De vanligaste cybersäkerhetsfelen som företag gör

Ett ökande antal företag över hela världen har insett att cybersäkerhet är en viktig faktor för att driva ett framgångsrikt företag.

Cybersecurity Ventures förväntar sig att de globala cyberbrottskostnaderna kommer att öka med 15% per år under de kommande fem åren, och nå 10,5 biljoner dollar per år 2025, en ökning från 3 biljoner dollar 2015.

Som en följd av denna kunskap har företag ökat sina investeringar för att försvara sig mot cyberattacker. En Canalys-prognos förutspår att cybersäkerhetsinvesteringar kommer att öka, i bästa fall, med 10% över hela världen under 2021.

Många av dessa investeringar ger dock inte särskilt mycket. Enligt den senaste Accentures studien har det skett en stor minskning, 27%, i antal säkerhetsöverträdelser – vilket indikerar att grunderna verkar förbättras. Ändå står organisationer i genomsnitt inför 22 säkerhetsöverträdelser per år.  Forskning visar att många företag själva gör cyberbrott möjliga. Med detta i åtanke är en rimlig fråga för företag att ställa: vilka är de misstag som organisationer gör när de inrättar sitt cybersäkerhetssystem, och hur kan de undvikas så att företaget skyddas från cyberattacker?

Fokus enbart på de tekniska aspekterna

Ett av de vanligaste och mest allvarliga misstagen som företag gör är att fokusera enbart på den tekniska aspekten av cybersäkerhet. Till exempel kan ett företag lägga tusentals dollar på att säkra nätverk från yttre hot – de investerar i de bästa brandväggarna, system som identifierar intrång, brandväggar för webbprogram och så vidare. Efter en så stor investering förväntar sig det företaget att se resultat. Men istället sker en säkerhetsöverträdelse. Varför? Eftersom företaget har försummat att ge korrekt utbildning till sina anställda.

Cybersäkerhet är ett holistiskt system: en separat lösning kommer inte att hjälpa särskilt mycket, utan företagen måste vidta en rad åtgärder. En sådan åtgärd är att utbilda anställda, göra dem medvetna om vad säkerhet innebär och hur det fungerar. Tänk på att ”en kedja bara är lika stark som dess svagaste länk” – om den svagaste länken är företagets anställda så är det troligt att överträdelsen kommer att bero på deras brist på förberedelse.

Att inte känna sina fiender

En viktig detalj som många företag glömmer att överväga är vem deras potentiella angripare kan vara, var de kommer ifrån och vilka konsekvenser överträdelserna kan få för deras verksamhet. Föreställ dig att du använder ett internt system för att lagra all din känsliga data, och att denna data inte är tillgängliga utifrån eftersom det finns ett säkert skydd på plats mot yttre hot.

Även med stark säkerhet på plats är några bra frågor att ställa: Var kan angripare komma ifrån? Är det interna eller externa attacker? Vad händer om det finns dataläckor? Hur mycket kommer det att kosta att lösa eventuella problem? Hur stora förluster av potentiella möjligheter kommer det bli? Genom att veta svaren på den här typen av frågor och närma sig säkerhet med dem i åtanke kommer ett företag att kunna bygga en vägg som blir svår att bryta ner.

Begränsa sig till standarder

Ett annat vanligt misstag är att bygga ett säkerhetssystem bara för att uppfylla vissa standarder. Att uppfylla standardernas krav skyddar inte ditt företag från attacker. Vad företag bör göra är att utvärdera sina risker: vissa överträdelser kan kosta både en förmögenhet och verksamhetens rykte, medan andra kanske inte påverkar verksamheten särskilt mycket.

Det finns ingen vattentät skyddsplan, det kan finnas tusentals olika risker, men det finns ingen anledning att försöka eliminera varenda en. I stället för att försöka hantera alla risker är det bättre att skapa sig en förståelse för ämnet – företag bör veta vad de skyddar och varför, utvärdera hur denna skyddsåtgärd kommer att hjälpa på en övergripande nivå och om skyddet är värt kostnaden eller inte.

Dålig beredskap för attacker från betrodda kretsar

Många företag förväntar sig inte ”sociala attacker” – alltså incidenter som beror på anställda, partners, kunder, betrodda personer etc.

Ett bra koncept att följa är att alltid ”anta incident”. Med tanke på dagens hotbild bör företag erkänna att en incident antingen redan har inträffat, eller att det bara är en tidsfråga tills det gör det. ”Anta incident” är ett tankesätt som begränsar förtroendet och förutsätter att både interna och externa verktyg, program, tjänster och personer inte nödvändigtvis är säkra och förmodligen redan är komprometterade. Det är ett mycket användbart tillvägagångssätt.

Vad många inte inser är att inget företag kan betrakta sig som helt säkert. Det finns inget företag som inte kan hackas, och ingen säkerhetsplan kan garantera skydd från varje attack. Eftersom tekniken dessutom fortsätter att utvecklas så skapas nya möjligheter för cyberbrott varje dag.

Välja fel teknisk samarbetspartner

Många företag inser att cybersäkerhet är en komplex fråga. För att kunna implementera det korrekt måste de hitta en säkerhetsorganisation som klarar det. Men när du väljer en partner gör många misstaget att anta att cybersäkerhetslösningar är heltäckande och passar alla företag. De hot som reklamföretag kan utsättas för skiljer sig i själva verket från dem inom till exempel luftfart, e-handel, telekommunikation, hälso- och sjukvård eller byggverksamhet. Om din cybersäkerhetspartner inte har erfarenhet i din specifika bransch finns det en större risk för att deras lösningar inte uppfyller dina förväntningar och inte kommer att vara effektiva för att förhindra incidenter.

Försök att hitta en partner som tillhandahåller heltäckande säkerhetstjänster, en partner som kan ge råd om vilken säkerhetsstrategi som passar just er, som skapar en skräddarsydd lösning som uppfyller dina specifika säkerhetskrav, som utför revisioner och hjälper till vid säkerhetsincidenter.

Det är viktigt att din partner inte fokuserar på det vattentäta tillvägagångssättet. Istället bör de fokusera på att göra attacker olönsamma genom att kontinuerligt utföra bedömningar, penetrationstester, övningar med s.k. röda team, tillämpa ”anta incident” -metoden, utveckla regler för incident response (IR) och genomföra utbildning, både om säkerhet och GDPR.

Kom ihåg att din tekniska samarbetspartner bör ha expertis inom ett stort antal marknader och därför ska kunna ge råd om den lämpligaste lösningen för ditt unika företag.

av Alexey Stoletny, VD på Sigma Software, CTO på Clean.io