För en användbar årlig ögonblicksbild av säkerhetssituationen hos brittiska företag, behöver du inte leta längre än till regeringens undersökning om cybersäkerhetsintrång . Den ger en relativt detaljerad inblick i vad som fungerar och, mer vanligt, vad som inte gör det. Sammantaget säger tre fjärdedelar av företagen (vilket ökar till 93 % av medelstora och 98 % av stora företag) att deras styrelser anser cybersäkerhet vara en "hög prioritet". Men att säga något är inte att göra.

Det finns tydligt utrymme för förbättringar inom flera områden, inklusive incidenthantering, säkerhet i leveranskedjan, styrelseansvar och riskhantering. Det kanske mest oroande är bristen på medvetenhet om regeringsledda säkerhetsramar och initiativ. Tillsammans med standarder för bästa praxis som ISO 27001 kan dessa gå långt för att förbättra cyberresiliensen hos UK PLC.

Plats för förbättring

Huvudstatistiken är att hälften (50 %) av de svarande företagen rapporterar att de har upplevt någon form av säkerhetsintrång eller attacker under de senaste 12 månaderna – vilket stiger till 70 % av medelstora företag (och 74 % av stora företag). Detta är upp avsevärt från respektive siffror på 32%, 59% och 69% förra året, men betyder inte nödvändigtvis fler intrång – det kan vara så att fler upptäcks. Faktum är att rapporten börjar med några goda nyheter.

Enligt studien, som är sammanställd från en undersökning av 2,000 44 brittiska företag och uppföljande intervjuer med XNUMX, blir cyberhygienen bättre. Rapporten visar på en årlig ökning av antalet företag som är engagerade i:

  • Uppdaterat skydd mot skadlig programvara (från 76 % 2023 till 83 % 2024)
  • Begränsning av administratörsrättigheter (67 % till 73 %)
  • Nätverksbrandväggar (66 % till 75 %)
  • Överenskomna processer för nätfiske-e-post (48 % till 54 %)

Enligt rapporten är detta en vändning av ett mönster som setts under de tre föregående åren av undersökningen, där vissa områden hade sett konsekventa nedgångar. Det finns dock fortfarande oro över följande:

Riskhantering: Färre än en tredjedel (31 %) av företagen genomförde cyberriskbedömningar under det senaste året (vilket ökade till 63 % av medelstora och 72 % av stora företag). Dessutom använde endast en tredjedel (33 %) säkerhetsövervakning (63 %, 71 %).

Leverantörsrisk: Endast 11 % av företagen granskar risker i leveranskedjan – vilket ökar till endast 28 % av medelstora företag och färre än hälften (48 %) av stora företag.

Styrelsengagemang: Endast 30 % av de svarande har styrelseledamöter som är direkt ansvariga för cyberfrågor som en del av sin roll, vilket ökar till hälften (51 %) av medelstora företag och 63 % av stora företag. Detta är oförändrat sedan förra året.

Strategi: Bara 58 % av de medelstora företagen och 66 % av de stora företagen har till och med en formell cybersäkerhetsstrategi på plats.

Incidentrespons: Endast en femtedel (22 %) har planer för incidenthantering, vilket ökar till 55 % och 73 % av medelstora och stora företag.

Extern hjälp: Endast 41 % av de svarande säger att de söker information eller vägledning om cybersäkerhet utanför organisationen, färre än siffran för 2023 (49 %). Endast 13 % känner till National Cyber ​​Security Centres 10 Steps-vägledning (37 %, 44 %) och endast 12 % sa detsamma om Cyber ​​Essentials (43 %, 59 %).

Vad experterna tycker

Marie Wilcox, säkerhetsevangelist på Panaseer, hävdar att inte ens förbättringar av cyberhygien kan maskera den dåliga säkerhetsställningen hos många brittiska företag.

"Organisationer misslyckas fortfarande med att införa nödvändiga säkerhetskontroller. I bästa fall ligger organisationer fortfarande under 2021 års standarder. Även stora företag som förstår riskerna misslyckas ofta med att implementera kontroller ordentligt – minst 29 % har inte kontroller på plats för patchhantering eller begränsning av åtkomst till organisationsägda enheter”, hävdar hon.

"Med angripare som tenderar att plocka av den lägst hängande frukten kan 98 % av intrången förhindras genom att fokusera på säkerhetsgrunderna och bättre cyberhygien. Att gå mot mitten av packningen genom att ha rätt kontroller och policyer på plats kommer att hjälpa till att avvärja de allra flesta attacker."

Cyleras chefssäkerhetsstrateg, Richard Staynings, pekar ut tredje parts riskhantering som ett kritiskt misslyckande för många brittiska företag. Han hävdar att leverantörer aldrig bör vinna kontrakt för kritiska infrastruktursektorer som sjukvård helt enkelt baserat på det lägsta budet.

"Problemet är att få företag tillämpar [bästa säkerhetspraxis] i sina kontrakt med tredje part, vilket gör det till en förutsättning att se till att de har policyer och procedurer som uppfyller våra egna standarder, att de har kvalitetssäkring på plats, personalutbildning och åtkomstkontroller etablerat, och att de tillhandahåller ISO/IEC 27001-certifiering – världens mest kända standard för ledningssystem för informationssäkerhet (ISMS), tillägger han.

Socuras VD, Andy Kays, är särskilt bestört över den relativt lilla andelen företag som har formaliserade incidentresponsplaner på plats – ett faktum som han beskriver som "häpnadsväckande".

"Företag kommer alltid att ha en plan i händelse av en brand, men kommer inte att tillämpa samma vederbörliga försiktighet för ett dataintrång – vilket är statistiskt mycket mer sannolikt. Det går emot sunt förnuft”, fortsätter han.

"I händelse av ett intrång, för företag inte register, informerar inte polisen eller tillsynsmyndigheter, bedömer inte omfattningen och effekten av händelsen. De misslyckas med att göra det absoluta minimum. Det är också viktigt att notera att företag gör väldigt lite för att förhindra eller upptäcka intrång i första hand.”

Bygga en mer motståndskraftig framtid

En av de mest nedslående resultaten av rapporten är bristen på medvetenhet kring statliga säkerhetsinitiativ som 10 steg och Cyber ​​Essentials, som är utformade för att förbättra grundsäkerheten för vanliga företag. Detsamma gäller för globalt erkända säkerhetsstandarder för bästa praxis som ISO 27001, trots att vissa respondenter ser det positivt. Matt Thomas, chef för brittiska marknader på NCC Group, hävdar att det borde finnas på att-göra-listan för många större organisationer.

"Medan ISO 27001-certifiering i första hand banar väg för företag att öka sin cyberresiliens, går fördelarna mycket längre. Ur trovärdighetssynpunkt kan det hjälpa till att skydda rykte. Och som ett globalt erkänt ramverk kan det hjälpa till med revisioner och anpassa strategier, samtidigt som det säkerställer att företag följer lagstiftningen och undviker dyra böter”, säger han till ISMS.online.

"Om ISO 27001 antas mer allmänt kan vi titta på en helt annan bild när framtida undersökningar om cyberbrott släpps. Företag som tar ett proaktivt förhållningssätt till sin cyberhygien är utan tvekan mindre benägna att falla offer för en cyberattack.”

Keith Fenner, general manager EMEA och Diligent, drar slutsatsen att EU-lagstiftning som NIS 2 och DORA kommer att tvinga många organisationer att förbättra sin riskhantering och rapportering.

"För att förbereda sig behöver organisationer ett robust IT-efterlevnadsprogram, som i allt högre grad stöds av AI och automationskapacitet för att göra det möjligt för dem att kartlägga kontroller till flera regelverk och kontinuerligt övervaka kontroller för att minska sannolikheten för dataintrång", säger han till ISMS.online.

"Detta program bör vara en del av en integrerad GRC-plattform för att underlätta både interna och externa revisioner, tillåta flera intressenter från organisationen att se och samarbeta, och möjliggöra strömlinjeformad rapportering upp till styrelsen, så att cyberrisk integreras i organisationens övergripande strategi. . Slutligen bör styrelsen och ledningen utnyttja utbildningsprogram och certifieringar – såväl som att utnyttja sina CISO:er – för att bygga upp sin cyberkompetens så att de effektivt kan styra företagsomfattande cyberrisker.”