Ne pozabite na digitalno varstvo pri delu

Pogosta tarča kibernetskih napadalcev so predvsem majhna in srednje velika podjetja, ugotavlja poročilo o kibernetski varnosti za leto 2023 Nacionalnega odzivnega centra za kibernetsko varnost (SI-CERT). Razlog je očiten: ta podjetja pogosto nimajo niti časa niti denarja in kadrov za zagotavljanje ustrezne odpornosti na kibernetska tveganja.

Obenem pa so omenjena podjetja zelo odvisna od podatkov in nemotenega delovanja informacijskega sistema. Napadalci, ki takemu podjetju ugrabijo podatke ali ohromijo delovanje sistemov in aplikacij, lahko dosežejo, da se njegovo poslovanje povsem ustavi. To v praksi pomeni visoke izgube, ki jih sleherno podjetje težko nadomesti.

V SI-CERT so lani sicer obravnavali 4280 varnostnih incidentov, torej več kot deset na dan. Pri čemer gre zgolj za statistiko prijavljenih incidentov, ki je, to priznavajo tudi varnostni strokovnjaki, precej skopa, saj tako posamezniki kot podjetja varnostnih incidentov (še) nimajo navade prijavljati.

Povprečna škoda že 150.000 evrov

Zneski, koliko podjetja stane odprava posledic kibernetskega napada, iz leta v leto rastejo. V tujini so že na prelomu tega desetletja presegli milijon ameriških dolarjev na uspešen vdor v IKT-okolje, medtem pa se bomo zelo verjetno sedemmestni številki v nekaj letih približali tudi v Sloveniji. Po podatkih SI-CERT je lani posamezni kibernetski napad domačemu podjetju v povprečju povzročil za približno 150.000 evrov škode. Podjetja so bila in so še vedno močno izpostavljena napadom z izsiljevalskimi virusi, napadom z vrivanjem v poslovno komunikacijo in direktorskim prevaram. Pri slednjih je lani po navedbah SI-CERT povprečno oškodovanje znašalo 42.000 evrov.

Tako tuje kot domače zavarovalnice so zato v zadnjih letih zaradi povpraševanja podjetij pripravile tudi zavarovanja za primere kibernetskih napadov in vdorov. Zavarovanje kibernetske zaščite, namenjeno poslovnim strankam, tako med drugim nudijo tudi v največji slovenski zavarovalnici. Kot so pojasnili v Zavarovalnici Triglav, v praksi to zavarovanje nudi predvsem zaščito pred finančnimi posledicami morebitnega kibernetskega varnostnega incidenta in tudi asistenčno pomoč, če ali ko se zgodi. Pri informacijski varnosti je ena od najšibkejših točk odziv zaposlenih, ko ugotovijo, da so žrtev kibernetskega napada. V podjetjih namreč pogosto nastane panika, nepremišljene poteze pa lahko v takšnih primerih povzročijo še več škode kot sam kibernetski incident. Izobraževanje in usposabljanje zaposlenih na področju kibernetske varnosti je tako že nuja. »Zaposleni v podjetju morajo vsaj enkrat na leto opraviti izobraževanje za ozaveščanje o informacijski varnosti, ki zajema tehnike socialnega inženiringa, zasebnost podatkov in aktualne kibernetske grožnje,« so navedli v zavarovalnici.

Kaj lahko storimo

Pomoč pri prvih korakih, ko podjetje zazna, da je žrtev kibernetskega napada, je pomembna prednost zavarovanja kibernetske zaščite. Ključno je predvsem to, so še pojasnili v Zavarovalnici Triglav, da se zavarovanec v primeru kibernetskega incidenta lahko počuti varnega, saj ga strokovnjaki, ki jih zagotavlja zavarovalnica, pravilno usmerjajo v čim bolj optimalno reševanje in odpravo težav ter posledic kibernetskega incidenta. »Zavarovalnica krije tudi nekatere stroške, med drugim stroške omejitve incidenta, poročila, odprave nezaželenih elementov, kriznega upravljanja, varovanja ugleda, morebitnih kazni, ki jih izreče Informacijski pooblaščenec zaradi kršitve varstva zaupnosti osebnih podatkov, stroške ponovne vzpostavitve sistema in glede na mnenje strokovnjaka tudi stroške odkupnine ter morebitnih nezakonito odvzetih denarnih sredstev. Zavarovanje kibernetske zaščite je zavarovanje, ki poleg lastne škode zavarovanca povrne tudi škodo tretjih oseb.«

Zavarovalnica ta zavarovanja obravnava povsem »po meri« in ceno zavarovanja podjetju sporoči šele po proučitvi njegovih varnostnih mehanizmov in obsega poslovanja. Cena je močno odvisna tudi od morebitnih dodatnih zavarovalnih kritij, kot so kritje izgube kosmatega dobička za čas prekinitve poslovanja, stroški kibernetskega izsiljevanja (kritje stroškov odkupnine, ki jo podjetje plača za vračilo ali »odklep« podatkov) in kibernetski kriminal – v slednjem primeru zavarovalnica podjetju povrne vsa nezakonito odvzeta denarna sredstva zaradi dejanj kibernetskega kriminala.

Časi, ko so slovenska podjetja menila, da so premajhna ali zaradi jezikovnih omejitev nezanimiva za organizirane napadalce iz tujine, so mimo. Zdaj kibernetski kriminalci s pomočjo tehnologij umetne inteligence bistveno hitreje in natančneje napadajo svoje tarče; chatgtp jim sestavi prevarantska e-sporočila v lep(š)i slovenščini, zato so učinkovitejša. Z žrtvami se za odkupnino pogaja kar klepetalni bot, zato imajo napadalci bistveno več časa za snovanje novih napadov. Kaj pomaga? Predvsem vlaganje v kibernetsko zaščito in izobraževanje zaposlenih, da bodo prepoznali kibernetski napad, postajata nuja.