Петко Петков, PwC: Kиберсигурността вече е тема на най-високо стратегическо ниво

Г-н Петков, с какво ще запомните отиващата си 2022 г. от гледна точка на киберсигурността?

2022 е годината, която ще запомним със значително повишаване на кибератаките. В резултат компаниите започнаха да обръщат повече внимание на киберсигурността и планират да увеличат инвестициите в тази посока в бъдеще. Бих казал, че за организациите от нашия регион това е стъпка или дори само поглед в правилната посока, но има още дълъг път напред.

Позитивните промени са свързани най-вече с промяна на визията на висшия мениджмънт на компаниите относно киберсигурността, т.е. увеличаване на важността и тежестта й като част от бизнес стратегията. Това се постига чрез засилване на влиянието на киберспециалистите (CISO Role) на ниво управленски решения. Прогрес се забелязва и във всички подразделения на киберсигурността, но най значим е този при оперативната сигурност, ефективността на киберресурсите и по отношение на защитата на чувствителни данни. Разбира се, инвестициите в областта на киберсигурността се влияят изключително много и от развитието на заплахите и рисковете. Бизнесът започна да обръща необходимото внимание на заплахи като Ransomware, Insider Threats и на мерки, които все повече са насочени към активна превенция за сметка на пасивната защита.

Какво ново се случи през годината в тази област? Променя ли се ролята и значението на ИТ сигурността?

Промени се отношението на организациите към киберсигурността - тя вече е тема на най-високо управленско и стратегическо ниво. Ролята на киберспециалистите все повече излиза от сянката на стандартна и изолирана функция в бизнеса и се превръща в неделима част от управлението и вземането на решения.

Киберспециалистът (CISO-то) трябва не само да бъде експерт в областта си, но и да успее да изгради бизнес отношения с цялата организация и да борави умело с всички данни и инструменти, за да представи ползите от инвестициите, направени в посока киберсигурност.

Тук вече не говорим само за бизнес, който се занимава с технологии, но и за бизнеси, за които технологията е само поддържаща функция и представянето на големи инвестиционни планове и стратегии в областта на сигурността не е лесна задача. За щастие, последните години ни дават доста "добри" примери за това какви могат да бъдат последствията от т. нар. кибердълг, който бизнесът натрупва, ако не инвестира в киберсигурност в рамките на нуждите си и на базата на измерения риск и външни заплахи.

Българските компании запознати и подготвени ли за рисковете в киберпространството? Променя ли се тяхната нагласа?

Не бих казал, че липсва прогрес, но със сигурност той трябва да се ускори, тъй като киберсигурността по дефиниция изостава от киберпрестъпността. Когато изоставаш значително от текущите тенденции в сигурността, означава, че изоставаш дори в по-голяма степен от модерните заплахи.

Отговорите, които получихме от българския бизнес в последното проучване "Digital Trust Insights" на PwC, са по-скоро оптимистични. Те следват тенденциите на нашия регион, но в доста по-бавни темпове. Самият факт, че броят на участниците от България е значително по-малък от други, съседни на нас, страни и други страни в Източна Европа показва, че бизнес лидерите в България все още не са достатъчно осведомени и заинтересовани от киберсигурността и от предоставената възможност да сравнят своя поглед и разбиране с тези на други ръководители.

Тъй като в PwC работим по проекти за глобалния пазар на киберсигурност, мога да споделя, че едно от най-важните неща, което интересува висшият мениджмънт на организациите на запад, е да разберат къде се намират в сферата на киберсигурността спрямо техните конкуренти и спрямо визията за настоящите заплахи и добри практики. В България обичаме да се водим основно от (най-)добрите практики. Често обаче се губим в опитите си да направим много повече от необходимото и съответно не постигаме почти нищо.

Интернет доведе до намаляване на контрола на компаниите върху собствените им данни. Могат ли организациите да си върнат този контрол или поне да ограничат потенциалните рискове?

Разбира се, че е възможно организациите да ограничат потенциалните рискове, но е необходима промяна в начина на мислене относно как и какво защитаваме. Ако рисковете от използване на интернет и облачни услуги превъзхождаха ползите, то тогава те никога не биха се наложили като средство в бизнес средите. Използването на новите технологии и дигитализацията със сигурност не са безрискови, затова е важно да обърнем специално внимание на промените в полето от заплахи и съответните рискове, както и да ги адресираме по правилен начин. На практика това означава да променим досегашното си разбиране за киберсигурност в затворени екосистеми и да започнем да мислим за сигурността на информацията като бизнес приоритет.

Това може да се случи единствено ако комбинираме правилните хора с правилната технология и изградим правилните процеси около факта, че ние трябва да защитаваме информацията във всякаква среда, без да имаме контрол върху самата среда.

А кои са основните рискове в момента и как се променят те?

Преди да разгледаме специфичните рискове, свързани с киберсигурността, бих искал да обърна внимание на нещо, което прави впечатление в класацията на бизнес рисковете в проучването на PwC. Киберсигурността, или заплахата от разрушително киберсъбитие, е номер 1 бизнес риск на глобално ниво за трета поредна година. Интересен факт е, че за страните от Източна Европа този риск е на второ място след риска от рецесия.

Смятам, че ако интерпретираме резултатите в исторически план, страните от нашия регион са значително по-уязвими на рецесивни фактори и в реалността на подобни събития всичко друго остава на заден план. За мен това означава, че киберсигурността реално заема първо място, ако игнорираме нашия исторически страх от икономическа рецесия. Сред киберрисковете, които водят до това киберсигурността да бъде основен бизнес риск, са:

• phishing във всичките му форми, което се свързва пряко с ransomware и кражба на данни
• отдалечената работа и работа в облачна среда
• заплахи, свързани с трети страни
• заплахи, свързани със злонамерени служители.

Тези заплахи се свързват най-често с киберкриминални организации, които превърнаха киберпрестъпленията в добре организиран и изключително печеливш бизнес. На по-заден план остават Хактивисти (правещи го за кауза) и кибератаки, финансирани от правителствени организации.

Кои ще са главните предизвикателства през идните години и как бизнесите могат да се подготвят за тях?

Според глобалното проучване на PwC "Digital Trust Insights" 42% от висшето ръководство на компаниите твърдят, че пробивите в сигурността на техните системи са се увеличили от 2020 г. насам.

Предизвикателствата при един такъв пробив включват прекъсване на работния процес, увреждане на качеството на услугите и продуктите, дори изгубени договори и бизнес възможности. Що се отнася до пробивите в сигурността на личните данни, сред най-тежките последици могат да бъдат загубени клиенти, изцяло загубени данни на клиенти и разходи за възстановяване на данните.

С цел подготовка и превенция, е необходимо сътрудничество на всички нива в компанията и повишена осведоменост относно последиците от един такъв пробив.

Изпълнителният директор трябва да упълномощи киберспециалиста (CISO) и да разчита той да е водещата фигура при защитата на данните и киберсигурността. Специалистът от своя страна трябва да поеме инициативата, да изгради стабилни взаимоотношения и да започне да работи в екип не само с няколко бизнес лидери от организацията, но с целия Управителен съвет / Борд на директорите. Подобно сътрудничество сега е по-важно от всякога.

Върху кои аспекти на киберсигурността ще насочите лекцията си на предстоящия Cybersecurity Forum?

Представяне на резултатите от ежегодното проучване на PwC "Digital Trust Insights" (DTI) в контекста на основни заплахи, прогреса в киберсигурността според бизнес лидерите, сравнение на вижданията на участниците в проучването от Централна и Източна Европа, Западна Европа и глобалните резултати.