Większość cyberataków została zgłoszona Wielkiej Brytanii Biuro Komisarza ds. Informacji (ICO) wynikających z podstawowych i powszechnych błędów w zakresie bezpieczeństwa, organ regulacyjny stwierdził, że inni będą mogli się lepiej uczyć, a poziom bezpieczeństwa wszystkich może zacząć się poprawiać, jeśli ofiary poczują się uprawnione do zachowania większej przejrzystości o swoich doświadczeniach.
ICO podało, że w 2023 r. zgłoszono jej ponad 3000 naruszeń, z czego 22% dotyczyło organizacji z branży usług finansowych, przy czym sektory handlu detalicznego i edukacji stanowiły odpowiednio 18% i 11% zgłoszeń.
w Uczenie się na błędach innych W raporcie ICO przygotowało praktyczne porady, które mają pomóc organizacjom lepiej zrozumieć typowe niedociągnięcia w zakresie bezpieczeństwa i podjąć proste kroki w celu poprawy własnego bezpieczeństwa, aby zapobiec naruszeniom, zanim będą one miały miejsce.
„Ludzie muszą mieć pewność, że organizacje robią wszystko, co w ich mocy, aby zapewnić bezpieczeństwo ich danych osobowych” – powiedział Stephen Bonner, zastępca komisarza ICO ds. nadzoru regulacyjnego.
„Chociaż ataki cybernetyczne stają się coraz bardziej wyrafinowane, okazuje się, że wiele organizacji nie reaguje odpowiednio i nadal zaniedbuje podstawy cyberbezpieczeństwa.
„Jako organ regulacyjny ds. ochrony danych chcemy wspierać i umożliwiać organizacjom osiągnięcie tego celu” – powiedział. „Chociaż nie ma jednego rozwiązania zapobiegającego cyberatakom, nie ma absolutnie żadnego usprawiedliwienia dla braku podstawowych kontroli. Są one niezbędne do ochrony danych osobowych ludzi, dlatego podejmiemy działania, łącznie z karami finansowymi, przeciwko organizacjom, które nadal nie podejmują prostych kroków w celu zabezpieczenia swoich systemów.
„Jeśli rzeczywiście doświadczysz cyberataku, zawsze zachęcamy do zachowania przejrzystości, ponieważ Twoje błędy mogą pomóc innej organizacji uniknąć podobnego naruszenia” – powiedział Bonner.
Pięć przyczyn naruszeń
Raport skupia się na pięciu największych przyczynach naruszeń zgłaszanych do ICO, a dla doświadczonych specjalistów ds. cyberbezpieczeństwa lista nie powinna zawierać żadnych niespodzianek:
- E-maile phishingowew których użytkownicy są namawiani do udostępniania danych uwierzytelniających, danych osobowych lub pobierania złośliwego oprogramowania bądź oprogramowania ransomware;
- Brutalna siła atakujegdzie złośliwi aktorzy metodą prób i błędów odgadują słabe kombinacje nazwy użytkownika i hasła;
- Odmowa usługigdzie normalne działanie sieci lub systemu zostaje spowolnione lub zatrzymane w wyniku przeciążenia złośliwym ruchem;
- Błędy użytkownikaw których ustawienia zostały błędnie skonfigurowane, źle zaimplementowane, nieobsługiwane lub pozostawione domyślne;
- Ataki na łańcuch dostawgdy produkty, usługi lub technologie wykorzystywane w organizacji zostają naruszone i wykorzystane do infiltracji jej systemów.
Raport zawiera bardziej szczegółowe informacje na temat sposobu, w jaki dochodzi do takich ataków, kluczowych kwestii niezbędnych do ograniczenia ryzyka oraz potencjalnego rozwoju sytuacji w przyszłości. Zawiera także szereg studiów przypadków zaczerpniętych z działań regulacyjnych ICO.
Eleonora Fairford, NCSC zastępca dyrektora ds. zarządzania incydentami powiedział: „W miarę jak coraz więcej organizacji zgłasza incydenty cybernetyczne, coraz ważniejsze staje się posiadanie silnych zabezpieczeń w Internecie, aby zmniejszyć ryzyko stania się ofiarą i chronić dane osobowe.
„NCSC angażuje się we wspieranie organizacji w zwiększaniu ich odporności cybernetycznej, dlatego wzywamy liderów, aby korzystali z szerokiej gamy praktycznych wskazówek i bezpłatnych usług dostępnych na stronie internetowej NCSC. Jeśli wydarzy się najgorsze, zachęcamy do zgłaszania incydentów władzom, aby uzyskać dostęp do wsparcia ekspertów i pomóc w przerwaniu kręgu przestępczego”.