商傳媒｜吳承岳／台北報導
摘要
高德納諮詢公司調查發現，日本逾七成企業面臨勒索軟體攻擊時，都等到事件發生後才決定是否支付贖金，凸顯資安應變策略嚴重不足。
根據《ITmedia》報導，資訊科技研究與顧問公司Gartner今年2月針對日本400名、任職於員工數500人以上企業的IT及資安主管進行調查，結果顯示，日本企業在勒索軟體防禦與應變準備方面仍有明顯缺口。最基本的備份復原措施，僅42.7%的企業完成準備，制定勒索軟體感染應對手冊的比例也只有40.3%。至於外部專家諮詢、事件應變計畫及預約支援服務，準備率僅33.3%；與合作夥伴等利害關係人的事件通報機制為26.3%，對客戶公開說明及聯絡機制則只有22%，勒索軟體專屬網路保險投保率更低至15.9%，顯示多數企業仍未建立完整的危機處理架構。
調查也發現，雖有29.5%的企業已明定原則上不支付贖金，但仍有不少公司僅有方向、缺乏具體規則，或必須視情況臨時決定。整體而言，近七成企業可能在遭受攻擊後，才倉促判斷是否支付贖金。Gartner董事分析師鈴木弘之指出，與攻擊者談判不一定以付款為目的，也可能用來爭取時間、釐清受害範圍，但企業自行接觸攻擊者風險極高，不應單獨處理。Gartner建議，企業應預先建立外部專業支援網絡，定期與高階主管進行模擬演練，並明確訂定決策與通報標準，才能在事件發生時降低營運中斷與資料外洩造成的損失。