Обратная сторона цифровизации: зачем нужны «белые хакеры»

Информационная безопасность

Конкурентоспособность современного бизнеса невозможна без внедрения новых технологий. Но помимо перспектив, автоматизация несет в себе и новые угрозы, связанные с возможностью хакерских атак и утечки информации. Руководитель направления «Информационная безопасность» компании Softline в УрФО Дмитрий Губернатчук рассказал о том, как можно оценить способность систем защиты компании противостоять внешним угрозам и что делать, чтобы максимально обезопасить данные компании.

По данным компании Positive Techno­logies, в четвертом квартале 2018 года 87% компаний-респондентов из Уральского федерального округа столкнулись с кибератаками, а 34% из них понесли прямые финансовые потери. В целом в РФ количество инцидентов на 11% превысило показатели аналогичного периода в 2017 году. При этом кража информации стала встречаться чаще, чем хищение денег. «Утечка данных для большинства современных компаний может оказаться более опасной, чем потеря средств со счета. Помимо репутационных издержек, инцидент может спровоцировать искажения в работе тех или иных систем и потери многолетних наработок, что приведет к огромным финансовым потерям в будущем, — комментирует Дмитрий Губернатчук. — Причем если в течение долгого периода времени вы не сталкивались со взломом ИТ-систем, это не значит, что вас не атакуют — возможно, вы этого просто не замечаете. При пилотировании решений в области ИБ, эксперты Softline регулярно сталкиваются со следами успешных атак или видят присутствие хакерских группировок в инфраструктуре заказчика. Часто взломы направлены не на сиюминутное получение выгоды: злоумышленники могут месяцами иметь доступ к вашей информации и ждать момента, когда она окажется полезной».

Чтобы обезопасить свой бизнес, необходимо регулярно (не менее раза в год) тестировать информационные системы и ресурсы на проникновение: имитировать действия преступников, находить уязвимости и устранять их. Хакеры могут получить информацию о веб-ресурсах компании из открытых источников, используя методы социальной инженерии, а также подключаясь к внутренним системам заказчика или через точки доступа Wi-Fi. Опытные специалисты могут оценить уровень защищенности от всех типов атак.

«Пентест не преследует цели дискредитировать существующие средства защиты, он помогает выявить недочеты реализованных мер по обеспечению безопасности, оценить стоимость эксплуатации существующих уязвимостей, обосновать целесообразности проведения дополнительных мероприятий по их устранению, определить направление дальнейшей работы, — поясняет Дмитрий. — Все больше компаний понимают необходимость проведения таких тестирований, причем растут требования к провайдерам: заказчики хотят получить качественный результат, а не формальный отчет о проведенной работе».

Группа Softline и входящая в ее состав Infosecurity имеют серьезные компетенции в вопросах проведения пентестов, что подтверждается наличием международных сертификатов Offensive Security Certified Professional (OSCP) у наших специалистов. «По нашему опыту, в 90% случаев тесты позволяют выявить векторы атак и проэксплуатировать их, получив доступ к внутренней информации или процессам заказчика. Распространенные проблемы, обнаруживаемые нашими специалистами, — это некорректная настройка существующих средств защиты и человеческий фактор. Зачастую персонал легкомысленно относится к работе с информационными системами, не осознавая, что такое поведение может подкосить работу компании. Это характерно как для коммерческого сектора, так и для закрытых предприятий с выделенными сетями без доступа в интернет», — отмечает Дмитрий.

Любая уважающая себя компания внедряет политики и методики, посвященные правилам обработки информации ограниченного доступа. Но само по себе наличие этих документов ничего не дает: важно воспитывать в сотрудниках культуру работы с информацией, регулярно проводя проверку знания правил в области кибербезопасности. Статистика Softline показывает, что в тех компаниях, которые регулярно занимаются повышением осведомленности персонала в вопросах ИБ, массовые (случайные) атаки почти никогда не срабатывают.

«Вы можете выбрать подходящие вам методы обучения: распространение мотивационных видеороликов, внедрение платформ для самостоятельного прохождения сотрудниками электронных курсов с элементами геймификации и тестирований, размещение в офисах листовок, брошюр, плакатов и скринсейверов, — рассказывает Дмитрий. — Кроме того, необходимо регулярно проверять, что ваши сотрудники уже знают: проводить выборочные тестирования, рассылать учебные фишинговые письма. Это дает возможность понять, каким темам нужно уделить больше внимания. Мы рекомендуем обучать новых сотрудников правилам работы с информацией сразу после приема на работу, остальные должны обновлять знания каждые два-три года. Но если пентест или фишинговые рассылки выявили социальный вектор атаки в числе основных угроз, то эту работу нужно проводить чаще».

Компания Softline
ул. 8 Марта, д. 49, 8 этаж (БЦ «Арена»)
Екатеринбург, Россия, 620142
+7 343 278 53 35
Dmitriy.Gubernatchuk@softline.com