В рамках Форума «Мультикарта. Технологии роста 2023», прошедшего в начале октября в Сочи, состоялась сессия, посвящённая проблемам информационной безопасности. Эксперты рассказали о проблемах страхования киберрисков, поделились своим мнением о том, почему важно в компаниях развивать концепцию ИБ «People-centric security».

Выступая на форуме, руководитель аналитического центра Zecurion Владимир Ульянов перечислил несколько причин, почему компании не спешат приобретать полисы страхования от киберрисков.

Есть организации, для которых неприемлемы ситуации, когда происходят киберинциденты, они не готовы терпеть последствия, поэтому стараются их предотвратить заранее.

«Но есть и другая категория компаний, я бы назвал их – пофигисты, им всё равно, что произойдёт. Например, произошла утечка, они вечером выпускают пресс-релиз и рассказывают, что виноват кто угодно – только не они», – рассказал эксперт.

Он считает, что нельзя винить такие компании в подобных действиях, потому что реальные штрафы за утечки информации ничтожно малы.

«Сейчас реальные штрафы – 60 тысяч рублей за утечку миллионов паспортных данных», – подчеркнул Владимир Ульянов.

Важной причиной, почему компании не покупают полисы, является достаточно высокий порог входа.

«Я общался с коллегами из разных компаний, у них этот порог оценивается по-разному. Но в среднем не менее 2 млн рублей – это минимальная сумма, за которою можно купить более или менее нормальный полис страхования от киберрисков. Для больших компаний такие суммы ничтожны, но для небольших компаний – это серьёзные деньги», – объяснил эксперт.

При этом нужно понимать, что приобретение полиса – это не панацея, нельзя застраховать киберриски и больше нечего не делать, нужно планомерно и на постоянной основе заниматься информационной безопасностью, считает руководитель аналитического центра Zecurion.

Не все киберриски могут покрываться страховым полисом

При наступлении негативного события его множественные последствия иногда могут превосходить ожидания компании. Поэтому при заключении договора страхования от киберисков важно составить перечень рисков, которые войдут в полис, объяснил Владимир Ульянов.

Есть, например, репутационные риски, которые сложно оценить и которые могут не включаться в страховой полис. Или внутренние угрозы – когда собственные сотрудники воруют данные и становятся виновными в киберинцидентах. Такие риски тоже, как правило, не закладываются в страховку.

Владимир Ульянов обратил внимание на базовые параметры, которые учитываются при расчёте стоимости полиса.

Во-первых, имеет значение лимит ответственности, то есть та сумма, которую страховщик готов выплатить компании в случае наступления страхового случая.

Во-вторых, стоимость полиса зависит от того, в какой отрасли работает компания. Финансовая сфера считается высокорисковой.

«Поэтому, даже если у вас в организации налажена политика безопасности и соблюдаются требования ИБ, стоимость полиса будет высчитываться по повышенному коэффициенту», – сказал эксперт.

Этап заполнения анкеты как камень преткновения

Руководитель аналитического центра Zecurion также объяснил, почему компании отказываются от страхования киберрисков, и на каком этапе это обычно происходит.

Может показаться, что самое большое количество отказов от страхования киберрисков происходит на этапе аудита, однако это не так, и наибольшее число отказов наблюдается на стадии заполнения анкеты, сказал он.

«Не нужно думать, что если вы хотите застраховаться, то к вам приедет целая команда из страховой компании с аудиторами и пентестерами, которые будут тщательно изучать вашу сеть. Нет, вам пришлют анкету, которую нужно заполнить. И на основании этой анкеты страховщик уже посчитает, какие у вас риски, и сколько будет стоить ваш полис», – объяснил Владимир Ульянов.

При этом 90% организаций отсеивается на этапе заполнения анкеты. Компании, которые имеют низкую степень зрелости в плане защиты от киберугроз, не проходят даже базовые фильтры страховщиков.

«Кстати, заполнение анкеты – очень ответственный момент, потому что на этом основании рассчитываются все риски. И если наступил страховой случай, а страховщик потом видит несоответствие того, что было указано в анкете, и реальности, тогда он может предъявить встречные претензии и даже отказаться от ответственности», – предупредил эксперт.

Концепция ИБ «People-centric security»

Самое слабое звено в кибербезопасности компании – это человек, который как умышленно, так и неумышленно становится помощником мошенников. Именно поэтому следует обратить внимание на концепцию «People-centric security» и больше времени и сил уделять формированию киберосознанного поведения людей, считает генеральный директор компании Phishman Алексей Горелкин.

Он привёл в качестве примера кейс, который получил распространение после начала СВО, когда на dark-форумах появлялись предложения системным администраторам или любым другим сотрудникам запускать зловредный код на компьютере за определённое вознаграждение – около 1500 долларов.

«Мне кажется, что все последующие масштабные утечки, которые мы видели, в том числе и падение Rutube, были связаны с этой активностью. По-другому было бы сложно злоумышленникам проникать в сеть», – заявил эксперт.

Любая атака – это процесс, который начинается с подготовки. И здесь киберпреступникам «помогают» сами сотрудники, потому что они оставляют заполненные анкеты в соцсетях – кем и где работают, с кем общаются и т.д., рассказал Алексей Горелкин.

Впрочем, есть неочевидный фактор – на этапе подготовки злоумышленники могут использовать утекшие базы паролей c сервисов ВКонтакте, Google, что происходит постоянно, отметил эксперт.

«Если сотрудники используют одинаковые пароли на домашних и корпоративных сервисах, значит у злоумышленника уже есть пароль от корпоративного сервиса», – объяснил Горелкин.

По его мнению, в корпоративную сеть можно проникать и через уязвимости, но это дорого: купить хороший эксплойт стоит до 100 тыс. долларов. Гораздо проще и дешевле сделать это через человека, когда готовятся и отправляются специальные письма, и люди их открывают.

«Если письмо адресовано конкретному сотруднику, он откроет его с большой долей вероятности, – считает эксперт. – В письме может быть призыв к какому-нибудь действию, например, передать информацию, отправить деньги и другие действия, выгодные злоумышленникам».

После того как сотрудник совершит то или иное действие, злоумышленник закрепляется в сети, происходит удалённое управление компьютером, и мошенники достигают своих целей – получают информацию, портят её или шифруют, отмечает Горелкин.

Информационная безопасность не должна быть карательным органом

Сотрудник компании может остановить кибератаку на организацию на начальных этапах, и для этого не нужно внедрять большое количество дорогостоящих решений. Если человек на этапе проникновения будет понимать, что происходит атака, злоумышленнику будет сложнее достичь своих целей, уверен генеральный директор компании Phishman.

На этапе, когда вирус уже оказался на рабочем компьютере, но сотрудник знает, как это распознать, и понимает, что об инциденте нужно сообщить в ИБ, атака может быть остановлена на ранней стадии, считает он. Антивирусы – это хорошо, но они не панацея, что заметно по количеству атак и утечек.

Многие знают, как надо действовать во время пожара, но не имеют представления, что делать во время массового киберинцидента, когда сеть перестаёт работать, потому что кто-то проник в неё и начал отключать сетевое оборудование, говорит Алексей Горелкин.

Чаще всего проблема по информированию сотрудников решается посредством локальных нормативных актов и «бумажных» мер. Но часто такой подход не работает и превращается в стандартную формальность.

«То, что вы дали сотруднику подписать 300 страниц нормативного акта, которых он больше никогда не увидит, это не значит, что у вас всё безопасно. То, что у вас есть политики – это хорошо. Но кто их соблюдает? Я знаю случай, когда в компании был нормативный акт, говорящий о том, что ответственность за все инциденты на рабочей станции несёт сам сотрудник. То есть, когда вирус на компьютере – это виноват не ИБ департамент, а он», – рассказывает Горелкин.

Эксперт считает, что наказание в данном случае порождает так называемых «молчунов», от которых можно слышать всегда одну и ту же фразу «оно само сломалось».

«Это происходит потому, что люди не хотят сотрудничать с информационной безопасностью, она для них «злая», просто карательный орган. ИБ должна быть дружелюбной и помогать вести деятельность в компании безопасно и эффективно», – уверен эксперт.

Текст: Оксана Дяченко

Материал также опубликован в печатной версии Национального банковского журнала (октябрь 2023)