Miniony rok był trudny dla małych i średnich przedsiębiorstw. Nie tylko doświadczyły one perturbacji związanych z pandemią, ale także znalazły się w jeszcze większym stopniu na celowniku cyberprzestępców. W efekcie w 2021 roku co czwarta firma MSP na świecie doświadczyła przynajmniej jednego cyberataku, a skala utraconych korzyści dla każdej z zaatakowanych firm wyniosła ok. 146 tys. dolarów czyli blisko 600 tys. zł – wynika z badania Coleman Parkes Research, które zostało zrealizowane na zlecenie Allot, jednego z globalnych liderów oferujących rozwiązania w obszarze cyberbezpieczeństwa.
Przestępcy coraz częściej atakują małe i średniej wielkości firmy ponieważ są one dla nich łatwym i atrakcyjnym celem. Nie mają takich zabezpieczeń jak korporacje, a jednocześnie skala potencjalnych korzyści z udanego ataku jest większa niż w przypadku działań wymierzonych w zwykłych ludzi. Stąd duża liczba cyberataków – najczęściej z wykorzystaniem złośliwego oprogramowanie typu malware (64% wskazań) oraz oprogramowania ransomware (34%). Często dochodzi także do ataków na skrzynki pocztowe (22%), z wykorzystaniem wirusów (20%) oraz phishingu (18%).
„Według badań aż 24% firm z sektora MSP przyznało, że było ofiarą przynajmniej jednego cyberataku w minionym roku. Z kolei 22% twierdzi, że zdarzył się incydent w obszarze cyberbezpieczeństwa, ale nie potrafią powiedzieć, czy był on spowodowany atakiem. Tylko 29% firm jest pewnych, że nie było ofiarą cyberataku w minionym roku. Usunięcie skutków po takim ataku zajęło firmom średnio ok. 16 godzin, jednak suma utraconych korzyści związanych z nim wyniosła aż ok. 146 tys. dolarów” – mówi Ian Parkes z firmy Coleman Parkes Research.
Ransomware – płacić czy nie płacić?
W ocenie firm MSP to ataki ransomware, które polegają na zablokowaniu dostępu do komputera i baz danych użytkownika, wiążą się z największym zagrożeniem. Obawia się ich aż 93% przedsiębiorców. W tej grupie 8% respondentów uważa, że tego typu atak mógłby doprowadzić do unicestwienia ich firmy lub bardzo poważnych szkód (32%). Aż 73% firm przyznało, że choć niechętnie, to jednak byłaby gotowa zapłacić okup cyberprzestępcom za odblokowanie dostępu do swoich komputerów i baz danych.
„Przeciętnie firmy są gotowe zapłacić ok. 7 tys. dolarów, aby przywrócić dostęp swojej firmy do internetu i danych. Większość przedsiębiorców (77%) ma przy tym świadomość, że taka praktyka zachęca cyberprzestępców do kolejnych ataków i uważa, że płacenie okupu powinno być uznane za nielegalne. Jednocześnie jednak wolą zapłacić niż utracić zablokowane zasoby, co w konsekwencji mogłoby także prowadzić do utraty klientów. Co ciekawe, tylko 30% firm jest pewna, że ich polisa ubezpieczeniowa pokrywa koszty związane z cyberatakiem, a 44% tak się wydaje. Żadnego ubezpieczenia nie ma 27% przedsiębiorstw” – komentuje Ian Parkes.
Pracownicy najsłabszym ogniwem
Aż 79% firm z sektora MSP uważa, że zagrożenie ze strony cyberprzestępców jeszcze bardziej wzrośnie w kolejnych latach, zaś 65% uważa prawdopodobieństwo ataku na ich firmę za duże. Oceniając źródła zagrożeń, przedsiębiorstwa na pierwszym miejscu wskazują własnych pracowników, którzy mogą wprowadzić zainfekowane oprogramowanie do sieci firmowej łącząc się z nią z własnych urządzeń (36% wskazań), wykazując się nieroztropnością w zakresie bezpieczeństwa IT (35%) lub podczas korzystania z firmowych aplikacji po zdalnym połączeniu z służbowych laptopów i smartfonów (33%). Często wskazywanym zagrożeniem jest także nieaktualne oprogramowanie zabezpieczające (30%).
„W firmach MSP w minionym roku średnio 19% zatrudnionych osób pracowało zdalnie i ta wartość w ciągu najbliższych 3 lat spadnie tylko do 15%. Praca zdalna i wszystkie związane z tym zagrożenia zostają zatem z nami na dłużej, a pracownicy nadal będą dla firm głównym ryzykiem, z czego zdaje sobie sprawę aż 93% przedsiębiorstw. Próbują się one zabezpieczyć na różne sposoby, co obejmuje m.in. stosowanie narzędzi do blokowania najbardziej niebezpiecznych zagrożeń (64%), zapewnienie ochrony pracownikom poza siecią firmową (61%), ograniczenie dostępu do mediów społecznościowych (53%), ryzykowanych aplikacji (48%) i niewłaściwych treści (43%) w miejscu pracy” – komentuje Ian Parkes.
Inne najczęściej stosowane przez firmy MSP zabezpieczenia obejmują firewalle (48% wskazań), a także specjalne zabezpieczenia do połączeń z internetem przez przeglądarkę (33%) i programów email (30%). Innymi często wykorzystywanymi narzędziami są Web Application Firewall (30%), oprogramowanie na telefony komórkowe chroniące pracowników (28%), wielostopniowa autentykacja użytkowników (26%), oprogramowanie antywirusowe (20%) oraz ochrona AntyDDos (19%).
Ile MŚP byliby skłonni płacić za swoje bezpieczeństwo i komu?
Pomimo dużej świadomości zagrożeń tylko 34% firm MSP planuje zwiększyć wydatki na cyberbezpieczeństwo w 2022 roku. W przypadku 40% firm budżet na ten cel pozostanie taki sam, a 22% przedsiębiorstw planuje ograniczyć takie wydatki. Najczęściej wskazywanymi barierami na drodze do lepszej ochrony przed cyberzagrożeniami są wysokie koszty związane z zatrudnieniem specjalistów ds. bezpieczeństwa IT (31% wskazań), wysoki koszt oprogramowania zabezpieczającego (30%), brak osoby zarządzającej cyberbezpieczeństwem (25%), zbyt dużo produktów i usług do zabezpieczenia oraz brak wiedzy, co należy zrobić (po 24% wskazań). 
„Dla firm MSP najważniejsze jest, aby ich rozwiązanie zabezpieczające oferowało zarówno ochronę poza siecią firmową (58% wskazań), jak i w biurze (53%). Ważnymi czynnikami przy wyborze jest także to, aby było proste do wdrożenia (53%) oraz dostępne cenowo (48%). Według respondentów, miesięczne koszty za kompleksową ochronę własnej sieci przed zagrożeniami nie powinny przekroczyć 6,5 dolarów czyli ok. 26 złotych. Najchętniej firmy MSP oczekiwałaby takiej usługi od swojego dostawcy usług IT (35% wskazań), operatora telekomunikacyjnego lub dostawcy internetu (27%) lub specjalistycznej firmy (26%)” – mówi Ian Parkes.
Badanie internetowe Allot i Coleman Research zostało zrealizowane wśród osób zarządzających obszarem IT w 400 firmach z sektora MSP w USA, Wielkiej Brytanii, Niemiec i Szwecji we wrześniu 2021 roku.