19 ноября 2014
Инциденты в информационной безопасности крупных российских компаний (2013 год)
Исследовательский центр Positive Research,
POSITIVE TECHNOLOGIES
Введение
Политика раскрытия информации об инцидентах в информационной безопасности крупных компаний до сих пор остается спорным вопросом. С одной стороны, в некоторых странах есть законы, которые обязывают компании отчитываться перед государством и обществом об инцидентах. Это логично, потому что подобные проблемы касаются не только самой компании, но и множества граждан — ее клиентов. А в ряде случаев возможны и угрозы для национальной безопасности...
С другой стороны, компании не любят рассказывать о своих неудачах, поскольку это подрывает их репутацию. Поэтому в России, где нет законов о раскрытии инцидентов, крайне мало статистики по этому вопросу. А раз нет статистики, значит, нет и проблем, — так, по крайней мере, может показаться, и это в свою очередь приводит к неверным решениям по обеспечению ИБ на предприятиях и в организациях.
Исследовательский центр Positive Research собирает и регулярно публикует техническую аналитику в области безопасности, включая результаты тестов на проникновение и анализ уязвимостей на основе исходных кодов. Эти отчеты показывают, что уровень потенциальной угрозы кибератак во многих крупных компаниях довольно высок. Но превращаются ли потенциальные угрозы в реальные потери? Для ответа на этот вопрос мы впервые решили провести не техническое исследование, а опрос среди представителей ключевых отраслей. Цель этого опроса — узнать, как сами компании оценивают угрозы и состояние своей защищенности, и насколько эти оценки отличаются от нашей статистики, полученной при анализе корпоративных информационных систем.
Резюме
Опрос проводился среди руководителей 63 крупнейших российских компаний. Как выяснилось, в 2013 году заметные инциденты в сфере информационной безопасности происходили во всех опрошенных компаниях. Более чем в половине компаний (58%) инциденты привели к существенным проблемам: в 31% компаний это были нарушения IT-инфраструктуры, в 15% компаний — финансовые потери, в 12% репутационные издержки. Критических инцидентов больше всего было в банковском секторе, в СМИ и транспортных компаниях.
Большинство инцидентов связано с атаками из интернета: это DoS (23%) и атаки на внешние веб-приложения (21%). Но высока и доля инцидентов, причина которых находится внутри компании: это нарушение правил эксплуатации (16%) и злоупотребления сотрудников (14%). При этом среди главных источников угроз — не только кибер-преступники (31%), но и злоупотребления администраторов сетей (23%), а также работа спецслужб (9%).
Основными проблемами, мешающими обеспечивать безопасность на должном уровне, названы недостаток ИБ-специалистов (37%) и несовершенство нормативно-законодательной базы (26%).
При организации безопасности большинство крупных компаний руководствуются обязательными к исполнению государственными нормативами, однако высока и роль экспертов: 55% опрошенных руководителей полагаются на мнение собственных специалистов по безопасности – это больше, чем число тех, кто верит в отраслевые или международные стандарты. Также большое значение имеет своевременное получение информации об уязвимостях из внешних источников
Состав респондентов
Опрос проводился в апреле-мае 2014 года среди руководителей 63 крупнейших организаций России. В анкетировании участвовали представители банковской (42%), телекоммуникационной (17%), топливно-энергетической (13%), транспортной (4%) и других отраслей, а также государственных организаций и ведомств (12%).
Более 80% исследованных организаций входят в российский топ-100 по объемам капитализации (РИА Рейтинг, 2013). Примерно половина (45%) компаний — участниц опроса обладают крайне разветвленной сетевой инфраструктурой и насчитывают свыше 50 тыс. узлов; еще у 25% — от 20 до 50 тыс. узлов.
Критических инцидентов больше половины
В 2013 году инциденты информационной безопасности были зарегистрированы в каждой из опрошенных компаний. Большинство российских системообразующих компаний, промышленных предприятий и организаций сталкивались с хакерскими атаками и заражением вредоносным ПО. При этом свыше половины опрошенных компаний (58%) испытывали из-за ИБ инцидентов существенные проблемы — несмотря на выстроенные процессы обеспечения безопасности. К финансовым потерям инциденты привели в 15% компаний, к репутационным издержкам в 12%, к нарушению функционирования IТ-инфраструктуры — в 31%.
Самые атакуемые: банки, транспорт, СМИ
Если в среднем в России в 2013 году на одну крупную организацию приходилось до 100 инцидентов, то в отдельных транспортных и крупных медиакомпаниях эта цифра существенно превышала средние показатели и могла доходить до 1000 инцидентов.
Инцидентов, которые респонденты отнесли к критическим, больше всего было в банковском секторе и медиакомпаниях.
Самые частые инциденты: веб-атаки и внутренние проблемы
Наиболее распространенными инцидентами оказались DoS-атаки — им были подвержены 23% опрошенных компаний, а также хакерские атаки на внешние веб-приложения (21%).
Достаточно высоким оказался процент инцидентов, связанных с внутренними причинами. 16% компании сообщили об инцидентах, связанных с нарушением правил эксплуатации ИС. Злоупотребления со стороны сотрудников привели к заметным инцидентам в 14% компаний. Таким образом, внутренние угрозы оказались вдвое более опасными, чем такая классическая «страшилка», как заражение вредоносным ПО (14%)
Рост внутренних угроз подтверждается и данными аналитических отчетов Positive Technologies по результатам тестов на проникновение. Если в 2012 году получение контроля над критически важными ресурсами из внутренней сети было возможно в 84% исследованных систем, то в 2013 году — для всех без исключения. При этом в половине систем возможны были успешные атаки со стороны любого неквалифицированного пользователя внутренней сети. Наиболее распространенные уязвимости (92%) связаны с использованием слабых паролей [1].
Главные опасности – киберпреступники и злоупотребления админов
В качестве источников основных угроз в первую очередь отмечают киберпреступность (31%). На втором и третьем местах — злоупотребления администраторов ИС (23%) и сотрудников компании (17%). На угрозы информационной безопасности со стороны спецслужб (9%) указали не только в госструктурах, но и в ряде частных компаний и СМИ, сообщив, что рассматривают деятельность спецслужб как реальную угрозу.
11% респондентов включают поставщиков услуг в число возможных угроз: это немного, учитывая тенденцию к расширению аутсорсинга. Среди тех, кто указал на поставщиков и партнеров как на серьезную потенциальную угрозу — руководители компаний, владеющих специальными технологическими сетями, которые эксплуатируются партнерами.
Время устранения проблем: дни и недели
Больше половины компаний (60%) утверждают, что устраняют критические уязвимости в течение нескольких дней. Каждая пятая тратит на этот процесс недели, а у 15% на «залатывание дыр» уходят месяцы.
Наилучшей защищенностью готовы похвастаться банки. И банковский сектор действительно выглядит наиболее подготовленным к отражению атак. Причиной тому, в частности, внешнее регулирование: Центробанк настаивает на исполнении отраслевых стандартов в области ИБ и ведет статистику инцидентов. К тому же банки давно находятся на острие кибервойны, а государственные организации вышли на эту арену не так давно
В то же время, наши исследования приложений для дистанционного банковского обслуживания показывают, что проблемы есть и в этой сфере. Половина исследованных систем ДБО содержали критические уязвимости, при этом полностью требованиям PCI DSS не соответствовала ни одна из исследованных систем [2].
Стоит также отметить, что устранение уязвимостей в течение нескольких дней — довольно оптимистичная оценка. Согласно нашим данным, обычно критические недостатки устраняются гораздо дольше. 57% систем, исследованных в 2013 году, содержали критические ошибки, связанные с использованием устаревших версий ПО, при этом средний возраст наиболее устаревших неустановленных обновлений составляет 32 месяца. А своеобразный антирекорд — найденная уязвимость 9-летней давности [1].
В ходе опроса многие участники отмечали сложность своевременного реагирования на инциденты из-за отсутствия грамотной политики управления уязвимостями.
Причины слабой защиты: недостаток специалистов и законов
Основной причиной, препятствующей эффективному обеспечению защиты IT-систем системообразующих компаний России, участники опроса назвали нехватку профессионалов, знакомых одновременно и с вопросами информационной безопасности, и с производственными процессами отрасли или компании, которую они защищают (37%).
На втором месте в списке проблем — несовершенство нормативно-законодательной базы (26%). Кроме того, 13% компаний отметили отсутствие релевантных средств защиты
На что опирается ИБ: эксперты важнее, чем стандарты
При обеспечении информационной безопасности крупные компании в России руководствуются обязательными к исполнению нормативными документами государственных органов (ФСБ, ФСТЭК) — так ответили 88% опрошенных компаний. Международными стандартами и рекомендациями пользуется лишь треть компаний.
Стоит отметить, что банки, телекомы и транспортные компании ориентируются как минимум на три типа стандартов, в том числе и зарубежные отраслевые стандарты.
В то же время более половины компаний (55%) ответили, что полагаются на экспертное мнение своих специалистов по безопасности.
Наибольший вес экспертиза собственных специалистов имеет в телекоммуникационной отрасли и в медиакомпаниях.
Многие участники исследования сообщили, что для обеспечения ИБ имеет значение не только своевременное реагирование на инциденты внутри организации, но также взаимодействие с внешними группами реагирования на инциденты типа CERT (33%) и получение своевременной информации об уязвимостях (42%). Большинство тех, кто еще не наладил подобного сотрудничества, сообщили, что планируют сделать это в будущем.
Выводы
Опрос о реальных инцидентах в крупных компаниях подтвердил основные тенденции, которые мы наблюдали по результатам тестов на проникновение и других технических исследований потенциальных угроз в корпоративных информационных системах. Вот эти тенденции:
-
крупные компании все чаще несут финансовые и репутационные потери из-за инцидентов ИБ;
-
активное использование интернета увеличивает число инцидентов, связанных с уязвимостями веб-приложений;
-
внутренние угрозы, такие как нарушение правил безопасности и злонамеренные действия сотрудников, зачастую оказываются более опасны, чем вирусы и внешние атаки;
-
исполнение государственных или отраслевых стандартов информационной безопасности не считается в российских компаниях важным до тех пор, пока не превращается в закон или приказ.
С другой стороны, результаты опроса отчасти расходятся с результатами других исследований. Особенно это касается скорости устранения критических уязвимостей. Вероятно, разница связана с недостаточным пониманием термина «критическая уязвимость». Отвечая на этот вопрос, руководители компаний, скорее всего, имели в виду критические инциденты, то есть те случаи, когда деструктивные события уже произошли. В этих случаях компания действительно будет «латать дыры» в ближайшие дни. Однако критическая уязвимость это еще не инцидент. Уязвимость может никем не эксплуатироваться долгое время, поэтому многие компании не спешат устранять даже известные уязвимости месяцами и годами.
Кроме того, опрос подтвердил такую важную проблему, как недостаток в России экспертов по безопасности. Возможно, в этом одна из причин недостаточного понимания самой идеи управления уязвимостями и проактивной защиты.
В заключение стоит отметить, что данное исследование проводилось в больших корпорациях, которые уделяют повышенное внимание вопросам безопасности. Очевидно, что в компаниях поменьше все перечисленные проблемы могут проявляться еще острее.
Источники:
-
Уязвимости корпоративных информационных систем в 2013 г. - Positive Technologies, 2014.
-
Статистика уязвимостей веб-приложений в 2013 г. - Positive Technologies, 2014.
Опубликовано на Портале PTSECURITY.RU
