Почему у среднего и малого бизнеса велики риски в сфере ИБ

К сожалению, многие руководители и владельцы бизнеса недооценивают значимость информационной безопасности. Как правило, причиной этого является предположение о том, что крупные компании представляют собой гораздо больший интерес для злоумышленников. Однако, как показывает практика, это умозаключение ложно. Небольшие компании с достаточно слабым уровнем защиты как раз таки и имеют наибольшую привлекательность для мошенников. Кроме того, здесь для них часто двери открыты настежь.

Не у каждого предприятия среди сотрудников есть специалист по информационной безопасности. Напротив, нарушаются даже такие элементарные вещи, как необходимость иметь легальное программное обеспечение или корпоративную эшелонированную антивирусную защиту.

Наиболее распространенные векторы атак, с которыми сталкиваются компании, это:

• малая осведомленность, а также халатность персонала по отношению к необходимости защиты информации, как следствие – переход по вредоносным ссылкам на сайтах и в электронной почте;
• эксплуатация нелицензионного программного обеспечения, которое имеет уязвимости и не обновляется с точки зрения информационной безопасности;
• проникновение в корпоративную сеть и устройства вирусов извне в связи с отсутствием систем защиты сетевого периметра и систем антифишинга.

Вред, который наносится бизнесу, заключается в следующем:

• уничтожение баз данных;
• утрата доступа к собственным ресурсам и информационным базам;
• несанкционированное использование корпоративных данных, разглашение тайн;
• потеря репутации компании;
• материальные убытки и т. д.

Ущерб, понесенный компанией, может быть незначительным или оцениваться в миллионах долларов США. Кроме того, дальнейшая работа может быть парализована, что неминуемо повлечет за собой появление новых неприятностей. И не стоит забывать об отдаленных последствиях, которые изначально трудно предвидеть.

В числе сведений, подлежащих обязательной защите, можно указать:

• информацию финансового характера;
• инновационные разработки научного и технологического характера;
• данные для получения доступа к защищенным серверам;
• личная информация о сотрудниках.

Приоритетность ИБ для руководителей бизнеса

Как правило, отдел информационной безопасности финансируется из бюджета, выделяемого на ИТ. Раньше приоритетность ИБ была достаточно сомнительной в глазах многих руководителей, из-за чего приходилось обосновывать и отвоевывать средства для своих потребностей. Сегодня ситуация изменилась кардинально. Например, многие бизнесы сформировали отдельные подразделения по кибербезопасности, которые имеют структуру подчинения, отличную от ИТ, и свой защищенный бюджет на все мероприятия по защите информации.

Бюджеты, выделяемые компаниями на ИБ, растут с каждым годом. Так, в 2020 году был проведен опрос кредитных организаций, половина из них назвала цифру увеличения бюджета, равную 40%. Безусловно, этому способствовали всем известные изменения, наступившие в 2020-м. Именно начало периода карантинных ограничений стало точкой резкого роста выделяемых на информационную безопасность сумм. И хотя сегодня многие компании уже успели оправиться от шока, который был вызван пандемией и долгосрочными локдаунами, они продолжают строить планы по дальнейшему развитию ИТ, и соответственно, внедрению ИБ-технологий.

У объектов критической информационной инфраструктуры наблюдается наибольший рост финансирования. Это связано в том числе с тем, что закон РФ № 187-ФЗ от 26 июля 2017 года «О безопасности критической информационной инфраструктуры РФ» предусматривает не только санкции для компании, но и уголовную ответственность для должностных лиц. 

Государственный сектор, в котором активной цифровизации подверглись все функции госуправления, также продолжает наращивать финансирование информационной безопасности.

Исследование, проведенное в 2020-м, показало рост затрат на ИБ у 24% российских компаний. Текущий год отметился еще большим числом бизнесов, осознавших необходимость уделять должное внимание информационной защите.

Защищенный удаленный доступ для выделенного числа сотрудников сегодня критически необходим и стал массовым явлением для многих компаний. При этом возникла потребность именно мобильного доступа, когда сотрудники могут выполнять свои обязанности, находясь в любой точке как минимум РФ и осуществляя вход в корпоративную сеть с любого устройства.

К сожалению, представители малого бизнеса до сих пор часто обходятся лишь элементарными средствами ИБ, в числе которых антивирусы и межсетевые экраны. Для взаимодействия между персоналом выбираются наиболее доступные программы, такие как Zoom и MS Teams.

Дефицит квалифицированных специалистов ИБ

Безусловно, в идеальном варианте, при возможности достаточного финансирования, компания может иметь собственный штат специалистов по информационной безопасности. Однако даже в США, где это направление развивается много лет, наблюдается острая нехватка квалифицированных кадров. Что уж говорить про РФ, где данная потребность осозналась сравнительно недавно.

Согласно исследованию (ISC)², организации, занимающейся тестированием и сертификацией специалистов по ИБ, общемировой дефицит кадров в области кибербезопасности сократился, но по-прежнему велик. Эта тенденция наблюдается уже второй год.

Согласно предоставленным данным в результате опроса 4,7 тысячи специалистов в области ИТ и ИБ из Латинской и Северной Америки, Азии и Европы, дефицит персонала в сфере безопасности до сих пор актуален. Всего в мире насчитывается около 4,2 млн специалистов, это составляет лишь 35% от требующегося числа.

В Российской Федерации в 2021 году наблюдалась нехватка специалистов в области ИБ в размере 180 тысяч человек. С каждым годом дефицит растет, потому пока нет перспективы того, что проблема нехватки кадров решится в ближайшем будущем.

На прошедшем в сентябре 2021 года форуме Kazan Digital Week прозвучали слова о том, что Россия ныне нуждается дополнительно в миллионе специалистов IT-сферы и к 2030 году этот дефицит может вырасти до цифры более 3 млн человек, если не будут предприняты соответствующие меры.

HeadHunter, крупнейший рекрутер в РФ, приводит статистику, по которой за 2018 год открылось более 17 тысяч вакансий в поисках специалистов КБ. В 2020-м число вакансий выросло до 30 тысяч. При этом 2018–2019 годы отмечались низкой конкуренцией – всего один человек на место. В 2020-м уровень конкуренции вырос до 2 человек на место. Однако чтобы качественно наполнить штат сотрудников, конкуренция должна составлять не менее пяти человек на одно место.

Преимущества перехода на аутсорсинг по информационной безопасности

При переходе на управляемый сервис постоянные расходы становятся переменными. Затраты на обеспечение работы собственных подразделений уменьшаются благодаря задействованию предоставляемой инфраструктуры внешнего исполнителя. Например, сокращаются расходы на оплату труда специалистов, приобретение средств защиты информации.

Провайдер за счет масштабности предлагает меньшую цену использования внешних ресурсов. Потому сервисная модель способствует большему возврату инвестиций.

Уровень сервиса вырастает в разы благодаря тому, что поставщик услуг обладает командой высококвалифицированных специалистов, имеющих должный опыт и профессионализм. В то же время собственные кадры могут быть освобождены и направлены на выполнение иных, более важных задач. Благодаря распределению ответственности между заказчиком услуг и исполнителем часть риска «ложится на плечи» аутсорсинговой компании, что также имеет свои выгоды.

Сервисная модель информационной безопасности

На рынке системной интеграции уже несколько десятилетий продолжают разрабатываться и внедряться системы управления информационной безопасностью во всевозможных направлениях бизнеса. Тщательный анализ потребностей клиентов и современных тенденций в области информационных технологий позволяет создавать сервисные модели ИБ.

Исполнитель берет на себе обязательства по выполнению целого ряда действий, входящих единый комплекс процессов и средств программного и аппаратного типа. Это помогает централизованно собирать и анализировать данные об инцидентах в сфере ИБ, предоставляемых источниками информационной инфраструктуры, а также моментально и, главное, вовремя реагировать.

В числе сервисов, которые предлагаются клиентам, значатся следующие:

• контроль событий и инцидентов в сфере информационной безопасности;
• эксплуатация предусмотренных средств для обеспечения защиты данных;
• определение и контроль уязвимых элементов корпоративной информационной системы;
• охрана от кибернетических угроз и атак;
• защита интернет-приложений;
• предотвращение и ликвидация атак типа «отказ в обслуживании»;
• защита репутации компании;
• аналитика, стратегическое планирование, идентификация, своевременное и быстрое реагирование на потенциальные риски и угрозы в глобальном масштабе.

Таким образом, сервисная модель способна обеспечить качественную и полноценную защиту информации, принадлежащей компании, при этом избавляя бизнес от забот, связанных с организацией и содержанием собственного отдела ИБ.