Společnost Cisco prezentovala na tiskové konferenci v Praze vybrané závěry své každoroční zprávy Cisco Annual Security Report, která se zaměřuje na vývoj v oblasti kybernetické bezpečnosti a přístupu podniků k zabezpečení svých dat a sítí.
Týká se nás to taky
Michal Stachník, generální ředitel Cisco ČR, uvedl tiskovou konferenci slovy, že v současnosti probíhá digitální transformace, kterou lze označit za další průmyslovou revoluci. Vzápětí upozornil na to, že je mylné se domnívat, že se to týká pouze těch nejvyspělejších zemí, a ilustroval to nedávnou stávkou taxikářů na pražské magistrále, mezi jejíž příčiny mimo jiného patřil i rozvoj alternativních taxislužeb typu Uber.
Tato digitalizace s sebou podle Stachníka zákonitě přináší také nová bezpečnostní rizika. Právě otázka bezpečnosti by se podle něj měla stát hlavním tématem diskuse, a to nejen odborné, ale také veřejné, neboť digitalizovaný svět se bude týkat všeho a všech.
Následně si vzal slovo Ivo Němeček, ředitel partnerského prodeje Cisco ČR, a představil závěry zprávy Cisco Annual Security Report. Ta uvádí, že během roku 2015 pokračoval trend malwarových útoků prostřednictvím neautorizovaných rozšíření pro webové prohlížeče.
Zároveň masivně narostlo využívání ransomwaru (malware požadující výkupné) a útoků přes legitimní prostředky (například využívání slabin v redakčních systémech jako je WordPress a další).
Studie dále ukázala, že technologie Flash zůstává navzdory probíhající osvětě stále oblíbenou vstupní bránou pro škodlivý software. Další oblíbenou metodou zůstává útok na DNS (domain name system) a přesměrování uživatele na falešnou stránku. Studie k tomu uvádí, že celkem 91,3 % malwaru zneužívá DNS, ale 68 % podniků přitom nesleduje a nekontroluje své DNS servery.
92 % zařízení je zranitelných, třetina je zastaralá
Technický inženýr Cisco ČR Karel Šímek následně představil několik technických detailů ze studie. Cisco například zjistilo, že 92 % zkoumaných zařízení připojených k internetu vykazovalo známé zranitelnosti, a to v průměru 26 na jedno zařízení. Podobně alarmující je, že 31 % sledovaných zařízení se blížilo konci svého servisního cyklu a 5 % již bylo úplně zastaralých v tom smyslu, že nedostávala bezpečnostní aktualizace.
Podle respondentů studie jsou hlavními příčinami této situace v podnicích rozpočtová omezení (39 %), potíže s kompatibilitou (32 %) a požadavky na certifikaci (25 %). Podle Šimka si však firmy zároveň začínají být více vědomy svých slabin a začínají jednat. Řada podniků například začíná zavádět samostatný rozpočet na bezpečnost, nezávislý na celkovém rozpočtu IT oddělení.
Podniky si začínají uvědomovat význam bezpečnosti
Ve srovnání s rokem 2014 také vyrostl podíl firem, které provádějí preventivní kroky. Informovanost a školení zaměstnanců provádí 90 % oslovených podniků (o 1 procentní bod více než v roce 2014), formální písemná pravidla má zavedeno 66 % firem (o 7 procentních bodů více), outsourcovaný audit a poradenství využívá 52 % firem (o 1 procentní bod více) a outsourcing reakcí na incidenty využívá 42 % oslovených podniků (o 7 procentních bodů více).
Podniky totiž vědí, že bezpečnost je důležitá. Podle studie se 48 % oslovených manažerů vyjádřilo v tom smyslu, že mají velké obavy o bezpečnost, přičemž 41 % respondentů má výrazně vyšší obavy než před třemi lety. Drtivá většina (92 %) respondentů je navíc přesvědčena, že kvalitní zabezpečení od nich očekává nejen jejich vlastní podnik, ale také obchodní partneři i regulační orgány.
Stát a privnátní sféra musí spolupracovat
Zajímavým hostem tiskové konference pak byl Vladimír Rohel, ředitel Národního centra kybernetické bezpečnosti, které je součástí Národního bezpečnostního úřadu. Svou prezentaci zahájil slovy o nezbytnosti a důležitosti oboustranného dialogu mezi státem a komerčním sektorem v oblasti bezpečnosti, neboť stát je v tomto ohledu na privátní sféře závislý. Národní strategie kybernetické bezpečnosti z února 2015 proto například explicitně obsahuje zmínku o zásadnosti spolupráce se soukromým sektorem
Rohel dále hovořil stále ještě relativně novém zákonu o kybernetické bezpečnosti. Úroveň plnění povinností vyplývajících z tohoto zákona je podle Rohela obecně dobrá, panuje zde však velký rozdíl mezi soukromou a veřejnou sférou. Řadu firem sice tlačí rozpočty, ale ve veřejné sféře je podle Rohela situace mnohem horší, neboť zde dochází k podceňování kybernetické bezpečnosti na více úrovních, chybí zde experti a chybí i peníze.
Dalším problémem ve veřejné sféře jsou administrativní a regulatorní bariéry, například co se týče veřejných zakázek, které podle Rohela jednoduše nejsou kompatibilní s kybernetickou bezpečností. Podle současné úpravy se při soutěži na bezpečnostní systém zveřejňují vysoce důvěrné údaje včetně popisu prostředí a stávajícího zabezpečení.
Další potíží ve veřejné sféře je i outsourcing. Zatímco lidé ze státní sféry, kteří mají přístup ke kritické infrastruktuře, jsou prověřování a mají bezpečnostní prověrky, servisní technik přicházející zvenčí ji mít nemusí a podle Rohela bude vždy existovat nejistota, zda je takový člověk skutečně důvěryhodný.
Zdroj: ChannelWorld, Cisco
