На основе исследований по информационной безопасности компаний в России в прошлом 2019 году около 60% опрошенных в заявили, что случаи атак участились.
Основные причины, влияющие на ИБ в компаниях:
1. Компании не устанавливают обновления.
Около 45% указали, что более половины их текущих расходов на ИБ идут на поддержание текущего состояния и операционной деятельности систем. В мире такая же ситуация сложилась у 51% компаний. При этом 45% опрошенных в России отметили, что затраты на внедрение инновационных решений ИБ не превышают 5% общего бюджета на ИБ. В глобальном исследовании такой ответ выбрали лишь 25% респондентов, а 62% опрошенных в мире тратят от 10 до 50% бюджета ИБ на внедрение передовых решений обеспечения ИБ. В России так поступают только 25% опрошенных.
В России к этому относятся с недоверием, у нас , как правило, ИБ не является основной статьей расходов. Надежда на то, что наша компания никому не интересна в плане кибератак и русский «авось» делают свое дело. Так же не маловажный фактор , это стоимость поддержки лицензионного и ПО и сама стоимость лицензионного ПО, не всем позволяет пользоваться своевременными обновлениями.
2. Руководители не знают о возможных атаках и их последствиях.
В российских компаниях не всегда имеется коммуникация между советом директоров и отделом информационной безопасности. Около 65% представителей российского бизнеса отмечают, что их совет директоров полностью вовлечен в процессы стратегического планирования и бюджетирования программ ИБ, но лишь 45% опрошенных заявили, что обсуждение ИБ регулярно входит в повестку собраний совета директоров.
В связи с нехваткой бюджетирования вопрос по Защите встает на повестке дня не часто, всегда находятся прочие расходы связанные с апгрейдом текущего оборудования или закупкой нового с целью расширения бизнеса. А так же нехватка времени Руководителей на информирование и ограниченное количество правдивых источников информации, затрудняют правильность оценивания угроз и рисков для компании.
3. Отсутствие поддержки от государства
В глобальном плане государство, ограничивает, регулирует и отслеживает трафик пользователей, но исключительно для своих нужд, никто не рассматривает киберугрозу серьезно, а 43% опрошенных считает, что государство обеспечивает достаточный уровень качества регулирования отрасли, в которой действует их организация.
Представители некоторых российских организаций отмечают, что некоторые регуляторные требования слишком детализированы: программные средства и оборудование, которые необходимо внедрять, слишком специфицируются и не совсем обоснованно лимитируются.
Ряд регуляторных требований российских властей вызывают у бизнеса много вопросов — например, до сих пор нет четкого понимания, как реализовать с технической и материальной точек зрения требования законов Яровой и ФЗ-187 о безопасности критической информационной инфраструктуры.
4. Сложность выбора поставщика услуг
У российских компаний непростые отношения с поставщиками решений ИБ. Нет доверия обещаниям и рекламе: к ним прислушиваются только 18%. При выборе компании около 70% смотрят в первую очередь на подтвержденный опыт компании, а также на наличие квалификации.
Более половины (55%) опрошенных считают, что основные проблемы поставщиков решений ИБ — излишняя сложность предлагаемых продуктов и услуг, а также непостоянство качества товара и недопоставка услуг.
5. Непонимание клиента
Современные средства защиты — это достаточно сложные технологичные продукты. Их непросто интегрировать в существующий клиентский ландшафт, правильно подключить ко всем требуемым источникам данных и правильно настроить. Есть клиенты которые даже не обладает полной картиной по своей технологической инфраструктуре. В таких случаях реализовать проект еще труднее, так как надо получать более углубленный доступ в инфраструктуру компании.
В случае если внедрение систем ИБ затрагивают достаточно широкие технические и организационные аспекты работы клиента, к постановке и реализации задач по проекту привлекаются зачастую и «смежники» — стратеги, специалисты по ИТ и операционным рискам, юристы, отделы HR и финансов. В итоге техническое задание может содержать противоречивые требования, сама реализация проекта идет с трудом. Иногда, если техническое задание сформулировано нечетко или клиент не понимает, какое сложное решение он приобретает, это ведет к разногласиям с поставщиком.
6. Стремление к экономии, последствия не понимания угроз.
Борьба за снижение расходов организации также влияет на качество реализации проектов. Выбор самого недорогого решения может приводить к проблемам с безопасностью.
Только 27% опрошенных заявляют, что в их организации существует достаточно зрелый процесс экономической оценки финансовых последствий нарушений ИБ. Не видя реальную картину ущерба, многие организации продолжают сокращать расходы на информационную безопасность, развитие специалистов по ИБ, их обучение современным инструментам и технологиям, которые сейчас стремительно развиваются.
7. Человеческий фактор
Еще один источник киберрисков — недостаточная бдительность людей, принимающих решения: больше половины опрошенных (55%) отмечают, что не оценивают надежность поставщиков и подрядчиков с точки зрения их способности обеспечивать защиту корпоративной информации, и полагаются только на формулировки заключаемых договоров.
Такое же количество представителей российских компаний признали, что до 75% зарегистрированных инцидентов в области информационной безопасности произошли из-за человеческого фактора: использование сотрудником «слабого» пароля, фишинг, потеря ноутбука, ошибки конфигурирования и так далее.