Как бизнесу перейти от «бумажной» информационной безопасности к реальной

В сфере информационной безопасности традиционно много регламентов, положений и документов. Из-за этого некоторые компании вместо реального обеспечения ИБ фокусируются на соблюдении формальных требований регуляторов. При этом главным риском от действий киберпреступников 61% компаний считают отзыв лицензии, а 37% — отзыв сертификата PCI DSS. Такое отношение повлияло на рост количества инцидентов и размера ущерба от действий злоумышленников. Поэтому среди компаний наметилась тенденция перехода от выполнения требований регуляторов на бумаге к практическим мерам для защиты данных.

Расцвет «бумажной» безопасности

До недавнего времени российские компании недооценивали риски киберугроз. Меры по обеспечению ИБ часто сводились к стремлению избежать рисков санкций за невыполнение требований контролирующих органов. Специалисты разрабатывали политики, инструкции для сотрудников и процедуры. Кибератак было меньше, чем сейчас, и большинство из них были направлены на клиентов, а не на саму компанию.

Однако со временем количество взломов корпоративной информационной инфраструктуры росло. Компании начали массово оцифровывать бизнес, переходить в облака и использовать для работы мобильные устройства. Пандемия и переход на дистанционный или гибридный график работы привели к тому, что компании начали хранить и обрабатывать защищаемую информацию (персональные данные, данные, составляющие коммерческую тайну и др.) на абсолютно разных устройствах.

В результате в 2022 году число утечек данных в российских компаниях выросло в 1,5 раза по сравнению с прошлым годом. Объем «утекших» данных вырос в 16 раз. При этом во всем мире количество утечек данных выросло в 2 раза. Большая часть инцидентов вызвана нарушениями правил информационной безопасности. Если в компании не налажено обучение сотрудников основам ИБ, они могут переходить по ссылкам из незнакомых источников, хранить пароли в открытом виде и совершать другие ошибки. Еще одна причина утечек данных — злонамеренные действия сотрудников.

Вклад в реальную безопасность

Инциденты в сфере информационной безопасности могут привести к финансовым и репутационным потерям. Кроме того, по новым правилам компаниям грозят крупные штрафы за утечки персональных данных. Руководители понимают, что недостаточно выполнять требования регуляторов и получать лицензии и сертификаты. Гораздо важнее выстроить реальную информационную безопасность в компании. Если раньше отзыв лицензии считался главной опасностью, то сейчас для многих очевидно, что он — лишь одно из последствий несоблюдения ИБ.

Основные проблемы, с которыми сталкиваются компании:

• уязвимости информационной инфраструктуры, уровень защиты критических данных и реагирования на инциденты;
• атаки киберпреступников, включая DDoS-атаки;
• несоответствие требованиям законов и стандартов.

При этом все больше организаций переходит от «бумажной» ИБ к реальной, используя проактивную тактику. На первое место выходит не устранение последствий инцидентов, а их предотвращение. В 2022 году 49% компаний планируют сохранить затраты на обеспечение информационной безопасности на прежнем уровне. При этом 39% компаний сообщили о планах увеличить бюджет на ИБ.

Как обеспечить ИБ не «на бумаге»

Информационная безопасность состоит из набора практик и методов защиты конфиденциальности и доступности данных при их передаче, хранении и обработке.

Специалисты компании ITGLOBAL.COM Security рассказали про два вида услуг, которые помогают обеспечить реальную ИБ:

• комплексная проверка безопасности;
• пентест или тестирование на проникновение.

Разберем каждый из этих способов подробнее.

Комплексная проверка безопасности или ИБ-аудит

Это самая масштабная проверка, позволяющая получить исчерпывающие данные о состоянии ИБ в компании. Комплексная проверка включает:

• анализ защищенности информационных систем для оценки уровня безопасности ИТ-инфраструктуры;
• ИБ-аудит, помощь в подготовке к сертификации по ISO/IEC 27001;
• оценку внутренних процессов в компании с точки зрения безопасности;
• рекомендации по соблюдению требований стандартов.

Во время аудита информационной безопасности специалисты выявляют уязвимости в ИТ-инфраструктуре и дают рекомендации по усилению ИБ. После окончания аудита руководитель получает подробный отчет о том, насколько защищены ИТ-активы компании с рекомендациями, основанными на новейшем международном опыте.

Инженеры проверяют:

• беспроводные и локальные сети, а также контроль доступа к ним;
• настройки безопасности операционных систем, систем виртуализации и баз данных;
• отдельные критичные компоненты ИТ-инфраструктуры;
• настройки систем контроля информационной безопасности;
• безопасность помещений для оборудования и т.д.

Аудит помогает взглянуть со стороны на процессы информационной безопасности и своевременно принять меры для защиты конфиденциальных данных.

Тест на проникновение или пентест

При проведении этого теста специалисты по тестированию имитируют действия киберпреступников. Это позволяет выявить уязвимые места в системе безопасности сети. Способы тестирования разрабатываются и согласовываются индивидуально с каждым заказчиком.

Во время проведения пентеста проверяют:

• есть ли у сотрудников возможность получить доступ к конфиденциальной информации или самостоятельно повысить свои привилегии;
• есть ли в корпоративной сети потенциальные места проникновения злоумышленников.

После окончания пентеста руководитель компании получает отчет с подробным описанием методологии тестирования и найденными уязвимостями, указанием их критичности и рекомендациями по их устранению.

Комплексная проверка, аудит и тестирование на проникновение помогают уменьшить риск утечки данных, повысить защищенность инфраструктуры и контроль за ИТ-подразделениями. Это позволит компании обеспечить информационную безопасность корпоративных систем не только на бумаге, но и на практике.