Информационная безопасность для малого и среднего бизнеса

С развитием виртуального пространства растёт и активность киберпреступности: согласно исследованиям Positive Technologies, в 2023 году число успешных атак по всему миру возросло на 18%, а в первом квартале 2024 года — ещё на 7%. Информационная безопасность для малого и среднего бизнеса (МСБ) должна стать одной из постоянных статей расходов, чтобы компании не были лёгкой мишенью для кибератак. 

Рост угроз

МСБ активно использует цифровые технологии, организуя производство, продажи и работу сотрудников, однако часто не уделяет достаточно внимания вопросам обеспечения информационной безопасности. Во многом это связано с ограниченностью ресурсов и знаний, однако финансовый и репутационный ущерб, который организации несут от удачных кибератак, зачастую оказывается непосильным для МСБ, что обуславливает важность построения системы безопасности.

Киберпреступники по всеми миру повышают активность, используя вредоносное программное обеспечение (ПО) и эксплуатируя существующие уязвимости. Возрастает частота утечек информации: в 2023 году их количество составило 56% от всех нападений, причём 35,6% всех утечек пришлось на малые организации, 28,9% — на средние. Годом ранее такие фирмы становились успешной мишенью только в 15,6% и 32,1% случаев соответственно, что объясняется низкой готовностью МСБ противостоять интенсификации хакерской активности.

Внешние угрозы

Согласно аналитике «Лаборатории Касперского», в 2024 году наибольшее распространение среди МСБ получило вредоносное ПО, которое разрабатывается и внедряется для нанесения ущерба. В зависимости от целей оно делится на:

1. Трояны. Это программы, имитирующие легитимные. После установки они превращаются в точку входа для злоумышленников в корпоративные сети. С помощью троянов атакующие получают доступ к локальным сетям, удаляют или собирают сведения.

2. Вымогатели. При проникновении на компьютер полностью или частично блокируют его работу, требуя выкуп. Их разновидностью являются шифровальщики, производящие манипуляции с пользовательскими файлами, чтобы сделать их нечитаемыми. При этом выкуп — не гарантия вернуть данные: вымогатели не всегда умеют их расшифровывать и просто стирают.

3. Черви. Это автономные программы, попадающие на устройство через дефекты операционной системы и распространяющиеся путём самокопирования для заражения других компьютеров. Они быстро передаются и приводят к системным повреждениям — удалению данных, их шифрованию, созданию ботнетов.

4. Вирусы. Представляют собой фрагменты кода, встраивающиеся в ПО и активирующиеся при его запуске. При проникновении в сеть они крадут данные, запускают DDoS-атаки или вторжения вымогателей.

5. Шпионы. Проникают через уязвимости ПО, выступают частью легитимных или троянских программ. Оставаясь незаметными, они отслеживают активность и похищают персональную, учётную, финансовую или коммерческую информацию. Также анализ пользовательской активности используется для улучшения алгоритма показа рекламы. Их подтип — клавиатурные шпионы, которые фиксируют операции с клавиатурой.

6. Майнеры. Используют вычислительными ресурсы устройства для получения криптовалюты.

Такое ПО попадает на компьютеры организации разными способами: через электронную почту, всплывающие окна, физические носители. Злоумышленники эксплуатируют уязвимости, обеспечивающие несанкционированный доступ к оборудованию или сети. Встречаются комбинированные киберугрозы — пакеты ПО, объединяющие свойства нескольких типов вредоносных программ, что позволяет им использовать разные дефекты, затрудняет их выявление и устранение.

Помимо этого, информационная безопасность для малого и среднего бизнеса может быть нарушена другими типами кибератак:

1. DDoS-атаки. Они перегружают сервер, который получает множество запросов одновременно, но не способен их обработать из-за недостатка пропускной способности или мощности. Это вызывает сбои и невозможность использования пользователями.

2. Фишинг. Рассчитан на невнимательных или неосведомлённых пользователей, которые переходят по ссылке, скачивают файл или вводят конфиденциальные данные, считая, что выполняют просьбу или поручение доверенного источника. Фишинг обычно реализуется через email-рассылки и сайты-клоны.

3. SQL-инъекции. Представляют собой введение запроса, который обращается в базе данных сайта или веб-приложения. Результатами SQL-инъекций становятся утечки, модификация или удаление сведений.

4. Боты. Это компьютеры, заражённые вредоносным ПО и управляющиеся хакерами удалённо. Боты объединяются в сети — ботнеты, которые применяются для инициирования нападений, фишинговой рассылки и реализации других киберугроз.

5. Межсайтовый скриптинг. Предполагает внедрение вирусных скриптов в незащищённые веб-ресурсы, которые выполняются при посещении пользователем страницы или приложения.

6. Кибератаки типа «человек посередине». При их реализации хакер незаметно перехватывает трафик, которым обмениваются два узла. Он собирает или подменяет информацию.

Внутренние угрозы

Информационная безопасность для малого и среднего бизнеса часто находится на неудовлетворительном уровне из-за несформированности корпоративной кибергигиены. Внутренними источниками угроз безопасности выступают собственные сотрудники, третьи лица — работники подрядчика, злоумышленники, замаскированные под обслуживающий персонал, инфицированное ПО и оборудование.

Внутренние киберугрозы делятся на умышленные и случайные. В первом случае лицо осознаёт, что совершает опасное для системы безопасности действие, и желает наступления негативных для организации последствий, во втором — действует неосознанно. Большой процент рисков реализуется вследствие халатного отношения сотрудников к безопасности, их неосведомлённости о правилах и необходимых действиях.

Внутренние риски могут реализоваться в следующих формах:

• переход по ссылкам фишинговых писем, установка ПО из непроверенных источников;

• передача рабочих файлов по незащищённым каналам;

• распечатка или копирование рабочих документов на съёмные носители;

• кража базы клиентов или коммерческой тайны для продажи или личного использования после увольнения.

Риски партнёрства

Информационная безопасность для малого и среднего бизнеса может быть нарушена, если контрагент или разработчик ПО не принял необходимые меры для обеспечения безопасности. Злоумышленники эксплуатируют уязвимости в программных продуктах, проникают в исходный код и внедряют в него вирусные фрагменты. В этом случае жертвы инфицируют свои устройства и терпят убытки, а добросовестные компании, ставшие посредниками — теряют репутацию.

Последствия кибератак

Киберугрозы — одна из основных проблем, мешающих коммерческому развитию. Если информационная безопасность для малого и среднего бизнеса не сформирована, нападения приводят к следующему ущербу:

1. Финансовый. Сюда входят затраты на восстановление системы безопасности, компенсации по судебным искам от пострадавших клиентов и контрагентов, штрафы за нарушение законодательства, потери от утраты коммерческих секретов и базы клиентов, недополучение прибыли.

2. Репутационный. Включает обесценивание бренда, снижение лояльности клиентов, доверия партнёров и контрагентов. Причём попытки скрыть успешную кибератаку усугубляют снижение репутации.

Даже незначительные утечки данных могут привести к серьёзным последствиям, которые проявляются в перспективе, при заключении новых договоров, поиске инвесторов или попытке наладить связи с регуляторами. В случае реализации крупных атак МСБ часто не справляется со своими обязательствами и банкротится.

Методы защиты

Поскольку киберпреступность развивается стремительно, первое, чему должна уделять внимание организация — это информационная безопасность для малого и среднего бизнеса. Значительно снизить шанс реализации киберугроз помогут следующие меры:

• обеспечение физической защищённости — введение пропускного режима, установка камер видеонаблюдения;

• регулярное обновление ПО, оборудования и плагинов;

• использование антивирусного ПО;

• установка сетевого экрана;

• использование защищённых каналов связи;

• настройка резервного копирования важных сведений;

• подключение двухфакторной или многофакторной аутентификации;

• установка блокировщиков всплывающих окон, спам-фильтров и протоколов проверки подлинности электронной почты;

• определение и регулярное обновление политики доступа к корпоративным ресурсам;

• разграничение прав доступа и внедрение принципа минимальных привилегий;

• введение правил использования внешних услуг и ресурсов, разработка процедур согласования отдельных задач;

• внедрение строгих процедур верификации для передачи конфиденциальных сведений и проведения транзакций;

• внедрение DLP-системы, обеспечивающей мониторинг и контроль за действиями пользователей;

• составление руководства по кибербезопасности для работников, включающего правила работы с учётными записями, паролями, веб-страницами и защиты электронной почты.

Выводы

Информационная безопасность для малого и среднего бизнеса должна обеспечиваться комплексно, охватывать технологические и организационные решения. Необходимое условие киберзащищённости компании — регулярное обучение сотрудников правилам безопасности и формирование культуры кибергигиены.