Все в ваших руках: разработка выигрышной стратегии кибербезопасности

Информационные технологии являются жизненной силой современного предприятия. ИТ стали центральным элементом бизнес-операций. Трудно представить, как функционировали компании всего 30 лет назад. Однако распространение технологий привело к возникновению новых рисков, которых раньше не существовало, по крайней мере, в той же форме и степени тяжести. В первую очередь это риск потери данных, кражи данных и катастрофического сбоя системы. Каждый год десятки крупных кибератак попадают в заголовки международных газет. Стоимость сдерживания и восстановления после кибератаки намного выше, чем стоимость предотвращения. Разработка надежной стратегии кибербезопасности — один из самых эффективных инструментов предотвращения атак. Но как это сделать?

ИТ-менеджеры часто борются за то, чтобы понять, с чего начать, так же, как и руководители высшего звена, не имеющие технического образования. Следующие советы помогут вам двигаться в правильном направлении.

1. Проведите инвентаризацию и классифицируйте все аппаратное и программное обеспечение.

Вы не можете защитить свои активы, если вы не знаете, какие активы у вас есть в первую очередь. Таким образом, основой вашей стратегии кибербезопасности должна быть идентификация и инвентаризация всего аппаратного и программного обеспечения. Это должно охватывать как авторизованные, так и неавторизованные системы. Неавторизованный в этом смысле не обязательно означает злонамеренный. Скорее, это программное и аппаратное обеспечение, которое могло быть введено в сеть организации без прохождения необходимого допуска. Во время инвентаризации вы также должны приступить к классификации систем, где каждой системе присваивается рейтинг приоритета. Критически важные системы будут иметь наивысший рейтинг приоритета, в то время как более рутинные приложения, такие как Microsoft Office, будут классифицироваться как низкоприоритетные.

2. Количественно оценить риск

Кибербезопасность является широкой темой, и потенциальные риски огромны. Тем не менее, ваш бизнес не одинаково уязвим ко всем рискам ИТ-безопасности. Поэтому важным шагом в разработке эффективной стратегии является выявление и количественная оценка рисков, представляющих наибольшую опасность для систем и электронных данных вашей организации.

Когда вы определяете существенность риска, убедитесь, что вы также определили, что вы считаете приемлемой степенью риска. С каким уровнем риска вы готовы мириться и какие риски вы хотите устранить путем страхования или отказа от определенных бизнес-процессов или продуктов?

3. Базовая конфигурация

После того, как вы выполнили базовую работу, описанную в предыдущих пунктах, она должна стать основой для базовой конфигурации с учетом безопасности, которая применяется ко всем устройствам в организации. Это означает, что вы должны последовательно применять средства контроля системы и данных ко всем компьютерам в компании.

Несогласованное применение средств контроля создает лазейки, которыми может воспользоваться злонамеренная третья сторона. У вас должен быть автоматизированный процесс применения обновлений безопасности, который снижает риск того, что что-то не получится.

4. Управление административными привилегиями

Учетные записи пользователей не созданы равными. Практически каждая система имеет одну или несколько административных учетных записей, предназначенных для облегчения настройки, обслуживания и устранения неполадок. Хотя административные учетные записи созданы как сила добра, исключительные привилегии, которыми обладают эти учетные записи, означают, что они могут нанести катастрофический ущерб, если попадут не в те руки.

Учетная запись администратора сервера, сети или базы данных может привести к серьезным изменениям в системах и данных компании. Поэтому ваша стратегия кибербезопасности должна предусматривать управление привилегированными учетными записями. Стратегия безопасности должна иметь элементы управления, которые предотвращают как неправильное использование со стороны ИТ-персонала, так и злоупотребления со стороны третьих лиц, которые случайно перехватывают пароль администратора.

5. Сдерживайте внутренние угрозы

Мы часто рассматриваем кибербезопасность как средство защиты сети и данных компании от внешних угроз. На самом деле значительная часть успешных атак является результатом действий инсайдеров. На самом деле, даже если атаки исходят извне, они часто используют информацию, собранную внутри компании.

Внутренние угрозы могут быть преднамеренными или случайными, и стратегия ИТ-безопасности должна иметь средства выявления и устранения каждого типа. Поэтому ваша стратегия кибербезопасности должна предусматривать механизм мониторинга инсайдерской активности в организации.

Наиболее важным является управление человеческим фактором кибер-риска, поскольку ваши сотрудники всегда являются вашим самым слабым звеном. Стратегия должна способствовать созданию позитивной рабочей культуры, ориентированной на безопасность, которая препятствует контрпродуктивному поведению.

6. Признайте, что некоторые атаки будут успешными, и спланируйте их

Yahoo, TJX, Marriot, Target, Equifax, LinkedIn, EBay, AOL и JP Morgan Chase — это одни из самых узнаваемых брендов в мире. Тем не менее, все они стали жертвами успешных кибератак. Не пощадили даже федеральное правительство США. Все это означает, что, несмотря на все ваши усилия по защите ваших систем и данных, успешная атака все же может произойти.

Вместо того, чтобы ждать, чтобы подумать о том, как вы справитесь с этим, когда это произойдет, лучше заранее разработать стратегию реагирования на инциденты. Реагирование на инциденты должно заключаться в быстром сборе ресурсов и навыков, необходимых для выявления и сдерживания атаки, определения величины воздействия и обеспечения минимального нарушения работы клиентов и пользователей системы.

7. Интегрируйте данные, техническую и физическую безопасность

Организации должны рассматривать кибербезопасность не изолированно, а как часть более широкой корпоративной политики безопасности. Эффективная стратегия безопасности программного, сетевого и аппаратного обеспечения должна быть последовательной и дополнять стратегию физической безопасности бизнеса.

На самом деле не может быть настоящей ИТ-безопасности без какого-либо физического барьера, такого как контролируемый доступ к центрам обработки данных или процесс очистки любых принадлежащих компании гаджетов, покидающих территорию предприятия.

8. Непрерывная оценка риска и уязвимости

Оценка рисков ИТ-безопасности — это не то, что вы делаете один раз и забываете об этом навсегда. Технологическая среда постоянно меняется по мере того, как вводятся новые системы, а старые либо обновляются, либо выводятся из эксплуатации. В этом состоянии постоянного изменения риски развиваются соответствующим образом.

Поэтому важно планировать всестороннюю оценку рисков кибербезопасности не реже одного раза в год, в ходе которой проверяется технологическая экосистема организации. Это гарантирует, что существующие средства контроля по-прежнему адекватны для защиты корпоративного оборудования и программного обеспечения.

Стратегия кибербезопасности: здесь начинается ваша защита

Проблемы обеспечения безопасности своих технологий вынуждают предприятия осознавать роль надежной ИТ-безопасности в создании здоровой среды для ведения бизнеса и реализации их общих стратегических целей. Все начинается с разработки четкой и практичной стратегии кибербезопасности.