Szeregowi pracownicy nie znają procedur, a zarządy nie dostają raportów. Tak wygląda bezpieczeństwo IT w polskich firmach.
Z badań Ernst & Young wynika, że wiekszość przedsiębiorstw zamierza zwiększyć w 2005 r. budżety przeznaczone na bezpieczeństwo systemów informatycznych. Kierownictwa przedsiębiorstw chętniej jednak przeznaczają te pieniądze na rozwiązania techniczne niż na szkolenia dla pracowników.
— Nie ma przecież zabezpieczenia technicznego, w którym czynnik ludzki nie odgrywałby istotnej roli. Większość firm ma przecież firewalle i antywirusy, a mimo to staje się ofiarami ataków. Bierze się to stąd, że wirusy są wprowadzane do systemów przez pracowników kanałami, które z punktu widzenia ataków z zewnątrz uważane są za bezpieczne — podkreśla Mariusz Pawłowski, menedżer w dziale zarządzania ryzykiem informatycznym polskiego oddziału Ernst & Young.
Aż 59 proc. dużych i średnich polskich przedsiębiorstw jako największą przeszkodę w osiągnięciu zadowalającego poziomu bezpieczeństwa informacji wskazuje właśnie brak świadomości użytkowników. Z drugiej zaś strony, zaledwie co czwarte z nich uznaje podnoszenie poziomu świadomości i stopnia wyszkolenia pracowników w tej dziedzinie za bardzo ważne zadanie.
Psychoza a działania
Tylko 40 proc. dużych i średnich polskich przedsiębiorstw dokonuje regularnej oceny podatności zasobów informatycznych na atak i przeprowadza testy penetracyjne. Podobna grupa dokonała w okresie 12 miesięcy bezpośrednio poprzedzających badanie, weryfikacji procedur reagowania na incydenty naruszania bezpieczeństwa systemów IT. Posiadanie zdefiniowanych tego typu procedur deklaruje przy tym aż 81 proc. firm.
— Polskie podmioty tworzyły najczęściej takie procedury, przygotowując się do problemu roku 2000. Jednak od tamtego czasu nie były one modyfikowane, a do obecnej rzeczywistości przecież nijak się nie mają — zaznacza Tomasz Bejm, partner w dziale zarządzania ryzykiem informatycznym polskiego oddziału Ernst & Young.
Gdy o tzw. pluskwie milenijnej mało kto już pamiętał, zaledwie 56 proc. polskich przedsiębiorstw uznawało kwestię posiadania planów zapewnienia ciągłości działania jako pilną. Zaraz po 11 września 2001 r. odsetek ten wzrósł aż do 76 proc., ale do roku 2004 stworzyło je o 8 proc. mniej.
Zarząd nieświadomy
W większości firm nie ma wyznaczonych kierowniczych stanowisk odpowiedzialnych za program bezpieczeństwa informacji. Mniej więcej tylko w co trzeciej jest odrębne stanowisko oficera bezpieczeństwa, czyli osoby odpowiedzialnej wyłącznie za kontrolę bezpieczeństwa informacji. Jednak nawet ich działanie pozostawia wiele do życzenia. Regularne raporty na temat stanu bezpieczeństwa docierają do zarządów przynajmniej raz na kwartał w zaledwie 18 proc. przedsiębiorstw.