Эксперты UDV Group: бизнес все еще воспринимает кибербезопасность как ИТ-задачу

За последние два года российский бизнес заметно увеличил расходы на информационную безопасность, однако уровень защищенности компаний по-прежнему остается крайне неоднородным. По данным компании «Бастион», до 80% атак, связанных с ошибками настройки и эксплуатации систем защиты, оказываются успешными. При этом около половины организаций до сих пор не внедряют даже базовые меры безопасности — сегментацию сети, контроль привилегий и регулярные проверки внутренней инфраструктуры.

На этом фоне особенно заметен разрыв между крупными компаниями, которые выстраивают полноценные процессы ИБ под давлением регуляторов и постоянных атак, и сегментом среднего и малого бизнеса, где кибербезопасность часто продолжает восприниматься как второстепенная ИТ-задача. При этом сами атаки становятся сложнее: злоумышленники все чаще используют подрядчиков как точку входа, переходят от кражи данных к их незаметной подмене и смещают фокус на инфраструктуру виртуализации.

О том, почему российский бизнес остается уязвимым, насколько дорого обходится игнорирование процессов ИБ и как изменится характер кибератак в ближайшие годы, рассказала Ольга Луценко, ведущий ИБ-эксперт компании UDV Group.

— Если смотреть на рынок в целом, как в UDV Group оценивают зрелость российских компаний с точки зрения кибербезопасности?

Текущий уровень я бы охарактеризовала как поляризованный.

Крупные российские компании — субъекты КИИ, банки, многие промышленные предприятия — за последнее время действительно заметно повысили уровень кибербезопасности. Во многом это связано и с ростом числа атак на российскую инфраструктуру, и с последовательной работой регуляторов, которые усиливают контроль и ответственность за нарушение требований.

Но одновременно остается большая часть компаний, которые продолжают жить по принципу «авось пронесет». Особенно это заметно в сегменте малого и среднего бизнеса. Мы в UDV Group видим, что именно там кибербезопасность чаще всего воспринимается не как управленческий процесс, а как набор отдельных технических мер.

— То есть проблема уже не столько технологическая, сколько организационная?

Во многом — да. Основная причина уязвимостей в том, что кибербезопасность до сих пор воспринимается как задача ИТ-отдела, а не как полноценный бизнес-процесс.

При этом многие компании недооценивают важность обучения сотрудников. А ведь большинство атак так или иначе строится на социальной инженерии и человеческих ошибках. Даже хорошая инфраструктура не спасает, если сотрудники не понимают базовых принципов безопасности. Мы в UDV Group отмечаем, что именно человеческий фактор часто становится точкой входа даже в технически зрелую инфраструктуру.

— Бизнес часто пытается экономить именно на ИБ. Как в UDV Group объясняют, почему такая экономия может быть опасной?

На практике такая экономия почти никогда не оправдана. Мы в UDV Group в таких случаях часто используем принцип «1-10-100».

Один рубль, вложенный в предотвращение атаки на этапе проектирования, экономит примерно 10 рублей на устранение уязвимости и 100 рублей на ликвидацию последствий полноценного инцидента.

— То есть последствия оказываются значительно дороже самой защиты?

Абсолютно. И речь не только про штрафы.

Да, оборотный штраф по линии Роскомнадзора за утечку персональных данных может достигать полумиллиарда рублей. Но гораздо тяжелее оказываются операционные потери.

Например, простой производственной линии в промышленности может стоить от 5 млн рублей в час. В ритейле или логистике остановка отгрузок приводит к потере клиентской лояльности на месяцы вперед.

При этом внедрение базового набора мер — сегментации сети, резервного копирования, MFA — для средней компании обычно сопоставимо по стоимости примерно с двухнедельным простоем одного отдела. Поэтому мы в UDV Group считаем, что процессная безопасность всегда дешевле, чем восстановление инфраструктуры, репутации и данных после атаки.

— Сейчас атаки тоже заметно меняются. Какие угрозы в UDV Group считают ключевыми для бизнеса в ближайшие 3-5 лет?

Я бы выделила три основных тренда, которые мы в UDV Group уже рассматриваем как наиболее значимые для российской инфраструктуры.

Первый — атаки через подрядчиков и партнеров. Взламывать напрямую крупную хорошо защищенную компанию становится слишком дорого и долго. Поэтому злоумышленники все чаще будут компрометировать небольших ИТ-интеграторов, аутсорсинговые бухгалтерии, разработчиков ПО.

Через обновления легитимного софта можно получить доступ сразу к сотням клиентов.

— Получается, подрядчики становятся слабым звеном всей цепочки?

Именно. И регуляторы это тоже понимают. Например, ФСТЭК уже планирует ограничивать возможность прямого удаленного подключения подрядчиков к инфраструктуре субъектов КИИ. Управление доступом подрядчиков становится одной из ключевых задач для компаний, работающих с критичной инфраструктурой.

— А второй тренд?

Манипуляция данными вместо их кражи.

Если раньше основной задачей было зашифровать данные и потребовать выкуп, то теперь злоумышленники могут незаметно изменять информацию внутри систем.

Например, подменять банковские реквизиты в бухгалтерии или искажать показатели датчиков на производстве — температуру, давление и другие параметры.

Опасность здесь в том, что последствия могут проявиться не сразу. Иногда подобные изменения обнаруживаются только через месяцы.

— Это уже выглядит не просто как киберпреступность, а как вмешательство в реальные бизнес- и производственные процессы.

Да, именно поэтому такие атаки становятся особенно опасными. Мы в UDV Group подчеркиваем, что речь идет уже не только о защите данных, но и о защите достоверности информации, на которой строятся управленческие, финансовые и производственные решения.

— И третий тренд связан с виртуализацией?

Да. В условиях импортозамещения и перехода на российские ОС и гипервизоры инфраструктура виртуальных рабочих столов и среды виртуализации становится одной из приоритетных целей.

Компрометация сервера виртуализации позволяет фактически одномоментно отключить сотни рабочих мест. Для бизнеса это уже не локальный инцидент, а потенциальный паралич значительной части инфраструктуры.

— Получается, бизнесу уже недостаточно просто «поставить антивирус» и считать, что этого достаточно?

Совершенно недостаточно. Сегодня кибербезопасность — это уже непрерывный процесс, который требует системного подхода.

И чем раньше компания начинает выстраивать эти процессы — пусть даже пошагово, — тем ниже будут и риски, и стоимость последующих изменений.