ИБ-устойчивость в кризис: как поддерживать уровень защиты при сокращении бюджета

Итак, аудит организации на соответствие требованиям законодательства в области информационной безопасности проведен, составлена стратегия кибербезопасности на ближайшие годы и даже началась ее реализация – закуплена и внедрена первая партия оборудования и программного обеспечения. Но тут пришел он – секвестр бюджета. Все стратегические планы нарушены, закупки приостановлены, а ИБ специалистам рекомендовано пользоваться тем, что уже есть. Как поддержать должный уровень защиты при сокращении бюджета?

Вряд ли такой ход событий был заложен в стратегии кибербезопасности компании, поэтому план реагирования на подобную нештатную ситуацию стоит разработать заранее. Ведь сокращение бюджета не означает «отмены» ИБ, она также должна обеспечиваться должным образом. Так что же можно включить в подобный «кризисный» план обеспечения ИБ в условиях ограниченного бюджета?

• Проведение инвентаризации всех имеющихся систем обеспечения ИБ с целью определения используемого функционала. Закупленные средства защиты информации могут использоваться только в части имеющихся функций, в то время как остальной функционал остается незадействованным.
• Проведение регулярной инвентаризации всех информационных активов, а также сканирования инфраструктуры компании своими силами на предмет поиска уязвимостей. Это позволит понимать свою инфраструктуру и возможные недостатки в ней, что, в свою очередь, помогает повысить общий уровень ИБ.

По оценкам Angara Security, 4% всех исследованных сервисами компании объектов заказчиков содержали критические уязвимости.

• Своевременное обновление программного обеспечения на всех системах и рабочих станциях организации, также помогут избежать проблем с безопасностью. Как правило, в ходе регулярных и экстренных обновлений вендоры закрывают найденные уязвимости и исправляют ошибки предыдущих релизов ПО.
• Большинство современных атак проводятся по основным векторам: через доверенные стороны (подрядчиков и партнеров) или с использованием средств социальной инженерии – фишинга или поддельных аккаунтов. Злоумышленники ставят цель максимально сократить время от разведки цели и первоначального доступа в систему до нанесения ущерба. Своевременное закрытие доступов для текущих, а также бывших подрядчиков или сотрудников, сегментация сети и разграничение прав доступа к системам позволят сократить риски проникновения посторонних в критически важные для компании сегменты ИТ-инфраструктуры.
• Несмотря на сокращение финансирования, какие-то средства на ИБ в компании все-таки будут выделяться. Поэтому стоит сосредоточить внимание и точку приложения финансов на системах, которые уже внедрены, настроены и требуют технической поддержки и обновлений. Также можно рассматривать услуги по подписке (Managed Security Service Provider, MSSP), которые могут закрыть потребности компании, например, в защите электронной почты, веб-приложений, защите от DDoS-атак, ВПО или фишинга.
• Активная работа с пользователями внутри компании, регулярное напоминание о простейших мерах кибербезопасности также способствуют повышению уровня грамотности сотрудников организации.

Эти базовые рекомендации может сделать самостоятельно любая компания, не потратив на защиту столь дефицитных средств из бюджета организации.

Автор: Александр Хонин, руководитель отдела консалтинга и аудита Angara Security.