Исследовательская служба «Лаборатории Касперского» в мае-июне 2021 года опросила 4 303 ИБ-специалиста из компаний с более чем 50 сотрудниками из 31 страны, включая Россию, и по результатам опроса подготовила ответ под названием «Информационная безопасность бизнеса». В нем, в частности, указывается, что в 2021 году компании в России теряли больше всего денег в результате целевых атак — каждый такой инцидент наносил крупному бизнесу ущерб в среднем в 695 тыс. долл., а компании из МСБ-сектора теряли почти 32 тыс. долл. Причем с целенаправленными атаками в 2021 году столкнулись 35% организаций в России.
Угрозы и расходы
По данным исследователей компании теряли деньги и из-за других типов инцидентов. В число наиболее дорогостоящих инцидентов попали: неправомерное использование сотрудниками ИТ-ресурсов работодателей, ущерб от которого достигал почти 510 тыс. долл. для крупной компании и более 30 тыс. долл. — для небольшой; несоблюдение внутренних политик информационной безопасности, при котором крупные компании теряли в среднем 465 тыс. долл., а небольшие — почти 30 тыс. долл.; DDoS-атаки (ущерб составил почти 463 тыс. долл. для крупной компании и более 28 тыс. долл. — для небольшой).
При этом основу ИБ-бюджета традиционно составляют именно решения для защиты от внешних и целенаправленных атак, хотя неправомерный доступ и нарушение политик могут принести не меньше проблем, особенно небольшим компаниям. В соответствии с проведенным опросом оказалось, что бюджет на информационную безопасность в среднем составляет 25% от ИБ, а в абсолютных цифрах — 756 тыс. долл. — то есть по порядку величины почти сравним с ущербом от APT. Причем в ближайшем будущем эти бюджеты, скорее всего, будет увеличиваться. Во всяком случае результаты опроса показывают, что респонденты ожидают увеличения расходов на ИБ в ближайшие три года на 12%.
«Целевые атаки представляют серьёзную опасность для бизнеса, — считает управляющий директор «Лаборатории Касперского» в России и странах СНГ Михаил Прибочий. — Чтобы свести к минимуму риск таких инцидентов, мы рекомендуем компаниям использовать решения для обеспечения безопасности конечных устройств в сочетании с инструментами для обнаружения угроз, обходящих традиционные средства защиты. Такое сочетание доступно, например, в рамках трёхуровневого подхода “Лаборатории Касперского” к кибербезопасности. В частности, экспертный уровень позволяет опытным ИБ-службам противостоять сложным угрозам и целевым атакам благодаря доступу к уникальной аналитике угроз и поддержке внешних специалистов».
Не только APT
Хотя с целевыми атаками столкнулись более трети компаний, тем не менее другие инциденты могут оказаться более опасными, поскольку ущерб от них, как показывает отчет, не сильно меньше особенно для небольших компаний, а вот вероятность наступления события — больше. В частности, злоупотребление ИТ-ресурсами и нарушение политики безопасности, скорее всего, в компаниях встречается значительно чаще, чем целенаправленные атаки. В то же время инструменты для обеспечения контроля за использованием ИТ-ресурсов и мониторинга соблюдения политики безопасности внедряются не всегда. Считается, что служба информационной безопасности должна защищать от внешних угроз, но не обращать внимания на шалости своих ИТ-служб и «небольшие» нарушения политики безопасности со стороны простых сотрудников. В то же время именно контроль за соблюдением всех правил и является основой для обеспечения безопасности — нарушение установленных правил может принести не меньший вред, чем сложная целенаправленная атака.
