В 2014 году самыми острыми проблемами в области информационной безопасности для мировых компаний станут: угрозы, связанные с использованием на рабочем месте личных устройств (BYOD), защита данных в «облаках», ущерб репутации компании, ужесточение государственного регулирования, киберпреступность и дальнейшая экспансия информационными технологиями обычной жизни обывателя.

Можно спорить о разных тенденциях, но все эксперты согласны в одном – преступления в информационном пространстве становятся более изощренными. К сожалению, в то время как организации разрабатывают новые механизмы защиты, киберпреступники придумывают новые способы их обхода. Поэтому компании всех размеров должны обладать достаточным уровнем гибкости, чтобы быть во все оружии и противостоять неожиданным событиям, способным привести к потере контроля над своим информационным пространством.

Вашему вниманию представлены топ-6 угроз, которые, по мнению Форума Информационной Безопасности (Information Security Forum, ISF), затрагивают все современные тренды в области ИТ. Безусловно, количество угроз не ограничивается данным списком: могут появляться новые угрозы и их комбинации, что будет иметь серьезное влияние на обеспечение информационной безопасности предприятия.

1. Использование личных устройств на рабочем месте (Bring Your Own Device, BYOD)

Предприятия всех размеров продолжают видеть риск нарушения информационной безопасности в возрастающей популярности у сотрудников приносить личные мобильные устройства на рабочее место. Опасность BYOD складывается как из внутренних, так и из внешних угроз, связанных с нецелевым использованием самого устройства, внешними манипуляциями программных уязвимостей и развертыванием плохо протестированных или ненадежных бизнес-приложений.
Если уже сегодня для вашей организации риск нарушения безопасности из-за BYOD высок, то вы должны быть в курсе всех событий и последних разработок. Если риски являются приемлемыми, то вам необходимо жестко регламентировать правила использования BYOD внутри вашей организации.

Имейте в виду, что плохо реализованная стратегия использования персонального устройства на рабочем месте может привести к случайным утечкам информации в связи с потерей границ между рабочими и личными данными, а также за счет того, что значительная часть деловой информации хранится на пользовательских устройствах в незащищенном виде.

2. Защита данных в «облаке»

Всем очевидны преимущества облачных сервисов по стоимости и производительности, поэтому организациям приходится идти на компромисс и постоянно бороться с возникающими на этом фоне угрозами. Перемещая конфиденциальные данные в облако, организации должны понимать, какой уровень защиты требуется обеспечить той или иной информации. Большинство государств уже создали, либо находятся в процессе разработки законопроектов, которые определяют правила хранения и использования персональных данных с введением штрафов для нарушителей. В результате организации должны относиться к охране персональных данных точно так же, как к бизнес-рискам, что позволит снизить вероятность наложения нормативных санкций и возникающих в этом случае финансовых последствий.

3. Ущерб репутации компании

Эволюционируют не только системы защиты, но и злоумышленники. Они становятся все более организованными и разрушительными, что, так или иначе, отражается на репутации любой организации. Многие предприятия не успевают за той быстротой и сложностью, с которыми каждодневно совершенствуются угрозы, принося репутационный и материальный ущербы. Организациям необходимо прикладывать много усилий, чтобы быть уверенными в том, что они полностью готовы противостоять постоянно возникающим проблемам в области защиты информации и сетевой безопасности.

4. Безопасность и регулирование

Правительства многих стран уже утвердили, либо находятся в процессе утверждения правил охраны и использования идентифицирующих личность данных с введением штрафов для предприятий, которые не смогли обеспечить защиту надлежащим образом. В результате организации должны относиться к защите персональных данных точно так же, как к другим обязательствам, чтобы снизить нормативные санкции и такие последствия, как репутационный ущерб и потеря клиентов из-за нарушения конфиденциальности.

Правила разных стран предъявляют различные требования по передаче персональных данных через государственную границу: некоторые не имеют особых требований, тогда как другие строго за этим следят. Чтобы определить, каким образом будет происходить трансграничная передача персональных данных в определенной облачной системе, организация должна работать с поставщиком облачного сервиса, чтобы согласовать, где будет храниться и как обрабатываться передаваемая информация.

5. Киберпреступность

Киберпространство постоянно привлекает преступников, активистов и террористов, среди мотивов которых можно назвать деньги, популярность и даже власть, так как они способны приостановить деятельность крупных корпораций и правительств с помощью интернет-атак. Поэтому организации должны быть готовы к непредсказуемым ситуациям, которые влекут за собой значительные последствия.

Такие факторы как киберпреступность вместе с ростом причин для ее появления (например, хактивизм), увеличение стоимости соблюдения нормативных требований, постоянные достижения в области технологий, недостаточное инвестирование в департаменты обеспечения безопасности могут в совокупности создать идеальную угрозу.

Компании, которые понимают свои болевые точки, воздействие на которые способно привести к разрушению бизнеса, инвестируют в защиту, чтобы минимизировать влияние непредвиденных факторов.

6. Интернет вещей (Internet of Things, IoT) - вычислительные сети физических объектов/вещей, оснащённых встроенными технологиями для взаимодействия друг с другом или с внешней средой через интернет.

Зависимость организаций от интернета и технологий продолжает расти на протяжении многих лет. Увеличение количества объектов, которые имеют связь с интернетом, приносит новые возможности для сбора данных, прогнозной аналитики и автоматизации ИТ.

Пока интерес к разработке стандартов безопасности для IoT только возрастает, не принося ощутимых результатов, компании самостоятельно должны построить безопасное информационное пространство посредством коммуникации и взаимодействия с обществом. Угрозы в IoT обширны и потенциально разрушительны, поэтому желательно удостовериться, что технологии, ориентированные как на конечного потребителя, так и на корпоративного клиента, основываются на высоких стандартах безопасности.

Нельзя защититься от всех серьезных угроз. Только некоторым компаниям удается успешно управлять инцидентами. Однако лишь некоторые из них имеют зрелый, структурированный подход для анализа произошедшего. В результате многие компании несут лишние расходы и допускают неприемлемые риски.

Приняв реалистичную и универсальную стратегию сотрудничества в рамках кибербезопасности государственные ведомства, регулирующие органы, топ-менеджеры организаций и профессионалы в области информационной безопасности смогут лучше понять истинную природу киберугроз и реагировать на них быстро и правильно.

Автор: Стив Дурбин (Steve Durbin), вице-президент ISF