К вопросу об оценке защиты информации и основных направлениях организации кибербезопасности в современных условиях

Информация уже десятки лет является одним из важнейших стратегических ресурсов, обеспечивающих конкурентоспособность частных и государственных компаний, холдингов, транснациональных корпораций, их экономическую безопасность и устойчивое развитие [4]. Не менее важную роль играет информация в создании условий безопасности приграничных регионов и суверенных государств. Условное стирание границ при переходе большинства сфер деятельности и межгосударственных коммуникаций в киберпространство заставила более пристальное внимание обратить на создание надежных систем информационной безопасности и защиты информации, как в структуре отдельного субъекта хозяйствования, так и в масштабах целого государства [2].

По оценкам специалистов [5], только за один 2019 год существенно выросло количество кибератак по сравнению с 2018 годом, особенно, в таких отраслях, как промышленность, финансы, здравоохранение, наука и образование, -на них пришлось более половины зафиксированных случаев несанкционированного вторжения в информационные системы юридических лиц (рисунок 1, рисунок 2).

Данные рисунка 1 наглядно свидетельствуют о том, что ценность информации только возрастает, причем, практически во всех ведущих отраслях экономики и общественной жизни, что подтверждает содержание рисунка 2.

Традиционно, киберпреступники не обходят вниманием государственный сектор, являющийся одним из лидеров по числу кибератак.

Наибольший интерес для злоумышленников представляли персональные данные, в том числе данные банковских карт, а также учетные записи пользователей. При этом доля заражения вредоносным программным обеспечением в 2019 году выросла на 38% по сравнению с 2018 годом, что объясняет существенный рост заинтересованности руководства хозяйствующих субъектов в организации надежных систем информационной безопасности и их постоянном функционировании без сбоев (рисунок 3).

Однако не все хозяйствующие субъекты имеют достаточный объем ресурсов для борьбы с вредоносным программным обеспечением и иными угрозами безопасности информации, что заставляет обращаться к услугам сторонних организаций, специализирующихся на создании си-

Финансовая отрасль

1Т-комлании

Без привязки к отрасли

Сфера услуг

Торговля

Медицинские учреждения

Наука и образование

Онлайн-серейсы

Другие

Государственные учреждения

Промышленные компании

Рисунок 2. Категории жертв кибератак среди юридических лиц [5]

Социальная инженерия

66%

[

51%

Эксплуатация веб-уязвимостей

[

14%

Хакинг

14%

Подбор учетных данных

8%

Другие [

6%

О%

10%   20%   30%   40%   50%   60%   70%   80%   90%   100%

□ Юридические лица      Частные лица

Рисунок 3. Методы атак [5]

Рисунок 4. Объем рынка информационной безопасности в России в 2014-2019 гг., млрд. рублей.

стем киберзащиты, и программ, применяющихся для предотвращения несанкционированного доступа к данным. В Российской Федерации на протяжении нескольких лет отмечается планомерный рост объема рынка информационной безопасности (рисунок 4) [6].

На рисунке 4 отчетливо видно, что, начиная с 2016 года, отмечается существенный прирост объема данного вида рынка, что обусловлено усилением бизнес-активно-сти значительной доли экономических субъектов в глобальной сети интернет, а в период 2018-2019 гг. отмечен значительный скачок вложений в организацию систем кибербезопасности.

Отмеченная выше тенденция подтверждается также и ростом выручки российских компаний, осуществляющих

Таблица 1. Объем выручки российских компаний по проектам в сфере информационной безопасности

№ п/п	Наименование компании	Объем выручки от реализации проектов в сфере информационной безопасности в 2019 г. (с НДС), млн. руб.	Объем выручки от реализации проектов в сфере информационной безопасности в 2018 г. (с НДС), млн. руб.	Динамика, %	Приоритетные направления деятельности компании
1	Softline	17 460	15 800	10,5	н/д*
2	Код Безопасности	6 507	4 045	60,9	н/д*
3	Информзащита	6 500	5 605	16	Разработка программных ИБ-продуктов и сервисов Разработка аппаратных ИБ-продуктов Оказание ИБ-услуг
4	Инфосистемы Джет	6 030	4 400	37	н/д*
5	ИнфоТеКС	5 338	4 553	17,2	Разработка программных ИБ-продуктов и сервисов Разработка аппаратных ИБ-продуктов Оказание ИБ-услуг
6	ГК АйСиЭл	4 109	4 193	-2	Разработка программных ИБ-продуктов и сервисов Разработка аппаратных ИБ-продуктов Оказание ИБ-услуг
7	Positive Technologies	3 737	2 810	33	Разработка программных ИБ-продуктов и сервисов Разработка аппаратных ИБ-продуктов Оказание ИБ-услуг
8	Крок	3 730	3 553	5	Разработка программных ИБ-продуктов и сервисов Разработка аппаратных ИБ-продуктов Оказание ИБ-услуг
9	Ланит	2 582	2 481	4,1	Оказание ИБ-услуг Выстраивание процесса безопасной разработки (SSDLC)
10	УЦСБ	2 224	1 542	44,2	Оказание ИБ-услуг
11	ДиалогНаука	2 128	1 998	6,5	Оказание ИБ-услуг
30	ДиСиЛоджик	10	н/д	н/д	н/д*
	Итого	73 562	62 957	16,8

* н/д – нет данных [6]

деятельность и реализующих проекты в сфере информационной безопасности (таблица 1).

Данные таблицы свидетельствуют о том, что совокупная выручка крупнейших российских компаний, которые предоставили экспертам данные об итогах своей деятельности в 2018-2019 годах, выросла почти на 17%. В приведенном выше рейтинге отсутствует лидер прошлых лет -«Лаборатория Касперского», которая по итогам 2019 года не раскрывала свои финансовые результаты.

Текущий 2020 год внес значительные коррективы в состояние рынка информационной безопасности в России. Объявленная Всемирной организацией здравоохранения пандемия коронавируса COVID-19 привела к проведению ограничительных мероприятий не только в Российской Федерации, но и в большинстве стран мира, призванных минимизировать контакты людей, что вызвало необходимость перевода сотрудников отдельных компаний, где это было возможно, на дистанционную форму осуществления трудовой деятельности, для которой потребовалась компьютерная техника и инфокоммуникационные технологии. Именно последствия ограничительных мероприятий и переноса части бизнес-процессов (значительной или незначительной – в зависимости от сферы деятельности) в виртуальное пространство обусловили изменение традиционных подходов к организации информационной безопасности по следующим причинам. Проанализируем их и рассмотрим возможные пути решения проблем защиты информации в новых условиях, направления организации кибербезопасности в современных условиях.

Традиционные недостаточные бюджеты подразделений информационной безопасности (за редким исключением) сказались на организации деятельности компаний, которым не хватило средств для быстрого и качественного реагирования на изменения условий хозяйствования, вследствие чего были потеряны конкурентные преимущества. Решением этой проблемы должен стать полный пересмотр бюджетов хозяйствующих субъектов на 2021 год и создание в их структуре подразделений, обеспечивающих защиту информации и данных от несанкционированного доступа (в том числе персональных данных клиентов, о попадании которых в глобальную сеть интернет заявляли в текущем году даже крупные банковские учреждения).

Причиной уязвимости информационных систем является помимо недостаточного финансирования также формальный принцип организации защиты данных, при реализации которого руководство и собственники не могут четко сформулировать ее цель и поставить задачи исполнителям, установить параметры информационной безопасности (самостоятельно, либо с привлечением специалистов), а в случае наступления ожидаемых отрицательных последствий такого подхода пытаются привлечь к ответственности персонал, не наделенный обязанностями и полномочиями в сфере обеспечения безопасности данных. Такой подход в наибольшей мере характерен для малых и средних экономических субъектов, поэтому решение проблемы видится только в переосмыслении руководством и владельцами бизнеса подходов к защите информации, не как дополнительной обязанности отдельных категорий работников в случаях, когда вероятность нарушения кон- фиденциальности данных и риск их хищения высоки, но и при организации всех бизнес-процессов компании.

Невозможно не обратить внимания на такую проблему, как недостаточно высокий уровень квалификации персонала, занятого в работе подразделений холдингов, корпораций, отвечающих за информационную безопасность. Практика показывает, что штат таких подразделений переукомплектован юристами, сотрудниками правоохранительных органов в отставке, но не укомплектован в должной мере специалистами в области защиты данных и информации с применением инфокоммуникационных технологий. Следовательно, задача экономической безопасности в таком случае решается весьма успешно, в то время как угрозы кибербезопасности возрастают, так как в настоящий момент во всех отраслях хозяйствования активно развивается направление дистанционного обслуживания потребителей продукции, товаров, работ и услуг с использованием ресурсов глобальной сети интернет и киберпространства (интернет-магазины, сайты, на которых можно оставить заявку, мобильные приложения и т.д.). Для решения данной проблемы необходимо, как минимум, систематически организовывать повышение квалификации персонала, обеспечивающего защиту информации, а не требовать от сотрудников изыскивать возможности решать эту задачу за счет своих сил и времени, финансовых ресурсов, а также эффективно осуществлять процесс кадрового обеспечения с участием профессионалов в сфере информационной безопасности на самом первом этапе знакомства с резюме претендентов на должность, а не только HR-менеджеров, сортирующих поступающие заявки. Повышение квалификации персонала должно стать систематическим уже даже по причине высоких темпов развития сквозных технологий и цифровизации на их основе экономики Российской Федерации, что приводит к возникновению новых способов хищения конфиденциальных данных, в том числе обеспечивающих конкурентные преимущества субъектов хозяйствования, а также предотвращения сбоев в работе информационных систем и технологий, способствующих продвижению продукции, товаров и услуг в глобальном киберпространстве. Пусть не каждая компания (корпорация) в настоящий момент может позволить себе осуществлять затраты на содержание собственного подразделения, отвечающего за разработку программного обеспечения и корпоративных информационных систем, но решить задачу обеспечения информационной безопасности должно быть под силу всем хозяйствующим субъектам [2, 3].

Важным, на наш взгляд, с точки зрения защиты информации является несоответствие системы информационной безопасности организационной структуре бизнес-единицы и осуществляемым бизнес-процессам по уровню сложности и степени решаемых задач. Для его устранения следует систематически проводить аудит-бизнес-процессов, и приводить систему в соответствие установленным требованиям [1].

На уровне государства задача обеспечения защиты информации и кибербезопасности стоит более масштабно, так как перевод огромного перечня государственных услуг в цифровой формат, и запуск пилотного проекта электронных паспортов гражданина Российской Федерации в ближайшей перспективе в Москве должны осуществляться в

условиях соблюдения гарантированных основным законом государства прав и свобод личности, в том числе права на безопасность.

Необходимо подчеркнуть, что виртуальное пространство уже фактически дополняет ту реальность, в которой живет человек, работают предприятия и государственные учреждения, и в нем информация становится все более ценным ресурсом, для защиты которого от все более совер- шенных методов несанкционированного доступа и незаконного использования должны постоянно совершенствоваться системы информационной безопасности. Развитие сквозных технологий, в том числе искусственного интеллекта является не только благом, нацеленным на решение глобальных проблем общества, но и средством создания новых видов угроз безопасности данных, борьба с которыми ведется во всех странах мира.