За год количество нарушений информационной безопасности в России выросло в 2,5 раза. А средний ущерб от инцидента увеличился почти на 50%. Теперь он составляет $5 млн против прошлогодних $3 млн. Такие данные приводит компания PricewaterhouseCoopers, ее эксперты провели опрос компаний во всем мире, в их числе были и российские. Выяснилось, что в 2015 году участники исследования из России увеличили бюджеты на информационную безопасность в среднем на 35%. Консультант по интернет-безопасности компании Cisco Алексей Лукацкий ответил на вопросы ведущего «Коммерсантъ FM» Марата Кашина.
Фото: Евгений Павленко, Коммерсантъ / купить фото
— О какого рода нарушениях информационной безопасности идет речь? Какие наиболее часто встречающиеся примеры нарушений информационной безопасности в России?
— Коль скоро речь зашла о финансовом исчислении, как правило, это кража денег со счетов клиентов, либо физлиц, либо юрлиц. Страдают либо сами банки, либо организации, которые в банках держат счета. Это то, что лежит на поверхности.
— Банковская сфера прежде всего подвержена таким нарушениям?
— В первую очередь, потому что она считается легче всего. Разумеется, есть различные атаки, отказ в обслуживании на интернет-ресурсы компаний, это простое, их считать сложнее. Есть атаки на промышленные предприятия, на систему управления технологическими процессами, там финансовый ущерб считается очень сложно.
— Получается, что хакеры все-таки идут на шаг вперед тех, кто в компаниях должен отвечать за информационную безопасность?
— Не совсем так. Если бы они шли совсем вперед, то объемы ущерба были бы гораздо больше.
— Тогда как объяснить возросший ущерб от нарушений?
— Если сравнивались цифры с прошлым годом, в России курс рубля упал ровно вдвое, поэтому, не зная исходной точки отчета и как пересчитывали, очень сложно говорить. Это реально в 2,5 раза выросло, либо всего на четверть.
— Возможно, дело только в девальвации рубля, а вовсе не в том, что хакеры стали талантливее?
— Вполне возможно, потому что названная средняя цифра в $5 млн для российских компаний — нельзя представить, что такие деньги крадут и что это средняя цифра по рынку России.
— PricewaterhouseCoopers проводили исследование по всему миру, не только в России.
— Во всем мире, да.
— И они выяснили, что в мире количество инцидентов, связанных с информационной безопасностью, выросла, а финансовый ущерб наоборот сократился. Почему такая история, почему число нарушений не сказывается на денежных потерях?
— Потому что достаточно сложно определить понятие инцидента, оно регулярно меняется. Когда-то считалась инцидентом только кража каких-то денег, сейчас под этот инцидент попадает, например, DDoS-атака, то есть отказ в обслуживании какого-то сайта, утечка информации, спам, вирусы, атаки на промышленные предприятия, которые непосредственно к финансовым потерям сразу не ведут. Поэтому число инцидентов растет, а число финансовых хищений или ущерб в финансовом исчислении не растет, либо даже снижается.
— Вы как консультант по интернет-безопасности какие рекомендации можете дать частным, государственным компаниям для того, чтобы повысить их информационную безопасность?
— Самая простая рекомендация — не закрывать глаза на эту проблему, потому что, к сожалению, руководство компаний считает это некой шалостью, несущественным риском для себя, поэтому уделяют этой проблеме немного внимания, а злоумышленники этим пользуются. А специалистам по безопасности рекомендация простая — научиться говорить на языке бизнеса, а не использовать непонятный сленг, который непонятен руководству, которое из-за этого не дает денег на безопасность.
— Отмечается, что 72% опрошенных российских компаний собираются воспользоваться «облачными» решениями для обеспечения безопасности. Они безопаснее, они качественнее, чем традиционные? Давайте, может быть, сейчас их и отговорим от этого опрометчивого шага?
— Нет, отговаривать, разумеется, не стоит, здесь надо просто взвешенно подходить, взвешивать свои риски, преимущества и затраты на содержание собственной службы безопасности, либо на уход в «облака» и аутсорсинг. И после такого взвешенного анализа можно принимать решения.
— Да, то есть в «облака» лучше не уходить, оставаться на земле?
— Лучше обдуманно уходить.