Информационная безопасность во время и после пандемии: пять ключевых вызовов

Экстренный и массовый перевод сотрудников на удаленную работу может сравниться, вероятно, с освоением целины и ударными комсомольскими стройками. Помимо самого факта мобилизации примечательным оказывается другой процесс: мобилизационные задачи делают явными структурные проблемы и трудности, которые накапливались в «мирное время» и были особо не заметны. Информационная безопасность (далее — ИБ) оказалась одним из наиболее востребованных ресурсов.

Одновременно кризисная ситуация сформировала ряд вызовов ИБ, а также показала сильные и слабые стороны в организации, функционале и статусе служб ИБ внутри компаний.

Исследование барьеров и назревших изменений в индустрии строилось вокруг нескольких ключевых тем: с какими проблемами столкнулись службы ИБ в связи с миграцией сотрудников на удаленку, что мешает службам ИБ быть эффективными, а также что будет меняться в период «после кризиса», и какими навыками должен обладать руководитель службы безопасности «нового поколения».
Во многих компаниях кризис стал катализатором проблем и заставил экстренно заняться пересборкой бизнес-процессов, не отвечающих вызовам времени. Информационная безопасность не стала исключением. Первые признаки трудностей стали проявляться в интервью с руководителями компаний еще в марте 2020 года.

С началом пандемии резко выросло число точек доступа, находящихся вне защищенного контура компании. Перевод работы сотрудников из офиса по домам заставил сделать колоссальные закупки техники и ПО, организовать доступ к корпоративным ресурсам, масштабировать уже имеющиеся решения и отстроить контроль действий сотрудников.

В целом по отрасли ИБ наши собеседники затруднились определить некий общий тренд. Реакции в разных компаниях варьировались от спокойных («Да, было напряженно, но справились. Теперь можно достойно встретить старость»), до экстремальных («Случилась паника — пускаем в корпоративную сеть толпу народа с незащищенных устройств»).

Наиболее очевидная их часть была связана с задачами усилить мониторинг и контроль за действиями сотрудников и за ситуацией на огромном числе удаленных рабочих столов. Как сказал один из экспертов, важно представлять масштаб проблемы и ее комплексность:

С одной стороны, на руках у людей оказалось большое количество корпоративных компьютеров и новых инструментов для работы: приложений, сервисов, платформ. С другой стороны, пользователями этих компьютеров и ноутбуков стали не только сотрудники организаций, но и члены семей. Запреты оказались малоэффективны, «самое слабое звено информационной системы — действия пользователя», заявил один из экспертов. В нескольких компаниях решили экстренно провести обязательные тренинги по кибербезопасности для всех пользователей, в том числе и для всех членов семьи.

Во-первых, потребовалась «архитектурная работа», связанная с настройкой безопасного удаленного доступа к внутренним ресурсам организаций.

Во-вторых, специалистам ИБ, которые также ушли на удаленку, стало сложнее оперативно реагировать на инциденты: «Стало больше атак, связанных с шифровальщиками, и они стали успешнее для злоумышленников. Поскольку ИБ и ИТ находятся на удаленке, а сервера и станции остаются работоспособными, в случае их шифрования нет возможностей для оперативной реакции. Успех таких инцидентов выше. Поэтому все проблемы ИБ связаны с контролем, мониторингом и возможностями для реагирования на инциденты, оперативностью действий ИТ и ИБ».

И, в-третьих, источником угроз стала работоспособность и защищенность приложений и ИТ-решений, многие из которых создавались и доделывались уже в кризисное время и в сжатые сроки.

В силу очевидности этих обстоятельств наши собеседники из числа экспертов в области ИБ не проговаривали их особо подробно, ограничиваясь лаконичной констатацией. Тем не менее, удаленка с ее техническими сложностями, «неудобным» поведением пользователей, усилением систем мониторинга и возросшими требованиями к оперативному реагированию на инциденты стала очень важным фактором, влияющим на развитие процессов в сфере информационной безопасности.

Сразу в нескольких интервью наши собеседники характеризовали ситуацию с развитием цифровых сервисов как «драматическую»: то, на что прежде требовалось большое количество времени, сейчас приходится делать в экстренном порядке, не считаясь с чрезмерными затратами, принимая непродуманные решения.

Корни этой проблемы лежат еще в докризисном времени. Прежде бизнес-задачи перед службами ИБ не ставились: «ИБ рассматривали как неизбежно существующее обременение», заявил один из руководителей службы безопасности. В кризис задачи спасать бизнес, поддерживать операционную деятельность стали абсолютным приоритетом. Компании начали перестраивать бизнес-процессы, стараясь наверстать упущенное время, и зачастую эти решения принимались в ущерб вопросам безопасности: «Бизнес заставил делать те проекты, которые никогда не делали, и служба ИБ была против них, считая это дополнительным вектором для реализации угроз».

Однако зачастую в планах по управлению кризисной ситуацией не учитывались риски кибербезопасности. Поэтому огромным преимуществом (или обременением при отсутствии) стала подготовленная внутренняя нормативная документация, проработанные политики и регламенты, решения по ключевым процедурным моментам и заблаговременная работа над узкими местами, связанными с политикой безопасности или непроработанностью определенных процессов, которые в кризис оказались тем самым «бутылочным горлышком».

Эксперты и руководители служб безопасности говорили, что отсутствие проработанной политики и регламентов в области ИБ создают существенные трудности для взаимодействия в треугольнике «ИТ-департамент — Служба безопасности — Служба ИБ».

Обе структуры имеют различные интересы, иногда даже конфликтующие. Один из руководителей транспортной компании рассказал, что как раз накануне пандемии служба безопасности не согласовала разработку приложения, которое должно было обеспечить взаимодействие с клиентами. Ситуацию осложнила и структурная подчиненность функции ИБ службе безопасности.

Сразу несколько руководителей компаний отмечали, что сегодняшняя ситуация сделала очевидными недостатки принятой организационной структуры и должна стать стимулом изменений в деятельности ИБ-отделов.

Цифровая пересборка происходила без учета информационной безопасности; в компаниях зачастую отсутствовали политики и регламенты и не было сформировано эффективное взаимодействие службы ИБ с другими подразделениями. Развивать все эти сюжеты в момент масштабного перехода сотрудников на удаленную работу было невозможно. На фоне всех описанных сложностей неудивительно, что задачи спасения бизнеса и сохранения операционной деятельности решались зачастую в ущерб информационной безопасности. Однако это же означает, что в ближайшем будущем придется пересмотреть сегодняшний статус служб ИБ и роль информационной безопасности в бизнес-процессах компаний в целом.

Кризис показал, что цифровая пересборка многих бизнес-процессов была проведена не системно и не полностью. Поэтому резко вырос запрос на поддержку и доработку со стороны поставщиков решений. Актуализация требований к информационной безопасности заставила службы ИБ не только вовлекаться в эти процессы, но и пересматривать имеющиеся технологические решения, а также заниматься вопросами подбора, тестирования и быстрого внедрения ИБ-платформ и решений, отвечающих параметрам сегодняшней ситуации.

Тем не менее, более фундаментальной оказывается другая проблема, предпосылки которой возникли еще задолго до пандемии. Руководители и сотрудники служб ИБ оказываются слишком консервативны, чтобы адекватно вписываться в актуальные тренды и отвечать на запросы и потребности бизнеса. Главное — они оказываются не готовы погружаться в специфику бизнес-процессов, которые стремительно цифровизируются и усложняются. В результате представители ИБ не умеют «говорить с бизнесом» на его языке, обосновывать необходимость бюджетов на развитие систем безопасности и на обучение сотрудников, а также не готовы расширять круг своих компетенций и обязанностей в соответствии с потребностями бизнеса.

Служба зачастую рассматривается исключительно как затратное мероприятие, занятое важными, но все-таки второстепенными задачами. Например, бумажная работа по составлению отчетов о соблюдении требований регулятора. Одновременно руководители довольствуются очень поверхностным пониманием их функционала. Поэтому и бюджеты на обучение оказываются темой, требующей со стороны руководителей ИБ дополнительной активности, требований и обоснований. В кризис на все подобные траты распространился режим жесткой экономии — как раз тогда, когда увеличились риски внешних и внутренних угроз, и когда знания об угрозах и способах их предотвращения оказываются как никогда важны.

Только в этом случае руководство будет понимать значение трат на безопасность, в том числе для регулярной актуализации «hard skills». Столь же категоричное требование касается и «soft skills».

Развитие кризиса, «пандемия» удаленной работы, необходимость спасать бизнес и экстренно решать прежде нерешенные и недоделанные задачи показали все недостатки в организации и функционировании служб ИБ и одновременно сформировали «окно возможностей» для изменения ситуации. По словам одного из руководителей службы ИБ, «сейчас — время „полевых командиров“: выдвинулись те, кто взял на себя ответственность за процессы и задачи, которые помогают выживать бизнесу в кризис».

Именно в этой ситуации закладываются контуры будущих решений по информационной безопасности:

Авторы: Руслан Юсуфов, управляющий партнер MINDSMITH, Иван Климов, управляющий партнер Social Business Group, к.соц.н., доцент факультета социальных наук НИУ ВШЭ. Материал опубликован в Журнале «Директор по безопасности», выпуск 12 (декабрь), 2020 г.

Авторы выражают признательность редакции журнала и лично главному редактору Николаю Дворецкому за возможность донести результаты исследования до широкого круга профессионалов в области безопасности.

О MINDSMITH

MINDSMITH фокусируется на комплексных исследованиях, интенсивных тренингах и стратегическом консалтинге в области высоких технологий. Компания была основана в 2018 году в формате технологического аналитического центра.

Мы говорим на языках бизнеса и технологий. И умеем переводить с одного на другой. Так мы решаем самые сложные головоломки. Собственный отдел аналитики и доступ к необходимой экспертизе по всему миру для индивидуальных решений в каждом конкретном случае.