zdarzeniu tak prędko, jak myśleli.

Dokładnie połowa ankietowanych przyznała, że miała do czynienia z zagrożeniem cybernetycznym w ciągu ostatnich 12 miesięcy. Zdarzenia te nie są więc wcale tak rzadkie, jak mogłoby się wydawać.

Kto jest najbardziej narażony na cyberzagrożenia?

Wśród ankietowanych znaleźli się przedstawiciele wielu sektorów, w tym branży IT, finansów, podróży i gastronomii, usług komunalnych (dostawców wody, elektryczności itp.), mediów, ochrony zdrowia, edukacji, transportu i innych.

Oto sektory, które są najbardziej narażone na cyberataki i miały z nimi do czynienia w ciągu 12 miesięcy poprzedzających badanie:

• sektor IT – 68%,
• sektor finansów i ubezpieczeń – 60%,
• sektor usług komunalnych – 61%,
• sektor usług dla biznesów – 52%,
• sektor produkcyjny – 57%.

Według badania średni czas powrotu do pełnej funkcjonalności po incydencie bezpieczeństwa w sektorze małych i średnich przedsiębiorstw wynosi prawie miesiąc (3,4 tygodnia). Najczęściej spotykane zagrożenia to natomiast infekcje złośliwym oprogramowaniem, phishing, ataki ransomware i kradzieże haseł.

Jak chronić swoją firmę?

Cowbell, jako dostawca ubezpieczeń od zagrożeń cybernetycznych, poleca wszystkim firmom – małym i dużym – wykupienie polisy umożliwiającej częściowe odciążenie przedsiębiorstwa w razie incydentu. Jak bowiem powiedzieliśmy, koszty pokrycia wszystkich strat i poradzenia sobie ze spadkiem reputacji po takim incydencie są duże – większe, niż przypuszczają przedsiębiorcy.

Ubezpieczenie od ryzyk cybernetycznych jest oczywiście dobrym pomysłem i może nawet uratować firmę przed upadkiem w razie wystąpienia poważnego zagrożenia. Nie może być jednak jedyną ochroną. Poza tym ubezpieczyciel również nie ubezpieczy firmy, która sama nie podejmie środków zaradczych, by chronić się przed ryzykami cybernetycznymi. Co więc można zrobić, by taką ochronę zwiększyć?

1. Inwestycje w cyberbezpieczeństwo. W dzisiejszych czasach zainstalowanie oprogramowania antywirusowego i liczenie na łut szczęścia nie wystarczy, by uchronić się przed atakiem. Inwestycje w cyberbezpieczeństwo są niezbędne – także w przypadku małych i średnich firm. Dotyczy to zakupu odpowiedniego sprzętu i oprogramowania (firewalli, VPN-ów i tak dalej), zabezpieczenia sieci czy opłacenia specjalistów zajmujących się cyberbezpieczeństwem w biznesie. Jeśli środki są ograniczone i firma musi rozważnie nimi dysponować, ochrona przed cyberzagrożeniami powinna być priorytetem.
2. Regularne audyty. Wiele ataków hakerskich udaje się dzięki lukom w systemach, nieaktualnemu oprogramowaniu czy błędom ludzkim. Tego typu niedociągnięcia i przeoczenia są naturalne i zdarzają się w każdej, nawet najlepiej zabezpieczonej firmie. Kluczowe jest zauważenie ich, zanim zrobi to przestępca, dlatego przeprowadzanie audytów, testów i symulacji jest jedną z lepszych metod na uniknięcie ataku.
3. Szkolenia pracowników. Często to sami pracownicy są najsłabszym ogniwem w łańcuchu zabezpieczeń biznesu. Mogą oni wpuścić przestępcę lub nieświadomie zainfekować cały system (np. w wyniku ataku phishingowego) mimo tego, że firma posiada silne zabezpieczenia od strony technicznej. Dlatego nie wolno bagatelizować roli, jaką odgrywają wyszkoleni i świadomi pracownicy w każdym przedsiębiorstwie.
4. Kopie zapasowe. Choć starania osób zarządzających firmą są w stanie zminimalizować ryzyko ataku, to incydenty bezpieczeństwa i tak się zdarzają. Czasem to nie nawet atak, a zwykła awaria sprzętu czy zdarzenie losowe może spowodować ogromne straty finansowe w biznesie. Każdy specjalista ds. cyberbezpieczeństwa zna wagę kopii zapasowych danych. Jeśli jeszcze ich nie robisz – koniecznie zacznij, najlepiej natychmiast.

Czytaj też: Cyberbezpieczeństwo – kompendium wiedzy