Кіберзахист для CFO. 10 трендів + 10 рекомендацій

Кіберзахист для CFO. 10 трендів + 10 рекомендацій

Андрій Слободяник, 

керівник департаменту кібербезпеки BDO Ukraine

Реалізація заходів ефективної кібербезпеки є доволі складним завданням, оскільки сьогодні існує набагато більше пристроїв, ніж людей, а зловмисники стають все винахідливішими. Хто і як атакує сучасний бізнес? Як управляти ризиками і мінімізувати наслідки від хакерських атак? 

Згідно з Глобальним дослідженням інформаційної безпеки, що його провела компанія EY, кіберзлочинні групи і хакери відправляють щодня більше 6,4 млрд підроблених електронних листів по всьому світу. Це призводить до щоденної крадіжки персональних даних понад 2 млрд приватних осіб, а збитки від таких кібердій оцінюють у $ 3,5 млрд на день.

За відомостями Gartner Group, боротьба зі щоденно збільшуваними глобальними кібератаками як у державному, так і у приватному секторах спричинила зростання ринку кібербезпеки до $ 100 млрд на рік. Сукупне зростання обсягу закупівлі програмного забезпечення, обладнання та пов’язаних з ними професійних послуг у сфері кібербезпеки становило 12 % порівняно з попереднім роком (CAGR). Але попри збільшення інвестицій в кібербезпеку, державний і приватний сектори не встигають за шахрайством, крадіжками і витоком даних, що спричинені кібератаками, розмір збитку від яких до 2021 року може сягнути $ 4,2 трлн.

За оцінками Forester Research, тільки 2 % з усіх фахівців у сфері інформаційних технологій мають необхідну освіту, підготовку, сертифікацію. Очевидно, що урядові організації, публічні та приватні компанії мають більш серйозно ставитися до загрози кібератак, вкладаючи більше ресурсів у створення ефективного кіберзахисту. Організаціям життєво необхідно приділяти більше уваги освіті фахівців, оскільки понад 40 % кібер-вразливостей безпосередньо пов’язані з поведінкою працівників (дослідження Gartner Group). Для цього важливо підвищувати поінформованість щодо кібербезпеки, проводити тренінги, використовувати відповідні симуляції, в результаті чого персонал стане потужним щитом для захисту життєво важливих цифрових активів компанії.

10 трендів кібербезпеки

Далі ми наводимо основні тренди і прогнози BDO у сфері кібербезпеки на 2020 рік, який стане роком входу в нове цифрове десятиліття.

1.Тривала глобальна нестача талантів у сфері кібербезпеки

Як і раніше спостерігається недостатнє інвестування в освіту, професійну підготовку та програми сертифікації у сфері кібербезпеки на рівні бакалаврату, магістратури та постійне підвищення кваліфікації. У поєднанні з неймовірним збільшенням кібератак у глобальному масштабі це призвело до значного браку фахівців з кібербезпеки, а також фахівців з обробки відомостей, необхідних для задоволення вимог до кібербезпеки, що зростають в усьому світі.

2. Зростання архітектури Zero Trust

Аби запобігти кібератакам, організації все частіше застосовують програмну архітектуру Zero Trust. Метод Zero Trust Architecture призначений для створення мікропериметрів в інформаційних системах, для збільшення сегментації даних і створення в мережі мікро-firewalls, аби знизити ймовірність повторних зломів і повернення зловмисників в інформаційну систему після кібервторгнення.

3. Зростання інсайдерської загрози кібератак

Організації покращують інтегрований кіберзахист за рахунок збільшення інвестицій у навчання щодо кібербезпеки, запровадження шифрування даних, двофакторної аутентифікації, архітектури Zero Trust, розширеного аналізу даних, безперервної діагностики, моніторингу, виявлення та реагування на інциденти. Часто використовують механізми машинного навчання та/або технології блокчейна. Це призводить до того, що кіберзлочинці намагаються обійти всі заходи безпеки, підкуповуючи працівників, що мають доступ до цінної інтелектуальної власності та ключових IT-активів компанії.

4. Збільшення кібератак на IoT

За даними Symantec, кількість підключених до інтернету пристроїв (IoT) швидко зростає — з 10 млрд пристроїв у 2017 році до більше як 26 млрд до кінця 2020 року. Через значне збільшення кількості підключених до інтернету пристроїв очікується різке збільшення кібератак на пристрої IoT. І особливо це стосується медичних пристроїв. Саме тому дуже важливо захищати такі пристрої від компрометації та зміни мікропрограм.

5. Зростання розподілених кібератак «відмова в обслуговуванні» 

Значний успіх кібератак як відмови в обслуговуванні (DDoS) в останні кілька років свідчить про те, що кількість таких кібератак і далі зростатиме в усьому світі, особливо в роздрібній торгівлі, секторі споживчих товарів, критичній інфраструктурі, де вони мають найбільший вплив.

6. Зростання кількості компрометації корпоративної електронної пошти 

За останні 18 місяців спостерігається збільшення атак на корпоративну електронну пошту (BEC). Атаки мають добре спланований характер, їх кількість збільшується в геометричній прогресії як за кількістю, так і за складністю. Найчастіше такі атаки націлені на керівників вищої ланки як державних установ, так і приватного сектору. Їх організовують для того, аби переспрямувати платежі, призначені діловим партнерам на адресу кіберзлочинців.

7. Стрімке зростання машинного навчання і штучного інтелекту для боротьби з кібератаками

Організації в усьому світі вивчають численні моделі запровадження для реалізації машинного навчання та/або штучного інтелекту, для посилення проактивної тактики кіберзахисту і оптимізації можливостей моніторингу кібератак, виявлення вторгнень і реагування на інциденти.

8. Кібератаки з експлуатацією довіри до підрядних організацій

Через успіх кібератак на ланцюжки постачань в багатьох галузях (нафти, газу, енергетики, оборонної галузі, авіакосмічної промисловості, охорони здоров’я, виробництва, роздрібної торгівлі і споживчих товарів) очікується збільшення кібератак, націлених на найбільш вразливі організації в такому ланцюжку (Supply-Chain). Зазвичай це представники малого бізнесу і дрібні постачальники продукції. Такі атаки уможливлюють доступ до інтелектуальної власності та IT-активів більших організацій.

9. Брак повноважень керівника служби інформаційної безпеки

Занадто багато організацій не дають достатніх повноважень і підтримки своїм начальникам служби інформаційної безпеки (CISO). Це проявляється у відсутності фінансування, достатнього ресурсу і зобов’язань вищого керівництва щодо забезпечення належного рівня кіберзахисту. Багато хто, як і раніше, приділяє більше уваги пропускній здатності мережі, простоті доступу до даних і програмним додаткам, забуваючи про захист IT-активів, інформації та про стійкість інформаційної системи до руйнівних кібератак.

10. Складне середовище регулювання питань щодо кібербезпеки і конфіденційності інформації

З одного боку, компанії прагнуть захистити себе і свою інформацію від збільшення кібершахрайства і витоку даних. А з іншого, швидко зростає складність і кількість законодавчих актів про кібербезпеку, конфіденційність даних, стандартів і договірних вимог. Це призводить до збільшення цивільних і кримінальних покарань за недотримання регуляцій. Ось деякі з них: загальні положення про конфіденційність даних Європейського Союзу (GDPR); стандарт інформаційної безпеки ISO 27001; Фреймворк управління кіберризиками RMF; стандарт національного інституту стандартів і технологій (NIST); стандарт безпеки даних індустрії платіжних карт PCI-DSS; вимоги департаменту Нью-Йорка з питань кібербезпеки фінансових служб (NYDFS), а також Каліфорнійський закон про захист прав споживачів (CCPA).

10 рекомендацій для захисту від кібершахрайства

Щоб знизити ймовірність кібершахрайства або істотного порушення даних, а також пом’якшити негативні фінансові та репутаційні наслідки кібератак, BDO рекомендує вдаватися до таких дій.

1 рекомендація

Створення культури кібербезпеки в організації

Топменеджмент має бути переконаний щодо послідовного просування і підтримки всіх працівників, які застосовують ефективні політики, процеси та процедури у сфері кібербезпеки, за допомогою комплексної програми підвищення обізнаності та навчання.

2 рекомендація

Наявність висококваліфікованого керівника відділу інформаційної безпеки

Для ухвалення необхідних стратегічних і тактичних дій висококваліфікований керівник відділу інформаційної безпеки (CISO) має бути забезпечений достатніми ресурсами і фінансуванням. Це дасть можливість розробити і запровадити комплексну програму управління ризиками кібербезпеки для організації.

3 рекомендація

Запровадження практики оцінки кіберризиків на регулярній основі

Серед таких оцінок можуть бути:

  • оцінка ризику атак електронною поштою;
  • оцінка ризику мережевих кібератак і атак кінцевих точок (Network & Endpoint Cyber-Attack Assessments);
  • сканування на вразливість;
  • тест на проникнення;
  • оцінка вразливостей програмного коду;
  • тестові фішингові розсилки з елементами соціальної інженерії.

4 рекомендація

Шифрування всієї інформації

5 рекомендація

Проведення перевірки облікових даних для доступу в системи

Запроваджуйте використання мультифакторної аутентифікації (MFA), в тому числі з використанням біометрії (розпізнавання відбитків пальців, голосу або обличчя).

6 рекомендація

Захист інформаційних активів організації

Тут треба запроваджувати архітектуру Zero Trust, розроблену для поділу даних і обмеження доступу до них. Це знижує потенційний збиток від несанкціонованого доступу до конфіденційної інформації.

7 рекомендація

Розроблення плану швидкого реагування на кібератаки

На цьому етапі треба розробляти і періодично тестувати добре скоординований план реагування на інциденти, який дозволить швидко виявляти, локалізувати, усувати інциденти і відновлюватися після кібератак.

8 рекомендація

Проведення моніторингу виявлення і реагування в режимі 24/7/365 (MDR)

Вкрай важливо постійно відстежувати, виявляти і реагувати на всі кіберінциденти, включаючи систему електронної пошти та мережеві події, контролювати програмні компоненти та кінцеві точки. Використовуйте передове програмне забезпечення управління інформаційними подіями безпеки (SIEM), інструменти візуалізації даних, засоби автоматизації і штучного інтелекту (AI).

9 рекомендація

Захист інформаційної системи шляхом забезпечення ефективної програми управління оновленнями програмного забезпечення

10 рекомендація

Забезпечення стійкості інформаційної системи до кібератак

Важливу роль тут відіграє запровадження і періодичне тестування плану забезпечення безперервності бізнесу (BCP) і плану аварійного відновлення (DRP), включаючи автономну систему резервного копіювання даних.

Які можливості для кіберзахисту є в BDO? 

Аудити кібербезпеки згідно з міжнародними стандартами та локальними нормами.
Тести на проникнення.
Створення стратегій та нормативної документації. 
Класифікація та захист даних. 
Розслідування інцидентів з кібербезпеки.
Безперервний моніторинг інфраструктури. 
Сканування коду на вразливості. 
Імплементація рішень з кібербезпеки.
BDO Deep Reconnaissance — це  система протидії витоку інформації.
Підвищення обізнаності персоналу для захисту від кібершахрайства і загроз, що надходять електронною поштою.
Підключення до центру кібербезпеки 24/7/365 (Security Operations Center, SOC).

Залишити відповідь

Ваша e-mail адреса не оприлюднюватиметься. Обов’язкові поля позначені *