尽管公司对勒索软件攻击有“不付款”的政策，但由于其运营受到大规模干扰，大多数公司别无选择。

　　网络安全公司Cohesity委托进行的一项研究发现，去年遭受勒索软件攻击的大多数公司都向网络罪犯支付了赎金来解决问题，马来西亚为76%，新加坡为64%。

　　数据安全调查研究对来自不同公司的504名IT决策者进行了调查，声称77%的马来西亚公司和65%的新加坡公司在过去六个月中成为某种形式的勒索软件攻击的受害者。

　　支付的赎金数额巨大，54%的马来西亚公司(新加坡47%)为数据恢复支付了10万至499,999美元(468,500令吉至234万令吉)，而27%的马来西亚公司(新加坡36%)支付了超过50万美元(234万令吉)。

　　74%的马来西亚受访者表示，他们的公司愿意在事故发生后支付超过100万美元(468万令吉)来恢复业务活动，而22%的人表示他们愿意支付超过500万美元(2342万令吉)。

　　在新加坡，59%的人表示愿意支付超过100万美元，而16%的人愿意支付超过500万美元。

　　这些公司中的大多数(马来西亚为97%，新加坡为91%)指出，他们所在行业的网络威胁今年有所增加，并预计在2024年剩余时间内会恶化。

　　目标差距

　　Cohesity全球网络弹性策略师詹姆斯?布莱克表示，对于那些遭受破坏性网络攻击、威胁业务连续性的企业来说，这是一个不幸的现实。

　　“然而，组织可以通过采用现代数据安全、响应和恢复功能来增强网络弹性，即从网络攻击或传统业务连续性场景中快速响应和恢复的能力，从而正面面对这一现实。

　　布莱克在一份声明中表示:“组织受到网络攻击并不是什么惊天撼地的事情。”他强调，最大的担忧是，企业正在打破他们的“不付款”政策，因为它们要么无法恢复数据和恢复业务流程，要么高估了自己的网络恢复能力。

　　然而，保持网络弹性是一项重大挑战，因为组织必须应对威胁形势的快速演变。

　　在发生网络安全事件时，只有1%的马来西亚公司(5%的新加坡公司)表示他们能够在24小时内恢复数据并恢复业务流程。

　　尽管97%的受访者表示，他们的最佳恢复时间目标(RTO)是在一天内将业务影响降到最低。

　　组织的网络安全目标与准备程度之间的差距表明他们的战略不一致，往往导致他们付钱给网络犯罪分子以快速恢复。该研究还显示，33%的马来西亚受访者和42%的新加坡受访者对其公司处理当前网络威胁的能力没有信心。

　　在网络安全公司Sophos的《2024年勒索软件状况》报告中，它指出，去年全球从勒索软件事件中恢复的成本上升了50%，平均总计273万美元(1279万令吉)。

　　“Sophos Active Adversary报告一再表明，公司面临的许多网络事件都是由于未能及时实施基本的网络安全最佳实践(如打补丁)。例如，在我们最近的报告中，凭证泄露是攻击的首要原因，但43%的公司没有启用多因素身份验证，”Sophos董事兼全球现场首席技术官Chester Wisniewski表示。

　　调查结果还表明，拥有网络保险政策的公司中，有97%积极投资改善其防御能力，76%的公司将其归因于获得覆盖资格的努力，67%的公司将其归因于更好的定价，30%的公司将其归因于获得更好的政策条款。

　　设定高标准

　　在另一项研究中，网络安全公司卡巴斯基声称已经阻止了250万个“本地威胁”——源自或直接影响特定计算机或网络的网络安全风险，包括通过受感染的文件或可移动媒体引入的威胁。

　　去年全年，它还阻止了2680万个针对企业的在线威胁，这突显了继续投资网络安全以加强防御的必要性。

　　“众所周知，马来西亚缺乏网络安全专家，建议到2025年，马来西亚的网络安全人员数量达到2.7万人，”卡巴斯基东南亚总经理杨向中(Yeo Siang Tiong)在一份声明中表示。

　　“我们自己的调查还发现，48%的公司需要六个月以上的时间才能找到合格的网络安全专业人员。马来西亚的企业迫切需要加强其网络安全态势，以应对不断升级的线上和线下威胁。

　　“缺乏对强大安全保护的关注和照顾，使公司非常容易受到网络威胁，对于那些混合型和远程工作安排的公司来说更是如此。”一旦发生重大攻击，这可能会导致昂贵的财务和声誉损失。”

　　Meanwhile, Cohesity’s Blake stressed that companies meeting the minimum isn’t enough when it comes to formulating cybersecurity strategies.

　　“网络弹性是不容置疑的，因为攻击者的动机如此之高，攻击面如此之广，完全相信保护性控制是不现实的。

　　“成功的网络攻击和数据泄露严重影响业务连续性，包括收入、公司声誉和客户信任。这一现实应该让业务领导者，而不仅仅是IT和安全领导者夜不能寐。

　　布莱克说:“在发展网络弹性和采用数据安全最佳实践或能力方面，监管和立法不应该是‘天花板’，而应该是一个很高的‘下限’。”

　　×