Компания Netwrix представила результаты исследования угроз безопасности, с которыми сталкиваются организации, и описала их действия для снижения уровня ІТ-рисков. Согласно отчету, 41% опрошенных сотрудников из 1558 компаний назвали утечку данных наиболее критической угрозой для организации.

 

Netwrix решили разобраться в основных причинах утечки данных по мнению этих компаний, какие сотрудники создают наибольший риск для безопасности информации и что предпринимают организации для снижения уровня угрозы. Ниже приводятся некоторые из наиболее интересных результатов исследования.

 

 

В качестве главных действующих лиц рассматриваются сотрудники компаний, а не хакеры

Согласно опросу Netwrix, сотрудники компаний заняли 3 места в первой четверке рейтинга: 51% респондентов назвали виновниками большинства утечек постоянных бизнес-пользователей, 35% — членов IТ-подразделений, а 32% — увольняющихся работников.

Хакеры попали в первую 4-ку — их выбрали 33% опрошенных специалистов в области IТ. Однако смысл их работы зачастую состоит в попытках обмануть сотрудников предприятий. В результате чего открываются вредоносные вложения из фишинговых писем или нарушается корпоративная политика (например, сообщают злоумышленникам свой пароль). Таким образом, обычные пользователи, которые не соблюдают правила обеспечения кибербезопасности, вместе с хакерами несут ответственность за проведение успешных атак.

 

Основными причинами утечки данных считаются различные ошибки в работе

Главной причиной утечки данных стал человеческий фактор — его указали 30% компаний. Следующими по популярности были фишинговые атаки (28%), а недостаточно надежные политики использования паролей (26%) заняли третье место.

 

Вот несколько примеров, которые иллюстрируют, каким образом каждая из этих причин приводит к появлению реальных угроз безопасности:

Как пример, сотрудник одной из больниц в Кливленде случайно раскрыл персональную медицинскую информацию примерно 840 клиентов. При отправке электронного письма группе пациентов, страдающих одним и тем же заболеванием, он поместил адреса электронной почты получателей в поле «Кому» вместо поля «Скрытая копия», тем самым раскрыв медицинские данные каждого пациента всей группе получателей. После выявления происшествия представители медучреждения уведомили о нем всех пострадавших и контролирующие органы, а также провели обучение сотрудников больницы по следованию всем процедурам, связанным с обеспечением конфиденциальности данных пациентов.

Десятки сотрудников компании Wipro — крупного поставщика IТ-услуг в Индии — стали жертвами фишинг-кампании, в результате которой злоумышленники взломали более 100 компьютерных систем организации и использовали их для проведения кибератак против клиентов. Факты свидетельствуют о том, что атака была также направлена на ряд других конкурентов Wipro, в том числе Infosys и Cognizant.

Расследование атаки все еще продолжается. Пока не совсем ясно, как долго атака оставалась незамеченной, а также, какие именно компании и информация были скомпрометированы.

Citrix Systems недавно сообщила о том, что будет требовать от всех своих клиентов Sharefile регулярно менять пароли. Компания заявила, что эта новая политика не была ответом на действия злоумышленников, а скорее предназначена для снижения риска успешной атаки, связанной с «заполнением учетных данных», которая нацелена на людей, использующих одинаковые пароли в разных системах и на веб-сайтах.

В то же время, хотя Национальный институт стандартов и технологий (NIST) предупреждает, что пользователи, которые вынуждены постоянно менять свои пароли, склонны выбирать более простые комбинации символов и обновлять их стандартными преобразованиями (такими, как увеличение числа в пароле), о чем прекрасно знают все хакеры. Поэтому такая политика, как правило, не укрепляет систему безопасности, а наносит ей ущерб.

 

 

Организации пренебрегают основами обеспечения безопасности

Следование практическим рекомендациям по обеспечению безопасности имеет решающее значение для снижения риска ошибок из-за человеческого фактора, фишинговых атак, ненадлежащего использования паролей и других причин, по которым происходят утечки данных. 

 

В то же время организации не особо заботятся о соблюдении основных правил безопасности. Только 20% компаний используют классификацию данных, сортируют устаревшие и ненужные файлы, менее 25% предприятий регулярно проводят оценку уязвимости своих систем и проверяют степень доступности конфиденциальной информации широкому кругу людей. Более того, 43% организаций толком не знают, что именно их сотрудники делают с конфиденциальными данными — это делает компании уязвимыми для рисков, связанных с обладателями служебной информацией.

 

Если у вас нет реального представления о том, что происходит в вашей IТ-инфраструктуре, невозможно гарантировать, что доступ к данным имеет только уполномоченный персонал, и что эти сотрудники обрабатывают информацию надлежащим образом. Отсутствие требуемой прозрачности действий не позволяет выявлять нежелательные инциденты в рамках системы безопасности на ранних стадиях и быстро на них реагировать, что повышает вероятность утечки данных.

 

Организации плохо подготовлены и не умеют правильно реагировать на инциденты в сфере обеспечения безопасности

Практические рекомендации по обеспечению безопасности не ограничиваются только стратегиями снижения рисков проведения успешной атаки. Представителям компаний предлагают поставить себя на место вероятного злоумышленника. 

 

Предполагается, что организации могут:

Однако в отчете Netwrix говорится о том, что только 17% компаний имеют план реагирования на угрозы безопасности, организовывают соответствующее обучение сотрудников и проводят проверки. 19% имеют утвержденный план, но никогда не переходили к реализации других этапов, а 26% имеют только черновой вариант такого плана. 

Вследствие этого потенциальный инцидент могут пропустить или не среагировать адекватно угрозе, что приведет к негативным последствиям. Компании справедливо критикуют за слишком медленное информирование клиентов в случае разглашения их персональных данных, а контролирующие органы повышают штрафы за несоблюдение требований к ведению отчетности по утечкам данных.

 

 

Вывод

Создание надежной системы кибербезопасности никогда не было простой задачей, а растущая сложность как IТ-сред, так и характера возникающих угроз, делает ее на сегодняшний день сложной, как никогда. 

Согласно исследованию компании готовы увеличивать средства на обеспечение кибербезопасности: респонденты сообщают, что их инвестиции в данную сферу выросли на 117% за последние 3 года; и они ожидают увеличения этой цифры еще на 143% в течение последующих 5-ти лет. 

Очевидно, что большинству организаций вложение дополнительных средств в систему безопасности и внедрение передового опыта принесет неоспоримую выгоду.

 

Ознакомиться с полной версией инфографики вы можете, нажав на кнопку ниже. 

 

 

Если у вас есть вопросы касательно того, как решение Netwrix поможет предотвратить утечку данных в вашей компании, пожалуйста, пишите на netwrix@bakotech.com.