Ужесточение требований кбезопасности – это мировой тренд. В мае 2018 г. вступает в силу общеевропейскийсвод законов GDPR (General Data Protection Regulation), защищающий персональныеданные (ПД) жителей ЕС. Сенат США недавно одобрил законопроект, в соответствиис которым глава компании, пытавшийся утаить факты компрометации персональныхданных, может получить 5 лет лишения свободы.

Как защищается Россия

Информационная безопасностьвсе чаще становится частью внешней политики, начал свое выступление Тимур Аитов, заместитель генерального директора ГК«Программный Продукт». Россия, как и другие страны, стремится к тому, чтобымаксимально себя обезопасить. Например, в нашей стране уже создан аналог SWIFT, национальная системаплатежных карт, принят 187-ФЗ о критической инфраструктуре (КИС), сведения о еебезопасности признаны государственной тайной. Все объекты КИС должны бытьподключены к государственной системеобнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА).

Все более популярнымстановится отказ от западного ПО и оборудования в пользу свободного ПОроссийского производства. Плюсы этого процесса очевидны: это инвестиции вроссийский высокотехнологический рынок в целом, создание новых рабочих мест исокращение «утечки мозгов», поддержка системы профессионального образования и поступлениеналоговых платежей в российский бюджет. «Однако несмотря на очевидность того,что санкции – это надолго, к замене иностранного ПО надо подходить оченьаккуратно, – уверен Тимур Аитов. – Нужна дорожная карта мер, учитывающая всеракурсы темы противодействия санкциям, включая технологические аспекты,организационные и средства GR и PR».

При разработке политикиобеспечения информационной безопасности представители бизнеса и государственныеорганизации руководствуются одной и той же законодательной базой, говорит Лев Палей, начальник отдела ИТ-обеспечения защиты информацииСО ЕЭС. В списке нововведений, вступивших в силу в 2017 г., требования к лицензированию деятельности помониторингу информационной безопасности средств защиты и систем информатизации(ФСТЭК), федеральный закон «О безопасности критической информационнойинфраструктуры», программа «Цифровая экономика», серия законов, регулирующих VPN, анонимайзеры, мессенджеры,указ о совершенствовании государственной системы обнаружения, предупреждения иликвидации последствий компьютерных атак на информационные ресурсы РоссийскойФедерации (ГосСОПКА).

Требования к обеспечению ИБ

Источник:СО ЕЭС, 2018

В ближайшее время можноожидать дальнейшего ужесточения законодательства в сфере ИБ, в том числе,появления требований к идентификация владельца информации по доступным каналам,ограничения доступных каналов, унификации, формализации требований к основнымвидам «новых» услуг, определения методик, состава и результатов основныхпроцессов ИБ на объектах КИИ, а также принятия мер, направленных на поддержкуразвития отечественных ИТ- и ИБ-решений.

Курс на целевые атаки

Хакеры все чаще прибегают кцелевым атакам, рассказала участникам конференции Яна Шевченко, менеджер по развитию направления защиты от передовыхугроз «Лаборатории Касперского». Так, по данным исследования «Информационнаябезопасность бизнеса» (Kaspersky Lab Corporate IT Security Risks Survey),организованного аналитическим агентством B2B International по заказу«Лаборатории Касперского», в 2017 г. доля целевых атак выросла на 10% посравнению с 2016 г. и составила 23%, что поставило их в ряд самых стремительноразвивающихся угроз. Каждая четвертая крупная организация стала жертвойцеленаправленной атаки, 22% всехопрошенных в России компаний подозревают, что стали жертвой не случайно, ацеленаправленно. При этом 31% опрошенных признали, что их организация непонимает, какая стратегия по борьбе с целевыми атаками и подобными им угрозамиявляется эффективной. 42% руководителей служб ИБ не уверены в эффективности существующейстратегии защиты против передовых угроз, а 53% компаний считают, что защита ихорганизаций рано или поздно будет взломана.

Традиционных средств защитыдля противодействия целевым атакам явно недостаточно. Необходим комплексныйподход, объединяющий традиционные решения эшелонированной защиты (NGFW, EPP) испециализированные решения, способные обнаружить сложносоставные атаки путеминтеграции различных событий в единый инцидент, проведения ретроспективногоанализа, имеющие многоуровневые механизмы обнаружения на базе динамическогомашинного обучения и поведенческого анализа.

Что необходимо учитывать при выборе решения

Источник:Лаборатория Касперского, 2018

Проблемы информационнойбезопасности становятся все более актуальными, и для этого есть несколькопричин. Во-первых, это снижение стоимости целевых атак, продолжает Сергей Демидов, директор департамента операционных рисков, информационнойбезопасности и непрерывности бизнеса группы «Московская биржа». По его словам,его коллеги провели исследование стоимости подобных услуг, в результатекоторого выяснилось, что вирус, гарантирующий проникновение, можно заказать за30 000 руб.

Во-вторых, новые технологиизачастую появляются на рынке существенно раньше, чем средства, обеспечивающиеих безопасность. Например, недавно выяснилось, что в набирающих все большуюпопулярность публичных облаках достаточно легко можно атаковать своего соседа.Кроме того, не до конца понятно, как защититься от действий администраторатакого облака. Существует проблема и с квалифицированными кадрами – по данным TheInternational Information System Security Certification Consortium, к 2022 г.их дефицит достигнет 1,8 млн специалистов. «При этом не надо забывать и о том,что безопасность – это часть бизнеса, и она должна помогать ему не просто нетерять деньги, но и приносить их!», – напомнил Сергей Демидов.

Вопрос обеспеченияинформационной безопасности является одним из самых обсуждаемых при переходе воблако, продолжает Иван Гузев, директорпо ИБ IBS DataFort. Часто компании или не доверяют поставщику услуг, илиуверены, что по закону они не смогут передать вопросы ИБ в его ведение.Компания IBS DataFort имеет все необходимое, чтобы обеспечить соответствие PCI DSS, 152-ФЗ, 161-ФЗ,187-ФЗ, требованиям к государственным информационным системам и СТО ИББР как стехнической, так и с организационной стороны. Еще один повод отказаться отуслуг облачного провайдера – боязнь того, что ИТ-подразделение станет ненужнымбизнесу. Этого не произойдет, уверен Иван Гузев. Кроме того, провайдер готоввзять на себя все заботы о миграции информационных систем своих заказчиков и ихинтеграции с новыми решениями.

Не только технологии

Всемирный экономическийфорум в Давосе признал кибератаки наиболее вероятным риском для человечества,наряду с природными катаклизмами. А ущерб, который они могут нанести, сравним сущербом от применения оружия массового поражения, напомнил КонстантинКоротнев, старший менеджер по киберрискам PwC.

Киберугрозы 2018

Источник: PwC, ISF Threat Radar,2018

В качестве примера эксперт привел ритейл, где 7 из 10основных направлений развития связано с высокими киберрисками. При этом этикиберриски не всегда являются следствием кибератак – они могут быть такжевызваны сбоями в работе ИТ-инфраструктуры или стать следствием разгильдяйствасотрудников. Таким образом, киберустойчивость бизнеса должна обеспечиваться нетолько силами ИТ-специалистов, но и принятием самых серьезных организационныхмер.

Любые технические средстваобеспечения безопасности бесполезны, если не уделять достаточно вниманияорганизационным мерам, продолжает Дмитрий Кандыбович, генеральныйдиректор StaffCop («Атом Безопасность»). Помощником  в этом процессе должно стать комплексноерешение по информационной безопасности, учету рабочего времени и контролюэффективности сотрудников StaffCop. Оно обеспечивает полный контроль за рабочимместом каждого сотрудника – почты, мессенджеров, печати, файловых операций,веб-трафика, USB-устройств, клавиатуры, веб-камеры, микрофона. Кроме того,решение позволяет вести учет рабочего времени, оценивать его эффективность, обнаруживатьугрозы и проводить расследование инцидентов ИБ. «У офицера по безопасности нетцели блокировать работу сотрудника, но он должен сделать ее максимальнобезопасной для бизнеса», – говорит Дмитрий Кандыбович. Снизить стоимостьStaffCop позволяет использование открытых решений Linux и PostgreSQL, а егоSaaS-версия дает возможность сэкономить на инфраструктуре.

Никакие средства информационнойбезопасности не помогут, если сотрудники компании не обучены работе с ними, согласенс предыдущим спикером Сергей Борисов,заместитель генерального директора по ИБ компании «Информационные системы иаутсорсинг». Например, неграмотный сотрудник может на время отключить средстваИБ, и как раз в это время произойдет атака. Еще одна проблема, которую частоможно наблюдать в компаниях, – это нерегулярное обновление документации поинформационной безопасности.  Такжебывает, что из-за невысокого уровня квалификации ИБ-специалисты просто незнают, как реагировать на инциденты. Для того, чтобы обеспечить имеющимся вкомпании техническим средствам ИБ максимально эффективную организационнуюподдержку, Сергей Борисов предлагает использовать специальную информационнуюсистему, автоматизирующую управление мероприятиями и оргмерами в сфере ИБ.

Просто, но безопасно

Москва входит в Топ-10«умных» городов мира. Это заставляет предъявлять самые серьезные требования кобеспечению информационной безопасности городских информационных ресурсов. Приэтом доступ к ним граждан должен оставаться максимально простым и удобным,говорит Александр Горбатько, заместитель руководителяДИТ Москвы.

Число IoT-устройств в городской инфраструктурепостоянно растет. Например, городская система видеонаблюдения сегодня включаетв себя более 160 000 видеокамер. Планируется, что их число будет ежегодноувеличиваться на 5000. Одновременно растет и число угроз для них. И в этомвиноваты не только хакеры, но и сами производители, которые недостаточнозащищают свою продукцию. «Любое новое устройство, которое появляется винтернете, сразу становится объектом атаки», – говорит Александр Горбатько. Ихзащита – это большая нагрузка не только на персонал, но и на городскую инфраструктурув целом. При этом надо понимать, что отключение той или иной государственнойсистемы влечет за собой не только экономические, но и социальные последствия.

«Интернет вещей становитсянеотъемлемой частью нашей жизни, – согласен с представителем Москвы Яков Долмацкий, руководитель департамента киберзащиты напромышленных предприятиях при Министерстве окружающей среды Израиля. – И вместес этим растет число кибератак, в особенности на мобильные устройства. Особуюобеспокоенность вызывает произошедшая в 2017 г. утечка киберинструментов,разработанных АНБ США». Помимо угроз, исходящих от обычных хакеров, Израильвынужден бороться еще и с кибератаками, инициированными различнымиорганизациями. Для обеспечения кибербезопасности в стране разрабатывается законо национальной киберзащите. Создан Директорат национальной кибербезопасности,одной из задач которого является выработка стратегии и разработка дорожнойкарты внедрения средств ИБ на всех предприятиях.  При этом было принято решение не создаватьновых законов, а внедрять требования ИБ в уже существующие нормативно-правовыеакты как в сфере производства, так и в сфере образования. Директоратомразработана соответствующая методология, которой должны следовать всеминистерства и ведомства. Так, на промышленных предприятиях внедрение ИБ должностартовать 1 июля 2018 г.

Как оценить риски

Решения по ИБ стоятнедешево, поэтому перед тем, как начать их внедрять, необходимо разработатьстратегию информационной безопасности, говорит Дмитрий Устюжанин, руководитель Управления ИБ ТК «Мегаполис». Длятого чтобы стратегия оказалась успешной, надо уточнить у бизнеса, чем и в какойстепени он намерен рисковать, и только потом заниматься построением системыадекватного реагирования на эти риски. Соблюсти баланс между стоимостью икачеством решений по ИБ помогут грамотное использование базовых техническихсредств и построение адекватной архитектуры, внедрение действенныхорганизационных мер и системы компенсации рисков, постоянное обучение итестирование персонала, контроль аутсорсеров и партнеров, а также налаживаниесистемы отчетности и коммуникации в сфере ИБ.

Что ждет рынок ИБ в 2018 г.,обсудили участники дискуссии. В 2018 г. тренд роста числа целенаправленных атакбудет продолжаться, уверена Яна Шевченко. А появление все новых и новых нормативно-правовыхактов в сфере ИБ несет с собой угрозу, что компании, стремясь обеспечитьсоответствие их требованиям, перестанут обращать должное внимание наэффективность принимаемых мер, говорит Сергей Демидов. Лев Палей также ожидаетусиления внимания государства к безопасности больших данных и ужесточениязаконодательства в этой области. При этом, по его словам, во многих компанияхсистема ИБ уже выстроена, и новые законодательные инициативы могут привести ксущественному росту затрат на нее, при том, что новые сертифицированныесредства защиты зачастую еще несовершенны. Альтернативой может стать проведениеоценки в форме испытаний уже имеющихся средств ИБ на соответствие требованиямФСТЭК, и участники дискуссии поделились своим опытом их проведения.

В Израиле тоже стоял вопросо регуляции технических средств защиты, однако было принято решение о том, чтогосударство должно как можно меньше диктовать бизнесу, что он должениспользовать. Ведь как только тот или иной продукт попадает в список одобренныхгосударством средств защиты, цена на него сразу увеличивается, продолжил ЯковДолмацкий.

Также среди трендов текущего2018 г., по мнению Тимура Аитова, существенное повышение статуса службы ИБ вкомпаниях. Уже сейчас то, как выстроена система ИБ в компании, существенновлияет на ее капитализацию. Однако, служба ИБ должна вести разговор с бизнесомна бизнес-языке, то есть оценивать эффективность затрат на предотвращениерисков и на этой основе принимать решения о внедрении тех или иных продуктов,уверены участники дискуссии.