Узнайте, почему регулярная оценка киберрисков критически важна для современной компании. Статья раскрывает преимущества таких аудитов — от выявления уязвимостей и приоритизации мер до соблюдения комплаенса и снижения финансовых потерь от утечек данных.
С определенного возраста многие люди регулярно проходят медицинские осмотры. Это позволяет своевременно выявить риски и угрозы и принять соответствующие меры.
То же самое применимо и к кибербезопасности: регулярная оценка рисков помогает службам безопасности выявлять уязвимости и области для совершенствования. К сожалению, такие оценки проводятся не повсеместно.
Преимущества оценки киберрисков
Руководители по информационной безопасности (CISO) получают следующие преимущества, интегрируя оценку киберрисков в свою работу:
- Выявление уязвимостей: Оценка киберрисков помогает обнаружить пробелы в безопасности ИТ-инфраструктуры, сетей и систем компании. Это дает возможность устранить данные уязвимости до того, как ими воспользуются киберпреступники.
- Приоритизация мер по управлению рисками: Не каждая система является критически важной, и не все данные компании одинаково ценны. Результаты оценки рисков проясняют, какие активы и системы являются наиболее критичными и подвержены наибольшему риску атаки. На основе этого менеджеры по безопасности могут расставить приоритеты для своих мер и, таким образом, более эффективно распределять ресурсы, чтобы в первую очередь устранить наиболее критические риски.
- Соблюдение требований комплаенса: Практически каждая компания обязана соблюдать различные нормы защиты и безопасности данных, такие как GDPR или Стандарт безопасности данных индустрии платежных карт (PCI DSS). Многие из этих законодательных требований прямо предписывают проведение определенных оценок рисков, например, оценку воздействия на защиту данных (DPIA) в рамках GDPR. Оценка рисков помогает соответствовать требованиям комплаенса различных нормативных актов. Это гарантирует соблюдение необходимых стандартов безопасности и позволяет избежать потенциальных штрафов или юридических последствий за нарушения.
- Принятие взвешенных решений и снижение затрат: Оценка киберрисков дает компаниям всестороннее понимание своих киберугроз. Это позволяет им принимать обоснованные решения относительно стратегий снижения рисков, тем самым уменьшая вероятность успешной и дорогостоящей кибератаки. Кроме того, это дает возможность более целенаправленно и, следовательно, эффективнее инвестировать в свою кибербезопасность.
Взгляд на риски данных
Целью большинства кибератак являются данные компании — с огромными и дорогостоящими последствиями: согласно отчету IBM «Стоимость утечки данных 2025», средний ущерб от утечки данных составил 4,44 миллиона долларов. Поэтому крайне важно внимательно изучить данные и риски, которым они подвержены.
Это тем более важно, поскольку, в отличие от инфраструктуры и других систем, данные не являются «непреложными». Серверы можно перенастроить, облачные инстансы — воссоздать. Но однажды похищенные данные остаются в руках киберпреступников. Резервные копии не дают от этого защиты.
Анализ почти 10 миллиардов облачных объектов, проведенный в рамках оценки рисков данных более чем в 700 компаниях различных отраслей по всему миру, выявляет риски, которым в целом подвергаются данные. Согласно анализу, каждый десятый набор данных в облаке доступен всем сотрудникам. Это создает внутренний радиус, который значительно увеличивает потенциальный ущерб от атаки программ-вымогателей (ransomware).
Однако отсутствие многофакторной аутентификации (MFA) также облегчает злоумышленникам компрометацию данных, подверженных внутреннему доступу: компания Microsoft обнаружила, что более 99% скомпрометированных учетных записей не используют MFA.
Заключение
Эти общие выводы уже указывают на самые проблемные области. Тем не менее, важно определить индивидуальный риск для данных и выявить слабые места в рамках оценки рисков данных.
Компании, как правило, не знают, какими данными они располагают, где они хранятся и кто имеет к ним доступ. Только обладая этой основополагающей информацией, они могут выявить свои риски и принять целенаправленные меры. Затраты времени управляемы — около двух-четырех часов, — а подробный отчет предоставляет немедленно применимые рекомендации. Кроме того, процесс оценки часто выявляет дополнительные проблемы безопасности, начиная от продолжающихся кибератак и заканчивая паролями Kerberos, которым до 15 лет.
Регулярно проводимые оценки киберрисков позволяют четко и проверяемо документировать прогресс в области защиты данных — в том числе для руководства. У CISO наконец появляется инструмент, который делает их успехи в сфере кибербезопасности наглядными.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Michael Scheffler