Обиделся и слил

Более половины опрошенных руководителей российских компаний считают основным источником киберугроз самих сотрудников компании. По данным исследования по вопросам информационной безопасности в России EY, 69% респондентов видят основную причину нарушения информационной безопасности в намеренной или случайной халатности своих сотрудников, 45% отводят второе место внешним подрядчикам. Среди опрошенных 40% сообщили, что не в состоянии обнаружить комплексные целевые кибератаки и ещё 35% не имеют классификацию инцидентов инфобезопасности в соответствии с уровнем угрозы. При этом для большинства компаний приоритетом в области информационной безопасности является обеспечение непрерывности бизнеса и восстановление после аварии.

"При анализе ответов российских участников исследования мы заметили как схожие тенденции, так и некоторые различия по сравнению с международной практикой. Российские участники и респонденты из других стран считают своих сотрудников основным источником хакерских атак, - отметил руководитель отдела услуг в области рисков, управления информационными технологиями и ИТ-рисками в СНГ компании EY Николай Самодаев. - Особенно тревожит тот факт, что значительное количество компаний не могут обнаружить сложные кибератаки и не имеют классификацию инцидентов информационной безопасности в соответствии с уровнем угрозы. Для изменения такого положения организациям необходимо уделять больше внимания не выявлению угроз или реагированию на них, а разработке мер, которые снизят вероятность успешного проведения кибератак".

"Наши регулярные исследования по всему миру подтверждают, что определённые действия сотрудников могут приводить к кибератакам. Прежде всего речь идёт об установке стороннего и часто контрафактного ПО, - рассказал руководитель направления кибербезопасности и лицензионного ПО в России Microsoft Дмитрий Береснев. - Согласно данным нашего последнего такого исследования, проведённого совместно с компанией IDC, примерно 30% сотрудников как в мире, так и в России устанавливают стороннее ПО, среди которого может быть и пиратский софт, зачастую со встроенными вредоносами, и всевозможные "кряки", часто являющиеся причинами утечек, и откровенно опасные программы". Значительное количество компаний не могут обнаружить сложные кибератаки и не имеют классификацию инцидентов информационной безопасности в соответствии с уровнем угрозы.

По словам эксперта, путей решения этого вопроса может быть несколько. "Один из проверенных вариантов - это построение системы управления программным обеспечением, которое используется в компании. Когда компания начинает рассматривать ПО как актив, прописываются чёткие регламенты работы с ним, определяются ответственные за это направление сотрудники, в результате становится очень сложно или невозможно несанкционированно что-то установить на рабочий компьютер. Второй вариант - пересмотреть свой подход к IT. Ведь не секрет, что многие компании работают "по старинке", между тем технологии очень быстро развиваются, и сотрудники во внерабочее время пользуются самыми новомодными гаджетами, имеют доступ к своей личной информации из любого места. Сотрудники пытаются удалённо подключиться к корпоративной сети, используя персональные гаджеты, или самостоятельно установить какую-нибудь удобную для работы программу. Дабы избежать подобных "инициатив", компании стоит самой быть на шаг впереди, обеспечивая сотрудников надёжной инфраструктурой везде, где бы они ни находились. Третий путь - прививать внутреннюю культуру установки регулярных обновлений ПО. Все то же исследование IDC показывает, что 53% наших соотечественников не используют функции "автоматических обновлений", подвергая тем самым свой компьютер большой опасности. Часто это происходит потому, что люди просто не знают, зачем нужны обновления, а ведь производители регулярно их выпускают, и в каждой новой версии встроены специальные системы защиты от самых последних зловредов, которые могут проникнуть в личное или корпоративное цифровое пространство".

Проблема внутренних утечек информации кроется не только в установке нелицензионного ПО, но в недобросовестности сотрудников. "Практически в любой немелкой компании найдутся обиженные сотрудники: кого-то давно не повышали, кому-то недоплатили премию. Кроме того, ухудшающаяся международная и внутренняя экономическая обстановка не улучшает внутренний климат в организациях, тенденции к появлению недовольных и обиженных будут повышаться, - считает заместитель гендиректора "Аладдин Р.Д.", член Экспертного совета при Комитете Госдумы по безопасности и противодействию коррупции Алексей Сабанов. - Мудрые руководители в таких условиях предлагают сотрудникам компании участие в выработке стратегии преодоления кризисных явлений".

Одним из подходов к формированию стратегии предприятия является переход на риск-ориентированное управление. "Такое управление включает в себя в качестве одного из направлений и вопросы инфобезопасности: выработка концепции, политик безопасности, регламентов, модели угроз, обоснование выбора средств защиты и, как результат, повышение защищённости информационных ресурсов от внешних и внутренних атак. В частности, для снижения уровня угроз от внутренних нарушителей в качестве доступного по ресурсам и затратам (от 1000 рублей на рабочее место) способа можно предложить переход на управление доступом пользователей на основе цифровых сертификатов доступа. Это позволит использовать электронную подпись (ЭП) в качестве механизма аутентификации", - рекомендует Алексей Сабанов.