Олег Седов, Солар: У нас, условно, есть два поколения — цифровые и оцифрованные

Олег Седов, директор по развитию направления «Кибербезопасность для населения» ГК «Солар», рассказал порталу Cyber Media о том, как в последние годы изменился уровень цифровой грамотности населения, особенностях массовых и таргетированных кибератак.

Cyber Media: Если говорить о повышении осведомленности и уровне кибергигиены в масштабах всей страны, какие тенденции Вы могли бы отметить?

Олег Седов: Надо отметить, что в вопросах кибергигиены уровень осведомлённости заметно вырос в России за последние 2–3 года — по нашим оценкам, примерно на 11% ежегодно. Во-первых, этому способствовал период пандемии. Поскольку интернет был фактически единственным способом получать информацию, заказывать продукты, лекарства, поддерживать связь и оставаться в социуме, произошел массовый переход в цифру, соответственно возросли и киберриски. А во‑вторых, повлияли события 22–23 года, когда кибератаки каждый день мелькали в новостных лентах.

Однако на этом фоне одних только базовых знаний об информационной безопасности уже недостаточно. Для того, чтобы этим правилам следовать, важно не только их выучить, но и понять. Например, все знают, что пароли нужно обновлять, нельзя оставлять пароли по умолчанию, что у каждого аккаунта, приложения или онлайн ресурса должен быть свой оригинальный пароль. Но далеко не все этим правилам следуют, именно по той причине, что не всегда понимают, почему их важно выполнять.

Cyber Media: Какие факторы за последние годы в большей степени повлияли на рост (или снижение) уровня осведомленности у населения?

Олег Седов: Я бы начал с вопроса, «как нас взламывают?». Можно выделить два вида компрометации и взлома. Первый — массовые атаки. Под этот сценарий подпадает фишинг, методы социальной инженерии, вредоносные файлы на сайтах, утечки баз паролей, brute force (буквально «метод грубой силы»), то есть перебор всех возможных значений пароля, и прочее.

Второй вид — так называемый таргетированный, прицельный или целенаправленный метод компрометации. В этом случае интерес для злоумышленников представляет конкретная персона или группа лиц, компания, политическое или общественное движение, отрасль. Как правило, подобные атаки хорошо подготовлены, стоят дорого и происходят не одномоментно, а на протяжении какого-то времени.

Но сегодня я бы выделил и третий вид угроз — беспечность. И он очень распространён. Ведь цифровой мир может показаться очень простым — можно легко, практически без усилий получать информацию, сервисы и услуги, читать и даже говорить на иностранном языке, как будто владеешь им на высоком уровне. Это может вскружить голову и притупить бдительность — люди стали добровольно оставлять очень много чувствительной информации о себе в недрах интернета. Подобной беспечностью и пользуются злоумышленники.

В прошлом году центр Solar JSOC зафиксировал более одного миллиона ИБ-событий. Анализ этого внушительного массива данных показал, что цель злоумышленников зачастую либо разрушение инфраструктуры, приостановка или прекращение деятельности объекта атаки, либо получение определенных данных. Казалось бы, при чем здесь население, если под угрозой бизнес и госорганизации? Большинство из нас является сотрудником тех или иных организаций. Получив доступ к нашим данным и паролям, злоумышленникам проще получить доступ к инфраструктуре своей цели.

Мошеннические схемы стали не только таргетированными, но и персонифицированными. В частности, в прошлом году стали популярны звонки и сообщения сотрудника от лица генерального директора их компании. Согласитесь, не каждый обладает достаточной уверенностью, чтобы первому лицу компании сказать: «А как вы можете доказать, что вы тот, за кого себя выдаёте?»

Фишинговые письма с фокусом на персонал компаний составляют 2/3 от всех способов доставки вредоносного софта. При этом софт становится все более опасным, поэтому критичность таких инцидентов возрастает.

Cyber Media: Если говорить о корпоративном сегменте, растет ли спрос компаний на услуги по повышению осведомленности сотрудников? Обучением занимаются внутренние специалисты или привлекаются из профильных компаний?

Олег Седов: Я не могу утверждать, что корпоративный сегмент не уделяет внимания кибергигиене. Но необходимо комплексное построение киберкультуры в корпоративной среде. Культура, как и корпоративная этика или цифровая репутация, не появляются ниоткуда и вдруг. Это длительный процесс, который условно можно разделить на три стадии эволюции.

На первой стадии принимаются строгие правила и регламенты поведения, а за их нарушение следует наказание. На второй сотрудники уже сами добровольно следуют правилам поведения, потому что усвоили их — а может быть, их мотивируют какие-то дополнительные привилегии. Наконец, на третьей стадии компания сама становится законодателем культуры и лидером мнений. На этой стадии киберкультура становится для бизнеса уже не ИБ-пасивом, а ИБ-активом, который даёт ему новые возможности и конкурентные преимущества.

Кибербезопасность — это чаще всего наука о будущем, если ее правильно изучать, преподносить и применять!

Cyber Media: Если говорить о непрофильных вузах и школах, затрагиваются ли в их учебных программах вопросы кибергигиены?

Олег Седов: Ицхак Адизес, писатель и бизнес-консультант, специализирующийся на повышении эффективности менеджмента, выделял десять стадий жизненного цикла организации. Осознанная потребность в кибербезопасности у организации возникает на 3–4 стадии роста. А те, кто внедряет ИБ-решения, готовы увидеть ее еще выше — когда будут бюджеты на внедрение.

Но на самом деле, в современном мире вопросы кибербезопасности и осведомлённости о рисках и угрозах должны приниматься во внимание на самых ранних стадиях бизнеса, буквально на уровне зарождения стартапа. Это влияет на качество и рост самого бизнеса.

Чтобы произошел этот сдвиг в подходе к бизнесу, управление киберрисками необходимо заносить в учебные курсы самых разных специальностей, и не только профильных. Сейчас на слуху термин «умные города». Города действительно умнеют. Но я не верю в умные города без умных людей.

Cyber Media: Какие форматы или методы повышения осведомленности Вы могли бы отнести к лучшим практикам?

Олег Седов: У нас, условно, есть два поколения — цифровые и оцифрованные. Оцифрованные — это те, кто еще помнит ламповый мир, но уже стали цифровыми мигрантами из мира аналоговых решений и поступков. А цифровые — это те, кто уже успел родиться с гаджетами в руках. Для одних беспроводной утюг — этот тот, который бабушка ставила на газовую конфорку. А для других — гаджет с USB-разъёмом. Поэтому лучшая практика — диалог поколений. У одних знание жизни и опыт, а у других — легко доступный функционал решений современного мира.