Wróg u bram małych i średnich firm

Małe i średnie przedsiębiorstwa są zagrożone atakami cyfrowymi tak samo jak wielkie organizacje, choć ich właściciele i menedżerowie często bagatelizują problem, twierdząc, że nikomu nie będzie zależeć na ataku na tak małą firmę. Liczba cyberataków na małe i średnie przedsiębiorstwa w Polsce rośnie z każdym rokiem. Według raportu Check Point Research w 2023 r. liczba cyberataków na polskie firmy wzrosła o 24 proc. w porównaniu do 2022 r. Średnio na jedną firmę przypadało ponad 1 000 ataków tygodniowo.

Mała firma, duże zagrożenie

Z danych CERT Polska wynika, że małe i średnie przedsiębiorstwa stanowią ok. 60 proc. wszystkich ofiar cyberataków. Atakujący wykorzystują słabe zabezpieczenia i niski poziom świadomości pracowników.

Raport Cybersecurity Threat Landscape 2023 pokazuje, że ataki ransomware (szyfrowanie plików i żądanie okupu) wzrosły w Polsce o 37 proc. w 2023 r. MŚP, które nie mają solidnych kopii zapasowych, często płacą okup, co dodatkowo zachęca przestępców.

Z danych Związku Banków Polskich wynika, że aż 72 proc. ataków phishingowych w Polsce było wymierzonych w sektor MŚP. W wielu przypadkach ataki prowadziły do przejęcia kont bankowych firm lub wyłudzenia pieniędzy przez fałszywe faktury.

Badania przeprowadzone przez PwC Polska wskazują, że średni koszt cyberataku dla małej lub średniej firmy w Polsce to od 50 tys. do 500 tys. zł. W przypadku bardziej zaawansowanych ataków straty mogą przekraczać nawet 1 mln zł, nie licząc szkód wizerunkowych.

Eksperci przewidują, że liczba ataków na MŚP będzie nadal rosła – szczególnie za sprawą coraz bardziej zaawansowanych oszustw AI (np. deepfake).

Ataki phishingowe staną się bardziej wyrafinowane – cyberprzestępcy będą używać fałszywych rozmów telefonicznych generowanych przez sztuczną inteligencję. Jednocześnie nadal będzie rosła rola regulacji i zabezpieczeń – firmy będą musiały dostosować się do nowych wymagań UE, takich jak dyrektywa NIS2, która weszła w życie w 2024 r. i nałożyła na przedsiębiorców większe obowiązki w zakresie cyberbezpieczeństwa.

Niewystarczające działania

W 2024 r. cyberbezpieczeństwo MŚP w Polsce poprawiło się, ale wciąż pozostaje wiele do zrobienia. Coraz więcej firm wdraża podstawowe środki ochrony, ale brak budżetów i świadomości nadal stanowi problem. Rosnąca liczba cyberataków sprawia, że przedsiębiorcy powinni traktować bezpieczeństwo IT priorytetowo – to już nie opcja, ale konieczność.

Co prawda większość MŚP stosuje podstawowe środki ochrony, takie jak firewalle czy programy antywirusowe, ale często brakuje im bardziej zaawansowanych rozwiązań, takich jak systemy wykrywania i zapobiegania włamaniom (IDS/IPS), szyfrowanie danych czy regularne audyty bezpieczeństwa. Brak im również kompleksowych strategii zarządzania ryzykiem cybernetycznym, co czyni je bardziej podatnymi na ataki. Elementami takiej strategii są m.in. zasady informowania o incydentach, wyznaczenie osób odpowiedzialnych za reagowanie na cyberzagrożenia i przeszkolenie pracowników nie tylko z zasad cyberbezpieczeństwa, ale i z procedur, które powinny być wdrażane w momencie wystąpienia takich zagrożeń.

Polscy przedsiębiorcy chcieliby pracować bezpiecznie, ale często na przeszkodzie stają finanse. Małe i średnie przedsiębiorstwa muszą ponosić relatywnie wysokie koszty nowoczesnych technologii. Jednocześnie sektor MŚP, który mógłby korzystać z tanich, a czasem darmowych rozwiązań open source, pada ofiarą przyzwyczajenia. Jedyny znany przedsiębiorcom system operacyjny to Microsoft Windows, a jedyne znane narzędzia – systemy CRM, magazynowe czy spedycyjne – powstały właśnie dla Windows. Przedsiębiorcy często słyszeli o systemach opartych na Linuxie, ale boją się, że „przesiadka” na nie mogłaby być zbyt skomplikowana.

Droga do bezpieczeństwa

Jak MŚP w Polsce mogą poprawić swoje cyberbezpieczeństwo? Pierwszym krokiem jest regularne szkolenie pracowników. Wystarczą krótkie, ale powtarzane w miarę potrzeb kursy online i testy phishingowe, które pokażą pracownikom, jakie metody mogą stosować wobec nich cyberprzestępcy.

Kolejny krok to uświadomienie pracownikom roli, jaką w zabezpieczeniach odgrywają silne hasła i 2FA. To też moment, w którym przedsiębiorcy powinni wdrożyć w swoich firmach managery haseł i uwierzytelnianie dwuskładnikowe.

Niezbędne są także regularne aktualizacje oprogramowania. Systemy, programy antywirusowe i zapory ogniowe muszą być aktualne. Ich producenci zwykle szybko reagują na działania cyberprzestępców, usprawniając zabezpieczenia.

Przedsiębiorcy muszą też mieć świadomość, jak ważną rolę odgrywają kopie zapasowe (backupy). Można je tworzyć automatycznie na zewnętrznych serwerach, można wykorzystać zewnętrzne zabezpieczone dyski w samej firmie. W przypadku regularnie wykonywanych backupów firma zabezpiecza się przed utratą danych lub ogranicza skalę takiej utraty.

Ważnym elementem strategii każdego, a więc i małego, i średniego przedsiębiorstwa jest opracowanie polityki dostępu do danych. Nawet w niewielkiej firmie dostęp do ważnych plików powinny mieć tylko upoważnione osoby.