Лише мінімальний рівень безпеки, необхідний для свого захисту, можуть дозволити компаніям їхні фахівців з інформаційних технологій та кібербезпеки. Про це свідчать дані дослідження компанії Cisco, у якому взяли участь опитали 80 спеціалістів, які приймають рішення щодо бюджетування та планування безпеки.
Так, згідно з дослідженням, минулого року більше половини (56%) компаній зазнали значної шкоди в галузі безпеки – порушення, вторгнення чи зараження зловмисним програмним забезпеченням, і 94% визнають, що їм далі потрібно піти на реалізацію ефективних практик безпеки, повідомляє DarkReading.
Позитивний момент в тому, що більшість компаній знають, де їм потрібна допомога: 95% респондентів кажуть, що вони можуть визначити, які дані та системи в бізнесі потребують найбільшого захисту. Але не лише гроші стримують їх. Експертиза та оперативність в деяких питаннях, поряд з бюджетом, відіграють певну роль у безпеці, стверджує Венді Найтер, керівник консультативної компанії Cisco.
Деякі організації мають достатньо фінансів і досвіду, тому вони знають, що їм потрібно зробити. Деякі мають вплив на передачу своїх потреб у безпеці постачальникам, партнерам та третім сторонам, які можуть виконати їх запити. Але бюджет та експертиза не гарантують можливості, якщо організація працює, наприклад, у жорстко регульованій галузі, додає вона. Справа не в тому, що вони нездатні, вони мають обмеження в тому середовищі, яке не зможуть обійти. Виробник літака розробляє нові технології, продовжує Найтер, але вони повинні бути ретельно випробувані на пробному екземплярі літака, перш ніж його випустити для загального використання. У державному секторі важко виправдати модернізацію обладнання, коли все працює добре.
Технологія державного сектору призначена для максимізації податків, а не для підтримки інформаційної безпеки. На рівень безпеки в організації також впливає кількість працівників. Наприклад, організацій, які мають 10 000+ працівників, дізнаються про вразливості безпеки та інциденти, які впливають на них, від постраждалих постачальників чи партнерів, порівняно з лише 60% підприємств, які мають менше ніж 1000 працівників, наголошує Венді Найтер.
Бюджет
Серед організацій середнього ринку (250-999 співробітників) щорічно 46% витрачають на охорону менше 250 тисяч доларів, а 43% витрачають від 250 000 до 999 999 доларів. Серед організацій підприємств (1000–9999 співробітників) 57% витрачають від 250 000 до 999 999 доларів, 23% витрачають менше 250 000 доларів, а 20% витрачають щонайменше 1 мільйон доларів. Половина великих підприємств (понад 10 000 співробітників) щороку витрачають на охорону 1 мільйон доларів США, а 43% витрачають між 250 000 та 999 999 доларів. В значній мірі більше грошей сприяє впевненості: 27% організацій, що витрачають щонайменше мільйон доларів на безпеку, кажуть, що вони можуть дозволити собі мінімальний рівень захисту, який їм потрібен, порівняно лише з 9% тих, хто витрачає від 250 000 до 999 999 доларів. Однак малі організації повідомили про більшу довіру до своїх заходів безпеки, ніж фірми середнього ринку, що витрачають більше.
19% відсотків малих підприємств заявили, що можуть дозволити собі необхідний мінімальний обсяг безпеки, порівняно з семи відсотками організацій середнього ринку. Чи може бути, що менші компанії не сприймають себе як цілі і не так хвилюються? Можливо, зазначає Найтер, але організації будь-якого розміру можуть з’являтися на радарах зловмисників через їх функціонування або ділову функцію; не обов’язково за їх розміром. Якщо бізнес переходить на нову платформу електронної комерції, яка, як відомо, є вразливою, зловмисники можуть брати за мету незалежно від того, наскільки вона велика.
Навички
Бюджет не є єдиним фактором, що кидає виклик середнім організаціям, повідомляють дослідники Cisco. Серед організацій, що мають 1000-9999 співробітників, лише 23% найбільше покладаються на внутрішніх працівників для експертизи безпеки, порівняно з 37% опитаних загалом. Великі підприємства відчувають, що вони можуть використовувати зовнішні ресурси для допомоги та мати можливість застосовувати внутрішній персонал для надання допомоги у вирішальних темах, таких як: досвід користувача, проектування процесів, аналіз ризиків та реагування на інциденти. Зрештою, досвідчені компанії знають, що їм потрібно зробити для безпеки, але не мають навичок, щоб це реалізувати. Навіть аутсорсинг має свої обмеження, зазначає Найтер.
“Ви не зможете повністю передати аутсорсинг, тому що ваш аутсорсер повернеться до вас і скаже:” ми не знаємо, що це означає, і нам потрібно поговорити з кимось із тих, хто може про це подбати”, – каже він.
Технологія безпеки: що вам справді потрібно?
У звіті компанії Cisco перераховано 15 різних технологій безпеки, які використовуються серед респондентів. Деякі організації перерахували чотири інструменти, на які вони покладаються, говорить Натер, а інші перелічили понад 30 продуктів. У фінальному списку на перше місце потрапляють брандмауери та управління політикою безпеки, а потім – безпека електронної пошти та захист від зловмисного програмного забезпечення мережі. Звичайно, не кожна організація може дозволити собі всі 15 інструментів, не кажучи вже про досвід, необхідний для їх налаштування, підтримки та моніторингу.
Чи існують технології, які повинні мати організація для досягнення міцної безпеки? Немає стандартного плану, говорить Найтер, оскільки кожен бізнес має різні потреби та різні ресурси. У CISСO не мають однозначної відповіді на тип технологій, які їм потрібні. На даний момент найближчими є стандарти відповідності для випадків жорсткого діапазону ризику, таких як PCI-DSS. Підприємствам, можливо, доведеться провести дослідження та провести аудит безпеки, щоб точно визначити, що їм потрібно та чи можуть вони собі це дозволити.
“Вони повинні знати свої слабкі та сильні сторони, і відповідно розробляти безпеку”, – радить Найтер.
До речі, Facebook нарешті представив платіжну систему Facebook Pay – її розглядають як заявку на спрощення як покупок, так і грошових переказів у соціальній мережі.
Зверніть увагу, Google вирішив “присоромити” повільні сайти за допомогою значків. Компанія експериментує з різними варіантами позначень у браузері Chrome для веб-сайтів, які “у загальному випадку працюють повільно”.
Також Міністерство оборони США звинуватило кіберзлочинців, які працюють на уряд Північної Кореї, в кібератаках на фінансовий сектор, в тому числі на мережу SWIFT, з метою збагачення.
Стало відомо, що дохід від кіберзлочинності оцінюється в $ 1,5 трлн, в той час як загальний обсяг ринку кібербезпеки в 2019 році склав $ 136 млрд.
Дослідники безпеки виявили уразливості в декількох популярних Android-телефонах. За словами експертів, проблема зачіпає як мінімум 10 популярних Android-пристроїв, в тому числі Google Pixel 2, Huawei Nexus 6P і Samsung Galaxy S8 Plus.
