Softline: почему компании не замечают опасные киберриски даже при развитой системе защиты
Оценка киберрисков помогает бизнесу определить, какие угрозы наиболее опасны и сколько средств стоит направить на защиту, но даже подробный анализ инфраструктуры не позволяет предсказать все сценарии атак.
Наиболее сложные угрозы связаны с поведением злоумышленников, действиями сотрудников и подрядчиками, безопасность которых компания контролирует лишь частично.
Эксперты ГК Softline выделяют три слепые зоны управления киберрисками. Их общая особенность — неопределенность: техническое состояние системы можно проверить, но намерения человека и его будущие действия оценить гораздо сложнее.
Почему технического аудита недостаточно
Оценка рисков обычно опирается на статистику инцидентов, сведения о действующих мерах защиты и бизнес-показатели, необходимые для расчета возможного ущерба. Эти данные помогают определить вероятные сценарии атак и их последствия. Однако даже при наличии подробной статистики остается вопрос, кто именно заинтересован в атаке на компанию и какими ресурсами располагает потенциальный нарушитель.
В Softline предлагают учитывать два фактора: возможности злоумышленника и привлекательность организации как цели.
Финансовая мотивация может быть связана с доступом к платежным системам, денежным средствам и данным клиентов. Для атакующих, заинтересованных в нарушении работы критической инфраструктуры, большее значение имеют роль компании в отрасли и последствия остановки ее систем. Другими мотивами могут стать репутационный ущерб, получение конфиденциальной информации и вмешательство в деятельность организации, но привлекательность цели зависит и от того, насколько легко до нее добраться. Устаревшие технологии, открытые внешние сервисы, неустраненные уязвимости и недостаточно защищенные подрядчики расширяют возможности атакующего.
Поэтому две компании с сопоставимыми активами могут иметь разные уровни риска. Для оценки необходимо учитывать и возможную заинтересованность злоумышленника, и доступные ему способы атаки.
Почему сложнее всего предсказать действия сотрудников
Вторая проблема связана с внутренними угрозами. Если вероятность случайной ошибки сотрудника можно оценивать на основе известных сценариев и статистики, то предсказать умышленное нарушение гораздо труднее.
Работник может иметь законный доступ к корпоративной информации и одновременно намереваться использовать ее в личных целях. Потенциальный ущерб связан с утечкой клиентских баз, интеллектуальной собственности и других ценных данных.
При оценке таких рисков специалисты Softline предлагают учитывать факторы, которые способны сдерживать нарушителя. Среди них — договорные обязательства и установленные правила взаимодействия с работодателем.
Такой подход смещает внимание с попыток угадать намерения конкретного человека на анализ условий, в которых возможен инцидент.
Для компаний это означает необходимость учитывать внутренние угрозы при разработке сценариев риска. Наличие технических средств защиты само по себе не дает полной картины, если за пределами анализа остаются возможности сотрудников и условия доступа к информации.
Как подрядчики создают риски за пределами компании
Третья слепая зона находится в цепочке поставок. Даже организация с развитой системой информационной безопасности может недостаточно хорошо представлять, какие компании и специалисты стоят за ее непосредственными подрядчиками.
Поставщик программного обеспечения, ИТ-услуг или средств защиты может привлекать собственных исполнителей. В результате появляются дополнительные участники, потенциально связанные с корпоративной инфраструктурой и данными заказчика.
Полностью изучить все звенья такой цепочки практически невозможно. Поэтому Softline предлагает сосредоточиться как минимум на двух уровнях: непосредственных поставщиках компании и поставщиках этих организаций.
Охватить всю цепочку целиком нереалистично. Практичнее построить модель наблюдаемого слоя и оценить уровень доверия и неопределенности на каждом уровне. При такой оценке важны тип поставщика, регулярность его взаимодействия с компанией, объем доступа к ИТ-системам и критичность предоставляемых услуг. Например, подрядчик, который постоянно обслуживает значительную часть инфраструктуры, требует иного подхода к оценке рисков, чем исполнитель с ограниченным доступом в рамках разового проекта.
Снизить неопределенность помогают проверки перед заключением договоров, требования к кибербезопасности поставщиков и периодические аудиты.
Как управлять рисками, которые нельзя точно предсказать
Общая проблема трех сценариев заключается в ограниченности исходных данных. Компания может знать состояние собственных систем, но не располагает полной информацией о потенциальных нарушителях, намерениях сотрудников и всех участниках цепочки поставок.
Это не делает оценку рисков бесполезной. Напротив, неопределенность необходимо учитывать при разработке методологии.
Для внешних угроз важно формировать портрет потенциального нарушителя с учетом его возможностей и мотивации. Для внутренних — анализировать условия реализации угроз и сдерживающие факторы. Для подрядчиков — определять доступный уровень контроля и проверять наиболее значимые связи.
По оценке Softline, такой подход позволяет учитывать сценарии, которые остаются за пределами традиционного технического аудита.
Главный вывод для бизнеса заключается в том, что полнота реестра рисков не гарантирует защищенности. Качество оценки зависит и от того, насколько компания понимает ограничения собственных данных, учитывает человеческий фактор и пересматривает сценарии угроз по мере изменения условий работы.