Инцидент кибербезопасности

Инцидент кибербезопасности может произойти в любой компании независимо от ее штата и рода деятельности. Подобные ситуации могут носить случайный и заранее подготовленный характер. В любом случае они представляют потенциальную опасность для репутации организации, несут риски финансового ущерба и разглашения конфиденциальной информации.

Причины инцидентов кибербезопасности в организации

1. Невнимательность и ошибки персонала компании. Это одна из главных причин утечки конфиденциальной информации, последствия которой сложно спрогнозировать, как и ущерб. Незаблокированный монитор рабочего компьютера с открытой документацией, общие пароли для всех, пренебрежение защищенными каналами связи и шифрованием данных, общий доступ к важным файлам способны привести к многочисленным рискам.

2. Действия инсайдеров. Собственные сотрудники организации нередко преследуют цель обогащения или получения личной выгоды, используют свое служебное положение и возможности против собственного работодателя. Передача конфиденциальных сведений конкурентам, раскрытие рекламных кампаний и методов работы организации, сговор с партнерами или шантаж собственных коллег способны запустить целую цепочку неблагоприятных сценариев.

3. Направленные хакерские атаки. Подготовленные действия злоумышленников, направленные на конкретные цели и жертвы. Как правило, это особо важная информация типа финансовой отчетности, разработки и ноу-хау компании, бизнес-планы, сведения, открывающие доступ к активам компании.

Как подготовиться и действовать при обнаружении инцидента кибербезопасности

• Изначально необходимо оценить потенциальные риски для организации и бизнеса. В каждой нише есть своя специфика и наиболее уязвимые места. Наиболее типичными угрозами являются вредоносное ПО, DDoS-атаки, фишинг, уязвимости используемых приложений, внутренние угрозы. Как правило, приоритетными являются 2-3 вида угроз, и именно к ним нужно готовиться.

• Расставить приоритеты и оценить класс угрозы инцидента кибербезопасности. При этом учитывают степень серьезности и масштаб произошедшего. Одни инциденты, как например, зараженный и потерянный файл несет локальный риск, в то время как DDoS-атака способна вывести из строя сайт организации и замедлить рабочие процессы. Приоритизация рисков и использование инструментов для их оценки позволяют быстрее и точнее реагировать на выявленную угрозу или произошедшее негативное событие.

• Создать алгоритм реагирования на инцидент безопасности. Чтобы быстрее устранить угрозу и минимизировать ущерб, крайне важно реагировать как можно быстрее и действовать по четко обозначенной схеме. Нейтрализация инцидента ведется последовательными шагами, где сотрудники компании и службы безопасности выполняют конкретные действия и несут за них ответственность. 

• Проинструктировать персонал и провести репетицию ответных мер на инцидент. Каждый сотрудник компании должен быть обучен, подготовлен к внештатным ситуациям. Это позволит ему действовать, а не ждать, чем все закончится. Согласно роли и полномочиям, за персоналом необходимо закрепить правила поведения и ответные меры на инцидент. Оптимально периодически проводить реальный тест-драйв для того, чтобы сотрудники имели практический опыт.

• Регулярно обновлять и совершенствовать план реагирования на киберинциденты. Угрозы и методы злоумышленников не стоят на месте. Они становится сложнее и более скрытными, что требует обновления и совершенствования защиты. Для этого нужно использовать релевантный опыт, последние разработки в области кибербезопасности, актуальное ПО и защитные системы.

Какие инструменты используют для выявления и предотвращения инцидентов кибербезопасности?

• Средства защиты веб-трафика (например, Solar webProxy).
• Системы обнаружения и предотвращения вторжений.
• Антивирусное ПО.
• Сканеры уязвимостей.
• Комплексные системы предотвращения утечки данных, которые ведут регулярный сбор информации и помогают управлять информационной безопасностью в компании (DLP, SIEM-cистемы).

Оптимально задействовать как можно больше инструментов, чтобы охватить всю информационную среду организации и не пропустить скрытые угрозы. В качестве инструмента мониторинга и предотвращения внутренних угроз используются DLP-системы, например, Solar Dozor. Он защитит от утечек информации, предоставит детальную статистику по рабочим процессам и действиям пользователей и их аномальному поведению.