Дистанция между ИТ и ИБ выросла

По оценке Игоря Ляпунова, увеличение разрыва напрямую связано с тем, что в период пандемии цифровизация значительно ускорилась, причем безопасности уделялось очень мало внимания, при этом драматически изменился ландшафт киберугроз, расширились сферы внимания злоумышленников: "Если раньше киберпреступность была так или иначе замкнута в достаточно узкой сфере кредитно-финансовых организаций и e-commerce, то сейчас спектр ее целей расширился, появились такие примеры, как вымогательство, шифровальщики. Усложнились техники киберугроз - появились, например, атаки на разработчиков программного обеспечения, атаки через ИТ-поставщиков, атаки на каркасные ИТ-системы, системы ИТ-мониторинга. Наконец, увеличилась скорость развития атак".

Юрий Максимов, основатель Positive Technologies, отметил, что радикально снизился порог входа на рынок киберпреступности. Это привело к росту количества киберпреступников и атак. Соответственно, по мнению Юрия Максимова, изменились и цели, которые должны ставить перед собой ИБ-службы в компаниях: "Постановка целей просто повышения защищенности компании - то, что работало пять лет назад, - сейчас не работает. Целеполагание должно быть другим: руководитель определяет неприемлемые для компании риски и ставит задачу службе ИБ сделать так, чтобы они были невозможны". При этом достижение этих целей не требует значительных затрат, этого можно добиться и при существующих бюджетах. Однако это возможно при условии, что ИБ сможет донести до руководства бизнеса, причем на понятном ему языке, важность мер, направленных на повышение кибербезопасности. Тем более что если эти требования соблюдаются уже на стадии проектирования систем, то это не влияет на их стоимость. А если даже и влияет, то все равно обойдется дешевле, чем защищать уже построенную инфраструктуру, где безопасностью пренебрегли.

Заместитель директора ФСТЭК Виталий Лютиков отметил, что целеполагание в сфере кибербезопасности уже закреплено в законе 187-ФЗ и подзаконных актах к нему. Тем не менее проблема, по его мнению, также заключается в том, чтобы донести до бизнеса требования по кибербезопасности: "Первая проблема, на наш взгляд, заключается в том, что ИБ-специалисты не могут правильно преподнести руководителю риски и возможные негативные последствия кибератак. Нужно повышать уровень подготовки ИБ-специалистов с точки зрения ориентации на бизнес-процессы". Также Виталий Лютиков посоветовал при разговоре с бизнес-руководством исходить из того, что прибыль ­­- это не только прямые поступления материальных ценностей, и тут действительно ИБ ничего сделать не может, но и отсутствие убытков, что обеспечить уже вполне реально.

Директор Департамента экономической безопасности в ТЭК Минэнерго России Антон Семейкин обратил внимание, что часто службы кибербезопасности при строительстве систем защиты сосредотачивают комплекс мер на предотвращении действий внешних злоумышленников. Но при этом действия внутренних нарушителей могут нанести не меньший ущерб. Особенно тяжелая ситуация в небольших компаниях, где системы защиты могут просто отсутствовать, хотя в крупных все обстоит относительно неплохо.

И примеры тому уже есть. К примеру, заместитель председателя правления ПАО "СберБанк" Станислав Кузнецов объявил, что специалисты банка предотвратили за 11 месяцев 2011 г. кражу более 100 млрд руб. у клиентов. И это несмотря на то, что активность злоумышленников была максимальной за все время. В день профильные службы отражают в среднем 100 кибератак.

Первый заместитель директора Национального координационного центра по компьютерным инцидентам (НКЦКИ) Игорь Качалин подчеркнул необходимость готовить не только технических специалистов по кибербезопасности, но и менеджеров, которые формировали бы пути развития в компаниях.

Дмитрий Григорьев, директор Департамента защиты информации и IT-инфраструктуры компании "Норильский никель" согласился, что ИБ-подразделение должно обладать умением аргументировать перед руководством необходимость инвестиций в ИБ. Очень важны также киберучения в рамках компании.

Но при этом ситуация с кадрами стоит весьма остро. Станислав Кузнецов назвал ее даже катастрофической. По его оценке, дефицит составляет порядка 20 тыс. специалистов. Но самой серьезной проблемой является дефицит преподавательских кадров.

Заместитель министра цифрового развития, связи и массовых коммуникаций РФ Александр Шойтов назвал работу с профильными вузами одним из важнейших направлений своего ведомства. Также объявлено, что министерство разрабатывает программы по тестированию и государственных служащих, и граждан в области кибербезопасности. Кроме того, ведется методическая работа по оценке защищенности различных объектов, для чего привлекаются и коммерческие компании.