Чем сильнее разрастается инфраструктура компании, тем больше в ней появляется уязвимых мест. Это справедливо для любого бизнеса — от крупных корпораций со значительными финансовыми ресурсами, способных больше инвестировать в свою защиту, до небольших и средних предприятий. Таким образом, несмотря на более скромные бюджеты, небольшие компании остаются столь же привлекательными целями для злоумышленников.
Новая эпоха, новые риски
Облачные платформы, удаленный доступ и ИИ помогают бизнесу расти и повышать продуктивность. Однако они также открывают злоумышленникам новые способы проникновения в корпоративную инфраструктуру. Например, личные устройства сотрудников на удаленке стали точками доступа, которые трудно контролировать. Кроме того, благодаря ИИ отличить фишинговое письмо от подлинного сообщения стало практически невозможно: пользователи больше не могут выявить мошенника по орфографическим ошибкам.
Есть и другая причина, по которой непрерывно появляются новые угрозы: компании постепенно учатся противостоять старым. Возьмем резервное копирование. Всего несколько лет назад бэкапы преподносились как панацея от программ-вымогателей. Сегодня они менее эффективны, поскольку злоумышленники стали красть данные и требовать выкуп уже не за их расшифровку, а за неразглашение. На кону здесь стоят не только бизнес-процессы, но и репутация компании. Подробнее эту схему мы описали в другой статье нашего блога.
Самое тревожное заключается в том, что проблемы атакованной компании не заканчиваются в день инцидента. Последующие дни (и даже недели) зачастую оказываются куда сложнее. Именно тогда команде приходится экстренно устранять последствия атаки и следить за тем, чтобы подобное не повторилось. Растущим компаниям часто приходится мобилизовать всю свою небольшую IT-команду для решения проблемы, поэтому возвращение к нормальной работе может занять много времени.
Сразу три ахиллесовы пяты
Согласно sondage Global Kaspersky B2B Market Pulse, большинство компаний малого и среднего бизнеса начинают беспокоиться о безопасности только тогда, когда обстоятельства вынуждают их к этому: например, после инцидента, при расширении инфраструктуры или когда потенциальный партнер требует укрепить периметр безопасности перед подписанием контракта. При этом лишь немногие рассматривают непрерывный мониторинг кибербезопасности как неотъемлемую часть управления бизнесом.
Когда компания наконец решает серьезно подойти к безопасности, она сталкивается с тремя ограничениями: люди, процессы и технологии. Давайте рассмотрим каждое из них.
- Люди. В компании со штатом до 500 человек IT-отдел обычно состоит всего из нескольких сотрудников. Они занимаются всеми техническими вопросами и имеют мало отношения к кибербезопасности. В критической ситуации этим специалистам может попросту не хватить компетенций, чтобы справиться с проблемой. Другие сотрудники также могут стать слабым звеном. Бухгалтеры, юристы и прочий персонал, имеющий доступ к конфиденциальной информации, зачастую плохо осведомлены о правилах безопасности.
- Процессы. У небольшого IT-отдела всегда есть длинный список ожидающих задач, поэтому свежие обновления и патчи устанавливаются далеко не сразу. В результате у киберпреступников есть достаточно времени, чтобы проэксплуатировать уязвимость, которую вовремя не устранили. Кроме того, рядовые сотрудники не всегда знают, как реагировать на подозрительные письма, а также как безопасно хранить пароли и обмениваться ими. И контролировать их просто некому.
- Технологии. Угрозы эволюционируют с той же скоростью, что и технологии, используемые бизнесом. Например, как только компания переносит часть инфраструктуры в облако, обойтись одним лишь базовым антивирусом становится невозможно.
Таким образом, малый и средний бизнес становится легкой добычей для киберпреступников не из-за своих масштабов, а потому, что не уделяет должного внимания фундаментальным основам кибербезопасности. Чтобы узнать, к чему это может привести, и понять, как повернуть ситуацию в свою пользу, читайте далее разбор реального инцидента.
Кейс: взлом ERP-системы
Рассмотрим реальную атаку на компанию со штатом в 450 сотрудников. На момент инцидента компания находилась в процессе переноса своей ERP-системы в облако. Данные уже перенесли, но систему защиты настроить еще не успели. Именно эта переходная фаза и позволила злоумышленникам успешно реализовать атаку.
Хакеры использовали довольно простую тактику. Выдав себя за внешнего интегратора ERP, они отправили в финансовый отдел файл с «исправленным счетом». Когда сотрудник открыл вложение, содержащийся в нем вредоносный код проэксплуатировал уязвимость в локальном приложении, и злоумышленники получили контроль над устройством. На нем они обнаружили сохраненные учетные данные, которые позволили войти в служебную учетную запись и получить права администратора на облачном сервере ERP. С помощью этой учетной записи они проникли на сервер и похитили конфиденциальные данные компании.
Мы проанализировали ошибки, сделавшие этот инцидент возможным, и пришли к той же формуле: люди + процессы + технологии. Компания проводила тренинги для сотрудников, но они носили формальный характер и не помогали научиться распознавать почтовый фишинг. Обновления безопасности также устанавливались с задержкой, из-за чего на компьютере осталась незакрытая уязвимость. Кроме того, учетные данные с правами доступа хранились прямо на устройстве сотрудника, что облегчило злоумышленникам получение прав администратора. Наконец, на рабочих станциях не было решения EDR, а облачный ERP-сервер остался без защиты рабочих нагрузок (workload protection).
Как малый и средний бизнес может укрепить защиту?
Лучше всего начать с трех ключевых элементов, о которых мы говорили ранее. Речь идет не просто о том, чтобы тратить деньги на безопасность без счета. Следует разработать четкий пошаговый план, который позволит максимально эффективно использовать ресурсы, уже имеющиеся у компании.
Практическое обучение
Сотрудники — это первая линия защиты компании, поэтому особенно важно помочь им выработать хорошие привычки в сфере кибербезопасности. Многие компании понимают это и организуют ИТ-тренинги; однако, даже если сотрудники массово участвуют в них, они часто продолжают совершать одни и те же ошибки.
Проблема в том, что большинство тренингов не адаптированы под тех, кто их проходит. Сотрудники финансового отдела знают, что хакеры могут отправлять фишинговые электронные письма, но какое отношение это имеет к их работе? Чтобы избежать подобных вопросов, мы рекомендуем объединить теорию кибербезопасности с симуляцией реальных кибератак. Таким образом, сотрудники могут без риска примерить на себя роль жертвы хакера. Начните с обучения сотрудников, имеющих привилегированный доступ к системам, а также тех, кто работает с конфиденциальной информацией.
Чтобы тренинги не превратились в пустую формальность, регулярно отслеживайте достигнутый прогресс. Например, время от времени отправляйте сотрудникам подозрительные тестовые письма, а затем оценивайте скорость и адекватность их реакции: сколько получателей переходят по ссылке и сколько сообщают об угрозе?
Структурированные процессы
Определите четкие приоритеты для установки обновлений и патчей. Это позволяет избежать двух крайностей: месяцами работать с устьями в инфраструктуре или спешить устранять каждую уязвимость, не задумываясь о том, насколько сильно они влияют на конкретные бизнес-процессы. Также полезно внедрить централизованное управление уязвимостями; мы объясняем, как это сделать, в отдельной статье. Не спешите расширять свою инфраструктуру или мигрировать ее в облако, пока у вашей компании не будет адекватной защиты и мониторинга.
Еще один важный момент: назначьте ответственного за каждый процесс. Конкретный человек должен лично отвечать за организацию регулярных тренингов по кибербезопасности, установку обновлений, а также за определение сроков и методов реагирования на инциденты. Таким образом, задачи безопасности выполняются вовремя, даже когда ИТ-ресурсы команды ограничены.
Постепенное развертывание решений безопасности
Эффективно защитить свой компании без использования специализированных продуктов невозможно, но скупать все разом — тоже не выход. Новые решения должны отвечать потребностям вашей инфраструктуры. Хороший подход заключается в том, чтобы добавлять инструменты по мере возникновения такой необходимости, например для лучшей расстановки приоритетов уязвимостей или усиления защиты почтовых систем или облачных сред. Чтобы адаптировать безопасность под нужды вашего бизнеса, вы можете использовать наши защитные модули, которые интегрируются в Kaspersky Next Optimum — решение для растущих мало и средних предприятий.
Другой вариант — перейти на более продвинутое решение по мере развития вашей инфраструктуры. Основы кибербезопасности можно заложить с помощью Kaspersky Next EDR Foundations, которое обеспечивает базовую защиту и контроль конечных точек. Затем, по мере необходимости, ваша компания может перейти на решения с более широким спектром функциональных возможностей — от Kaspersky Next EDR Optimum до Kaspersky Next XDR Optimum или даже напрямую к Kaspersky Next MXDR Optimum. Наше самое полное предложение, а именно Kaspersky MXDR Optimum, сочетает в себе расширенные возможности обнаружения и реагирования, выходящие за рамки конечных точек и адаптирующиеся к потребностям растущего бизнеса, круглосуточный мониторинг, а также проактивный поиск угроз и расследования, проводимые экспертами Kaspersky.
