41% компаний столкнулись с инцидентами информационной безопасности, связанными с подрядчиками
изображение: recraft
41% опрошенных специалистов по ИТ и информационной безопасности рассказали, что за последние два года в их компаниях происходили киберинциденты, связанные с подрядчиками. Чаще всего они приводили к утечкам данных, получению посторонними доступа к информации граждан и взлому корпоративных аккаунтов. К таким выводам пришли эксперты Контур.Эгиды и Staffcop по итогам опроса 1200 специалистов из компаний различных отраслей.
По словам респондентов, чаще всего киберинциденты заканчивались утечкой данных (29%). Еще 26% сообщили, что посторонние получили доступ к данным клиентов, 22% — что были взломаны корпоративные аккаунты сотрудников. Столько же участников исследования рассказали, что после кибератак их компании сталкивались с претензиями регуляторов.
В 21% случаев из-за таких инцидентов нарушалась работа сервисов или случались сбои в отдельных бизнес-процессах, вредоносные программы проникали в корпоративные системы. Репутационный ущерб отметили 20% участников исследования, финансовые потери — 18%, а 17% сообщили, что злоумышленники полностью заблокировали работу корпоративных систем. Лишь 21% участников опроса заявили, что серьезных последствий кибератаки не вызвали.
Хотя бы раз отказывались от сотрудничества с подрядчиком из-за рисков в сфере информационной безопасности 71% опрошенных представителей компаний, при этом 30 из них вынуждены были отказываться от сотрудничества неоднократно.
По словам Даниила Бориславского, эксперта по информационной безопасности Контур.Эгиды и Staffcop, подрядчик не обязательно должен действовать умышленно, чтобы стать причиной серьезного инцидента.
Даниил Бориславский, эксперт по информационной безопасности Контур.Эгиды и Staffcop: «Сегодня компании часто передают подрядчикам обслуживание ИТ-систем, разработку программ, работу контакт-центров и другие процессы. Вместе с этим внешние исполнители получают доступ к корпоративным системам и персональным данным людей. Чтобы произошел инцидент, не обязательно иметь злой умысел — достаточно ошибки сотрудника подрядчика, использования небезопасной программы или компрометации его учетной записи. Важно понимать, что за каждой утечкой стоят не только последствия для бизнеса, но и риски для людей, чьи персональные данные оказались скомпрометированы. Такие сведения могут использоваться мошенниками для новых атак, поэтому вопрос контроля подрядчиков касается не только информационной безопасности компаний, но и защиты их клиентов».
При этом ответственность за защиту персональных данных не передается подрядчику вместе с договором. Последняя практика Верховного Суда это подтверждает: если утечка произошла по вине подрядчика, отвечать перед клиентами и государством все равно будет компания — владелец данных. Поэтому недостаточно один раз проверить подрядчика перед началом работы. Важно постоянно понимать, кто получил доступ к данным, действительно ли он необходим для выполнения задачи и был ли этот доступ своевременно закрыт после завершения работ.
По словам участников исследования, подрядчиков проверяют еще до начала сотрудничества. Так, 40% респондентов сообщили, что проверка проводится для всех подрядчиков, еще 45% — только для тех, кто получает доступ к важным информационным системам. Однако разовой проверки недостаточно: сотрудники подрядчика могут меняться, объем предоставленных доступов — расширяться, а уровень защиты — снижаться уже в ходе работы. Поэтому безопасность при работе с подрядчиками требует постоянного контроля, а порядок действий в случае инцидента нужно определять заранее.
