Mūsdienu straujajā tehnoloģiju pasaulē 2023. gads uzņēmumiem ir radījis jaunus izaicinājumus, it īpaši saistībā ar datu drošību. Nesen publicētajā IBM ziņojumā* par datu aizsardzības pārkāpumu izmaksām 2023. gadā atklājās satraucoša patiesība — vidējās datu aizsardzības pārkāpuma izmaksas ir sasniegušas vēsturiski augstāko līmeni — 4,1 miljonu eiro. Lai gan šie skaitļi var likties biedējoši, ziņojumā ir aprakstītas arī būtiskas tendences, kas var palīdzēt organizācijām uzlabot savus drošības pasākumus un pēc iespējas samazināt datu aizsardzības pārkāpumu riskus. Šajā bloga rakstā sīkāk aplūkosim galvenos ziņojumā iekļautos statistikas datus par datu aizsardzības pārkāpumiem, piedāvājot ieteikumus, kas īpaši paredzēti maziem un vidējiem uzņēmumiem (MVU).
Īsumā
- Datu aizsardzības pārkāpumi ar katru gadu notiek arvien biežāk un izmaksā arvien dārgāk.
- Organizāciju iekšējās drošības komandas un rīki atklāj tikai aptuveni trešdaļu (33%) pārkāpumu.
- Lai gan ikviena organizācija ir neaizsargāta pret datu aizsardzības pārkāpumiem, tās, kuras sniedz kritiskās infrastruktūras un veselības aprūpes pakalpojumus, ir lielākie mērķi.
- Mazie uzņēmumi kļūst arvien neaizsargātāki pret datu aizsardzības pārkāpumiem un šo pārkāpumu sekas var būt katastrofālas.
- Biežākie datu aizsardzības pārkāpumu cēloņi ir uzlauzti konta akreditācijas dati, pikšķerēšana un nepareiza mākoņa konfigurācija.
Ko tas nozīmē mazajiem un vidējiem uzņēmumiem?
Maziem un vidējiem uzņēmumiem varētu būt grūti izprast ziņojumā minētos vidējo izmaksu rādītājus, kas mērāmi miljonos. Tomēr ir būtiski koncentrēties uz pārkāpumu tendencēm un ietekmi, nevis uz konkrētām pārkāpumu summām. Lai gan pikšķerēšanas uzbrukumi nav tik dārgi kā lielāka mēroga pārkāpumi, MVU, visticamāk, ir šo uzbrukumu mērķis, jo tie ir plaši izplatīti. Pikšķerēšana ir populārākais uzbrukuma vektors uz datu zādzībām mērķētos uzbrukumos, sasniedzot 16%.
Ziņojums atklāj, ka mazo uzņēmumu vidējās pārkāpumu izmaksas ir pieaugušas par 13,4%, kas liecina par šo uzņēmumu neaizsargātību salīdzinājumā ar lielākām korporācijām, kurām ir lielāki IT drošības budžeti. 57% aptaujāto uzņēmumu norādīja, ka datu pārkāpumi izraisīja pakalpojumu un preču cenu pieaugumu. Turklāt datu pārkāpuma sekas, piemēram, kaitējums reputācijai un augstākas cenas, var novest pie klientu uzticības zaudēšanas. Šāda situācija mazam uzņēmumam var nozīmēt arī darbības pārtraukšanu pilnībā.
Kāpēc datu aizsardzības pārkāpums izmaksā tik dārgi?
Datu aizsardzības pārkāpuma seku novēršana ir saistīta ar tiešajām un netiešajām izmaksām. Tiešās izmaksas ietver IT ekspertu komandu algošanu, kas izmeklē un novērš radītos bojājumus. Tomēr visnozīmīgākās netiešās izmaksas ir kaitējums reputācijai, ar ko uzņēmumi parasti saskaras pēc datu noplūdes.
Ziņojumā ir norādītas dažādas saistītās izmaksu jomas:
- 29% — zaudēti uzņēmējdarbības ieņēmumi saistībā ar kaitējumu reputācijai;
- 36% — pārkāpuma atklāšanas un eskalācijas izmaksas;
- 27% — reaģēšanas izmaksas pēc pārkāpuma;
- 8% — paziņošanas izmaksas iesaistītajiem (klienti, darbinieki u.c.).
Ziņojumā minētie faktori, kas ir visefektīvākie kā izmaksu mazinātāji, ir darbinieku apmācības un incidentu reaģēšanas plāns un testēšana. Savukārt datu aizsardzības pārkāpuma izmaksas ievērojami palielina drošības sistēmu sarežģītība, drošības prasmju trūkums un drošības standartu un regulu neievērošana uzņēmumā.
Svarīgi arī pieminēt, ka paša datu aizsardzības pārkāpuma identifikācija nav viegls uzdevums – atkarībā no tā, kāds ir informācijas avots, datu pārkāpums tiek atklāts vidēji 182-233 dienās, un ar katru dienu uzbrukuma izmaksas tikai pieaug un sekas kļūst smagākas. Tas tikai pierāda, ka pārskatāmas drošības sistēmas, kas tiek atbilstoši pārvaldītas, pavisam tiešā veidā samazina datu pārkāpuma izmaksas. Būtībā arī jebkura cita veida kiberuzbrukuma sekas.
Ko darīt, ja ir noticis personas datu aizsardzības pārkāpums?
2023. gadā visbiežāk apdraudētie dati joprojām ir klientu (52%) un darbinieku (40%) personas dati, un salīdzinājumā ar iepriekšējo gadu to apjoms ir pieaudzis. Jebkuram uzņēmumam (neatkarīgi no tā lieluma) šādi datu aizsardzības pārkāpumi rada ievērojamas izmaksas. Ja notiek datu aizsardzības pārkāpums, ir ļoti svarīgi ievērot VDAR prasības. Tas attiecas arī uz valsts uzraudzības iestādes informēšanu (Latvijā - Datu valsts inspekciju) 72 stundu laikā pēc tam, kad pārkāpums ir konstatēts. Turklāt cietušajām personām par pārkāpumu ir jāpaziņo nekavējoties, ja tiek uzskatīts, ka šīs personas ir pakļautas augstam riskam.
"Datu aizsardzības noteikumi nav tikai kārtējā birokrātija — tie ir būtiski drošības pasākumi, kas aizsargā uzņēmuma vērtīgos aktīvus, tostarp mūsu darbinieku un klientu personas datus. Izvirzot par prioritāti datu drošības pasākumus un ievērojot VDAR, uzņēmumi var ne tikai mazināt riskus, bet arī vairot klientu un sadarbības partneru uzticību." Uzsver Tet datu aizsardzības eksperte un DPO Jūlija Valpētere.
Kā samazināt datu aizsardzības pārkāpuma risku?
Profilakse neapšaubāmi ir visefektīvākā stratēģija, lai samazinātu pārkāpumu iespējamību un izmaksas. Ziņojumā ir uzsvērti trīs izplatītākie uzbrukumu veidi: pikšķerēšana, nozagti vai uzlauzti akreditācijas dati un nepareiza mākoņa konfigurācija.
Lai mazinātu šos riskus, uzņēmumiem, svarīgi sekot šiem ieteikumiem:
- Novērtēt savu drošības sistēmu un procesu stāvokli. Vai programmas ir atjauninātas un regulāri tiek veikta to ielāpošana? Vai aizsargāti visi uzņēmuma resursi – tīkls, gala iekārtas, e-pasts, tiešsaistes vietne?
- Apmācīt savus darbiniekus kiberdrošībā un regulāri veikt pikšķerēšanas simulācijas testus.
- Izvērtēt vai uzņēmuma datu pārvaldības procesi atbilst VDAR prasībām.
- Izstrādāt incidentu reaģēšanas plānu.
- Sadarboties ar uzticamiem trešo pušu piegādātājiem, kas ievēro striktus datu aizsardzības standartus.
- Šifrēt personas datus.
- Ja uzņēmums izmanto mākoņa infrastruktūru, pārliecināties par tās drošu konfigurāciju.
- Praktizēt drošu kontu akreditācijas datu un paroļu lietošanu.
Visbeidzot, Tet ir gatavs atbalstīt uzņēmumus to datu drošības uzlabojumos! Uzņēmumi var saņemt tādus pakalpojumus kā kiberdrošības un VDAR audits, kas palīdzēs novērtēt esošo situāciju. Ja ar iekšējiem resursiem nepietiek, sniedzam arī datu drošības un kiberdrošības ekspertu pakalpojumus, kas palīdzēs uzņēmumam ilgtermiņā nodrošināt savu datu un sistēmu drošību. Atcerieties, ka datu aizsardzība ir ne tikai juridisks pienākums, bet arī būtisks aspekts klientu un visu ieinteresēto pušu uzticības uzturēšanai.
Ja neziniet ar ko sākt vai jums ir kādi jautājumi, sazinieties ar mums Šī e-pasta adrese ir aizsargāta no mēstuļu robotiem. Pārlūkprogrammai ir jābūt ieslēgtam JavaScript atbalstam, lai varētu to apskatīt..
