Как устранить брешь в обеспечении безопасности на малых и средних предприятиях

#KingstonCognate представляет профессора Салли Ивз

Профессор Салли Ивз – председатель организации Cyber Trust и старший советник по политике Глобального фонда кибер-исследований (Global Foundation for Cyber Studies and Research). Названная «факелоносцем этических технологий», она стала первым лауреатом премии Frontier Technology and Social Impact (Передовые технологии и социальное воздействие), вручаемой ООН. Салли – технический директор, а теперь профессор в области передовых технологий и глобальный стратегический советник по современным технологиям. Она удостоена наград как работающий на международном уровне автор, ведущий, докладчик по основным вопросам и авторитетный экспер в области цифровой трансформации (искусственный интеллект, 5G, облачные технологии, Blockchain, кибербезопасность, управление, Интернет вещей, теория анализа и обработки данных) наряду с культурой, навыками, DEI, устойчивым развитием и социальным воздействием.

Салли активно занимается обучением и наставничеством, поддерживая новое поколение технических специалистов, и основала организацию Aspirational Futures, чтобы повысить инклюзивность, разнообразие и равенство в образовании и технологиях. Вскоре выйдет ее очередная книга «Tech For Good» (Технология во благо). Салли неизменно получает признание за глобальное влияние в технологическом пространстве такими ведущими организациями, как Onalytica, и входит в десятку мировых лидеров по множеству дисциплин: от искусственного интеллекта до 5G, устойчивого развития и т. д.

Изменяющийся ландшафт угроз для малых и средних предприятий

Новое исследование позволяет понять истинную степень угрозы для малых и средних компаний по сравнению с более крупными предприятиями. В 2019-2020 гг. кибератаки были совершены на 65% малых и средних компаний по сравнению с 46% для всех компаний (Towergate). Это подтверждает, что атаки происходят неоднократно! Малые и средние предприятия подвергались атакам в течение этого периода в среднем 6 раз, то есть раз в два месяца! (NatWest).

Итак, каковы основные тактики угроз, с которыми сталкиваются малые и средние предприятия?

На передний план выходит два основных вектора внешних угроз - фишинг и социальная инженерия наряду с экосистемой цепочки поставок. Добавьте к этому внутренние векторы угроз, включая отсутствие оценки рисков, плохой контроль доступа, защита данных, устройств и паролей, низкий уровень инвестиций, а также недостаточную подготовку и осведомленность, культуру и навыки кибергигиены, что оставляет потенциально обширную поверхность для атак.

Фишинг и социальная инженерия
85% кибератак происходят в результате попыток фишинга, которые стараются заставить пользователей «делать неправильные вещи», например, загружать вредоносное ПО, чаще всего через электронную почту. И они становятся все более изощренными по своей природе. На самом деле, в ходе недавнего теста было обнаружено, что искусственный интеллект лучше составляет фишинговые электронные письма! Социальная инженерия, часто связанная с фишингом, описывает процесс манипулирования людьми посредством выдачи себя за другое лицо, убеждения или даже запугивания для выполнения определенных действий или раскрытия конфиденциальной информации. Тому пример пандемия, во время которой киберпреступники подпитываются нашей коллективной уязвимостью и пытаются скомпрометировать учетные записи, используя фишинговые электронные письма, текстовые сообщения или сообщения WhatsApp с Covid-19 в качестве темы или даже путем включения вложения, якобы от Всемирной организации здравоохранения (ВОЗ). Уровень трансформации этого типа киберугроз становится настоящим откровением: достаточно рассмотреть первую зарегистрированную кибератаку под названием «Червь Морриса» еще в 1988 году. Она затронула 6000 компьютеров, которые тогда составляли примерно 10% всего Интернета. Как изменились времена!

Цепочка поставок
Являясь излюбленным вектором атак киберпреступников, большинство нарушений исходит из программного обеспечения, а не из аппаратного источника, например, вредоносное ПО проникает через регулярные обновления программного обеспечения. Атаки нацеливаются на малые и средние предприятия через их собственные цепочки поставок или, что более типично, компрометируют эти предприятия, чтобы затем нацелиться на более крупные организации. Библиотеки программного обеспечения с открытым исходным кодом представляют собой еще одну область уязвимости цепочки поставок. В перспективе, к 2025 году количество подключений к Интернету вещей увеличится более чем вдвое, до 75 миллиардов устройств, что само по себе создает новые кибер-риски. К сетям может подключаться недорогое оборудование, и множество сетевых устройств уязвимы для атак. Если рассмотреть это с точки зрения расширенной конвергенции ИТ/ОТ и экосистемы цепочки поставок, то расширение области угроз выходит на первый план.

Препятствия для киберрисков для малых и средних предприятий

Возникает центральный вопрос: каковы основные причины того, что малые и средние предприятия не применяют новейшие средства защиты, чтобы более проактивно противостоять киберрискам? Во-первых, существует очевидный разрыв между осведомленностью и актуализацией. Например, недавнее исследование показало, что, хотя 93% малых и средних предприятий считают кибербезопасность жизненно важной для непрерывности их бизнес-процессов, но только 64% фактически использовали решения кибербезопасности. Кроме того, европейский опрос выявил другой пробел между осведомленностью и реальностью: на многих малых и средних предприятиях ошибочно полагают, что средства контроля кибербезопасности включены в приобретенные ими ИТ-продукты, и что никаких дополнительных мер безопасности не требуется, если только это не предусмотрено нормативными требованиями или актами (ENISA 2021).

Еще одна проблема - это инвестиционный потенциал. По данным Statista (2020), инвестиции в кибербезопасность в среднем составляли 5100 фунтов стерлингов, что могло создать у малых и средних предприятий впечатление надлежащего уровня затрат. Но эта цифра искажена огромным количеством компаний микро- и малого бизнеса (такие компании в среднем тратили 3490 фунтов стерлингов). Сравните это с более крупными организациями, которые, возможно, более подготовлены (или, по крайней мере, имеют больше ресурсов): для них средний объем инвестиций увеличивается до 277000 фунтов стерлингов. Это огромный разрыв, который злоумышленники используют с огромным удовольствием!

К другим факторам относятся неразвитая «киберкультура», представления о чрезмерной сложности, опасения и часто неправильные представления о безопасности облачной среды, а также общий недостаток осведомленности о технологиях и поддержке, которые «фактически доступны» для малых и средних предприятий. Возможно, наиболее тревожно то, что 54% участников недавнего опроса заявили, что их компании не обучают персонал вопросам безопасности данных и угроз кибербезопасности (Vodafone Business 2021).