80% Amerykańskich firm zostało zhakowane, a straty powyżej pół miliona to norma? Niezupełnie

Do wszelkich badań opartych na odpowiedziach respondentów, jakimi w wypadku Ponemon Institute było 583 firm zatrudniających od 500 osób do wielu tysięcy, podchodzę z rezerwą. Jednak wyniki są tak szokujące, że trudno o nich nie wspomnieć. Jedynie 10 procent respondentów stwierdziło, że ich sieci w ciągu ostatnich 12 miesięcy były w pełni bezpieczne. 10 procent nie potrafiło tego ocenić - pozostałe zanotowały co najmniej jedno naruszenie bezpieczeństwa sieci - ale jak się okazuje po dokładnej lekturze raportu, nie musiało to być np. włamanie do firmowej sieci.

41% respondentów stwierdziło również, że straty przekroczyły pół miliona dolarów, a 40% że nie ma bladego pojęcia, jakie jest źródło ataków. W zidentyfikowanych wypadkach, pół na pół - był to atak z wewnątrz lub zewnątrz firmy. Niestety, niewiele odpowiedzi przyszło ze strony posiadaczy kierowniczych stołków.

Całość jest o tyle ciekawa, że polityka nie ujawniania utraty danych i złamania zabezpieczeń powoli się zmienia, ale wciąż firmy nie uważają tego za powód do dumy. Można przyjąć, że z oficjalnych, a nie anonimowych zgłoszeń uzyskalibyśmy bardzo odmienną, mniej szokująca statystykę - mającą równie niewiele wspólnego z rzeczywistością co tytułowe 80% zhakowanych firm.

Ponemon Institute, świadczy również usługi konsultingowe i jak się domyślam zarabia na nich. Dlatego, wygodnie było potraktować jako poważne naruszenia bezpieczeństwa - "zhakowanie" o których mowa w szokującym nagłówku PC Worlda również zautomatyzowane ataki, które niekoniecznie musiały być wymierzone konkretnie w tą firmę, ani wyjść poza należący do niej, czy też pracownika laptop.

Naprawdę kluczowy jest 16 wykres, wskazujący że z regularnym włamaniem(29%), atakiem DDoS(19%), albo inżynierią socjalną(6%) miała zdecydowanie mniejsza ilość firm (można było wybrać dwie odpowiedzi).

Nie chcę w żaden sposób kwestionować tego, że wrażliwa na zautomatyzowany atak maszyna może stać się później furtką do wnętrza systemu, umożliwiając zdobycie koniecznych do dokonania włamania informacji i np. rozesłania wewnątrz firmy złośliwego oprogramowania. Nie będę też kwestionował tego, że nawet przypadkowe ataki mogą wywołać straty.

Jednak raport Ponemon - którego słabości wymienione są na końcu i jego interpretacja przez PC World to nadużycie. Jeśli dobrze go zrozumiałem nie próbuje nawet odseparować powierzchownych, przypadkowych naruszeń od celowych ataków wrzucające je do jednego worka i strasząc statystyką.

Tak, zabezpieczenie firmowej infrastruktury to konieczne, ciężkie i kosztowne zadanie - ale taki raport, nie pomoże rozsądnie ocenić ryzyka i skonfrontować, go z kosztami. Dla mnie to tabloidyzacja kluczowego dla każdej większej firmy tematu - a to nie pomoże. Tak samo jak tłumaczenie dzieciakom, że jeden joint może posłać je do grobu. Bezpieczeństwo i rachunek ekonomiczny muszą iść w parze - a do tego potrzebne są twarde dane.