CISO Insider: випуск 1

Через COVID-19 організаціям довелося створювати гнучкі робочі умови й прискорити цифрову трансформацію. Ці зміни також вимагали дещо іншого підходу до стратегій безпеки. Периметр безпеки розширився й став гібридним, і тепер захисту потребує велика кількість хмар та платформ. Разом із новими технологіями, які приносять значну користь організаціям, забезпечуючи продуктивність і розвиток навіть у складні часи, з’явилися й нові можливості для кіберзлочинців, котрі намагаються експлуатувати вразливості таких складних цифрових середовищ.

Збільшення кількості фішингових атак, пов’язаних із віддаленою роботою, – одна з пріоритетних проблем для фахівців із безпеки, з якими я спілкуюся. Ми також спостерігаємо цю тенденцію у своєму дослідженні. В опитуванні керівників команд безпеки, проведеному корпорацією Майкрософт у 2020 році, 55% респондентів відзначили збільшення кількості фішингових атак на свої організації з початку пандемії, 88% повідомили, що такі атаки вплинули на їхні організації. Також мені часто повідомляють про те, що збільшується кількість зловмисних програм із вимогою викупу, зберігається загроза шкідливого програмного забезпечення, а порушення безпеки ідентичностей залишається серйозною проблемою для фахівців із захисту.

На додаток до цього ми знаємо, що зберігається загроза атак на рівні держав, які є дуже агресивними. Атака на ланцюг постачання NOBELIUM, під час якої використовувалася платформа SolarWinds, привернула чимало уваги рік тому. Хоча в новинах часто згадують нові методики атак, керівники відділів IT-безпеки постійно говорять мені, що навіть ці досвідчені зловмисники, як і більшість кіберзлочинців, за можливості вдаються саме до низьковартісних перевірених атак.

Цю точку зору можна додатково підтвердити тим, що ми спостерігаємо частіше здійснення національними державами розпорошувальних атак. Керівники команд безпеки мають визначати ризики і їх пріоритетність. Багато з них повідомляють, що основний пріоритет – це покращення кібергігієни для запобігання найпоширенішим типам атак у цифровому середовищі, що розширюється. Наші дані й дослідження підтверджують цю думку. За нашими оцінками, дотримання навіть базових принципів кібергігієни допомагає захиститися від 98% атак (див. сторінку 124 Звіту про цифровий захист Microsoft за жовтень 2021 року).

Ви можете подумати, що говорити про базові заходи безпеки легко, однак значно складніше реалізувати їх у реальному житті, особливо для перевантажених команд із дефіцитом працівників. Однак хочу зазначити, що зобов’язання керівника команди безпеки полягають в управлінні ризиками й пріоритетами, тому зосереджуватися на базових принципах – це надійний і прагматичний підхід. Проте дуже часто інциденти безпеки пов’язані з питанням КОЛИ, а не – ЯКЩО. Можна навести сотні  прикладів зі статистики з кібербезпеки, наприклад про 4000 атак, які щодня здійснюють у США, а також про більше ніж 30 000 веб‑сайтів, які щодня зламують у всьому світі.

На мою думку, найкращий захист полягає в збалансованому підході й інвестиціях у виявлення інцидентів, запобігання їм і реагування на них.

Вам може видаватися, що інвестувати в нові рівні захисту й водночас дотримуватися суворіших вимог щодо виявлення й реагування – це складно, однак важливо знайти баланс між цими двома аспектами. Згідно з результатами дослідження інституту Ponemon і IBM Security, проведеного у 2021 році, організації без команд реагування на інциденти втрачають на 55% коштів більше в разі порушення безпеки даних. Команди безпеки, яким удається збалансувати надійні заходи із запобігання зі стратегією, що включає реагування на інциденти, та інвестиціями в інструментами виявлення й виправлення, будуть краще готові до неминучих атак.

Усі ми чули про тенденцію до звільнення. Більше ніж 40% працівників у всьому світі збираються звільнитися цього року, і керівники команд безпеки вже відчувають ці наслідки. Я часто спілкуюся з керівниками відділів IT-безпеки, і пошук та утримування (зокрема фінансовий аспект таких заходів) найкращих кадрів – одна з найпоширеніших проблем для них. Якщо найкращі кадри звільняються, керівники можуть або найняти нових фахівців, або покращити навички наявних. У цьому допомагають ефективніші, інтегровані й автоматизовані технології, однак їх зовсім недостатньо.

Жаргон зі сфери безпеки перетворився на повсякденну лексику через постійне висвітлення кібератак у новинах. Ці атаки (і новини про них) можуть сильно вплинути на компанію. Однак це ще не все. З огляду на те, що кібербезпека стала популярною темою на рівні всієї організації, дедалі частіше починають лунати твердження "за кібербезпеку відповідають усі". У межах переходу на модель гібридної роботи й розширення периметра безпеки керівники відповідних команд усе частіше покладаються на інноваційні способи захисту користувачів, навіть якщо мають недостатньо кваліфікованих кадрів і навичок для їх реалізації. Девізом керівників команд безпеки стає не "робити більше з меншими ресурсами", а "робити більше й інакше".

Хоча дефіцит кваліфікованих кадрів і навичок не є чимось позитивним, є надія, що створення культури підтримання безпеки стає реальністю. Багато керівників відділів IT-безпеки говорять, що один із найефективніших способів вирішення проблем із безпекою і кадрами – створити культуру, де за безпеку відповідатимуть усі. Керівники відділів IT-безпеки активно підтримують думку про те, що вся організація може взяти на себе відповідальність за безпеку, особливо в умовах дефіциту працівників або фінансування.

Розробники, системні адміністратори й навіть кінцеві користувачі – усі мають розуміти застосовні до них політики безпеки. Значну роль у захисті організації відіграє обмін відомостями, тому команди безпеки шукають нові способи взаємодіяти з розробниками, адміністраторами й відповідальними за бізнес‑процеси, щоб зрозуміти ризики й розробити необхідні політики та процедури.

Через дефіцит кваліфікованих кадрів і достатніх навичок (особливо в умовах постійних змін у кібербезпеці) керівники відділів IT-безпеки вимушені шукати нові інноваційні способи не відставати від розвитку галузі. Однією із стратегій, про яку ми постійно чуємо, є "наділення повноваженнями" фахівців з інших команд. Керівники відділів IT-безпеки намагаються реалізувати весь кадровий потенціал організації і приділяють особливу увагу навчанню кінцевих користувачів та формуванню підтримки від суміжних команд.

Коли кінцеві користувачі знають про загрози для безпеки, такі як фішинг і ознаки атак, це приносить набагато більше результатів, ніж збільшення кількості учасників команди безпеки, особливо в межах стратегії, коли саме користувачі стають точкою входу для атаки. Я не стверджую, що кінцеві користувачі мають розпізнавати всі загрози, та якщо розповісти їм про них, це може значно зменшити навантаження на команди безпеки.

Інша стратегія полягає в тому, щоб наділити фахівців IT-відділу повноваженнями представників команди безпеки. Якщо забезпечити тісну взаємодію між цими двома командами й інформувати фахівців IT-відділу про стратегії безпеки, це допоможе керівникам відділів безпеки поширити свою місію на всі сфери організації.

Завдяки наданню рекомендацій і допомозі з автоматизацією, а також іншим профілактичним стратегіям керування робочими циклами керівники відділів IT-безпеки зможуть розширити свої команди й покращити захищеність організації.

До всіх указаних тут досліджень корпорації Майкрософт було залучено незалежні організації, які зверталися до фахівців у сфері безпеки для проведення кількісних і якісних досліджень. При цьому було забезпечено конфіденційність учасників і високу якість аналітики. Цитати й факти, включені в цей документ, є результатами досліджень корпорації Майкрософт, якщо не вказано інше.