AI zwiększa ryzyko cyberataków: Barometr cyberbezpieczeństwa KPMG 2024

Rekordowa liczba cyberataków, rosnące obawy związane ze sztuczną inteligencją oraz nieprzygotowanie firm na nowe regulacje – to główne wnioski z najnowszego raportu KPMG. Polskie przedsiębiorstwa stoją przed poważnymi wyzwaniami w obszarze cyberbezpieczeństwa.

Dramatyczny wzrost liczby cyberataków

Rok 2024 przyniósł alarmujący wzrost incydentów bezpieczeństwa w polskich firmach. Aż 83% badanych organizacji doświadczyło przynajmniej jednej próby cyberataku, co oznacza wzrost o 16 punktów procentowych w porównaniu z rokiem poprzednim. Szczególnie niepokojący jest niemal dwukrotny spadek liczby firm, które nie odnotowały żadnego ataku – z 33% do zaledwie 17%, co stanowi najniższy wynik w ośmioletniej historii badania KPMG.

Intensywność ataków rośnie niezależnie od wielkości przedsiębiorstwa, jednak to duże firmy odczuwają największą presję ze strony cyberprzestępców. Ponad połowa (55%) dużych organizacji zaobserwowała wzrost lub znaczny wzrost liczby ataków, podczas gdy w przypadku średnich i małych firm odsetek ten wyniósł odpowiednio 38% i 40%.

Nowa hierarchia zagrożeń

Tegoroczny raport KPMG przynosi istotne zmiany w rankingu najpoważniejszych cyberzagrożeń. Po latach dominacji phishingu, na pierwsze miejsce wysunęły się wycieki danych za pośrednictwem złośliwego oprogramowania. Phishing spadł na drugą pozycję, a podium zamykają ataki typu odmowa usługi (DDoS), które jeszcze niedawno znajdowały się na końcu listy obaw polskich firm.

Na kolejnych miejscach znalazły się kampanie ransomware oraz kradzież danych przez pracowników, co wskazuje na rosnącą świadomość zagrożeń wewnętrznych. Ta zmiana w hierarchii zagrożeń może odzwierciedlać ewolucję taktyk stosowanych przez cyberprzestępców oraz rosnącą wartość danych jako kluczowego zasobu biznesowego.

Wyzwania kadrowe i budżetowe

Polskie firmy borykają się z poważnymi trudnościami w obszarze zarządzania cyberbezpieczeństwem. Największym wyzwaniem pozostaje pozyskanie i utrzymanie wykwalifikowanych specjalistów (34% wskazań) oraz niewystarczające budżety (33%).

Niepokojącym trendem jest rosnący problem braku wsparcia ze strony najwyższego kierownictwa – w 2024 roku wskazało na niego 26% respondentów, podczas gdy rok wcześniej było to 17%. Może to sugerować, że mimo rosnącej liczby incydentów, cyberbezpieczeństwo wciąż nie jest traktowane jako priorytet strategiczny przez zarządy wielu firm.

W obliczu tych wyzwań, outsourcing zadań związanych z cyberbezpieczeństwem pozostaje powszechną praktyką – korzysta z niego 81% badanych organizacji, a ponad połowa deleguje więcej niż jedną funkcję bezpieczeństwa.

Sztuczna inteligencja – szansa czy zagrożenie?

Sztuczna inteligencja budzi mieszane uczucia wśród specjalistów ds. cyberbezpieczeństwa. Aż 56% przedstawicieli badanych organizacji uważa, że rozwój AI spowoduje wzrost zagrożeń w cyberprzestrzeni. Obawy dotyczące cyberataków przewyższają nawet kwestie kosztów wdrożenia czy braku kontroli nad wykorzystaniem AI przez pracowników.

„Skutki ekspansji AI w obszarze cyberbezpieczeństwa są trudne do przewidzenia, ponieważ obejmują szerokie spektrum potencjalnych scenariuszy,” wyjaśnia Michał Kurek, Partner i Szef Zespołu Cyberbezpieczeństwa w KPMG w Polsce i Europie Środkowo-Wschodniej. „Sztuczna inteligencja może nie tylko generować nowe zagrożenia, takie jak zaawansowane oszustwa czy kradzież tożsamości, ale również oferować znaczące wsparcie w ochronie przed cyberatakami.”

Jednocześnie ponad jedna czwarta respondentów uważa, że AI nie wpłynie istotnie na poziom zagrożeń, a 16% liczy na spadek ryzyka dzięki jej zastosowaniom w ochronie cyfrowej.

Jak firmy wdrażają AI?

Badanie KPMG pokazuje, że polskie firmy preferują różne podejścia do wdrażania sztucznej inteligencji. Największa grupa (38%) korzysta z gotowych usług AI dostępnych w chmurze lub od zewnętrznych dostawców, co wskazuje na popularność łatwych do implementacji i skalowalnych rozwiązań. Podejście hybrydowe, łączące modele lokalne z chmurowymi, stosuje 16% firm.

„Sztuczna inteligencja otwiera przed firmami ogromne możliwości rozwoju, ale jej implementacja niesie również wyzwania związane z cyberbezpieczeństwem,” podkreśla Andrzej Gałkowski, Partner, Head of AI w KPMG w Polsce i Europie Środkowo-Wschodniej. „Nierozważne wdrażanie AI może zwiększać podatność organizacji na zagrożenia, dlatego kluczowe jest odpowiedzialne podejście – właściwa ocena ryzyka i wdrożenie mechanizmów zabezpieczających na każdym etapie.”

Nieprzygotowanie na AI Act

Unijne rozporządzenie AI Act, które w pełnej formie zacznie obowiązywać w 2027 roku, już teraz wprowadza ograniczenia dotyczące systemów AI o wysokim ryzyku. Tymczasem polskie firmy w większości odkładają przygotowania do uzyskania zgodności z nowymi przepisami.

Aż 68% badanych organizacji nie podjęło jeszcze działań przygotowujących do wdrożenia rozporządzenia. Prawie połowa firm (43%) zaplanowała działania na później, bliżej terminu obowiązywania regulacji, a jedynie 18% już rozpoczęło projekt dostosowujący organizację do wymagań AI Act. Zaledwie 14% przedsiębiorstw deklaruje pełną zgodność z wymogami.

Komentarz eksperta

„Identyfikacja podejrzanych działań użytkowników w sieci i systemach informatycznych przez dostosowane do specyfiki firmy modele AI może wyrównać siły w nierównej dotychczas walce z cyberprzestępcami,” zauważa Michał Kurek. „AI trwale zmieni oblicze cyberbezpieczeństwa w najbliższych latach. Tak jak i modeli biznesowych. Wdrażanie systemów AI wiąże się jednak z koniecznością przedefiniowania podejścia do zapewnienia bezpieczeństwa tych aplikacji.”

Ekspert zwraca uwagę na nowe wyzwania, takie jak zabezpieczenie procesu trenowania modeli AI, który jest niezwykle wrażliwy, a mimo to najczęściej realizowany w sposób charakterystyczny dla środowisk rozwojowych, z mniejszym naciskiem na bezpieczeństwo.

Podsumowanie

Ósma edycja raportu KPMG „Barometr cyberbezpieczeństwa” jasno pokazuje, że polskie firmy stoją przed bezprecedensowymi wyzwaniami w obszarze cyberbezpieczeństwa. Rekordowa liczba ataków, zmieniająca się hierarchia zagrożeń oraz obawy związane z rozwojem sztucznej inteligencji wymagają strategicznego podejścia do ochrony cyfrowej. Jednocześnie nieprzygotowanie na nadchodzące regulacje może stanowić dodatkowe ryzyko dla wielu organizacji.

Badanie przeprowadzono w grudniu 2024 roku metodą wywiadów telefonicznych CATI wśród 100 organizacji o przychodach przekraczających 50 mln złotych. Respondentami były osoby zajmujące się bezpieczeństwem IT, w tym członkowie zarządu, dyrektorzy ds. bezpieczeństwa i dyrektorzy IT.