Mažos ir vidutinės įmonės vis dar linkusios manyti, kad kibernetiniai nusikaltėliai pirmiausia taikosi į dideles organizacijas. Tačiau šiandien automatizuotos atakos aukų nebesirenka pagal įmonės dydį – jos ieško silpniausios grandies.
ESET atliktame „ESET SMB Cyber Readiness Index 2026“ tyrime dalyvavo 4 400 už kibernetinį saugumą atsakingų specialistų ir įmonių vadovų iš 13 šalių. Tyrimas, apėmęs 25–1 000 darbuotojų turinčias įmones, parodė, kad per pastaruosius metus bent vieną kibernetinį incidentą patyrė beveik kas antra organizacija. Nors organizacijos savo pasirengimą kibernetinėms grėsmėms vertina geriau nei anksčiau, dažniausios incidentų priežastys išlieka tos pačios – fišingo laiškai, silpni slaptažodžiai ir neatnaujinta programinė įranga.
Incidentų nemažėja, tačiau pasitikėjimas auga
Per pastaruosius 12 mėnesių bent vieną kibernetinio saugumo incidentą patyrė 45 proc. apklaustų mažų ir vidutinių įmonių, o 14 proc. su tokiomis situacijomis susidūrė ne vieną kartą. Daugiausia incidentų užfiksuota Vokietijoje (64 proc.), JAV (54 proc.) ir Ispanijoje (53 proc.).
Nepaisant to, organizacijų pasitikėjimas savo atsparumu auga. Net 68 proc. respondentų mano galintys užkirsti kelią daugumai kibernetinių atakų, o 75 proc. įsitikinę, kad prireikus gebėtų greitai atkurti veiklą. Dar didesniu pasitikėjimu išsiskiria įmonės, jau patyrusios ne vieną incidentą – tarp jų savo atsparumu pasitiki 81 proc. respondentų.
„Patirti kibernetiniai incidentai organizacijoms tampa svarbia pamoka. Po jų keičiasi ir vadovų požiūris – kibernetinis saugumas tampa nebe vien IT, o verslo rizikų valdymo klausimu. Daugiau dėmesio skiriama ne tik technologijoms, bet ir procesams, darbuotojų pasirengimui bei gebėjimui greitai reaguoti į incidentus“, – teigia „NOD Baltic“ vyresnysis kibernetinio saugumo inžinierius ir ESET ekspertas Ramūnas Liubertas.
Dirbtinis intelektas keičia atakų greitį, bet ne jų priežastis
Dirbtinis intelektas iš esmės pakeitė tai, kaip rengiamos kibernetinės atakos. Sukčiams tapo gerokai paprasčiau kurti įtikinamus fišingo laiškus, netikras interneto svetaines ir automatizuoti pasirengimą atakoms. Tačiau organizacijų pažeidžiamumas dėl to beveik nepasikeitė.
„Dirbtinis intelektas nepakeitė kibernetinių nusikaltėlių tikslų – jis tik sutrumpino laiką, kurio reikia atakai parengti. Jeigu organizacijoje lieka seniai žinomos saugumo spragos, dirbtinis intelektas tik padidina tikimybę, kad jomis bus pasinaudota“, – sako R. Liubertas.
Organizacijos nespėja suvaldyti augančio DI naudojimo
Dirbtinio intelekto įrankiai organizacijose plinta greičiau, nei organizacijos spėja susitarti dėl aiškių jų naudojimo taisyklių.
Tyrimo duomenimis, 40 proc. apklaustų organizacijų nėra nustačiusios aiškių taisyklių, kaip darbuotojai gali naudotis dirbtinio intelekto įrankiais. Dėl to į viešai prieinamus DI įrankius gali būti įkeliami vidiniai dokumentai, konfidencialūs duomenys ar kita jautri informacija.
„Didžiausia rizika kyla ne dėl paties dirbtinio intelekto. Ji atsiranda tada, kai organizacija nebežino, kokius DI įrankius darbuotojai naudoja ir kokie duomenys į juos patenka“, – sako ESET ekspertas.
Tokia situacija vadinama „Shadow AI“ – darbuotojai naudoja organizacijos nepatvirtintus dirbtinio intelekto įrankius. Pasak R. Liuberto, todėl organizacijoms vis svarbiau aiškiai apibrėžti, kokius įrankius darbuotojai gali naudoti ir kokia informacija gali būti perduodama išorinėms sistemoms.
Nepaisant augančio dėmesio dirbtiniam intelektui, dažniausia kibernetinių incidentų priežastimi ir toliau išlieka fišingo laiškai. Tyrimo duomenimis, jie sudarė 26 proc. visų užfiksuotų incidentų. Panaši tendencija fiksuota ir praėjusiais metais – 2025 m. fišingas bei kiti sukčiavimo būdai sudarė 34 proc. visų ESET aptiktų grėsmių.
Organizacijos vis dar linkusios nuvertinti ir tiekimo grandinės atakas. Nors jų pasekmės gali būti itin svarbios, tik 14 proc. apklaustų įmonių jas įvardijo tarp didžiausių grėsmių savo veiklai.
Įmonės į saugumą žiūri kaip į verslo riziką
Augantis kibernetinių incidentų skaičius keičia organizacijų požiūrį į saugumą. Vis dažniau jis vertinamas ne kaip IT padalinio atsakomybė, o kaip viena svarbiausių verslo rizikų valdymo sričių.
Tai atsispindi ir įmonių prioritetuose. Investuojama ne tik į pažangesnius skaitmeninio saugumo sprendimus, bet ir į darbuotojų pasirengimą. Net 87 proc. apklaustųjų darbuotojų švietimą laiko svarbia kibernetinio atsparumo dalimi, o 72 proc. organizacijų jau rengia fišingo simuliacijas ir reguliariai atnaujina darbuotojų žinias. Tik 11 proc. respondentų nurodė naudojantys tik bazinio lygio apsaugą.
Brandesnį požiūrį rodo ir tai, kaip įmonės valdo kibernetines rizikas. Tyrimo duomenimis, 71 proc. apklaustų organizacijų yra apsidraudusios nuo kibernetinių rizikų. Pasak R. Liuberto, vis daugiau įmonių atvirai kalba apie patirtus incidentus, informuoja partnerius, draudikus ir atsakingas institucijas, o incidentų valdymą vertina kaip neatsiejamą veiklos tęstinumo dalį.
Tačiau vien investicijų į technologijas nepakanka.
„Naujos technologijos nepanaikina senų problemų. Jos tik sutrumpina laiką, per kurį tomis problemomis gali būti pasinaudota. Organizacijos atsparumą šiandien lemia ne tai, kaip greitai jos diegia naujus sprendimus, o kaip nuosekliai šalina seniai žinomas saugumo spragas. Didžiausią skirtumą dažniausiai lemia ne technologijos, o nuosekliai taikomos saugumo praktikos ir darbuotojų įpročiai“, – apibendrina „NOD Baltic“ vyresnysis kibernetinio saugumo inžinierius.