Neztrácejte ostražitost vůči hrozbám v oblasti informační a kybernetické bezpečnosti

Společnost DNV nedávno provedla průzkum, do kterého se zapojilo téměř tisíc odborníků z firem po celém světě, s cílem zjistit jejich názory na řízení informační bezpečnosti. Podobný průzkum byl proveden již v roce 2015. Díky tomu bylo možné analyzovat, jak se názory organizací v průběhu času změnily, a porozumět iniciativám i postojům k osvědčeným postupům a budování systémů.

Za uplynulých šest let je zřejmé, že dochází k postupnému posunu směrem ke zvýšení vyspělosti v oblasti informační bezpečnosti. I přesto méně než polovina respondentů považovala svou společnost na pětibodové škále za zralou (4) nebo za lídra (5). Počet těch, kteří se považovali za lídry, se od prvního průzkumu téměř zdvojnásobil, představoval však pouze jednu osminu všech dotazovaných organizací. Tento mírný nárůst lze připsat pouze větší pozornosti věnované dané problematice a lepšímu porozumění souvisejícím rizikům.

Změna chování

Další změnou je posun směrem k investicím více založeným na chování. Z iniciativ, které organizace uvádějí jako opatření ke snížení rizika, uvedli respondenti na prvních třech místech následující:

• Disponovat vhodnými pracovníky pro řízení informační bezpečnosti v rámci organizace (64,9 %)
• Mít zásady informační bezpečnosti schválené vrcholovým vedením (57,5 %)
• Zajišťovat školení zaměstnanců v oblasti informační bezpečnosti (56 %)

To svědčí o jasné preferenci investovat do lidí a zlepšovat jejich dovednosti. V předchozím průzkumu to nebylo tak zřejmé, kdy na prvním místě figurovaly fyzická aktiva a vybavení. Zaměření na lidi pravděpodobně přinese výsledky, protože kyberútok ve většině případů spočívá v tom, že jednotlivec neúmyslně zvolí nesprávný postup. Je třeba vzít v úvahu, že období mezi těmito průzkumy zahrnovalo roky, kdy pandemie COVID-19 dramaticky změnila způsob, jakým lidé a organizace pracují a vzájemně komunikují. Lze očekávat, že si organizace jsou nyní mnohem více vědomy rizik a incidentů souvisejících s informacemi, daty a kybernetickou bezpečností než dříve.

Je patrné, že společnosti s certifikovaným systémem řízení informační bezpečnosti jsou citlivější a lépe reagují na změny, k nimž dochází v jejich okolí. Téměř 80 % z nich uvádí, že již dokončily nebo částečně dokončily proces přizpůsobení se novému digitálnímu prostředí. Na otázku, která ze čtyř možností – integrace bezpečnostních systémů, školení zaměstnanců, pravidelné testování nebo automatizované postupy v oblasti kybernetické bezpečnosti – je nejrelevantnější pro řešení nových rizik vyplývajících z digitální transformace, se opět na prvním místě umístilo školení zaměstnanců, které za nejrelevantnější považovalo 33,1 % certifikovaných společností a 25,9 % společností bez certifikace.

Ze všech organizací, které disponují certifikovanými systémy řízení informací, přesunuly tři čtvrtiny svou IT infrastrukturu zcela nebo částečně do cloudu. To sice s sebou nese další rizika, ale každá třetí z nich také zavedla normu ISO 27017 nebo jiný kodex postupů pro opatření v oblasti informační bezpečnosti cloudových služeb.

Uplatňuje se komplexní bezpečnostní model

„Zero Trust“ je nový bezpečnostní model, který průběžně ověřuje důvěryhodnost každého zařízení, uživatele a aplikace, tj. „nikomu nevěříte a každého musíte ověřit“. Jedná se o nový přístup k bezpečnosti, který se stále více prosazuje. Zdá se, že společnosti s certifikovaným systémem řízení informační bezpečnosti přijímají model „Zero Trust“ ve větší míře. Každá třetí společnost jej již zavedla nebo se tímto směrem ubírá.

Pokud jde o trendy, které mají největší dopad na kyberbezpečnost, na prvním místě je rostoucí využívání mobilních zařízení, následované inovativními technologiemi. Mobilní zařízení se zdají být nedílnou součástí moderního života, ať už jde o chytré telefony nebo tablety.

Zmiňuje se také vzestup internetu věcí (IoT), což je často přehlížené riziko. Zařízení, jako jsou tiskárny, která jsou neustále připojena k firemním sítím a internetu, se mohou jevit jako triviální. Avšak například díky automatickým aktualizacím jejich firmwaru by i tato zařízení mohla představovat možný vstupní bod pro útoky.

Ochrana před riziky spojenými s dodavateli

Ačkoli je důležité mít se na pozoru před přímými útoky, hrozba často pochází z takzvaných bezpečných zdrojů, jako jsou dodavatelé zboží a služeb. Tři nejběžnější způsoby, jak řešit a chránit se před riziky v oblasti informační bezpečnosti a kybernetické bezpečnosti při nákupu od dodavatelů, jsou:

• Kvalifikace na základě dokumentace
• Ověřování a testování nakoupeného zboží a materiálů
• Žádost o certifikaci třetí stranou

Certifikované společnosti se častěji spoléhají na certifikaci třetí stranou, aby se chránily před riziky spojenými s informacemi o dodavatelích, daty a kybernetickou bezpečností. Je to pravděpodobně způsobeno povědomím o požadavcích a kontrolních opatřeních stanovených normami, jako je ISO/IEC 27001. Konkrétněji řečeno, samotná organizace může být dodavatelem pro jiné podniky, a proto se od ní očekává, že předloží důkaz o řádném řízení informační bezpečnosti

Ve skutečnosti byly respondenty jako tři hlavní výhody zavedení certifikovaného systému řízení informační bezpečnosti uvedeny:

• Spokojenost zákazníků / uspokojování potřeb zákazníků
• Zlepšování výkonnosti v oblasti informační bezpečnosti
• Schopnost plnit zákonné požadavky

These are closely followed by “Improve identification/management of risks” and “providing a competitive advantage”. This underscores the important link between managing risks and business success.

The fast-transforming digital environment – from accelerated adoption of cloud and automation services, cybersecurity and privacy risks to malware and ransomware threats – has created an urgency among companies to keep information and data secure. Companies that are certified to best-practice standards such as ISO/IEC 27001 seem to have a benefit in understanding the risk picture and deploying mitigating actions.  

Zdroje: Průzkum Espresso (listopad 2021), „Jak firmy řeší podniková rizika? Informační bezpečnost.“