Исследование компании CICADA8 выявило, что более половины ИТ-подрядчиков крупных российских компаний имеют низкий уровень кибербезопасности: 55% из них имеют незащищенные системные порты, открытые для доступа из интернета, что делает их уязвимыми к хакерским атакам и утечкам данных. Анализ 60 тыс. подрядчиков показал, что 27% из них имеют данные учетных записей, размещенные в даркнете, а у 32% — критические уязвимости в системе. В 2024 году атаки через подрядчиков увеличились в три раза по сравнению с 2023 годом, что подчеркивает недостаточную защиту ИТ-поставщиков.
Бизнес-консультант по информационной безопасности Positive Technologies Алексей Лукацкий в разговоре с "Кабельщиком" отметил, что для эффективной проверки кибербезопасности подрядчиков компании могут использовать либо собственные службы ИБ с необходимыми ресурсами и инструментами, либо обращаться к внешним провайдерам, которые проводят комплексный анализ безопасности и мониторинг угроз в даркнете.
"В первом случае необходимо иметь собственные ресурсы, людей, инструменты, доступы к даркнету и т. п., — говорит Алексей. — Обычно это доступно только очень крупным организациям, особенно холдинговым структурам, которые проверяют собственные дочерние предприятия. Во втором случае "киберпогода" проверяется компаниями, которые проводят широкий спектр мероприятий — анализ периметра подрядчика, анализ утекших учетных записей сотрудников подрядчика, анализ даркнета на предмет подтвержденных взломов или готовящихся атак на подрядчиков и т. п".
Он также подчеркнул наличие законодательных инициатив, которые могли бы повысить уровень безопасности, однако упор должен делаться на волю компаний и механизм правоприменения, включая ответственность подрядчиков за нарушения.
"Сегодня есть все необходимые законодательные инициативы, которые могут быть использованы для повышения безопасности подрядчиков, — отмечает эксперт, — и возможность прописывать нужные требования в договорах, и рекомендации ФСТЭК и Банка России, и требования закона о безопасности КИИ. Не хватает только воли самих компаний, привлекающих подрядчиков, а также правоприменения, которое бы в рамках субсидиарной ответственности или регрессных исков наказывало бы подрядчиков за допущенные огрехи".
Если крупные компании могут себе позволить иметь собственные службы ИБ с необходимыми ресурсами и инструментами, то малый и средний бизнес, который составляет большинство контрагентов, часто ограничен в бюджете и экспертизе.
Для малых и средних предприятий Алексей Лукацкий рекомендует начать с трех простых, но эффективных мер: "Во-первых, включите автоматическое обновление операционных систем, приложений и их расширений и плагинов; не только на рабочих станций пользователей, но и для сетевого оборудования, принтеров и другой периферии. Во-вторых, внедрите многофакторную аутентификацию. И в-третьих, настройте резервное копирование. Эти три меры позволят не только уменьшить площадь атаки, но и восстановить систему в случае успешного взлома".
Напомним, ранее "Кабельщик" писал, что отрасль "Информация и связь" вошла в топ-3 наиболее уязвимых сфер — белые хакеры взломали 59% организаций.
- Войдите или зарегистрируйтесь, чтобы оставлять комментарии
