Кібербезпека - це сукупність мір у вигляді законів, регуляцій і стандартів з одного боку. Галузевих рішень, обладнання та програмного забезпечення, і щонайважливіше кваліфікованих спеціалістів з іншого. Які разом можуть створити ефективні процеси протидії кіберзлочинності.

Охоплюючи безліч технологій, процесів і засобів управління, кібер безпека вимагає особливої уваги до її фінансування та оцінки ризиків, а також досвідченого та професійного менеджменту.

Наша мета - допомагати вам створювати та вдосконалювати
ефективність системи захисту бізнес-інфраструктури. Тим самим, ми надаємо вам можливість зосередитися на роботі з клієнтами та підвищенні показників прибутку.
БЕЗПЕКА
КІБЕР
Найважливіше про кібербезпеку
Яку ціль допомагає забезпечувати кібербезпека?
Основна ціль кібербезпеки - захист комп'ютерних систем, включаючи апаратне й програмне забезпечення, даних і цифрової інфраструктури від несанкціонованого доступу, а також від інших пошкоджень або недоступності.
Додатковий вплив на кібербезпеку має GDPR (Загальний регламент захисту даних) який зобов'язує організації вживати відповідні заходи щодо захисту оброблюваних ними персональних даних, та міжнародний стандарт ISO 27001, що описує кращі практики та вимоги до створення системи управління інформаційною безпекою (СУІБ).
Основа ефективної кібербезпеки
  • Люди
Кожен співробітник вашої компанії повинен усвідомлювати свою роль в запобіганні і зменшенні кіберзагроз. Особливо, це стосується спеціалістів що займаються кібербезпекою, які повинні бути в курсі останніх кібер-ризиків, запобіжних рішень та заходів, постійно підвищувати кваліфікацію необхідну для вчасного та ефективного реагування на інциденти.

  • Процеси
Чітко сформульовані та задокументовані процеси допомагають визначати ролі і обов'язки їх учасників, а також процедури, яких слід дотримуватися у відповідь на виникаючі загрози чи інциденти. Однак, це не відміняє регулярного перегляду, та оновлення цих процесів, щоб врахувати найсвіжіші тенденції кіберзлочинного середовища.

  • Технології
На сьогоднішній день, галузь переповнена тисячами апаратних і програмних рішень, які застосовують різні технології для забезпечення кіберзахисту. Зробити правильний вибір ефективного рішення стає все складніше. Однак, технологічно вірне рішення в сукупності з професійним досвідом інженера з безпеки, можуть гарантувати зниження ризиків пов'язаних з кіберзагрозами.
    Чому кібербезпека так важлива?
    Кібератаки є джерелом серйозних проблем, особливо для компаній, які не дбають про свою безпеку. Причому проблеми часто мають ефект снігової кулі. Зупинка ключових процесів і систем, фінансові втрати, штрафи за недотримання законів і регуляцій, репутаційні втрати і т.д. Крім цього, для виявлення інцидентів (джерела проблеми, атаки) і їх усунення часто потрібні місяці роботи, участь третьої сторони (підрядника).

    • Витрати пов'язані з усуненням наслідків кібератак і штрафи будуть збільшуватись
    Європейський закон про захист даних GDPR встановлює максимальний штраф у розмірі 20 мільйонів євро або 4% від річного світового обороту компанії, в залежності від того, що більше. Такий штраф доповнюється збитками від простою, судовими позовами від клієнтів, втратою організаційної стійкості і репутації.

    • Кібератаки стають все більш витонченими
    Зловмисники використовують найрізноманітніші тактики, включаючи соціальну інженерію, шкідливе ПЗ і здирників (Petya, WannaCry і NotPetya). Це означає, що вашу компанію вивчають довго і планомірно, виявляючи усі можливі вразливості, що дозволяє згодом завдати серйозної шкоди бізнес-інфраструктурі в лічені хвилини.

    • Кіберзлочинність - це великий бізнес
    Кібер-зловмисники, як і інші шахраї, мають ті ж мотиви для своїх дій - отримання вигоди. Фінансова вигода є спільною мотивацією, але вона також може бути обумовлена політичними, етичними, інтелектуальними або соціальними стимулами. Згідно з дослідженням, проведеним Bromium, в 2018 році глобальна економіка кіберзлочинів оцінювалася в 1,5 трильйона доларів.

    • Кібербезпека це не тільки організаційний або державний рівень, це проблема світового масштабу
    Всі вищезгадані чинники мають величезний вплив на світову спільноту, тим самим створюючи підгрунтя для формування нових законодавчих актів, регуляцій, розробки і впровадження нових технологій і рішень для захисту. Це означає, що менеджмент компаній буде змушений все більше приділяти увагу цьому питанню.
    Перелік контролів, необхідних для створення ефективної системи захисту від кібер загроз
    Для ознайомлення з цим питанням, пропонуємо використати адаптовану діаграму від компанії Center for Internet Security, Inc. (CIS®). (Джерело cisecurity.org)
    Діаграма відображає перелік з 20 основних контролів необхідних для створення ефективної системи управління кібер безпекою. Даний перелік розділений на 3 рівні невипадково.

    Базовий рівень повинен бути впроваджений за замовчуванням і застосовується до всіх компаній, основна задача яких - підтримувати бізнес, оскільки вони мають обмежену терпимість до простоїв. Чутливість даних, які вони намагаються захистити, низька і в основному містить інформацію про працівників та фінансову інформацію.

    Фундаментальні контролі впроваджуються слідом за базовими, та застосовуються до більших та зрілих організацій в яких працюють люди, відповідальні за управління та захист ІТ-інфраструктури. Ці організації підтримують декілька відділів з різними профілями ризику на основі бізнес процесів та місії, і можуть мати тягар регуляторного дотримання. Також вони можуть зберігати та обробляти конфіденційну інформацію про клієнта чи компанію і можуть витримувати короткі перебої в обслуговуванні. Основне занепокоєння в них викликає втрата довіри громадськості у разі порушення.

    Організаційні контролі 3-го рівня відносяться до компаній з фахівцями з безпеки, які спеціалізуються на різних аспектах кібербезпеки (наприклад, управління ризиками, тестування на проникнення, безпека додатків). Системи та дані містять конфіденційну інформацію або функції, які підлягають контролю за дотриманням регуляторних норм та відповідності. Організація повинна забезпечувати доступність послуг, конфіденційність та цілісність даних. Контролі цього рівня, повинні зменшити цілеспрямовані атаки та зменшити вплив атак нульового дня.

    Хоча цей підхід дає узагальнені вказівки щодо визначення пріоритетності використання контролів управління кібербезпекою, це не відміняє потребу організації розуміти власну позицію щодо організаційних ризиків. Організації все ж повинні прагнути виконувати власний обов'язок аналізувати та пристосовувати свою реалізацію контролів виходячи з потреб та враховуючи доступні ресурси, місію та ризики. Наміром є допомогти організаціям зосередити свої зусилля на основі наявних у них ресурсів та інтегруватись у будь-який раніше існуючий процес управління ризиками.
    Небезпечна статистика
    Статистика подій пов'язаних з кіберзагрозами за останні 3 роки
    Наведена діаграма яскраво відображає стабільну тенденцію до зростання кількості кібератак. В середньому, кожного року обсяг подій збільшується приблизно на 25% і ми не можемо назвати цю статистику втішною. Це означає, що ландшафт кіберзагроз змінюється, атаки стають більш поширеними та маштабнішими. При цьому кількість професіоналів в області кібербезпеки залишається недостатньою, а обізнаність пересічного користувача критично низькою.

    За діаграму дякуємо популярному серед фахівців з інформаційної безпеки аналітичному ресурсу hackmageddon.com
    Топ 10 найпоширеніших атак за перший квартал 2020 року
    Поглянувши на цю діаграму, ми з вами можемо побачити, що переважну більшість всіх атак - 66,2%, займають 3 типи:
    Malware / PoS Malware (Шкідливе ПЗ/Шкідливе ПЗ для платіжних терміналів) - 37,8%;
    Account Hijacking (Злам аккаунта) - 17,6%;
    Targeted attack (Цільові атаки) - 10,8% відповідно.

    Це обумовлено тим, що цілі на які направлені ці атаки є найбільш фінансово привабливими для кіберзлочинців. То можуть бути компанії корпоративного сегменту (фінансові установи, промисловість, рітейл, транспорт, енергетика, тощо), соціальні мережі (аккаунти, групи та інше), та люди (селебріті, політики, топові блогери).

    Ще 16% розподіляються між 2 типами в результаті складаючи 82,2% від загального числа атак:
    Unknown (Невідомі атаки) - 9,6%;
    Vulnerability (Пов'язані з вразливостями) - 6,4%.

    Кажучи простою мовою, майже десять відсотків атак залишаються неопізнаними та нерозслідуваними, а більше шести відсотків виникли в наслідок недбалості потерпілої сторони.

    Останні 17,8% складають такі типи як:
    Malicious Spam (Зловмисний спам) - 4,2%;
    Maliсious Script injection (Зловмисне включення програмного коду) - 3%;
    DDoS (Відмова в обслуговуванні)- 2,5%;
    Misconfiguration (Пов'язані з помилками у конфігурації обладнання чи ПЗ) -1,7%;
    Business Email compromise (Компрометація робочого email-у) - 1,7%;
    Інші - 4,7%.

    Статистика щодо цих атак трохи поліпшилася в порівнянні з минулими роками, але все ще залишається досить вагомою. Тут ми бачимо й масові зловмисні розсилки підроблених даних, фішинг, соціальна інженерія, старий "добрий" DDoS, який стає одним з найдешевших способів вивести конкурентів з гри. Далі йдуть помилки з налаштуванням обладнання, котрі як завжди пов'язані з людським фактором, та інші.

    Загалом, висновок один. Вибір атак залежить від потенційної вигоди, обізнаності та досвіду як злочинця так і цілі, та собівартості самої атаки.

    Дякуємо популярному серед фахівців з інформаційної безпеки аналітичному ресурсу hackmageddon.com за діаграму, яка відображає процентне співвідношення типів атак впродовж першого кварталу 2020 року.
    Топ 10 цілей за перший квартал 2020 року
    Ця діаграма з того ж ресурсу hackmageddon.com, є відображенням декількох залежностей, та надає статистику атак згідно цілей. Поглянемо на неї більш детальніше.
    Два найбільших цільових сегмента, це:
    Multiple Industries (Кілька галузей) - 17,8%;
    Individual (Приватна особа) - 18,9%.
    Для першого це означає, що зловмисник не обирає для своєї атаки якусь конкретну галузь чи ціль, або навпаки має намір атакувати обрані цілі у визначених галузях. Теж відноситься і до приватних осіб. Зазвичай для цього використовують атаки з великим охопленням, чи адресовані атаки. Дуже часто цілями в цих сегментах є - промисловість, енергетика, фінансові установи, соціальні мережі, політики, селебрітіз, блогери та інші. Залежність полягає в тому, що це найбільш фінансово вигідні цілі.

    Наступним сегментом по об'єму, слідує:
    Public administration, defence (Державне управління, оборона) - 11,2%.
    Зрозуміло, що в наш час атаки на органи державного управління та оборону дуже поширені. Цілями можуть бути - сайти державних установ, передвиборчих компаній, оборонна промисловість та інші. Людей вводять в оману фейковими веб-сторінками, дискредитують конкретних персон, викрадають бази даних населення, шпигують за розміщенням і стратегією збройних сил, тощо.

    Три наступних:
    Human health and social work (Охорона здоров'я та соціальна робота) - 9%;
    Financial and insurance (Фінанси та страхування) - 7,5%;
    Education (Освіта) - 7,5%.
    Ці цілі привабливі з точки зору компрометації даних користувачів, викрадення клієнтських баз та карткових даних, атаки на платіжні термінали, злам аккаунтів, фінансові крадіжки і махінації, відмивання грошей та інше.

    Ще дві цілі:
    Manufacturing (Виробництво) - 4%, та
    Professional scientific, technical (Професійні наукові, технічні) - 4,8%.
    Як правило це атаки на конкурентів у вигляді промислового шпигунста чи саботажу. Стосується викрадення патентів, ідей, розробок, або умисне знищення конфіденційних даних.

    І три останні:
    Wholesale and retail trade (Оптова та роздрібна торгівля) - 4,4%
    Тут можуть поєднуватися атаки на конкурентів, викрадення клієнтських баз та карткових даних, атаки на платіжні термінали.

    Information and communication (Інформація та комунікація, ЗМІ) - 2,4%
    З цим ситуація дещо інша - атаки на конкурентів, саботаж, шахрайство, викрадення даних та інше.

    Other (Інші) - 12,3%
    Це ті цілі які не були відображені окремо в рамках наведеної аналітики.

    Підведемо підсумки.
    1. Важливо зрозуміти, що більшість атак не є випадковістю. А отже, оцінюючи ризики кібербезпеки, приділяйте особливу увагу вашому конкурентному середовищу.
    2. Не треба відкидати навіть найдрібнішу можливість виникнення інцидентів та загроз.
    3. Регулярно використовуйте аналітичні дані подібні до цих, щоб прогнозувати можливі ризики, та заздалегідь готуватися до їх наслідків.
    ЩО МИ ПРОПОНУЄМО
    • онлайн чи офлайн консультування з будь-яких питань стосовно дотримання рекомендацій The 20 CIS Controls & Resources та впровадження найкращих практик кібербезпеки
    • це швидко і зручно, достатньо лише обрати спосіб зв'язку з нашим спеціалістом
    • ви можете обрати погодинну консультацію за фіксованою ціною
    • або співпрацювати у форматі місячної, квартальної чи річної підписки від 10 годин щоб отримати ексклюзивний прайс
    *90.00 / година
    без ПДВ
    Почати діалог
    • ви можете обрати будь-яку з 3-х проектних послуг
    • швидка оцінка - аналіз будь-якого одного з контролів згідно The 20 CIS Controls & Resources
    • геп-аналіз - аналіз недоліків у існуючих контролях кібербезпеки (може бути обмежений підрозділом, бізнес юнітом, чи офісом)
    • аудит - дає можливість поглянути на все зі сторони і отримати експертну оцінку впровадженої системи кібербезпеки
    • кожен зі звітів містиме:
      повний перелік невідповідностей по рівням критичності; рекомендації щодо поліпшень; дорожню карту впроваждення змін
    Зверніться до менеджера, щоб отримати комерційну пропозицію
    Почати діалог
    • проект побудови системи кібербезпеки під ключ з дотриманням вимог The 20 CIS Controls & Resources
    • проект включає:
      - геп-аналіз або аудит, для розуміння поточного стану, та для оцінки контролів системи кібербезпеки, якщо якісь вже були впроваджені;
    • - розробка плану проекту та дорожньої карти впровадження чи поліпшень;
    • - розробка документації: стратегій, політик, процесів, процедур, карти ризиків, тренінгів, програм обізнаності;
    • - допомога у виборі систем та рішень згідно найкращім практикам;
    • - тестування процесів, процедур, впроваджених контролів, оцінка результатів;
    • - контроль та звітність на всіх етапах проекту;
    • - навчання персоналу
    Зверніться до менеджера, щоб отримати комерційну пропозицію
    Почати діалог
    • ви можете обрати місячну, квартальну чи річну пидписку на підтримку належного стану системи кібербезпеки та її відповідності вимогам The 20 CIS Controls & Resources
    • може містити:
      - пакет годин консультацій необхідного спеціаліста, розрахований згідно з вашими потребами;
    • - пакет швидка оцінка / геп-аналіз / аудит, з обраною вами періодичністю;
    • - пакет супровід, допомога та контроль у вашому самостійному проекті з впровадження змін чи поліпшень;
    • - пакет поліпшення, в якому ми поліпшуємо артефакти системи кібербезпеки, якщо ваша компанія того потребує;
    • - усі необхідні звіти та проектну документацію
    Зверніться до менеджера, щоб отримати комерційну пропозицію
    Почати діалог
    Не знайшли те що шукали?
    Ми завжди готові допомогти з вирішенням Вашої проблеми або відповісти на термінові питання.
    Для цього Вам необхідно лише обрати зручний засіб зв'язку з нашими фахівцями.
    ПОРАДА ЕКСПЕРТА
    Цей сайт використовує файли cookie для аналізу нашого трафіку, персоналізації контенту та реклами, а також надання доступу до функцій соціальних мереж.

    Інформація про ваше використання цього сайту доступна нашим партнерами з соціальних мереж, рекламним партнерами і партнерами з аналітики.
    Вони можуть поєднувати цю інформацію з іншими даними про вас, які вони зібрали під час вашого користування їх послугами.

    Дізнайтесь більше про умови використання файлів cookie ознайомившись з Політикою конфіденційності.
    Добре
    Made on
    Tilda