В прошлом году более 60% российских компаний столкнулись с утечками информации, как показывают данные исследования «СёрчИнформ». Но среди основных угроз информационной безопасности не только утечки, но и непродуктивность и мошенничество со стороны сотрудников, корпоративный шпионаж и простое воровство. По мере перехода бизнеса в цифру риск перечисленных угроз растет, и компании наращивают бюджеты на информационную безопасность.
Введение
В исследовании «СёрчИнформ» приняли участие более тысячи человек — начальники и сотрудники ИБ-подразделений, эксперты отрасли и руководители организаций. В фокусе внимания — внутренние инциденты, отношение к ним, наиболее популярные методы борьбы.
Специалистам был задан вопрос об используемых средствах защиты, изменении бюджета на ИБ, ущербе, который фиксируют компании в результате инцидентов. Исследование позволяет в деталях рассмотреть это соотношение и выделить тенденции, наметившиеся в информационной безопасности российского бизнеса.
Основные угрозы
Утечки и не только
Традиционный вопрос об утечках показывает, что ситуация с ними остается стабильной: количество компаний, которые фиксировали такие инциденты, каждый год уверенно переваливает за половину. Но это совсем не значит, что у оставшихся компаний (в 2018 году таких 34%) совсем ничего не утекало. Утечки могли быть просто не обнаружены (см. данные об обеспеченности российских компаний ИБ-средствами и специалистами — это уже данные из опроса Anti-Malware.ru).
При этом для бизнеса гораздо важнее инциденты, которые несут прямой финансовый ущерб. Вопросы о таких нарушениях в компаниях появились в опроснике «СёрчИнформ» впервые, однако результаты оказались весьма показательными. Так, 41,5% респондентов столкнулись с использованием ресурсов компании в личных целях, 21% — с попыткой откатов, 18,5% — с промышленным шпионажем.
Виновники инцидентов
В 74% случаев инциденты допускали рядовые сотрудники. Лидерами по количеству нарушений стали менеджеры отдела снабжения: они были замешаны в 25,5% инцидентов. На втором месте бухгалтеры, экономисты и финансисты (24%), за ними идут помощники руководителя (16,2%) и IТ-специалисты (14,8%).
Конечно, эти цифры имеет смысл рассматривать с поправкой: службы безопасности традиционно контролируют работников на коррупционно емких должностях: бухгалтеров, финансистов — там, где потери могут быть серьезнее. В компании из 2000 сотрудников служба безопасности может контролировать небольшую группу риска из 20 человек, остальных игнорировать, предполагая, что за ними должны приглядывать линейные руководители. Такая позиция имеет право на жизнь, если служба безопасности понимает и принимает возможные риски.
Реакция бизнеса
Ожидание угроз и каналы контроля
Контроль электронной почты и внешних носителей ИБ-специалисты ставят во главу угла. О таких приоритетах свидетельствует 29% и 20% ответов соответственно. Интересно, что мессенджеры беспокоят только 11% опрошенных. Но такую низкую цифру нельзя объяснить тем, что работодатели не осознают угрозы. Мессенджеры легко заблокировать на корпоративных устройствах, что дает мнимое ощущение защищенности.
Внимательнее ИБ-службы начинают относиться к вопросам кадровой безопасности. Это косвенно заметно по ответам респондентов. Компании отслеживают нелояльное отношение сотрудников и саботаж (по 21% ответов), распространение негативной информации (23%), подверженность опасным зависимостям (16%). Приходится учитывать личностные особенности работников, чтобы понимать, с какой стороны ждать инцидента и где вести его профилактику.
Потери и реакция
Прямые или косвенные потери понесли 83% компаний, столкнувшихся с ИБ-инцидентами. Это привело к имиджевому и мелкому финансовому ущербу (по 28% ответов), а также к крупному финансовому ущербу (13%) и compliance-рискам — угрозе или факту наказания от регулятора (12%).
В связи с этим наметился интересный тренд в отношении к инцидентам. Хотя большинство организаций по-прежнему не рассказывают об утечках в СМИ (только 3,5% респондентов идут на публичный разговор), 28% опрошенных заявили, что сообщают о таких нарушениях пострадавшим (за год показатель вырос на 16%). Отношение к репутации меняется, и это положительный тренд, который будет только нарастать.
Увеличение числа рисков заставляет бизнес наращивать бюджеты на информационную безопасность. О росте финансирования заявили 30% компаний.
Показательно, что большие бюджеты на безопасность компании закладывают не для уплаты штрафов. Наказаний от регуляторов не так уж боятся: хотя в законодательстве и есть соответствующие статьи, по ним нет наработанной судебной практики. В этом видят прямую практическую пользу, особенно в самых уязвимых сферах, таких как ритейл, ТЭК, кредитно-финансовая сфера.
Но и свои интересы компании через суд защищать не торопятся. Иски на нарушителей не подают из-за особенностей судопроизводства: выиграть такое дело достаточно энергозатратно, а выгода совсем не очевидна. Второй аспект — это репутация и взаимодействие с органами управления. Деньги любят тишину — этот слоган все еще актуален для российской реальности.
Выводы
Еще год назад исследование фиксировало, что до 18% респондентов не владели информацией о количестве и качестве ИБ-инцидентов в своих компаниях. Это свидетельствовало о том, что внедрение программных продуктов для защиты данных в бизнесе оставалось сравнительно низким. Например, DLP-системы, направленные на предотвращение утечек, использовала только четверть компаний.
В 2018 году эта цифра увеличилась до 32% и, согласно прогнозам аналитиков, продолжит расти. По нашим оценкам, у рынка защиты данных гигантский потенциал, освоено только 10-15%. На его насыщение будут влиять требования регуляторов (в частности, ФЗ-187). Но играет роль и изменение экономической ситуации. Защита информационной безопасности становится частью процесса защиты и оптимизации самого бизнеса.
Запросить полное исследование с разбивкой по отраслям можно по ссылке.
