В последние годы обозначилась тенденция: компании часто осознают, что информационную безопасность нужно выстраивать системно, но не всегда понимают, с чего начать. Многие из них задаются одинаковыми вопросами после негативного инцидента, аудита или пентеста: как выстроить ИБ, если нет своего специалиста? Как понять, что мы защищены, если никто не отвечает за это внутри?
В материале для Cyber Media Александр Зубриков, генеральный директор ITG Security, корпорация ITG и Глеб Абрамов, руководитель направления аудита и менеджмента ИБ в ITG Security, корпорация ITG поделятся опытом, как без штатного ИБ-отдела можно добиться заметного роста уровня защищенности — если заложить культуру, привычки и ответственность.
По данным Verizon Data Breach Report 82 % инцидентов связаны с человеческим фактором: фишинг, слабые пароли, пересылка данных не тем адресатам. Технологии не помогут, если сотрудник нажимает «Открыть вложение» в письме от неизвестного отправителя.
Так, в одной из компаний наши специалисты проводили тест по модели внешнего нарушителя, с элементами социальной инженерии. Результаты были тревожными: большинство сотрудников переходили по фишинговым письмам.
После этого было внедрено простое правило — «пауза 4 секунды перед кликом». Через месяц количество ложных переходов сократилось вдвое, хотя ни одной новой технологии не добавили. Маленькое изменение поведения оказалось сильнее дорогостоящих решений.
Безопасность всегда начинается «сверху». Если директор сам игнорирует политику предоставления доступов, подгоняет задачи в угоду скорости, но вредит безопасности, и хранит пароли на стикере, то и сотрудники будут считать, что ИБ — это формальность. Но если топ-менеджер показывает личный пример — использует менеджер паролей, сам проходит тренинги, задаёт вопросы ИТ-команде — культура закрепляется.
В одной из компаний, где мы внедряли ISO 27001, руководитель лично проводил квартальные проверки: кто к чему имеет доступ, какие учётки лишние. Через полгода не осталось «висячих» пользователей, а тема безопасности перестала вызывать раздражение — стала частью ежедневной рутины.
Когда мы слышим в новостях, что у очередной компании «утекли» данные или что их зашифровали, первая мысль, что это проблема какой-то безликой организации. Но здесь страдают не только данные. Инцидент всегда бьет по людям, а не по абстрактной структуре, а именно:
ИБ — не «дело отдела ИБ». Это зона личной ответственности каждого. Когда это осознание закрепляется, количество инцидентов снижается кратно.
Безопасность — это не инструмент, а способ мышления. Принцип secure by mind означает простую привычку — задавать себе вопрос: «безопасно ли это?» перед каждым действием, будь то релиз кода, выбор подрядчика или загрузка файла.
Это простая привычка, но именно она предотвращает большинство реальных инцидентов. Даже если у вас нет штатного ИБ-отдела, важно, чтобы при внедрении изменений (систем, сервисов, процессов) безопасность обсуждалась: кто отвечает за обновления, тестовые данные, деплой-процедуры и т.д.
Обеспечить базовую информационную безопасность можно без ИБ-отдела и без миллионов рублей на нее в бюджете. Начните с малого:
Если вы пока не готовы сразу нанять полноценного специалиста по ИБ, можно внедрить простые принципы:
Начните с критических систем и публичных сервисов — и постепенно масштабируйте подход. Так вы сформируете фундамент, на который будущий специалист сможет опереться, а не «строить с нуля».
Если руководители подают пример, сотрудники осознанно действуют, а процессы встроены в повседневную работу, компания защищена гораздо надёжнее, чем кажется.
Опыт компаний демонстрирует, что даже небольшие шаги — регулярный аудит, пентест, ревизия доступов, обучение — создают системную устойчивость. А привычка думать о безопасности превращает ИБ из «дополнительной функции» в естественную часть зрелого бизнеса.
Природные катаклизмы, пожары или кибератаки на ЦОД могут привести к авариям в его инженерных системах, а значит к простоям и убыткам в бизнесе.
Кибербезопасность всегда развивается и трансформируется — автоматизация, ИИ и новые регуляторные требования формируют и совершенно иной рынок труда.
Успешный переход на аутсорсинг ИБ – это не просто смена парадигмы мышления, а стратегическое партнерство, способное усилить имеющиеся возможности киберзащиты.
Почтовый сервис Hotmail появился почти 30 лет назад и стал символом ранней эры интернета.
Поиск человека по фотографии давно перестал быть уделом спецслужб.
С ростом автоматизации бизнес-процессов появляются все новые типы рисков: компрометация API-интеграций, ошибки в конфигурации облачных сервисов, несанкционированные обращения к базам данных и утечки через внешние модули — считает директор по разработке компании Neuro.
DNS-серверы без преувеличения можно назвать критически важным элементом современной ИТ-инфраструктуры.
Безопасность цифровых документов и учетных записей не ограничивается рамками паролей.
Кибербезопасность в банковском секторе — это всегда про масштаб и сложность.
Для многих слово «даркнет» звучит как название подпольного клуба, куда ходят только хакеры и преступники.
