Как среднему бизнесу защититься от новейших киберугроз

Хотя расширение бизнеса обычно радует владельцев и руководство, перед небольшими компаниями оно ставит новые, ранее совсем не знакомые им проблемы. От массового найма сотрудников до появления филиалов, от усложнения учета до появления формальных регламентов — везде возникает уровень сложности и объем знаний, которые уже трудно удержать в голове человеку.

Одной из сфер, где сложность растет очень быстро, является IT-инфраструктура. Компания становится интересна злоумышленникам, растет вероятность кибератак. Приходится увеличивать не только затраты на серверы и ПО, но и расширять штат IT, выделять специальных людей на информационную безопасность, а также задумываться о визитах регуляторов. Последние накладывают серьезные требования по ИБ даже на небольшие компании в таких отраслях, например, как финансы, логистика и здравоохранение. При этом ИБ часто «не поспевает» за ростом компании.

Как пройти этот момент без риска для бизнеса и избыточных расходов, одновременно создав задел для дальнейшего роста?

Руководство компании обычно сосредоточено на том, чтобы выстроить обслуживание новых многочисленных клиентов и расширить производственную базу, удовлетворяя запросы рынка. На мысли о компьютерах, программах и информационной безопасности времени остается немного. Понять, что там требуются инвестиции, можно, задав своим IT-специалистам несколько простых вопросов:

1. Успеваете ли читать все оповещения от компьютеров, серверных систем?

2. Нам требуется пересматривать архитектуру сети и основных IT-решений?

3. Часто ли не успеваете обслуживать запросы сотрудников в течение одного дня?

4. Вам нужны дополнительные приложения, просто чтобы уследить за всем происходящим?

5. За последние месяцы у нас были инциденты или «почти инциденты», которые могли остановить бизнес?

Если хотя бы парочка вопросов (особенно последних) получила ответ «да», если число сотрудников уже исчисляется сотнями, то, вероятнее всего, ваши компьютерные системы тоже требуют перехода на следующий уровень сложности, в котором для непрерывности бизнеса нужны будут автоматизация работы IT и новые, более мощные средства защиты от угроз.

Как правило, бюджет на внедрение IT-новшеств ограничен, но и откладывать их в долгий ящик тоже нельзя. Если говорить о рисках для IT, то серьезный киберинцидент обходится компании среднего бизнеса примерно в 5 миллионов рублей, при этом каждая пятая целенаправленная атака сфокусирована на среднем бизнесе. Проще говоря, инструментов, которые защищают малый бизнес, вам уже недостаточно, потому что теперь вы интересуете более серьезных преступников. А цена их успешной атаки, да и просто масштабного IT-сбоя для вас значительно растет.

Проблемы, которые можно обнаружить, задавая своим айтишникам вопросы из предыдущего абзаца, — это в первую очередь дефицит видимости и подконтрольности. Раньше к каждому пользователю, который много раз входил в систему и оказался заблокирован, можно было подойти и проверить: это он забыл пароль или заразился вредоносным ПО. Но когда в компании работают три сотни человек или появился филиал в другом городе, это уже крайне сложно. Уследить за парой серверов (файлы, почта, 1С) тоже можно, просто заходя в их панель управления каждый день. С двумя десятками серверов и важных сервисов это становится слишком трудоемко. Специалистам не хватает времени, им нужны централизация сбора информации и автоматизация реагирования на нее.

Для этого в крупных компаниях уже два десятка лет используются решения класса SIEM (Security Information and Event Management). Они в реальном времени собирают данные из многочисленных источников в организации (события в приложениях, на серверах, в сети), объединяют связанные события в группы и позволяют ИБ- и ИТ-специалистам видеть назревающие инциденты и быстро принимать меры.

Для небольших компаний SIEM был слишком дорог, да и считался ненужным, поскольку ИБ-риски малого и среднего бизнеса считались низкими. Ситуация изменилась во всех аспектах: риски выросли вместе с уровнем компьютеризации и числом киберпреступлений, но и доступность решений SIEM стала выше. Существуют недорогие решения, включающие SIEM (например Kaspersky SMART I), не требующие ни мощного оборудования для установки, ни дорогостоящего сопровождения.

Внедрение новых инструментов должно приносить конкретные результаты. В случае внедрения SIEM рассчитывайте на такие улучшения в работе компании и ее IT-систем:

Компания сможет видеть и вовремя пресекать сложные целевые атаки, нацеленные на вымогательство денег или атаку цепочки поставок. У компаний среднего бизнеса часто бывают клиенты — крупные организации. И вы можете быть просто ступенькой в кибератаке на вашего крупного клиента. Успех такой атаки не просто приносит одноразовый ущерб, а может лишить вас ключевого клиента. Но даже в отсутствие таких критических событий крупные клиенты всё чаще требуют от своих поставщиков не только налоговой благонадежности и платежной дисциплины, но и наличия развитой системы борьбы с киберугрозами.

SIEM создает хорошо обозримую картину событий, позволяя рано находить различные аномалии и решать проблемы на ранних стадиях. Это не только предотвращение кибератак до того, как они принесут большой ущерб. С помощью SIEM можно видеть перегруженные серверы, мешающие нормально работать целым отделам. Исправлять приложения, генерирующие ошибки вместо результатов работы. Быстро находить, какое приложение на телефоне главного бухгалтера каждые три минуты пытается войти в корпоративную сеть и блокирует его учетную запись. Всё это экономит время не только айтишникам, но и всем сотрудникам! Они могут не понимать, что их рабочие проблемы связаны с невидимым им кирпичиком IT, и часами пытаются решить проблему самостоятельно, а специалисты без SIEM просто не узнают вовремя, что им нужно вмешаться.

Мониторинг позволяет решать проблемы до того, как они перерастут в масштабный сбой, мешающий работать всей компании.

Сегодня требования по информационной безопасности предъявляют десятки регулирующих органов — от ФСБ и Роскомнадзора до Минздрава. В число требований часто входит сертифицированная система мониторинга угроз. Штрафы за несоблюдение требований относительно скромные, но вот ответственность за инциденты при несоблюдении требований ИБ уже серьезная, вплоть до уголовной.

Типовые проблемы ИБ и IT могут решаться прямо из интерфейса SIEM, благодаря «коробочным» сценариям реагирования. Заблокировать или разблокировать учетную запись, запустить проверку здоровья компьютера или сканирование на вредоносное ПО можно буквально одной кнопкой. Сотруднику ИБ нужно одобрить конкретный сценарий реагирования, но не придется ни запускать вручную многочисленные приложения, ни идти к искомому компьютеру, чтобы решать проблему на нем.

Появление SIEM убирает из жизни ИБ- и ИТ-специалистов многие часы рутины вроде чтения email- и Telegram-оповещений от различных автоматизированных сервисов. Эти часы могут быть потрачены на решение фундаментальных задач ИТ, а руководству не придется нанимать новых сотрудников при дальнейшем расширении бизнеса.

Централизация мониторинга и реагирования — один из краеугольных камней масштабирования сети. Дальнейший рост организации, включая появление новых филиалов, новых подразделений и даже новых видов бизнеса, будет проходить значительно легче, по крайней мере, в той части, которая касается IT.

Внедрение любой сложной IT-системы требует не только денег на лицензию. Будет нужно определенное оборудование и много часов работы IT-команды для внедрения и обкатки решения. В зависимости от конкретного выбранного решения эти затраты могут отличаться на порядок. В случае с SIEM для малого и среднего бизнеса наиболее комфортный режим разворачивания будет у Kaspersky SMART.

Рекордно производительная система SIEM легко разворачивается на любых относительно современных серверах и виртуальных машинах, требования к оборудованию очень скромные. Большое количество правил отслеживания и сценариев реагирования поставляются «в коробке», а активное сообщество российских пользователей создает удобные видеодемонстрации и инструкции по дальнейшей настройке решения в различных жизненных сценариях. Поскольку у многих отечественных компаний и так развернуты решения «Лаборатории Касперского», им будет очень просто объединить эти системы, чтобы в SIEM поступали дополнительные данные из защитного решения на компьютерах, а в обратную сторону шли команды, например, на автоматическое устранение уязвимостей или других проблем ИБ.

Решение входит в Единый реестр отечественного ПО Минцифры РФ и закрывает существенную часть имеющихся регуляторных требований по ИБ.

Для компаний, которые относят себя к группе высокого киберриска, управляют критической инфраструктурой или чувствительными данными, важно не останавливаться на полпути. Им необходимо комплексное решение, позволяющее обнаруживать и останавливать сложные целевые атаки, вести расследования инцидентов и оперативно взаимодействовать по ним с регулятором. Для таких бизнесов подойдет Kaspersky SMART II — решение, объединяющее SIEM и EDR. Последний, работая на каждом компьютере и сервере организации, позволяет собирать с них расширенный набор данных и реагировать даже на продвинутые киберугрозы. Эта комбинация решений дает полную видимость в сети для анализа первопричин и расследования инцидентов.

Усложнение IT-систем компании при росте бизнеса неизбежно, но адаптироваться к нему можно разными способами. Если пытаться обслуживать компьютерные системы по старинке, то администраторы будут либо тратить очень много времени на ручные операции и не успевать сделать всё необходимое, либо придется нанимать больше людей. При этом растут не только штат и затраты, но и риски сбоев, успешных кибератак или проблем с регулятором.

Если компетенций или других ресурсов для внедрения SIEM в компании недостаточно, можно поискать решение в аутсорсинге. Управление компьютерной сетью, включая ее мониторинг на ИБ-инциденты, можно доверить специализированной компании. Это относительно быстрый и инвестиционно легкий способ решения проблемы, но у него есть важные недостатки — к вашей сети и вашей информации будут иметь постоянный доступ посторонние, а при дальнейшем росте бизнеса (и инфраструктуры) расходы на внешнего подрядчика будут пропорционально расти. Поэтому управляемые сервисы могут быть вполне эффективным, но временным решением проблем роста — в дальнейшем всё равно придется создавать компетенции и инфраструктуру внутри компании.

_{АО «Лаборатория Касперского», kaspersky.ru}