Информационная безалаберность: компании по-прежнему пренебрегают вопросами кибербезопасности

На фоне последних политических событий в России значительно участились хакерские кибератаки. Их жертвами стали как сайты официальных ведомств и крупнейших СМИ, так и интернет-ресурсы банков. И это при том, что подобные организации, как правило, уделяют вопросам информационной безопасности значительное внимание. Гораздо хуже обстоит дело с компаниями малого и среднего бизнеса, которые обеспечивают безопасность своих интернет-ресурсов и корпоративных данных по остаточному принципу. Данный тренд активно пытаются использовать компании, обеспечивающие информационную безопасность, однако даже они отмечают, что проблему не решить без обучения сотрудников и повышения их ответственности.

За последнее время, в том числе в связи с политическим кризисом на Украине, мощным DDoS-атакам подверглись сайт президента России, Центробанка РФ и нескольких СМИ, в частности, Lenta.ru и «Первый канал». 17 марта хакеры из группировки Anonymous Caucasus на некоторое время вывели из строя интернет-ресурсы Альфа-банка и ВТБ24. Сами кибервзломщики заявляли, что будут продолжать атаки на сайты российских компаний.

«Сегодня мы вступили в эпоху кибершпионажа и целевых атак, когда любая компания, будь то промышленный гигант или небольшой онлайн-стартап, находится под прицелом — конкурентов, киберпреступников и даже целых государств. Обеспечивать защиту данных предприятий стало как никогда трудно», — отметил управляющий директор «Лаборатории Касперского» в России, странах Закавказья и Средней Азии Сергей Земков.

Между тем информационная безопасность зачастую не особо беспокоит людей, говорит руководитель хостинговой компании NetAngels Антон Халиков. «В техподдержку постоянно пишут: «Нам взломали сайт, появились вирусы». Частным лицам и мелким компаниям по большему счету наплевать на информационную безопасность, их интересует только то, есть ли у хостера бэкап (резервное копирование данных). «Подумаешь, потеряем два дня своей работы, ничего страшного. Дырки закрывать все равно не будем» — у среднего клиента такое отношение», — рассказывает эксперт.

Из всех компаний к требованиям информационной безопасности строже всего относятся банки, однако, как показывает практика, даже они не застрахованы от неприятностей. Кредитные учреждения, с которыми компания заключает договор на администрирование, требуют, чтобы были прописаны сроки реакции на различные проблемы: DDoS-атаки, взломы и так далее, объясняет Антон Халиков.

Глава NetAngels отмечает, что если раньше люди пытались вникнуть в детали, разобраться, как что работает, то теперь это происходит редко. «10 лет назад в сфере хостинга людям было интересно самим разобраться, написать простенький движок. Сейчас они скачивают Joomla (платформа для сайтов), ставят ее и забывают про обновления. Пока их не взломают, им вообще пофиг. Клиента не интересует, есть ли дыры в сайте и что будет, если ими воспользоваться», — сетует эксперт.

Впрочем, отчасти позиция маленьких компаний оправдана тем, что тратить значительные ресурсы для атаки на них хакерам неинтересно. «Защищать активы, которые почти ничего не стоят, особого смысла нет — это нецелесообразно, должен быть принцип разумной достаточности», — объясняет технический директор IT-компании ARinteg Петр Стельмах.

«DDoS-атака — это не баловство дилетантов, это спланированная операция, при которой задействованы большие ресурсы. Не надо думать, что кто-то занимается этим бесплатно. В то же время если хакеры видят, что им противостоит серьезная защита ресурса и трафик перенаправляется, то у них пропадает желание продолжать, потому что понимают, что это ни к чему не приведет», — добавляет техдиректор компании.

Согласно результатам исследования, проведенного «Лабораторией Касперского» в 2013 году среди специалистов по информационной безопасности, чаще всего российские компании сталкиваются с вредоносным ПО, спамом, попытками несанкционированного проникновения в систему и фишингом. Также существуют внутренние угрозы: сотрудники могут умышленно или непреднамеренно нанести своими действиями ущерб корпорации, отмечает Петр Стельмах.

Кроме того, существуют риски, связанные с уязвимостями в установленном ПО, а также с использованием сотрудниками собственных мобильных устройств для доступа к корпоративной сети, добавляют специалисты «Лаборатории Касперского».

Как отмечает Сергей Земков, в последнее время злоумышленники все чаще опираются на слабости людей. «Здесь компаниям также нужно уделять внимание не только технической стороне защиты, но и работе с персоналом: начиная с повышения квалификации IT-персонала и заканчивая разъяснениями основных правил безопасной работы в Интернете (не важно, с каких устройств туда они выходят) для всех сотрудников. Сотрудники, унося данные на своем устройстве, должны понимать, что несут ровно ту же ответственность, как если бы они уносили бумажные копии документов с собой», — говорит представитель «Лаборатории Касперского».

Однако во многих предприятиях малого и среднего бизнеса работа с корпоративной информацией зачастую никак не регламентирована. Однако практика показывает, что пока компании не осознают степень рисков или не столкнутся с ними напрямую, они вряд ли станут тратить дополнительные ресурсы на собственную безопасность.

Андрей Пермяков