Małe firmy mogą stanowić atrakcyjną zdobycz dla cyberprzestępców. W globalnej gospodarce małe i średnie przedsiębiorstwa generują łącznie biliony dolarów i zatrudniają miliony pracowników. Do małych i średnich przedsiębiorstw zalicza się głównie te zatrudniające mniej niż 500 pracowników. Co jednak z najmniejszymi firmami? Według szacunków IDC, na świecie istnieje około 80 milionów firm, które zatrudniają mniej niż 10 pracowników. Te "bardzo małe" firmy są często prowadzone w domu, a ich założyciel i prezes jest zwykle tą samą osobą, która zamawia papier do drukarki. Niezależnie od tego szacuje się, że w 2013 roku organizacje te będą obracały milionami, jeśli nie miliardami, dolarów.

Kolejny fakt dotyczący tych 80 milionów bardzo małych firm jest taki, że większość z nich nie posiada pracowników ani zasobów wyznaczonych do budowy infrastruktury IT. W wielu przypadkach ten sam pracownik, który zajmuje się zamawianiem papieru do drukarki, jest równocześnie odpowiedzialny za utrzymywanie komputerów i sieci, dzięki którym bardzo małe firmy mają łączność ze swoimi klientami.

Mimo mniejszego rozmiaru bardzo małe firmy i ich większe odpowiedniki posiadają pewne wspólne potrzeby, w szczególności potrzebę ochrony ważnych danych - np. dotyczących klientów i ich własnych informacji finansowych - podczas dokonywania transakcji bankowości online i realizacji zamówień klientów. Niestety, z większymi firmami łączy je również to, że mogą łatwo stać się ofiarą cyberprzestępczości.

Za małe, aby zostały zauważone?

Dwa - niestety błędne - założenia rozpowszechnione wśród małych firm, a zwłaszcza tych bardzo małych, brzmią:

  • Moja mała firma jest bezpieczna, jeżeli chodzi o cyberprzestępców, którzy nie będą marnować czasu na atakowanie mnie.
  • Moja mała firma nie posiada nic, co warto ukraść.

Wiele dowodów przeczy pierwszemu założeniu. Na przykład, raport "2013 Data Breach Investigations" firmy Verizon, który zawiera dane z globalnych dochodzeń kryminalistycznych, wskazuje, że na 621 przeanalizowanych incydentów naruszenia bezpieczeństwa danych 193 incydentów - ponad 30% - miało miejsce w firmach zatrudniających 100 lub mniej pracowników. Drugie założenie jest równie nieprawdziwe, ponieważ za każdym razem, gdy firma dokonuje sprzedaży online, niemal zawsze uzyskuje dostęp do prywatnych danych dotyczących klienta w tej czy innej formie, takich jak nazwisko, adres oraz numer karty płatniczej. Te podstawowe informacje z pewnością posiadają wartość dla cyberprzestępców, podobnie jak informacje finansowe małej firmy.

W rzeczywistości niektórzy cyberprzestępcy wolą atakować bardzo małe firmy, ponieważ podejrzewają, że wiele z nich nie posiada pełnej ochrony, a tym samym stanowi łatwy cel. Wszyscy przestępcy, również cybernetyczni, wybierają najsłabsze cele - ze względu na brak budżetu oraz niski poziom wiedzy personelu na temat bezpieczeństwa, bardzo małe firmy stanowią łatwy cel, a szanse na schwytanie złodziei są znacznie mniejsze. 
Jakie są konsekwencje?

W przypadku firmy o niewielkim stażu wystarczy jeden incydent naruszenia bezpieczeństwa, aby popadła w ruinę finansową. Według badania "2013 Global Corporate IT Security Risks" (przeprowadzonego przez Kaspersky Lab oraz B2B International) średni globalny koszt incydentu naruszenia bezpieczeństwa w małej lub średniej firmie może wynosić nawet 36 000 dolarów. Kwota ta obejmuje średni koszt utraconych możliwości biznesowych, jak również koszty wynajęcia zewnętrznego eksperta IT w celu rozwiązania problemu i ewentualnego zakupu nowego sprzętu. W przypadku bardzo małej firmy pięciocyfrowa kwota wymagana na pokrycie kosztów incydentu naruszenia cyberbezpieczeństwa może stanowić poważny cios. Oprócz bezpośrednich kosztów incydent taki może również mieć bardziej trwały, niematerialny skutek - utratę zaufania klientów.

"Jeżeli klient będzie zmuszony anulować kartę kredytową, ponieważ jego prywatne informacje zostały skradzione z jakiejś firmy, fakt ten spowoduje prawdopodobnie, że już nigdy niczego nie kupi w tej firmie" - tłumaczy Mark Bermingham, dyrektor Globalnego Marketingu Produktu, Kaspersky Lab. 
"W przypadku bardzo małych firm, które oferują usługi obejmujące informacje poufne, np. dokumenty podatkowe w przypadku firm świadczących usługi finansowe, klient może w takiej sytuacji zaskarżyć kontrahenta. Ponadto, wiele firm posiada prawny obowiązek zgłoszenia pewnych przypadków naruszenia bezpieczeństwa danych. Jeżeli ich praktyki w zakresie bezpieczeństwa zostaną uznane jako niespełniające minimalnych wymogów wynikających z przepisów branżowych, firma może zostać obciążona surowymi karami".

Co zatem powinny zrobić bardzo małe firmy, aby należycie się zabezpieczyć? Eksperci z Kaspersky Lab przygotowali trzy proste wskazówki:

  • Zrozum, że żadna firma nie jest "zbyt mała, aby została zauważona" przez przestępców - nawet małe firmy posiadają własność intelektualną, konta bankowe i - w większości przypadków - dane dotyczące klientów.
  • Postaw na prostotę - małe firmy powinny wybierać oprogramowanie bezpieczeństwa przeznaczone dla małych i średnich firm lub producentów, którzy cieszą się reputacją dostawców intuicyjnego, wszechstronnego oprogramowania bezpieczeństwa, aby uniknąć pułapki płacenia zbyt wysokiej ceny za coś, czego obsługa będzie dla nich wyzwaniem.
  • Kluczowe obszary inwestycji - po zainwestowaniu w podstawową ochronę antywirusową należy rozważyć stosowanie technologii szyfrowania. Szyfrowanie danych ma istotne znaczenie dla każdej firmy, która przetwarza i przechowuje informacje klientów dotyczące płatności, i często stanowi wymóg prawny. W przypadku kradzieży lub utraty zaszyfrowanych danych przestępcy nie będą w stanie uzyskać dostępu do przechwyconych informacji, dzięki czemu dane firmy i klientów będą bezpieczne.źródło: Kaspersky Lab
  •  
AUTOR:

Adrian Ścibor

Podziel się