Начните с аудита

Защищённость компаний на бумаге часто оборачивается беззащитностью перед реальными киберугрозами. Так, 86% веб-ресурсов, требующих идентификации, содержат как минимум одну критическую уязвимость. Один из форматов аудита — Compromise Assessment — позволяет понять, есть ли у злоумышленников доступ к вашим данным и инфраструктуре, выявит следы подготовки к хакерской атаке, признаки компрометации данных, поможет оценить масштаб ущерба и выяснить, какие системы были атакованы и как именно это произошло. Предварительный аудит позволит в случае наступления инцидента минимизировать временные затраты на локализацию этого инцидента и, как следствие, снизить ущерб.

Разработайте подробный план

Служба безопасности в организации должна обязательно иметь подробный план мероприятий на случай инцидента (мы его называем Pre-IR Assessment), который позволит среагировать на инцидент в штатном порядке, а не в режиме «хватай мешки ― вокзал отходит». Таким образом компания может максимально быстро и эффективно справиться с инцидентом, минимизировать ущерб и получить необходимые данные для расследования.

На этом этапе необходимы:

— проверка сетевой и системной инфраструктуры — для возможности полного и корректного сбора цифровых доказательств, способности выявления индикаторов компрометации, готовности оперативно остановить инцидент и управлять сетью в ходе реагирования;

— проверка компетенции сотрудников служб IT и информационной безопасности;

— проверка полноты, актуальности и практической целесообразности регламентов и документации;

— проверка распределения ответственности и организационной структуры команды.

Застраховать киберриски

В России рынок киберстрахования появился недавно, но в остальном мире тема довольно развита. Если в 2017 году рынок киберстраховых премий составил примерно 4,5 млрд долларов, то к 2020 году, по прогнозам, вырастет до 7,5 млрд долларов (данные PwC, Lloyds, BT Intelligence). Обращения в страховые компании обычно происходят после массовых кибератак, как это было с вирусами-шифровальщиками, тем не менее по мере роста осознания жестокой реальности мира киберпреступности, угроз и ущербов, которые происходят ежедневно, растёт и понимание необходимости применения средств защиты в комплексе: консалтинга, аппаратных решений, обучения персонала, киберстрахования.

Довести расследование до конца

Многие компании после произошедшего инцидента проводят внутренний аудит и устанавливают различные средства защиты. Это хорошо, но недостаточно. Необходимо проводить расследование любого инцидента до конца. Надеяться на то, что такое больше не повторится, нельзя. Организация может внедрить адекватную защиту только после того, как станет ясно, что же конкретно произошло. В качестве примера можно привести историю одной компании, которая подверглась атаке шифровальщика. Руководство обратилось к нам за консультацией, и помощь была оказана. Однако, несмотря на наши предостережения, далее компания не стала ничего предпринимать для расследования инцидента и просто возобновила работу. Буквально через три дня та же самая группа злоумышленников атаковала её снова, просто потому что у них остался доступ. Ожидаемо, в результате второй атаки ущерб был гораздо значительнее.

Нанимайте специалистов

Одна из главных проблем многих компаний — отсутствие в компании профильных специалистов с актуальными практическими навыками и знаниями в области кибербезопасности. В любой организации, как правило, есть системный администратор, который мониторит работу средств защиты, выполняет протоколы, заполняет бумаги. Однако такой сотрудник не обладает компетенциями, необходимыми для того, чтобы решать задачи по расследованию инцидента, выявлению причин и, соответственно, их устранению. В принципе, можно использовать специалиста на аутсорсинге, но это должен быть человек, который занимается проблемами киберзащиты постоянно. Такой сотрудник должен не только отвечать за приобретение, настройку и внедрение различных систем безопасности, но и заниматься расследованием всех инцидентов на этом поле.

Ликвидируйте безграмотность!

Средства защиты, даже самые дорогие и навороченные, никогда не дают 100% гарантии. Гораздо дальновиднее вкладывать в людей. Регулярные тренинги на синтетических кейсах и обучение сотрудников цифровой грамотности существенно повышают безопасность компании и её готовность к атаке. Нам постоянно приходится сталкиваться с ситуациями, когда в компании установлено самое современное оборудование и программное обеспечение, но нет специалистов, которые умеют с этим обращаться.

Довольно часто компании считают, что возможные потери окажутся в конечном счёте меньше, чем затраты, которые придётся потратить на обеспечение безопасности, покупку ПО и «железа», наём высококвалифицированных сотрудников. Однако не стоит забывать, что кроме финансового ущерба в результате киберинцидентов компания несёт репутационные потери. А для финансовой организации успешная кибератака с выводом средств может стать поводом для приостановки деятельности и отзыва лицензии.