Η τελευταία έκδοση της ετήσιας έκθεσης της Kaspersky IT Security Economics αποκαλύπτει την αυξανόμενη σοβαρότητα των περιστατικών κυβερνοασφάλειας που προκύπτουν από προμηθευτές με τους οποίους οι επιχειρήσεις μοιράζονται δεδομένα. Ο μέσος οικονομικός αντίκτυπος μιας τέτοιας μορφής παραβίασης για μια επιχείρηση άγγιξε τα 1,4 εκατομμύρια δολάρια το 2021, αποτελώντας την πιο δαπανηρή παραβίαση παρά το γεγονός ότι κατά την περσινή χρονιά δεν συγκαταλέγονταν ούτε μεταξύ των πέντε πιο συχνών περιστατικών παραβίασης. Η συνολική κατάταξη των απωλειών από διαφορετικούς τύπους επιθέσεων έχει επίσης αλλάξει σημαντικά από το 2020.
Οι επιθέσεις κατά τις οποίες επιχειρήσεις παγκόσμιου βεληνεκούς επηρεάζονται μέσω των προμηθευτών τους έχουν γίνει κυρίαρχη τάση. Τα επιχειρηματικά δεδομένα πλέον διανέμονται σε πολλαπλά τρίτα μέρη, συμπεριλαμβανομένων παροχών υπηρεσιών, συνεργατών, προμηθευτών και θυγατρικών. Ως εκ τούτου, οι οργανισμοί πρέπει να λάβουν υπόψη όχι μόνο τους κινδύνους κυβερνοασφάλειας που επηρεάζουν την υποδομή πληροφορικής τους, αλλά και αυτούς που μπορεί να προέρχονται εκτός αυτής.
Σύμφωνα με την έρευνα, το ένα τρίτο (32%) των μεγάλων οργανισμών έπεσε θύμα επιθέσεων που αφορούσαν δεδομένα που μοιράστηκαν με τους προμηθευτές. Αυτό το μέγεθος δεν μεταβλήθηκε ιδιαίτερα από την έκθεση του 2020 (όταν βρισκόταν στο 33%). Ο οικονομικός αντίκτυπος αυτού του μοτίβου παραμένει ο ίδιος με πέρυσι – 1,4 εκατομμύρια δολάρια – ωστόσο, τότε βρίσκονταν στην 13η θέση στην κατάταξη των μέσων απωλειών από όλες τις μορφές επιθέσεων.
Η πλειονότητα των άλλων τύπων επιθέσεων παρουσιάζει χαμηλότερο οικονομικό αντίκτυπο, συμπεριλαμβανομένης της φυσικής απώλειας συσκευών που ανήκουν στην εταιρεία (1,3 εκατομμύρια δολάρια), επιθέσεις κρυπτογράφησης (1,3 εκατομμύρια δολάρια) και ακατάλληλη χρήση πόρων πληροφορικής από τους υπαλλήλους (1,3 εκατομμύρια δολάρια). Η θέση των επιθέσεων αυτών στην αντίστοιχη κατάταξη μεταβλήθηκε επίσης, αντανακλώντας τον τρόπο που η πανδημία άλλαξε το τοπίο της κυβερνοασφάλειας για τις επιχειρήσεις.
Ως αποτέλεσμα, ο μέσος οικονομικός αντίκτυπος κάθε επίθεσης έχει επίσης μειωθεί. Συγκεκριμένα, η μείωση ανήλθε στο 15% σε σύγκριση με τα αποτελέσματα του περασμένου έτους – 927.000 δολάρια το 2021 έναντι 1,09 εκατ. δολαρίων το 2020 – και έπεσε ακόμη χαμηλότερα από το αντίστοιχο μέγεθος του 2017 ($992k).
Πιθανόν αυτό να οφείλεται στο ότι οι μέχρι πρότινος επενδύσεις σε μέτρα πρόληψης και άμβλυνσης είχαν ικανοποιητικά αποτελέσματα για τις επιχειρήσεις. Εναλλακτικά, το μέσο κόστος μπορεί να επηρεαστεί από το γεγονός ότι οι επιχειρήσεις ήταν λιγότερο πιθανό να αναφέρουν παραβιάσεις δεδομένων φέτος, με το 34% να καταφέρνει να το αποφύγει, έναντι μόλις 28% το 2020.Οι οικονομικά ευάλωτες εταιρείες ενδέχεται να είναι απρόθυμες να κινήσουν διαδικασίες για την πραγματοποίηση ποινικής έρευνας ή να διακινδυνεύσουν πλήγμα στη φήμη τους στην περίπτωση που η παραβίαση γίνει γνωστή στο κοινό.
«Η σοβαρότητα των επιθέσεων στον κυβερνοχώρο επισημαίνει την αναγκαιότητα οι οργανισμοί να λάβουν υπόψη τους τον κίνδυνο παραβίασης που συνεπάγεται ο διαμοιρασμός δεδομένων με προμηθευτές, όταν αξιολογούν τις ανάγκες κυβερνοασφάλειας για τις επιχειρήσεις τους. Η πανδημία έχει μεταβάλει τις ψηφιακές απειλές και οι οργανισμοί θα πρέπει να είναι έτοιμοι να προσαρμοστούν στο νέο τοπίο. Οι εταιρείες θα πρέπει να αξιολογούν τους προμηθευτές τους με βάση το είδος της εργασίας που κάνουν και την πολυπλοκότητα της πρόσβασης που λαμβάνουν (είτε ασχολούνται με ευαίσθητα δεδομένα και υποδομές είτε όχι), και να εφαρμόζουν αντίστοιχες απαιτήσεις ασφαλείας. Οι εταιρείες πρέπει να διασφαλίσουν ότι μοιράζονται δεδομένα μόνο με αξιόπιστα τρίτα μέρη και να επεκτείνουν τις υφιστάμενες απαιτήσεις ασφαλείας και στους προμηθευτές τους. Σε περίπτωση που πραγματοποιείται μεταφορά ευαίσθητων δεδομένων ή πληροφοριών θα πρέπει να ζητηθούν όλα τα έγγραφα και οι πιστοποιήσεις (όπως το SOC 2) από τους προμηθευτές, ούτως ώστε να καταστεί βέβαιο πως έχουν τη δυνατότητα να λειτουργήσουν σε τέτοιο επίπεδο. Σε πολύ ευαίσθητες περιπτώσεις, συνιστούμε επιπλέον τη διενέργεια προκαταρκτικού ελέγχου συμμόρφωσης ενός προμηθευτή πριν την υπογραφή οποιασδήποτε σύμβασης», σχολιάζει η Evgeniya Naumova, Executive VP, Corporate Business στην Kaspersky.
Για να ελαχιστοποιηθεί ο κίνδυνος τυχόν επιθέσεων και παραβιάσεων δεδομένων για τις επιχειρήσεις θα πρέπει να χρησιμοποιηθεί μια αποτελεσματική προστασία τερματικού σημείου με δυνατότητες ανίχνευσης και αντιμετώπισης απειλών. Επιπλέον, οι υπηρεσίες προστασίας θα βοηθήσουν τους οργανισμούς στη διερεύνηση και την αντιμετώπιση της επίθεσης. Η απαραίτητη αυτή μορφή προστασίας τερματικού σημείου περιλαμβάνεται στο πλαίσιο Kaspersky Optimum Security. Για οργανισμούς με ώριμη λειτουργία ασφάλειας πληροφορικής, το πλαίσιο Kaspersky Expert Security παρέχει επιπλέον anti-APT, τις πιο πρόσφατες ενημερώσεις απειλών και ειδική επαγγελματική κατάρτιση.
