Třetina zaměstnanců v práci sdílí hesla, otevírá neznámé přílohy nebo jinak ohrožuje bezpečnost

Firmy přitom tato rizika podceňují. Téměř 13 % společností nemá interní pravidla zvyšující odolnost proti kybernetickým útokům. Situace je přitom výrazně horší u malých firem do 50 zaměstnanců, kde tato opatření chybí ve čtvrtině případů. Naopak u firem nad 500 zaměstnanců mají tato opatření téměř všechny společnosti.

Největší část zaměstnanců, konkrétně 65 %, uvedla, že mají ve firmě zakázáno sami instalovat programy a aplikace v pracovním počítači. Pouze polovina lidí (48 %) však uvedla, že má omezený přístup k souborům a části firemní sítě, které nepotřebují ke své práci, a pouze 39 % používá při přihlašování do firemních systémů vícefaktorovou autentizaci. Zákaz využívání externích USB disků, stejně jako zákaz využívání osobních zařízení (mobilní telefony, počítače, tablety apod.) k pracovním účelům má zavedený třetina firem. Pouze šestina zaměstnanců (16 %) využívá pro přihlašování do interních systémů bezheslové metody, ať už jde o biometrii či hardwarové klíče.

„Tato čísla jsou alarmující, protože většinou jde o opatření, která je poměrně snadné a levné zavést a která můžou výrazně snížit riziko úspěšného hackerského útoku vedeného přes zaměstnance. Například omezení možnosti zaměstnanců cokoli sami instalovat nebo důsledná správa identit a omezení pohybu zaměstnanců po firemní síti jsou opatření, která by neměla chybět v žádné společnosti,“ říká Petr Mojžíš, konzultant kybernetické bezpečnosti ve společnosti ANECT.

U společností do 50 zaměstnanců je podíl firem s jednotlivými opatřeními o 10 až 20 procentních bodů nižší než je průměr, naopak u firem nad 500 zaměstnanců je o 10 až 20 procentních bodů vyšší.

„Rozdíl mezi velkými a malými firmami je přirozený. Čím větší společnost, tím více si na jedné straně uvědomuje možná rizika a tím větší má většinou zdroje vyčleněné na oblast IT včetně firemní bezpečnosti. Pozitivní je, že alespoň nějaká opatření mají v zásadě všechny velké firmy, na druhou stranu podíl těch, které využívají všechny základní ochranné metody by měl být určitě vyšší,“  řekl Petr Mojžíš.

Chování ohrožující kybernetickou bezpečnost firem přiznává třetina zaměstnanců

Výše popsaná opatření jsou přitom podle Petra Mojžíše o to důležitější, že třetina zaměstnanců se přiznává k činnostem, které jsou z pohledu firemní bezpečnosti rizikové. Nejvíce lidí, konkrétně 15 %, přiznalo využití neschválených soukromých zařízení. Z pohledu firemní bezpečnosti jde přitom o značné riziko, především, pokud se zaměstnanec může přihlašovat k firemní síti bez nutnosti vícefaktorového ověření a pokud nemá striktně omezená uživatelská práva. „Pokud se zaměstnanci můžou připojit k firemním systémům ze svého soukromého počítače či tabletu, znamená to často, že dotyčná společnost má jen minimální povědomí o tom, jaká zařízení se připojují do firemní sítě a co v ní provádí. Soukromé zařízení se tak (bez vědomí jeho vlastníka) může velmi snadno stát vstupní branou hackerů dovnitř firmy,“ upozornil Mojžíš.

Desetina lidí přiznala otevírání neznámých e-mailových příloh a stejný počet také instalaci programů nebo aplikací do firemního počítače či telefonu bez vědomí IT oddělení. V obou případech jde přitom o činnosti, u kterých existuje velké riziko napadení počítače a následně celé firemní sítě. Podobně závažné je také sdílení přihlašovacích údajů s někým z kolegů, ke kterému se přiznalo sedm procent zaměstnanců. Další desetina potom uvedla, že sdílí pracovní dokumenty nebo informace skrze soukromý e-mail či sociální sítě, což může mimo jiné vést k úniku citlivých firemních dat. „Ve všech výše popsaných případech najdeme celou řadu rizik, která se v nich skrývají. Obecně ale jde vždy o to, že útočníci se snaží, aby jejich maskovaný škodlivý kód někdo stáhl, otevřel a spustil. Náš průzkům přitom potvrzuje, že příležitostí k tomu mají a nadále budou mít dostatek. Společnosti proto musí mít zavedeny pokročilé technické ochrany proti spouštění a šíření škodlivého kódu,“ vysvětlil Petr Mojžíš.

Rizikověji se přitom podle průzkumu chovají mladí zaměstnanci. Zatímco mezi lidmi od 45 do 54 let uvedlo 70 % respondentů, že se podobným aktivitám vyhýbají a u zaměsnanců nad 54 let dosahoval tento podíl 75 %, u lidí do 35 let šlo pouze o 57 % lidí. „Důvodem je podle našich zkušeností kombinace několika faktorů. Mladí lidé jsou obecně více spjatí s technologiemi, které využívají téměř ke všem činnostem v každodenním životě, a mají tak mnohem více příležitostí k rizikovému chování. I díky tomu mají tendenci některá rizika podceňovat nebo si je uvědomovat méně než starší kolegové,“ poznamenal Mojžíš.

S ransomwarovým útokem se setkalo sedm procent zaměstnanců

Průzkum se zaměřil také na to, s jakými situacemi se v oblasti kybernetické bezpečnosti zaměstnanci setkali. Dvě třetiny respondentů (62 %) uvedly, že se v jejich firmě už řešil pokus o podvod vedený online nebo přímo určitý kybernetický incident.

Nejčastěji šlo o snahu o podvod spojenou se zaplacením vymyšlené faktury (38 %), ale osm procent zaměstnanců se ve firmě setkalo s krádeží či únikem dat a necelých sedm procent i s úspěšným ransomwarovým útokem, který vyřadil z provozu firemní síť. „Právě tyto typy útoků patří mezi ty nejnebezpečnější. V obou případech vedou k velkým reputačním i finančním ztrátám a v některých extrémních případech můžou vést až k zániku celé společnosti,“ upozornil Mojžíš. Zároveň dodal, že množství firem, které se setkaly s pokusem o ransomwarový útok je reálně vyšší, než vidí jejich zaměstnanci: „Řada ransomwarových útoků může být úspěšná jenom částečně nebo vůbec a nemusí tak dojít k vyřazení celé sítě nebo se o nich zaměstnanci nemusí dozvědět.“

Řada ransomwarových útoků přitom vede právě přes zaměstnance a přes krádeže přihlašovacích údajů zaměstnanců. Tuto cestu je podle Petra Mojžíše možné hackerům výrazně ztížit. „Je třeba snížit rizikové chování zaměstnanců, ideálně kombinací zajímavých školení a prosazením výše popsaných omezení. Jde o jedny z nejefektivnějších opatření z pohledu jejich složitosti a ceny. Firmy ale samozřejmě nesmí zapomínat ani na řadu technických opatření, od základních bezpečnostních nastavení a včasné aktualizace veškerých svých systémů, přes pořízení vhodných nadstavbových prevenčních i monitorovacích nástrojů, až po funkční zálohování dat,“ uzavřel Mojžíš.

Údaje vyplývají z výzkumu technologické společnosti ANECT mezi 1 050 zaměstnanci českých firem.