Кібертерористи наступають: як українські компанії «зміцнюють» свої позиції

«Найточніше визначення того, що зараз відбувається в Україні, – кібертероризм», – підкреслив директор з роботи з партнерами та клієнтами представництва Cisco в Україні та країнах СНД Сергій Мартинчук на нещодавньому Cyber Defence Congress 2K18. Спікери відзначали, що більшість великих кібератак виконували не економічні, а політичні та військові завдання. Разом з тим жертвами професійних хакерських ОЗУ стає все більше приватних компаній.

Як бізнесу вистояти в цій війні, зазнавши найменших втрат? Чому краще стати випадковою жертвою, а не інструментом кібератаки? На ці та інші питання відповідали спікери конгресу. Mind вибрав найбільш цікаві факти і думки.

Масштаб збитку. CEO та співзасновник страхового брокера «Інсарт» Олександра Гладишевська констатує: 2017 року втрати світової економіки від кібератак оцінюються в $600 млрд. До 2020 року аналітики «оптимістично» прогнозують зростання збитку до $2 трлн. «Лише від вірусу Petya українська економіка втратила $466 млн, або 0,5% ВВП. Це тільки білі цифри. Оцінити весь розмір збитку не може ніхто», – повідомила вона.

Сергій Мартинчук зазначив: до 2017-го багато українських компаній сподівалися, що їхня «хата скраю». Але масштабні атаки минулого року, особливо Petya, справили протверезний ефект. Спікер нагадав про нещодавно виявлений вірус VPN Filter. «Ним інфіковано понад 500 000 пристроїв у 54 країнах. Фахівці Cisco Talos дійшли висновку, що Україна – мета даної атаки. Найважливіше, що атаку ще не активовано. Поки пройшов лише перший етап інфікування. А з огляду на кількість заражених пристроїв, масштаб може бути величезним», – вважає він. Ті, хто не встиг «очиститися» від вірусу, можуть знайти детальні рекомендації на блозіCiscoTalos. 

Президент Київського відділення міжнародної неприбуткової професійної асоціації ISACA Олексій Янковський повідомив, що найближчим часом нас очікує кібератака, світовий збиток від якої може досягти $50 млрд.

В одному човні. Спікери іронізували, що всі компанії можна поділити на дві категорії: ті, хто знає, що їх хакнули, і ті, хто ще не в курсі. Третього, на жаль, не дано. За словами Олексія Янковського, останнім часом рівень загроз суттєво зріс. «Якщо раніше ми мали справу з хакерами-одинаками, то зараз – із професійними, структурованими ОЗУ, до складу яких входить по 10-30 осіб. Вони чудово знаються на різних сферах бізнесу, мають необмежені ресурси і час. Можуть дозволити собі роками намагатися зламати систему», – розповідає спікер.

«Згідно з даними звіту Allianz Global Corporate & Specialty, кіберзагрози вже перемістилися на друге місце в рейтингу найбільш небезпечних ризиків для бізнесу. Ще три роки тому вони були на 15-му», – розповіла Олександра Гладишевська.

За словами Сергія Мартинчука, в умовах кібертероризму компаніям відведено роль «мирних жителів», як у грі «Мафія». «У них є два варіанти – стати випадковою жертвою або інструментом атаки. Долі других (наприклад, компанії M.E.Doc) не позаздриш. Якщо компанія стає інструментом – її страждання множаться в десятки разів, тому що втрата іміджу просто шалена і почасти непоправна», – вважає спікер.

Як компанії «зміцнюють» позиції? Поки загальна картина «стройової підготовки» не вражає. «За даними звіту про інфобезпеку Cisco, 66% інцидентів не викриваються місяцями і навіть роками, до виявлення проникнення в середньому сягає 229 днів, у 60% випадків дані витікають у перші 24 години, і лише 33% організацій дізнаються про атаки за допомогою свого моніторингу», – підкреслює Сергій Мартинчук.

Олексій Янковський з ISACA повідомив: їхній нещодавній аудит українських компаній виявив, що багато хто поки не усвідомлює ризики, не знає про правила, інструменти і підходи до протидії. «Після вірусу Petya компанії стали будувати служби інформаційної безпеки (СІБ). Але навіть великі підприємства формують СІБ з 2-3 чоловік. Крім того, ми виявляємо недостатній рівень компетенції фахівців як IT-департаментів, так і СІБ, незлагодженість комунікації між цими підрозділами», – розповів Олексій Янковський.

Голова правління ІнАУ Олександр Федієнко провів невеличкий експеримент на конгресі: попросив відгукнутися тих, у кого на підприємствах впроваджені правила безпеки. Руку ніхто не підняв. «Можна найняти найкрутіших фахівців, але без правил з кібербезпеки нічого не працюватиме!» – зазначив Федієнко. Він упевнений: правила повинні знати всі – як нові, так і старі співробітники. Важливо тестувати персонал і не боятися штрафувати тих, хто порушує регламенти.

Олександра Гладишевська навела показовий приклад: «Наші клієнти заповнюють опитувальники і повідомляють, які системи кібербезпеки у них працюють. Іноді дуже дивують. Наприклад, представники однієї з українських страхових компаній написали, що у них на робочих станціях немає антивіруса. Ця компанія належить до ТОП-10 на своєму ринку і взагалі жодним чином не захищає дані своїх клієнтів».

Олексій Янковський повідомив, що поки лише деякі українські компанії стали будувати центри моніторингу та управління безпекою (Security Operation Center, SOC). Хоча багато хто почав цікавитися модними нині SOC.

Чарівна паличка. Крім трьох китів – впровадження інструкцій, навчання співробітників і використання різноманітних інструментів захисту – бізнесу допомагає і кіберстрахування», – вважає Олександра Гладишевська. У разі надзвичайної ситуації (фішингу, кібервимагання, крадіжки і знищення даних, отримання контролю над IТ-ситемами, атак на POS-термінали тощо) компаніям можуть виплатити за страховкою до $1 млн. Страховий тариф – від 1%. Наприклад, $10 000 в рік, якщо компанія страхується на $1 млн.

За словами CEO «Інсарт», застрахованим можуть відшкодувати збитки (упущений прибуток, претензії третіх осіб, штрафи держави) і витрати (реагування на кібератаку, відновлення даних і репутації, юридичну підтримку, проведення розслідування).

Присутні на конгресі співробітники компаній після виступу спікера іронізували, що страховики почали відбирати у них роботу: бізнесу простіше заплатити $10 000 на рік, ніж оплачувати працю хоча б декількох фахівців з безпеки.