Текст книги "Цифровая трансформация для директоров и собственников. Часть 3. Кибербезопасность. Часть 3. Кибербезопасность"

Цифровая трансформация для директоров и собственников. Часть 3. Кибербезопасность
Часть 3. Кибербезопасность
Джимшер Бухутьевич Челидзе

Редактор Александр Александрович Перемышлин

Дизайнер обложки Александр Александрович Перемышлин

Иллюстратор Александр Александрович Перемышлин

© Джимшер Бухутьевич Челидзе, 2024

© Александр Александрович Перемышлин, дизайн обложки, 2024

© Александр Александрович Перемышлин, иллюстрации, 2024

ISBN 978-5-0060-4654-2

Создано в интеллектуальной издательской системе Ridero

Предисловие

Здравствуй, дорогой читатель. Это заключительная книга про цифровизацию и цифровую трансформацию. В первой книге мы разобрали, что такое цифровизация и цифровая трансформация, зачем они нужны, в чем разница, какие есть подводные камни. Во второй познакомились с системным подходом, который применим не только для цифровой трансформации, но и в целом для любого бизнеса. Системный подход сочетает проверенные инструменты и цифровизацию, доступен любому и призван повысить отдачу от цифровых технологий, а также минимизировать риски, связанные с организацией работы. При этом, еще в первой части мы проговорили, что в ролевой модели для цифровой трансформации необходим специалист по информационной безопасности. И именно этому направлению я решил посвятить отдельную книгу.

Казалось бы, цифровизация и кибербез несовместимы, но без того, чтобы их подружить, невозможно продолжать цифровизацию. Недавно у Дениса Батранкова я встретил хорошее определение, почему же нужно заниматься информационной безопасностью сейчас: «Раньше безопасность была построена на истории про акулу: не надо быть впереди всех уплывающих от нее – достаточно быть впереди последнего. А вот сейчас, когда целью акулы являешься именно ты – защищаться стало сложнее». И это определение крайне точно описывает текущую ситуацию, так как с каждым годом атаки хакеров становятся все более адресными. А 2022 год вообще стал знаковым.

Этой книги не было бы без исследований Positive Technology (далее – PT), ставших первыми моими проводниками в мир кибербезопасности. И если вы любите досконально погружаться в первоисточники, детали, то рекомендую изучить эти исследования. QR-коды и ссылки на них будут в конце книги.

Книга состоит из трех частей. Первая посвящена обзору и анализу текущей ситуации. Будет много цифр, статистики, аналитики, денег. Задача первой части – сформировать у вас осознание проблемы и понимание того, что информационная безопасность (далее – ИБ) – направление столь же стратегическое, как и вся цифровизация, и она достойна вашего внимания. Главный тезис обозначу сразу – узкое место в безопасности, как и во всей цифровизации, – процессы и люди, не только ваши, но и в команде разработчиков программного обеспечения (далее – ПО).

Вторая часть посвящена интеграции информационной безопасности с точки зрения системного подхода.

Ну, а третья часть посвящена практическим рекомендациям, что делать здесь и сейчас, как выбирать ИТ-решения для информационной безопасности, что необходимо знать людям и какие нужны компетенции.

Если вы читали предыдущие книги, то уже знаете мой подход – чтобы кого-то контролировать и делегировать задачи, доверять своей команде, нужно хотя бы базово понимать ее работу. И ключевая задача всей книги – дать вам базовые знания для выстраивания эффективной работы со своей командой и директором по ИБ (далее – CISO) с наименьшими трудозатратами и рисками для вас.

Также, чтобы исключить возможное недопонимание, давайте разберем, в чем разница между информационной безопасностью и кибербезопасностью?

Информационная безопасность – это деятельность, которая связана с предотвращением несанкционированного доступа, использования, раскрытия, искажения, изменения, исследования, записи или уничтожения информации.

Кибербезопасность – все то же самое, только связанное с ИТ-системами и компьютерами.

Часть 1. Зачем заниматься информационной и кибербезопасностью?

Глава 1. Погружение и про деньги

В 2023 году уже очевидно, что без использования цифровых технологий невозможно ни вести бизнес, ни комфортно жить, ни управлять государством.

Если говорить про государственные сервисы, то госуслуги в виде онлайн-сервисов развиваются по всему миру. Россия же здесь вообще в числе мировых лидеров. Я, например, использую цифровые сервисы государства и для записи ребенка к врачу, и для просмотра его прививок с результатами анализов, и для оплаты штрафов, налогов, отправки налоговых деклараций.

Если говорить про коммерческий сектор, то он вообще без онлайн уже не может: оплата товаров, бронирование билетов, получение услуг, консультаций, появление цифровых советников.

В общем и целом, цифровизация и автоматизация всюду. И если их игнорировать, то вы будете просто неконкурентоспособными. А если хотите понять, что примерно нас ожидает через 5—10 лет, то рекомендую почитать наблюдения Евгения Бажова о том, что происходит в Китае, в его книге «Made in China. Как вести онлайн-бизнес по-китайски».

Давайте еще, для примера, коснемся работы с кадрами. Без облачных технологий и гибридного / удаленного режима работы вам будет намного сложнее привлекать талантливых сотрудников и/или будете значительно за них переплачивать. Да, рынок труда, конечно, меняется, и сейчас вновь работодатель начинает диктовать среднему работнику свои условия. Но это про средних работников. А если вы хотите привлекать таланты, то удаленка является мощным преимуществом. По моим личным наблюдениям удаленка/гибрид позволяет сэкономить на фонде оплаты труда до 30—40%. Молодые, гибкие, голодные до успеха компании этим активно пользуются. И в вакансиях я встречаю одну тенденцию: те, кто хотят меньше платить, просто дают возможность удаленной работы. Конечно, подробную статистику по срокам закрытия этих вакансий я не веду, но закрываются они быстро. Кажется, что даже быстрее, чем у компаний с более высокими зарплатами, но требованием ежедневно присутствовать в офисе.

Казалось бы, вот оно счастье – цифровизация. Но там, где появляются возможности, возникают и риски. Так, например, развитие удаленки в ковидный 2020 год привело к росту взломов мессенджеров и систем коллективных конференций. И ладно, если б просто подключались и портили онлайн-собрания, но у хакеров появилась другая тактика – они копируют конфиденциальные записи встреч и чатов, чтобы потом заниматься вымогательством. Еще один современный тренд – шифрование внутренних файлов с целью последующего выкупа.

Также необходимо посмотреть на небольших разработчиков ИТ-продуктов: сами по себе они могут быть никому не интересны, однако их могут атаковать для того, чтобы встроить в их продукт вредоносное ПО, и уже через него атаковать крупную компанию. И реализовать такой сценарий можно, даже не атакуя ИТ-инфраструктуру – нужно лишь завербовать удаленного сотрудника, который сам внесет нужные изменения в код. Такой подход, когда большие компании атакуются через подрядчиков и поставщиков, называется «атакой на цепочку поставок». Это еще один из главных трендов, начиная с 2021 года. В 2022 году до 30% целенаправленных атак приходилось на эту тактику.

Рисков тут добавляют и рост сложности ИТ-решений, и снижение квалификации среднего разработчика, ведь чем дешевле разработчик, тем выгоднее все с точки зрения экономики. Конкуренция и рынок хотят комплексных решений по минимальной цене, что обязывает искать способы снизить стоимость продукта. Но в итоге все это ведет к увеличению количества дыр в ИТ-решениях. И вам угрожают не только прямые финансовые и юридические риски, связанные со штрафными санкциями от поставщиков и государства и с уголовной ответственностью, но и репутационный ущерб. А если вы вышли на биржу, то это еще и риски падения капитализации.

Наиболее яркий пример этого – атака на компанию SolarWinds. Их клиентами были правительственные учреждения США и более 400 крупнейших американских компаний. Хакеры внедрили вирус в их решение и атаковали их клиентов. Результат – падение стоимости акций на 40% за несколько недель.

Если же посмотреть на абсолютные числа, то с начала 2017 по конец 2022 года количество зафиксированных атак увеличилось с 985 до 2921, то есть рост составил 196,5%. Тут, конечно, надо учитывать и то, что научились лучше выявлять атаки, но, забегая вперед, скажу, что даже сейчас в 70% исследованных компаний выявлены вирусы, о которых и не знали. При этом количество целевых атак увеличилось с 43% в 2017 году, до 67% в 2022. И несмотря на то, что в 2021 году целевых атак было 73%, вероятность целевой атаки высока. Ведь 2022 год – год войны в киберпространстве, настоящая и широкомасштабная.

Теперь про деньги. Средняя стоимость выкупа, которую компании платят хакерам, также растет. Если раньше ограничивались условными 1—2 тысячами долларов, то сейчас это 4,35 млн. То же самое касается и максимальной выплаты. В 2017 году она составляла 1 млн долларов, в 2022 – уже более 40 млн.

Прогнозы тоже пессимистичны. Так Cybersecurity Ventures ожидает, что глобальные издержки от информационных атак будут расти на 15% и к 2025 году достигнут по всему миру 10,5 трлн долларов США в год, при 6 трлн в 2021 году и 3 трлн в 2015.

Также приведу график от PT того, как изменяются атаки, на кого нападали чаще, и кто сейчас стал пользоваться спросом у хакеров.

Динамика по отраслям, % от общего числа атак

Тут я рекомендую обратить внимание на финансовые компании – они все менее интересны, поскольку становятся все более сложными для атак. В целом же рынок «гражданского» хакерства все больше подчиняется законам бизнеса: злоумышленники ищут, как снизить стоимость каждой атаки и увеличить ее доходность. То есть хакеры ищут маржинальность. Но это касается только тех хакеров, которые не занимаются политическими заказами или целенаправленными атаками, например, от конкурентов. В итоге, с учетом того, что идет рост в сторону от массовых атак к таргетированным, уповать на одну экономическую целесообразность атаки не стоит. Если вас закажут, то вы будете атакованы. Особенно если вы – российская компания. А если вы – первое лицо, то именно вы под прицелом в первую очередь.

Глава 2. Про ответственность

Сейчас ответственность за информационную безопасность несет руководитель организации, что отражено в указе президента Российской Федерации В. В. Путина от 01.05.2022 №250. Под его действие попадают федеральные органы исполнительной власти (федеральные министерства, службы и агентства), руководство субъектов РФ, государственные фонды, государственные корпорации и компании (например, «Росатом», «Газпром», «Русгидро», «РЖД» и другие), стратегические и системообразующие предприятия, объекты критической инфраструктуры.

И если на 20 апреля 2020 года в перечень системообразующих организаций входило 646 юридических лиц, то к июлю 2020 года их уже было около 1300, а в феврале 2022 – около 1400. Но, казалось бы, если вы не попадаете в этот список, то зачем он вам? Тут надо понимать, что в нашей стране, если вы планируете расти, то так или иначе станете работать с такими организациями. А значит, лучше знать требования этого документа и быть готовыми. Всего же под действие нового указа попадет более 500 тысяч организаций.

Что же рекомендуется делать организациям, в соответствии с данным указом?

– Установить личную ответственность за обеспечение ИБ на руководителя организации, при этом выделить отдельного заместителя генерального директора, у которого будут полномочия и ресурсы обеспечивать ИБ. При этом необходимо либо создать структурное подразделение, ответственное за обеспечение ИБ, либо возложить такие функции на существующее подразделение.

– Необходимо провести инвентаризацию договоров с подрядными организациями, оказывающими услуги по ИБ. Теперь оказывать такие услуги могут только компании, которые имеют лицензию на осуществление деятельности по технической защите конфиденциальной информации от ФСТЭК России.

– Также ещё 30 марта 2022 года были введены ограничения на приобретение иностранного оборудования и программного обеспечения для субъектов критической информационной инфраструктуры (КИИ), которые осуществляют закупки по 223-ФЗ. С 1 января 2025 г. организациям запрещается использовать средства защиты информации, произведённые в недружественных государствах, либо организациями под их юрисдикцией, прямо или косвенно подконтрольными им либо аффилированными с ними. На весну 2023 года таких стран насчитывается 48. И даже если компания-поставщик ИБ-оборудования, например, из Китая, то все равно надо проверять ее аффилированных лиц.

Забегая вперед, выскажу одно предположение. С учетом всех утечек и важности этой темы для государства можно ожидать введения некой страховки, по примеру ОСАГО. Каждую организацию могут принудить страховаться от ИБ-рисков. И тогда то, как организация будет выстраивать функцию ИБ, будет влиять на размер ее страховой премии.

Глава 3. Про общие тренды

Главный тренд в области ИБ – в отрасль приходят профессиональные менеджеры. Те, кто раньше занимались «техникой», но теперь доросли до управленцев. Они думают как о технической стороне вопроса, так и о деньгах, процессах в организации, об ответственности, которую принимают на себя. И это серьезный вызов для ИБ-компаний. Ведь им нужно уже общаться не просто со специалистами, которые в теме, а находить общий язык с менеджерами. То есть объяснять в первую очередь на языке денег и гарантий.

Второй тренд – переход от размазанной защиты по всей организации, продвижения по уровням зрелости и использования лучших практик к модели гарантированной защиты от недопустимых сценариев: нарушение технологических циклов, хищение денег, конфиденциальной информации, шифрование всех данных. То есть переход от ИБ 1.0 к ИБ 2.0.

Это связано с тем, что все уже осознают невозможность защиты от всего. Во-первых, рост цифровизации и автоматизации приводит к увеличению числа используемого ПО. А значит, экспоненциально растет и количество направлений для атак. Во-вторых, как мы уже говорили ранее, все разработчики ИТ-решений стараются снизить затраты. Например, даже мировой ИТ-гигант IBM переносит свои производства в Индию, ведь там дешевле рабочая сила программистов. При этом качество кода от большинства индийских разработчиков оставляет желать лучшего. Это как китайские реплики оригинальных товаров. Все это приводит к падению качества ПО и росту количества и критичности уязвимостей.

Плюс даже опубликованные «дыры» разработчики не спешат устранять оперативно. Тут показательна статистика от PT. Из всех выявленных и отправленных разработчикам в 2021 году уязвимостей в промышленных ИТ-системах было исправлено меньше половины – 47%. При этом известно о них становится всему миру довольно быстро – в течение нескольких часов.

Всего же за 2022 год было выявлено и подтверждено около 25 тысяч новых уязвимостей, обнаруженных исследователями безопасности. Рост числа стартапов и выпускаемых ими программ, а также несоблюдение принципов безопасной разработки могут привести к тому, что в это число будет только увеличиваться.

В итоге и получается, что более чем в половине атак хакеры спокойно используют эти уязвимости и получают необходимый доступ за несколько минут. Сами же специалисты PT, используя известные уязвимости, смогли получить доступ к внутренней сети компаний в 60% своих проектов. А теперь добавим еще тот факт, что белых хакеров и исследователей не так уж и много, а разработчики просто не знают о всех дырах. Хакеры же не стремятся публиковать найденные уязвимости в открытом доступе. В то же время сам теневой рынок хакеров находится на подъеме.

Динамика теневого рынка

В-третьих, атаки вместо массовых становятся целенаправленными, то есть таргетированными. Как уже говорилось, если раньше таких было 43%, то сейчас на уровне 70%.

В-четвертых, как бы ни развивались технологии, узкое место – все равно люди. Так, с 2017 года количество людей, попадающихся на фишинговые письма, не только не уменьшилось, но, наоборот, кратно увеличилось. И в топе наиболее используемых и эффективных способов проникновения в компанию по-прежнему остается фишинг с помощью электронной почты. При этом темы рассылок, которые люди открывают чаще всего, остаются неизменными из года в год: зарплата, премии, социальные программы, ДМС, резюме. Кроме того, лучше всего работают рассылки, посвященные событиям в конкретной компании или подразделении. То есть растет роль социальной инженерии.

При этом интересна статистика атак на обычных людей. Ведь бесконечные утечки персональных данных упрощают работу хакеров с точки зрения выбора нужных людей при планировании атаки на организацию. Так, в 2021 году в 58% атак хакеры заражали устройства пользователей вредоносным ПО: это были приложения для удаленного управления (34%), шпионское ПО (32%) и банковские трояны (32%). При этом к концу 2022 года шпионское ПО использовалось уже в 49% успешных атак.

По итогам 2022 года чаще всего источником заражения становились фишинговые сайты (42% успешных атак) и письма электронной почты (20%). Также хакеры объединяли личные устройства людей и организовывали так называемые ddos-атаки, то есть просто перегружали ИТ-инфраструктуру организации-жертвы. И в массовых фишинговых атаках хакеры использовали актуальную новостную повестку: покупка поддельных сертификатов о вакцинации, создание мошеннических сайтов перед чемпионатом Европы по футболу, премьерой нового эпизода сериала «Друзья» или другого «вкусного» события.

Ну, и в-пятых, менеджеры – люди прагматичные, они хотят гарантий. В итоге мы и пришли ко второму тренду – формулированию простых и понятных для топ-менеджеров запросов, чтобы недопустимое невозможно было реализовать.

По моему мнению, это вполне нормальная ситуация. Бесконечно наращивать броню и закрываться невозможно. Если вы любите погонять в танки, то помните пример с танком Маус, который в итоге стал неповоротливым и в жизни вообще не мог передвигаться, став лишь музейным экспонатом. При этом развитие техники все равно сделало его пробиваемым. В борьбе брони и снаряда всегда в итоге выигрывает снаряд.

Возвращаясь к языку бизнеса, поделюсь наблюдением. Наращивание брони порой приводит к росту бесполезной бюрократии. Я видел компании, которые закрывались так, что останавливались бизнес-процессы, и люди просто выходили за контур компании, начинали вести рабочую коммуникацию и обмен документами в открытых мессенджерах и личной почте. Ведь у них есть KPI и с них требуют результат. А ждать по неделе-две пока техподдержка решит очередную проблему, они не могут. В итоге хотим защититься, но только множим риски.

Третий тренд – развитие киберполигонов и кибербитв, которые предоставляют возможность специалистам по кибербезу пробовать свои силы в обнаружении и пресечении действий злоумышленников, тестировать инфраструктуру и получать информацию для анализа и развития. Также с начала 2023 года идет активное создание программ по поиску уязвимостей за вознаграждение. Такие программы называются Bug bounty. Это позволяет «белым» хакерам и исследователям применять свои знания во благо и получать за это вознаграждение. В основном это относится к финансовой сфере (программы поиска уязвимостей) и крупным корпорациям (участие в кибербитвах).

Глава 4. Что происходит в отраслях

Атаки на корпорации и организации становятся все больше похожими на спланированные военные операции – идут атаки и на оборудование, и на людей. Так, мы уже с вами знаем про фишинг, использование уязвимостей и так далее. Но, помимо этого, существуют и специализированные компании, которые занимаются разработкой инструментария для проникновения в различные информационные системы. Особенно это развито в тех странах, где такая работа не попадает под ограничения законодательства. То есть в принципе это не нелегальный бизнес, и с учетом текущей ситуации многие страны, скорее всего, вообще начнут закрывать глаза на него.

Государственные организации сейчас, в 2022—2023 годах, проходят настоящее боевое крещение. В 2022 году число успешных атак на государственные учреждения увеличивалось в каждом квартале. Госучреждения столкнулись с наибольшим числом инцидентов среди любых организаций. На их долю пришлось 17% от общего числа успешных атак (в 2021 году этот показатель был 15%). Всего за 2022 год PT зафиксировали 403 инцидента с государственными организациями, что на 25% больше, чем в 2021 году.

Основной способ атаки – социальная инженерия. Цель атак – данные. И это понятно, ведь автоматизация и цифровизация в гос. управлении идет полным ходом. А значит, государственные органы начинают генерировать большие данные: налоги, медицинская информация, биометрия и т. д. Медицинские данные представляют для хакеров особый интерес, в том числе и для целей социальной инженерии, повышения эффективности фишинговых атак.

Наиболее популярными типами вредоносного ПО оказались шифровальщики (56%) и программы для удаленного управления (29%). Также постоянно растет доля атак на веб-ресурсы, – в 2020 году таких было 14%, к концу 2022 – 41%.

Причем госструктуры под ударом не только у нас в стране.

Пример 1

В середине октября 2021 года хакер получил доступ к базе данных правительства Аргентины, в которой содержится информация обо всех удостоверениях личности граждан. В итоге на черном рынке были выставлены на продажу данные и ID-карты всего населения Аргентины, то есть более 45 млн граждан. Причем в качестве подтверждения достоверности данных хакер раскрыл информацию о 44 известных личностях, в том числе президента страны.

Пример 2

Полицейское управление столицы США Вашингтона. Там случилась массовая утечка внутренней информации после атаки программы-вымогателя. В дарквебе (сегмент Интернета, который скрыт от обычных пользователей, где продают поддельные документы, оружие, наркотики, получают заказы хакеры) были опубликованы тысячи конфиденциальных документов. Также были обнаружены сотни личных дел полицейских, данные об информаторах и разведывательные отчеты со сведениями, полученными от других государственных органов, включая ФБР и Секретную службу.

Пример 3

Атакой шифровальщиком данных хакеры вызвали коллапс IT-инфраструктуры трех больниц в США, сорвали несколько плановых операций, нарушили процесс приема пациентов и похитили 1,5 ТБ персональных данных, включая медкарты. Группировка получила выкуп в размере 1,8 млн долларов за дешифратор и непубликацию похищенной информации. А кибератака вымогателей на одну из главных больниц Барселоны (Clinic de Barcelona) привела к повреждению ИТ-инфраструктуры клиники и вынудила отменить 150 неотложных операций и до 3000 обследований пациентов (по данным Associated Press).

Пример 4

Также интересный случай был в ноябре 2022 года. На одном из форумов в дарквебе появилось сообщение о взломе инфраструктуры Федеральной налоговой службы России. Хакеры утверждали, что скачали 800 Гб конфиденциальной информации. Официальных комментариев ведомства не поступило. В качестве доказательств прилагались ссылки на несколько проектов, которые, по сообщению хакеров, взяты из базы данных ФНС. «На то, чтобы проникнуть в сеть налоговой, нам понадобилось всего одну неделю времени, а во взломе участвовали лишь три человека. На самом деле, нами уже захвачено несколько десятков государственных структур такого уровня. Но заявлять о них надобности пока нету», – написали хакеры в сообщении.

При этом еще один курьезный случай с ФНС произошел в 2019 году. Тогда была возможность получить доступ к двум базам данных. Первая содержала более 14 млн данных о людях, а вторая – 6 млн. В них можно было найти имена, адреса, номера паспортов, данные о месте проживания, номера телефонов, номера ИНН, названия компаний-работодателей, а также информацию об уплаченных налогах.

Пример 5

Атака вымогателей на госучреждения Коста-Рики в апреле 2022 года. Группировка вымогателей Conti напала на госучреждения Коста-Рики и потребовала выкуп в размере 20 млн долларов. Из-за недоступности большей части IT-инфраструктуры в стране было объявлено чрезвычайное положение, а несколько позже к атакованному государственному сектору присоединилось здравоохранение Коста-Рики, учреждения которого атаковала группировка Hive.

Пример 6

Власти города Берлингтон в Канаде подверглись фишинговой атаке, в результате которой 503 000 долларов США были переведены не настоящему поставщику услуг, а киберпреступнику.