Почти каждая третья российская компания не проверяет ПО на защищенность

«РТК-Солар» представил результаты исследования защищенности ПО в российских организациях. 32% организаций не проверяют разрабатываемые или используемые приложения на защищенность. 59% организаций считают, что им необходимо усилить процессы мониторинга и устранения уязвимостей (24% компаний уже предпринимают необходимые меры, в 35% — подобные меры не планируются). При этом практически каждая третья компания сталкивается с финансовым (31%) или репутационным (31%) ущербом из-за инцидента, связанного с уязвимостями.

Результаты опроса показали, что 32% организаций не проверяют разрабатываемые или используемые приложения на защищенность. Столько же респондентов (32%) заявили, что, напротив, регулярно осуществляют проверку безопасности программного обеспечения. От случая к случаю анализ проводит 22% компаний. Сканируют приложения на безопасность раз в полгода 14% респондентов.

Среди тех, кто проводит анализ безопасности приложений, практически половина (46%) устраняет все уязвимости, 31% — уязвимости высокой и средней критичности. Ограничиваются устранением уязвимостей только высокой критичности 12% респондентов. Российские компании отметили, что наиболее часто встречающиеся в коде уязвимости — это неэффективный мониторинг (38%), использование компонентов с известными уязвимостями (30%), небезопасная конфигурация (30%). Эксплуатация перечисленных уязвимостей злоумышленниками способна обернуться компрометацией уязвимых систем, нарушением конфиденциальности и доступности обрабатываемых данных.

Практически каждая третья компания сталкивается с финансовым (31%) или репутационным (31%) ущербом из-за инцидента, связанного с уязвимостями. Наиболее часто финансовый ущерб выражается в дополнительных ресурсных затратах на устранение уязвимостей, что подтверждает необходимость перехода от традиционной модели тестирования к модели shift left. Она заключается в переносе стадии тестирования на ранние этапы жизненного цикла разработки ПО и позволяет упростить и ускорить исправление ошибок в коде.

Даже те компании, которые разрабатывают приложения на заказ, не всегда анализируют защищенность разрабатываемого ПО: 23% респондентов отметили, что не проверяют защищенность приложений, 32% — проверяют от случая к случаю, 35% — осуществляют проверки постоянно в процессе разработки новой версии (анализ кода встроен в процесс разработки), 10% — сканируют приложения раз в полгода. Недостаток защищенности приложений приводит к ожидаемым результатам. Среди разработчиков заказного ПО, кто не проверяет защищенность ПО или проверяет от случая к случаю, каждый четвертый респондент (25%) отметил, что уязвимости в ПО привели к значимым инцидентам ИБ. Это подчеркивает необходимость анализа защищенности приложений и устранения уязвимостей и НДВ в коде.

Даниил Чернов, директор Центра Solar appScreener компании «РТК-Солар»: «С каждым годом количество используемых цифровых инструментов растет. Компаниям, которые их используют, важно как можно скорее предоставить их сотрудникам, чтобы повысить эффективность бизнес-процессов. Компаниям, которые их разрабатывают, важно как можно скорее выпустить продукт или новую версию, чтобы закрыть актуальные потребности заказчиков. В этой гонке бизнес чаще отдает приоритет скорости, делая это в ущерб безопасности. Начиная с весны 2022 на фоне многочисленных сообщений о росте кибератак на российские организации ситуация изменилась. Мы отмечаем рост спроса на инструменты анализа защищенности приложений. Чтобы заказчикам не нужно было идти на компромисс со скоростью доставки обновлений, мы рекомендуем внедрить инструменты анализа уязвимостей в цикл разработки ПО».

59% организаций считают, что им необходимо усилить процессы мониторинга и устранения уязвимостей (24% уже предпринимают необходимые меры, в 35% — подобные меры не планируются). 41% респондентов считает, что текущих инструментов достаточно для закрытия задач по выявлению и устранению уязвимостей.