Почему малый ИТ-бизнес проигрывает в кибербезопасности

Недавно в СМИ было опубликовано исследование компании CICADA8 в котором говорится, что 55% российских компаний, выступающих IT-подрядчиками крупного российского бизнеса, имеют низкий уровень кибербезопасности. У 32% компаний в системах обнаружены «старые» критические уязвимости, а у 27% данные корпоративных учетных записей оказались в базах утечек.

При этом указываестя, что «около 60% выборки – это IT-интеграторы, 15% – компании-разработчики, а остальные – организации, представляющие разные IT- и сервисные услуги, в ходе которых контрагент получает доступ к персональным данным (ПД) клиентов или сотрудников компании-заказчика, коммерческой тайне или интеллектуальной собственности». Звучит довольно пугающе, но давайте разберемся, что стоит за этими цифрами, кого они на самом деле касаются и самое главное – что делать практикующему специалисту, который отвечает за результат.

Очевидно, что на российском ИТ-рынке есть два больших, принципиально разных пласта игроков. С одной стороны – крупные интеграторы и вендоры, у которых за плечами десятки лет опыта, отлаженные по стандартам индустрии процессы и собственные, нередко сертифицированные, службы безопасности (SOC, CERT). С другой – множество небольших компаний и подрядчиков «на выезде», которые работают с точечными проектами и нередко – в условиях крайне ограниченных бюджета и ресурсов. Несмотря на то, что крупный бизнес пользуется услугами и первой, и второй группы, именно у второй категории ИТ-компаний чаще всего и встречаются те самые уязвимости, о которых идет речь в исследовании.

Почему так происходит? Как правильно, для этого есть объективные причины:

• Ограниченные ресурсы. Небольшая компания физически не может содержать штатного CISO или специалиста, который бы занимался исключительно вопросами ИБ. Например, специалист уровня middle может обходиться компании в 150–200 тыс руб., а ведущий эксперт – от 400 до 700 тыс руб. ежемесячно.
• Инженеры, которые отвечают за инфраструктуру клиентов, попросту не успевают выстраивать и поддерживать полноценную внутреннюю защиту. Конкуренция на рынке и борьба за проекты всегда приоритетнее «гипотетических» рисков.
• Системная экономия на инструментах. Корпоративный EDR/XDR, выделенная SIEM-платформа, система двухфакторной аутентификации (2FA) для всех сотрудников, регулярный внешний аудит – это прямые и, зачастую, немаленькие расходы. Для небольшой компании совокупная годовая стоимость владения таким комплексом может начинаться от 1,5–2 млн руб. и достигает 5–7% от годовой выручки. Естественно, это кажется «роскошью», однако только до первого инцидента.
• Устоявшиеся практики, противоречащие правилам ИБ, и отсутствие регламентированных процессов. Это, пожалуй, главное. Доступы к критическим системам передаются, например, по привычке, в мессенджерах, пароли годами не меняются или используются повторно, сегментация сети отсутствует как класс. В такой среде один скомпрометированный ноутбук или аккаунт инженера может привести к серьезному инциденту. Это создаёт идеальную среду для атак по цепочке поставок: злоумышленнику достаточно попасть в инфраструктуру подрядчика, чтобы через доверенные каналы проникнуть в сеть конечного заказчика.

Таким образом, результаты исследования – это не «приговор» всей индустрии. Это четкий и своевременный сигнал большому бизнесу: быть более вдумчивым и требовательным к выбору партнеров, поскольку уровень организации внутренней информационной безопасности у небольших игроков часто не в приоритете.