Un raport unei autoritati guvernamentale britanice subliniaza lipsa vizibila de implicare din partea managementul companiilor in ceea ce priveste securitatea cibernetica.
Department for Digital, Culture, Media & Sport (DCMS) a publicat un document intitulat "Exploring organisational experiences of cyber security breaches", care prezinta rezultatele studiului calitativ privind nivelul masurilor de securitate cibernetica pe care organizatiile le au inainte si dupa o bresa de securitate. Zece organizatii (ale caror identitate nu au fost dezvaluita) care s-au confruntat cu brese de securitate in ultimii patru ani au fost intervievate - departamentul de securitate cibernetica si/sau IT, precum si angajatii afectati de aceste incidente au fost intrebati despre modul in care organizatiile lor au gestionat incidentele.
Din cele 10 studii de caz, DCMS a constatat cateva constatari esentiale:
- Ca raspuns la riscul cibernetic ridicat, aproape toti participantii au recunoscut necesitatea unor investitii mai importante in securitatea cibernetica precum si o atentie sporita. Cu toate acestea, in timp ce companiile mijlocii si mari au declarat ca au tendinta de a avea planuri formale si un buget alocat pentru investitii in securitatea cibernetica, companiile mici au fost mai predispuse sa spuna ca nu au, invocand constrangerile legate de resurse. Astfel, raspunsurile companiilor mici la riscul cibernetic perceput ca fiind in crestere par a fi "in mare parte fragmentate si reactive".
- In timp ce majoritatea personalului/personalului IT intervievat a indicat ca managementul a inteles importanta securitatii cibernetice si sustin investitiile in acest domeniu, nu toti erau siguri ca acestia au inteles pe deplin "amploarea amenintarii" sau "tranzitia culturala" necesara pentru a face fata provocarii in crestere.
- Cei mai multi dintre angajatii intervievati au considerat ca organizatiile lor pun mai mult accent pe tehnologie decat pe angajati pentru a ramane in siguranta. Pentru unii, tehnologia era un instrument pentru "a ajuta oamenii sa faca ceea ce trebuie", ceea ce reflecta ideea ca oamenii si cultura reprezinta mai degraba un "punct slab" al securitatii cibernetice decat tehnologia utilizata in organizatiile lor.
- O parte pozitiva acestor atacuri cibernetice este faptul ca au demonstrat ca amenintarile sunt reale pentru conducere, a constatat sondajul. Multe dintre companiile analizate s-au implicat mai mult in provocarile in materie de securitate cibernetica dupa ce au avut loc incidente de securitate si de atunci au dat dovada de o motivatie tot mai mare pentru a aduce imbunatatiri.
- Cu toate acestea, relativ putine companii au incercat sa cuantifice cu exactitate impactul financiar al breselor suferite. In mod similar, foarte putine companii au implementat un proces de "lectii invatate" dupa o bresa.