Do wszelkich badań opartych na odpowiedziach respondentów, jakimi w wypadku Ponemon Institute było 583 firm zatrudniających od 500 osób do wielu tysięcy, podchodzę z rezerwą. Jednak wyniki są tak szokujące, że trudno o nich nie wspomnieć. Jedynie 10 procent respondentów stwierdziło, że ich sieci w ciągu ostatnich 12 miesięcy były w pełni bezpieczne. 10 procent nie potrafiło tego ocenić – pozostałe zanotowały co najmniej jedno naruszenie bezpieczeństwa sieci – ale jak się okazuje po dokładnej lekturze raportu, nie musiało to być np. włamanie do firmowej sieci.
41% respondentów stwierdziło również, że straty przekroczyły pół miliona dolarów, a 40% że nie ma bladego pojęcia, jakie jest źródło ataków. W zidentyfikowanych wypadkach, pół na pół – był to atak z wewnątrz lub zewnątrz firmy. Niestety, niewiele odpowiedzi przyszło ze strony posiadaczy kierowniczych stołków.
Całość jest o tyle ciekawa, że polityka nie ujawniania utraty danych i złamania zabezpieczeń powoli się zmienia, ale wciąż firmy nie uważają tego za powód do dumy. Można przyjąć, że z oficjalnych, a nie anonimowych zgłoszeń uzyskalibyśmy bardzo odmienną, mniej szokująca statystykę – mającą równie niewiele wspólnego z rzeczywistością co tytułowe 80% zhakowanych firm.
Ponemon Institute, świadczy również usługi konsultingowe i jak się domyślam zarabia na nich. Dlatego, wygodnie było potraktować jako poważne naruszenia bezpieczeństwa – „zhakowanie” o których mowa w szokującym nagłówku PC Worlda również zautomatyzowane ataki, które niekoniecznie musiały być wymierzone konkretnie w tą firmę, ani wyjść poza należący do niej, czy też pracownika laptop.
Naprawdę kluczowy jest 16 wykres, wskazujący że z regularnym włamaniem(29%), atakiem DDoS(19%), albo inżynierią socjalną(6%) miała zdecydowanie mniejsza ilość firm (można było wybrać dwie odpowiedzi).
Nie chcę w żaden sposób kwestionować tego, że wrażliwa na zautomatyzowany atak maszyna może stać się później furtką do wnętrza systemu, umożliwiając zdobycie koniecznych do dokonania włamania informacji i np. rozesłania wewnątrz firmy złośliwego oprogramowania. Nie będę też kwestionował tego, że nawet przypadkowe ataki mogą wywołać straty.
Jednak raport Ponemon – którego słabości wymienione są na końcu i jego interpretacja przez PC World to nadużycie. Jeśli dobrze go zrozumiałem nie próbuje nawet odseparować powierzchownych, przypadkowych naruszeń od celowych ataków wrzucające je do jednego worka i strasząc statystyką.
Tak, zabezpieczenie firmowej infrastruktury to konieczne, ciężkie i kosztowne zadanie – ale taki raport, nie pomoże rozsądnie ocenić ryzyka i skonfrontować, go z kosztami. Dla mnie to tabloidyzacja kluczowego dla każdej większej firmy tematu – a to nie pomoże. Tak samo jak tłumaczenie dzieciakom, że jeden joint może posłać je do grobu. Bezpieczeństwo i rachunek ekonomiczny muszą iść w parze – a do tego potrzebne są twarde dane.