Бизнес 5.0: как построить успешный стартап или компанию, игнорируя риски кибербезопасности

Чтобы сегодня вывести конкурента с рынка достаточно украсть данные, заблокировать пользователям доступ, или уничтожить оперативную информацию. Бизнес все чаще говорит о кибербезопасности, но еще мало внимания уделяет вопросам защиты данных. Хотя угроз становится все больше, а методы атак совершенствуются.

В связи с увеличением числа хакерских атак и появлением все более коварных вирусов сфера кибербезопасности становится все более обсуждаемой у бизнеса. Инвестирование в анализ рисков сейчас актуально не только для финансовых или страховых компаний. Мошенничество и утечки больших массивов данных случаются все чаще у компаний разных размеров и направлений деятельности. По данным Cisco, ежегодно кибератаки наносят ущерб бизнесу в размере $600 млрд. Один из самых ярких примеров — это WannaCry. Программа, запущенная с одного компьютера, парализовала огромное количество компаний в 150 странах мира всего за два выходных дня.

Кому это нужно?

Ежегодный рост потерь бизнеса от кибератак связан с тем, что у большинства компаний нет необходимого опыта и средств для управления своими активами. "Еще 15 лет назад считалось, что кибератаки — это проблема крупных корпораций, так как "у малого бизнеса мало денег", и это делает его непривлекательным для взломщиков. Однако, по мере того как использование информационных технологий становится повсеместным, наиболее уязвимыми для кибератак становятся именно средние и малые предприятия. Часто они являются мишенью только из-за того, что оказывают услуги крупной компании и нужны злоумышленникам как своего рода плацдарм для дальнейшего развития атаки на крупную цель. Ну и не стоит забывать, что хищник всегда охотится за самым слабым, а малые предприятия — это как раз те, у кого больше всего проблем с безопасностью", — говорит технический директор компании "Октава Киберзахист" Алексей Швачка.

Причина проста: малый бизнес очень часто управляется людьми, далекими от современных технологий, а риски кибербезопасности из тех, которые нельзя "пощупать руками".

По словам Алексея Швачки, результат такого подхода очевиден и общеизвестен, это постоянный поток сообщений о жертвах: "базы данных зашифрованы с целью выкупа", "похищены персональные данные клиентов" и далее в том же духе. "В Украине даже масштабный Petya/Nyetya не всех научил считаться с рисками кибербезопасности. Через год после этой атаки, одна небольшая компания пострадала от вируса-шифровальщика, так как не предприняла даже элементарных мер безопасности. И восстанавливать базы данных за длительный период по первичным (бумажным!) документам оказалось долго, дорого и не до конца возможно. А если бы в этой компании была проведена оценка возможных потерь — хотя бы на случай потери данных из-за отказа сервера — очень вероятно, нашлись бы деньги на безопасное хранение резервных копий. Это точно обошлось бы дешевле", — рассказывает эксперт.

Ошибки бизнеса

Эксперты чаще всего среди главных ошибок предпринимателей, связанных с кибербезопасностью, называют следующие. Первая – слишком несерьезное отношение к этой проблеме.

Вторая – неправильная оценка рисков. Вы спросите, что может случиться с небольшой компанией? Хищение денег в системе интернет-банкинга, остановка работы инфраструктуры путем саботажа (используя вирус-шифровальщик), кража коммерческой тайны, подмена информации, майнинг на серверах, угрозы сотрудникам, рассылка спама с принадлежащих компании компьютеров или, еще хуже, использование компьютеров для участия в каких-то промежуточных атаках — это сильно подставляет компанию и несет угрозу ее репутации. Но если защищаться от всех угроз сразу, придется работать только на оборону, забывая о клиентах. Поэтому необходимо сортировать проблемы по степени их критичности. 

Здесь возникает третья: из-за неправильной оценки рисков многие фирмы покупают ненужное оборудование или делают то, чего делать не нужно, и это приводит к бессмысленной трате финансовых и временных ресурсов.

Четвертая – забывать о том, что главное звено в кибербезопасности — человек. Сотрудник может нажать на опасную ссылку в письме, вставить не ту флешку, забыть что-то проверить. Поэтому необходимо обучать кибербезопасности всех сотрудников, а не полагаться на IT-специалистов.

Пятая – нельзя думать, что компьютерная безопасность заканчивается на событии "я нашел вирус, я его удалил". Вы удалили вирус на своем компьютере, но не стоит забывать, что он попал в ваше устройство с какого-то сервера. И этим сервером управляет человек, который продолжает рассылать этот и другие вирусы на множество других компьютеров. Не факт, что следующий вирус вы тоже обнаружите.

Помните, что для успешной кибератаки на всю ИТ-инфраструктуру компании достаточно одного уязвимого телефона, подключенного к корпоративной сети. У каждого сотрудника на рабочем месте есть как минимум одно личное устройство. Тогда как большинство украинских компаний работают по гибридной модели, когда часть ресурсов находится в облаке, а часть — на собственных серверах, что многократно усиливает риски и увеличивает расходы на содержание и поддержку.

Что делать в первую очередь?

Реалии таковы, что киберпреступники хотя бы на шаг, но всегда впереди. Есть масса примеров, когда успешно реализованная кибератака приводила к потере средств той или иной организацией.

По словам технического директора "Октава Киберзахист" Алексея Швачки, начинать необходимо с проведения оценки возможных потерь, которые понесет компания, в случае реализации киберугрозы. Из-за простоя в работе, накладных расходов на восстановление, репутационных потерь — здесь у каждого бизнеса будет свой перечень рисков. А имея на руках представление о стоимости того или иного актива, можно определить адекватные меры по обеспечению их безопасности.

При этом некоторая базовая защита на сегодня должна быть у любой компании вне зависимости от размера. И речь здесь не идет о каких-либо серьезных капитальных инвестициях, начинать нужно с соблюдения персоналом "цифровой гигиены" (какие электронные письма не открывать, на какие веб-сайты не заходить), обязательного использования антивирусной защиты и обеспечения возможности восстановиться из надежных резервных копий, даже если "всё пропало".

Имея такую базовую защиту, далее нужно понять потребности бизнеса в автоматизации, разобраться что этим информационным системам может угрожать и уже на основании такого анализа составить для себя план — дорожную карту — отстраивания системы кибербезопасности. Эта на самом деле несложная и здравая процедура важна также для того, чтобы деньги не были потрачены впустую.

А что делать, если средств на построение эффективных систем киберзащиты действительно не нашлось? Есть ответ и на этот вопрос. На сегодня в Украине появилась возможность приобрести услуги компании, профилем бизнеса которой является кибербезопасность. Это так называемые коммерческие Security Operation Center, готовые сотрудничать не только с крупными компаниями, но и оказывать услуги малому бизнесу.

Безопасность — это инвестиция в бизнес, и она должна быть адекватна его текущему состоянию и, возможно, прогнозам его развития. Разумеется, цена безопасности не может превышать стоимости защищаемого актива, но она не может быть и нулевой. Полное отсутствие безопасности в конечном итоге всегда дороже минимальных инвестиций в неё.

Кибератаки были, есть и будут, но противостоять им можно и нужно. Попытка игнорировать угрозу (мол, с этим "невозможно бороться") — проигрышная стратегия. Если вы ищете оправдание неудачи — вы уже сдались и проиграли. Если вы ищете способ получить результат — вы на пути к победе.

Виталий Кравченко, Delo.ua