Firmy rizikové chování zaměstnanců podceňují. Téměř 13 % společností nemá interní pravidla zvyšující firemní odolnost proti kybernetickým útokům. Situace je přitom výrazně horší u malých firem do 50 zaměstnanců, kde tato opatření chybí ve čtvrtině případů. Naopak u firem nad 500 zaměstnanců mají tato opatření téměř všechny společnosti.

Největší část zaměstnanců, konkrétně 65 %, uvedla, že mají ve firmě zakázáno sami instalovat programy a aplikace v pracovním počítači. Pouze polovina lidí (48 %) však uvedla, že má omezený přístup k souborům a části firemní sítě, které nepotřebují ke své práci, a pouze 39 % používá při přihlašování do firemních systémů vícefaktorovou autentizaci. Zákaz využívání externích USB disků, stejně jako zákaz využívání osobních zařízení (mobilní telefony, počítače, tablety apod.) k pracovním účelům má zavedený třetina firem. Pouze šestina zaměstnanců (16 %) využívá pro přihlašování do interních systémů bezheslové metody, ať už jde o biometrii či hardwarové klíče.

„Tato čísla jsou alarm­uj­ící, pro­to­že vět­ši­nou jde o opa­t­ře­ní, která je po­měr­ně snad­né a lev­né za­vést a která můžou vý­raz­ně sní­žit rizi­ko úspěš­né­ho hac­ker­ské­ho úto­ku ve­de­né­ho přes za­měst­nan­ce. Na­pří­klad ome­ze­ní mož­nos­ti za­měst­nan­ců co­ko­li sami insta­lo­vat nebo dů­sled­ná sprá­va iden­tit a ome­ze­ní po­hy­bu za­měst­nan­ců po firem­ní síti jsou opa­t­ře­ní, která by nemě­la chy­bět v žád­né spo­leč­nos­ti,“ říká Petr Moj­žíš, kon­zul­tant kybe­rne­tic­ké bez­peč­nos­ti ve spo­leč­nos­ti ANECT.

U společností do 50 zaměstnanců je podíl firem s jednotlivými opatřeními o 10 až 20 procentních bodů nižší než je průměr, naopak u firem nad 500 zaměstnanců je o 10 až 20 procentních bodů vyšší.

„Rozdíl mezi velkými a malými firmami je přirozený. Čím větší společnost, tím více si na jedné straně uvědomuje možná rizika a tím větší má většinou zdroje vyčleněné na oblast IT včetně firemní bezpečnosti. Pozitivní je, že alespoň nějaká opatření mají v zásadě všechny velké firmy, na druhou stranu podíl těch, které využívají všechny základní ochranné metody by měl být určitě vyšší,“ říká Petr Mojžíš.

Třetina zaměstnanců přiznává chování ohrožující kybernetickou bezpečnost firem

Třetina zaměstnanců se přiznává k činnostem, které jsou z pohledu firemní bezpečnosti rizikové. Nejvíce lidí, konkrétně 15 %, přiznalo využití neschválených soukromých zařízení. Z pohledu firemní bezpečnosti jde přitom o značné riziko, především, pokud se zaměstnanec může přihlašovat k firemní síti bez nutnosti vícefaktorového ověření a pokud nemá striktně omezená uživatelská práva. „Pokud se zaměstnanci můžou připojit k firemním systémům ze svého soukromého počítače či tabletu, znamená to často, že dotyčná společnost má jen minimální povědomí o tom, jaká zařízení se připojují do firemní sítě a co v ní provádí. Soukromé zařízení se tak (bez vědomí jeho vlastníka) může velmi snadno stát vstupní branou hackerů dovnitř firmy,“ upozorňuje Petr Mojžíš.

Graf 1: Rizikové činnosti zaměstnanců s ohledem na kybernetickou bezpečnost. Zdroj: průzkum společnosti ANECT.

Desetina lidí přiznala otevírání neznámých e-mailových příloh a stejný počet také instalaci programů nebo aplikací do firemního počítače či telefonu bez vědomí IT oddělení. V obou případech jde přitom o činnosti, u kterých existuje velké riziko napadení počítače a následně celé firemní sítě. Podobně závažné je také sdílení přihlašovacích údajů s někým z kolegů, ke kterému se přiznalo 7 % zaměstnanců. Další desetina potom uvedla, že sdílí pracovní dokumenty nebo informace skrze soukromý e-mail či sociální sítě, což může mimo jiné vést k úniku citlivých firemních dat. „Ve všech výše popsaných případech najdeme celou řadu rizik, která se v nich skrývají. Obecně ale jde vždy o to, že útočníci se snaží, aby jejich maskovaný škodlivý kód někdo stáhl, otevřel a spustil. Náš průzkům přitom potvrzuje, že příležitostí k tomu mají a nadále budou mít dostatek. Společnosti proto musí mít zavedeny pokročilé technické ochrany proti spouštění a šíření škodlivého kódu,“ vysvětluje Petr Mojžíš.

Rizikověji se přitom podle průzkumu chovají mladí zaměstnanci. Zatímco mezi lidmi od 45 do 54 let uvedlo 70 % respondentů, že se podobným aktivitám vyhýbají a u zaměsnanců nad 54 let dosahoval tento podíl 75 %, u lidí do 35 let šlo pouze o 57 % lidí. „Důvodem je podle našich zkušeností kombinace několika faktorů. Mladí lidé jsou obecně více spjatí s technologiemi, které využívají téměř ke všem činnostem v každodenním životě, a mají tak mnohem více příležitostí k rizikovému chování. I díky tomu mají tendenci některá rizika podceňovat nebo si je uvědomovat méně než starší kolegové,“ říká Petr Mojžíš.

Graf 2: Firemní opatření na zvýšení kybernetické bezpečnosti, která si zaměstnanci vybavují. Zdroj: průzkum společnosti ANECT.

„Je třeba snížit rizikové chování zaměstnanců, ideálně kombinací zajímavých školení a prosazením výše popsaných omezení. Jde o jedny z nejefektivnějších opatření z pohledu jejich složitosti a ceny. Firmy ale samozřejmě nesmí zapomínat ani na řadu technických opatření, od základních bezpečnostních nastavení a včasné aktualizace veškerých svých systémů, přes pořízení vhodných nadstavbových prevenčních i monitorovacích nástrojů, až po funkční zálohování dat,“ dodává Petr Mojžíš.