BSA | The Software Alliance, organizacja zrzeszająca producentów oprogramowania komputerowego, przedstawiła wyniki najnowszego badania dotyczącego wiedzy i postaw pracowników polskiego sektora MSP w zakresie cyberbezpieczeństwa. Większość z nich nie rozumie co stanowi zagrożenie cybernetyczne, nie poczuwa się także do odpowiedzialność za ewentualne skutki wywołane swoimi działaniami.
Korzystając na co dzień z rozwiązań technologicznych, pracownicy nie są w stanie skutecznie wskazać podstawowych zagrożeń. Większość z nich (63%) nie uważa, że używanie nieautoryzowanego urządzenia (np. USB) stanowi zagrożenie dla firmowej sieci, 56% nie sądzi, że instalacja aplikacji bez uprawnień jest zagrożeniem, a 61% nie uważa, że nielegalne pobieranie z sieci stanowi zagrożenie bezpieczeństwa.
Wygoda ważniejsza od odpowiedzialności
Głównymi powodami takich aktywności są wygoda (44%) i oszczędność czasu (35%). Tylko 39% uznałoby swoją odpowiedzialność, gdyby ich działania doprowadziły cyberataku.
Tylko 38% pracowników instaluje wyłącznie aplikacje zgodne z polityką bezpieczeństwa firmy, a jedynie jedna trzecia (47%) regularnie aktualizuje oprogramowanie na swoich urządzeniach roboczych. Ponadto 54% pracowników, bez pozwolenia działu IT, decyduje się na korzystanie z narzędzi (aplikacje/dane/dostęp), których potrzebują do bardziej wydajnej pracy.
Fałszywe poczucie bezpieczeństwa
Wyniki badania dowodzą, że pracownicy nie doceniają skali zagrożenia. 78% z nich uważa, że środki bezpieczeństwa, z których korzysta ich firma są wystarczające, a 64% jest zdania, że ich firma dostosowała się wystarczająco szybko, aby poradzić sobie ze zmieniającymi się zagrożeniami cybernetycznymi.
Wyniki te są mniej imponujące, gdy mowa o konkretnych rozwiązaniach w zakresie cyberbezpieczeństwa wprowadzonych przez ich organizacje:
- tylko 18% zostały zapewnione dedykowane sesje szkoleniowe
- tylko 15% odnotowało wprowadzenie zaostrzonych zasad bezpieczeństwa lub użytkowania (dotyczących dostępu do usług)
- tylko 23% pracowników otrzymało wytyczne dotyczące najlepszych praktyk
Znajduje to swoje odbicie w ogólnym braku świadomości cybernetycznej wśród polskich MSP – mniej niż połowa pracowników (48%) faktycznie wie, czy ich organizacja padła ofiarą cyberataku wskutek czego doszło do naruszenia danych.
Ustalenia badania dowodzą, że firmy z polskiego sektora MSP powinny poświęcać więcej czasu i środków na szkolenia w zakresie cyberbezpieczeństwa. Tym bardziej, że skala pracowników, którzy nie są w stanie rozpoznać działań wysokiego ryzyka, nie czują się odpowiedzialni za swoje działania i nie boją się omijać wytyczne działów IT, jest zaskakująco duża. Od postaw, czyli bezpiecznego zarządzania hasłami po prowadzenie odpowiedniej polityki w zakresie licencji do oprogramowania. Większość naruszeń bezpieczeństwa cybernetycznego wynika z ludzkich błędów, z drugiej strony, pracownicy MSP nie otrzymują jasnego przesłania, że każdy ma obowiązek chronić dane organizacji, w której pracuje – powiedziała Sarah Coombes, dyrektor zarządzający, Compliance & Enforcement, BSA.