Австралийские предприятия малого и среднего бизнеса ощущают накал кибербезопасности: вот чем могут помочь ИТ-специалисты

Интернет в настоящее время представляет собой трудное пространство для австралийского малого и среднего бизнеса. Мало того, что темпы инноваций заставляют их внедрять прорывные новые технологии с минимальными ресурсами, им также приходится бороться с теми же киберугрозами, что и всем другим предприятиям. Тогда те, которые были взломаны, скорее всего, впоследствии потерпят неудачу: 60% предприятий малого и среднего бизнеса закроются после взлома.

И регуляторы глубоко обеспокоены.

Недавний отчет ASIC показал, что «средние и крупные» организации постоянно сообщают о более зрелых возможностях кибербезопасности, чем небольшие организации, которые отстают в наиболее важных областях: управлении рисками цепочки поставок, безопасности данных и управлении последствиями.

В ответ на угрозы правительство Австралии объявило о пакете помощи малому бизнесу в размере 20 миллионов австралийских долларов. Это включает в себя создание добровольной программы «проверки здоровья» в киберпространстве, которая поможет владельцам малого бизнеса лучше понять свою зрелость в области кибербезопасности. Кроме того, 11 миллионов долларов из пакета пойдут в Службу киберустойчивости малого бизнеса, которая предоставит индивидуальную услугу, помогающую малому бизнесу восстановиться после кибератаки.

Эти усилия нацелены на те области, где малый и средний бизнес наиболее слаб. Тем не менее, перед лицом растущих киберугроз малым предприятиям также придется взять на себя задачу уделять гораздо больше внимания устойчивости, чем раньше.

Перейти к:

Риск в цифрах Стоимость для малого бизнеса Что может сделать малый бизнес? Начните с основных 8 Каждому малому и среднему бизнесу нужен план антикризисного управления

Риск в цифрах

В некоторых областях, таких как способность обнаруживать угрозы и восстанавливаться после них, данные ASIC показывают, что малый бизнес лишь немногим более чем вполовину менее эффективен, чем его средние и крупные коллеги (рис. A).

Рисунок А

В целом значительный процент малых предприятий:

Не следуйте никаким стандартам кибербезопасности и не сравнивайте их с ними (34%). Не проводите оценку рисков третьих лиц и поставщиков (44%). Не имеют или ограничены возможности использования многофакторной аутентификации (33%). Не обновлять приложения (41%). Не выполняйте сканирование уязвимостей (45%). Не иметь резервных копий (30%).

Эти недостатки означают, что малый бизнес по-прежнему подвергается большому риску относительно простых и иным образом управляемых киберугроз, включая фишинг, программы-вымогатели и компрометацию деловой электронной почты.

Стоимость для малого бизнеса

Отдельно Австралийское управление связи опубликовало ежегодный отчет о киберугрозах за 2022–2023 годы. В отчете говорится, что средний ущерб от киберпреступлений за последний год увеличился на 14%. Затраты для малого бизнеса составили 46 000 долларов США, для среднего бизнеса — 97 200 долларов США, а для более крупных предприятий — 71 600 долларов США (рис. B).

Рисунок Б

Конечно, это обременительно для любого предприятия, но для малого и среднего бизнеса это кажется особенно разрушительным. Около 60% малых предприятий, подвергшихся взлому, прекращают свою деятельность как прямое следствие этого.

Другими словами, кибербезопасность представляет собой реальную угрозу существованию этих предприятий. Даже тем, кому удалось пережить прямую цену взлома, придется бороться с репутационным ущербом, который может привести к потере клиентов и партнеров и повлиять на краткосрочный денежный поток. В лучшем случае кибернарушение «просто» ограничивает способность малого бизнеса масштабироваться и расти.

Нехватка ресурсов – серьезная проблема в защите МСП

Малые предприятия будут иметь небольшие ИТ-команды — или, что более вероятно, одного ИТ-специалиста в штате — и их роль будет носить общий характер. Они будут отвечать за настройку ИТ-безопасности, но также будут управлять серверами и веб-сайтом, а также поддерживать облачные среды и парки устройств, среди других задач. Они не смогут посвятить значительное количество своего времени конкретным проектам в области кибербезопасности.

SEE: Австралийские некоммерческие организации сталкиваются с киберрисками из-за ограниченности ресурсов.

Даже если бы они это сделали, им не пришлось бы много вкладывать. Около половины австралийских малых предприятий (48%) тратят на кибербезопасность менее 500 долларов в год.

Для перегруженного работой и утомленного ИТ-специалиста в компании малого и среднего бизнеса целью должна быть разработка передового подхода к кибербезопасности, который не будет сложным в обслуживании и не потребует специализированных ресурсов. Объявленные новые правительственные ресурсы могут помочь в этом, но малый и средний бизнес может многое сделать независимо от государственной поддержки, чтобы начать работу немедленно.

Малому бизнесу следует начать с «основной восьмерки»

Признавая ограничения доступа малого бизнеса, ASD и Австралийский центр кибербезопасности собрали «Основную восьмерку» — серию рекомендаций по передовому опыту в области безопасности и малого бизнеса. Это:

Создание, внедрение и управление белым списком одобренных приложений. Внедрение процесса регулярного обновления и исправления систем, программного обеспечения и приложений. Отключение макросов в приложениях Microsoft Office, если это специально не требуется, а также обучение сотрудников не включать макросы в нежелательных вложениях электронной почты или документах. Усиление защиты пользовательских приложений путем обеспечения безопасной настройки веб-браузеров для блокировки вредоносного контента. Используйте только необходимые расширения браузера и обновляйте их. Ограничение административных привилегий только тем, кто в них нуждается. Настройка автоматических обновлений для исправления операционных систем. Использование надежных уникальных паролей и включение многофакторной аутентификации. Выполнение ежедневного резервного копирования критически важных данных и изоляция резервных копий от вашей сети.

Хотя все это может показаться достаточно простым, для многих сотрудников малого бизнеса, где обычно не существует политики, регулирующей передовой опыт использования технологии, существует необходимость постоянного обучения и бдительности со стороны ИТ-подразделения, чтобы обеспечить вся организация остается в соответствии с требованиями.

Аналогичным образом, необходимые для этого инвестиции минимальны и не требуют от малого бизнеса приобретения какого-либо дополнительного программного обеспечения или решений для обеспечения безопасности.

Каждому малому и среднему бизнесу нужен план антикризисного управления

В дополнение к реализации «Основной восьмерки» ИТ-специалисты или специалисты, работающие в малом бизнесе, должны взять на себя задачу разработать стратегию реагирования в случае нарушения безопасности.

SEE: Изучите эти шесть шагов к успешному плану реагирования на инциденты.

Это то, что даже крупнейшие предприятия упускают из виду в ущерб себе. Например, когда телекоммуникационный гигант Optus недавно столкнулся с полным отключением электроэнергии, одной из самых больших проблем у людей было отсутствие связи и ответа. Как оказалось, это произошло из-за отсутствия антикризисного плана.

ИТ-специалистам, работающим на предприятиях малого бизнеса, необходимо смириться с тем фактом, что их бизнес уязвим. Несмотря на то, что многие из них недоукомплектованы кадрами и бюджетом, в какой-то момент вполне вероятно, что произойдет нарушение. Наличие комплексного плана антикризисного управления имеет решающее значение для смягчения как затрат, так и ущерба, нанесенного взломом; и тем самым они помогут своей организации войти в число тех, кто сможет восстановиться после инцидента.