Не будьте жертвой: остерегайтесь этих критических угроз корпоративной кибербезопасности

Глобальный обзор экономических преступлений PwC за 2016 г. обнародовал информацию о деловом мире, вызвавшую серьезные волнения, и сделал очевидным, что киберпреступность является препятствием для шоу. Исследование показало, что киберпреступность затронула 32% предприятий и является вторым наиболее часто регистрируемым экономическим преступлением. Атаки через Интернет больше не являются частью футуристических теорий заговора и научной фантастики; они реальны и уже нанесли ущерб на миллиарды долларов тысячам компаний. Готовы ли вы бороться с этими рисками кибербезопасности?

В 2017 году произошло две крупные атаки программ-вымогателей (WannaCry и Petya), которые потрясли глобальный экономический двигатель, нарушили работу жизненно важных финансовых механизмов, приостановили работу авиакомпаний, отложили медицинские процедуры и вывели средства с корпоративных счетов. Эти две силы работали в тандеме и оставили глобальное бизнес-сообщество в крайне уязвимом положении с точки зрения кибербезопасности.

• Киберпреступники становятся лучше, их число растет, они финансируются злоумышленниками и совершенствуются в своих гнусных технологических подвигах.
• Предприятия омрачены отсутствием знаний о состоянии рисков кибербезопасности, и многие поставщики не могут обучать предприятия необходимым им пакетам безопасности, вместо этого сосредотачиваясь на создании маркетинговой шумихи и заключении многомиллионных контрактов на обеспечение безопасности.

Если вы принимаете решения в области ИТ или даже работаете в корпоративной ИТ-группе, это не выбор: вы должны хорошо разбираться в наиболее серьезных рисках кибербезопасности, с которыми сталкивается современное предприятие. Вот быстрый курс.

Неспособность правильно понять основы кибербезопасности

Отчет NTT Group Global Threat Intelligence за 2016 год содержит шокирующую статистику.

• Из всех выявленных внешних уязвимостей кибербезопасности на первую десятку приходится почти 52 процента случаев.
• Из всех выявленных внутренних уязвимостей кибербезопасности на первую десятку пришлось почти 78 процентов случаев.

Эти заявления не превращаются в страшную историю, но подтекстов достаточно, чтобы вызвать удивление, если не шок.

Это означает, что для реализации своих гнусных замыслов киберпреступникам достаточно нацелиться менее чем на дюжину внешних и внутренних уязвимостей. Это также означает, что организации могут устранить большую часть рисков кибербезопасности, просто закрыв 10 основных внутренних и внешних уязвимостей. В целом в отчете показано, что предприятиям не хватает даже базовой системы защиты для борьбы с киберпреступниками. Слабая практика кибербезопасности этих предприятий превращает их в бомбу замедленного действия, которая может взорваться, как только киберпреступники захотят взорвать ее! Таких методов, как использование брандмауэров операционных систем и отдельных антивирусных программ, уже недостаточно. Отчет также показал, что даже своевременное исправление приложений могло бы сократить до 78 процентов внутренних уязвимостей на большинстве предприятий. Ты слушаешь, Эквифакс?

Непонимание рисков корпоративной кибербезопасности

Предприятия не имеют четкого представления о своей уязвимости к кибератакам, возможности простоя и кражи данных, а также об изощренности киберпреступников. Это отсутствие знаний было острой темой обсуждения на Всемирном экономическом форуме 2015 года и, вероятно, будет продолжаться в течение следующих нескольких лет. Предприятия должны признать, что кибератаки выходят далеко за рамки технологий и включают социологические и психологические аспекты. Фишинг, социальная инженерия, очернение бренда и выдача себя за другое лицо уже дорого обошлись организациям, которые придерживались только технологического взгляда на необходимость кибербезопасности. Помимо этого, наиболее важными векторами внешних угроз являются распределенные атаки типа «отказ в обслуживании», атаки на инфраструктуру и доменные угрозы.

Отсутствие политик безопасности

Политика безопасности полностью отсутствует или давно забыта и практически не обновляется на большинстве предприятий. Точно так же, как предприятия зависят от внешних экспертов по юридическим, финансовым и техническим вопросам, им пора признать необходимость поиска экспертных решений для устранения рисков кибербезопасности. Политика безопасности — это большой шаг вперед и средство мобилизации всей рабочей силы предприятия для достижения общей цели — обеспечения безопасности цифровых активов. Политики безопасности, которые помогают в выявлении рисков кибербезопасности, прокладывают путь к управлению кибербезопасностью, помогают обеспечить безопасность информации и сетей компании и предоставляют рекомендации по управлению рисками данных при работе с поставщиками и третьими сторонами.

Злоупотребление привилегиями внутренними ресурсами

Ранее мы кратко упомянули нетехнологические риски кибербезопасности. К сожалению, корпоративная сеть так же безопасна, как и ее самый слабый сотрудник (слабый с точки зрения информирования о кибербезопасности). Исследование, проведенное и опубликованное в отчете Verizon о нарушениях данных за 2016 год, выявило несколько случаев неправомерного использования привилегий инсайдерами, включая такие проблемы, как доступ к незаконному контенту, неправомерное использование электронной почты, установка незащищенного и нелицензионного программного обеспечения, неправильное обращение с данными, неправомерное использование Интернета, злоупотребление знаниями, и злоупотребление привилегированным доступом. Это риск кибербезопасности, о котором многие организации не знают. На самом деле сильная политика безопасности (рассмотренная ранее) должна также включать рекомендации по внутренней обработке информации.

BYOD: Принести свое устройство (или дум)?

Прежде всего, вот некоторые статистические данные, опубликованные в исследовании BYOD & Mobile Security 2016.

• BYOD ложится тяжелым бременем на корпоративные ИТ (35%) и службу поддержки (27%).
• 37% опрошенных организаций не планировали увеличивать бюджеты на ИТ-безопасность, чтобы лучше справляться с BYOD.
• Такие риски, как потеря данных, вредоносное ПО, загрузка незаконного контента и несанкционированный доступ к системам, были признаны значительным процентом опрошенных предприятий.

Конечно, организации не могут просто отказаться от преимуществ BYOD, им также необходимо использовать самые современные средства безопасности. VPN, многофакторная аутентификация, обучение удаленному использованию и т. д. — хорошая отправная точка.

Отсутствие информирования и обучения кибербезопасности

Скорость, с которой растет сложность кибератак, требует такой же скорости и динамизма в том, как предприятия проводят обучение сотрудников по обеспечению безопасности. В 2016 году в отчете PWC подчеркивалось, что фишинг стал основным вектором кибератак в этом году. В сочетании с социальной инженерией риски фишинга становятся огромными. Это всего лишь пример того, как предприятия должны инвестировать ресурсы в синхронизацию сотрудников с тем, что от них ожидается с точки зрения лучших практик кибербезопасности.

Укрепите свою защиту

Пришло время признать огромные угрозы, которые кибератаки представляют для любого предприятия, после чего следует осознание наиболее серьезных рисков кибербезопасности. Используйте рекомендации, предложенные в этом руководстве, для укрепления защиты вашего предприятия.