Компании переходят от реакции на кибератаки к предупреждению угроз

Сегодня компании сталкиваются с тем, что злоумышленники быстрее находят уязвимости, а искусственный интеллект (ИИ) позволяет автоматизировать отдельные этапы атак. При этом традиционные меры защиты не всегда успевают за изменениями инфраструктуры и скоростью разработки цифровых продуктов. Из-за этого бизнесу приходится определять, какие системы критичны для его работы, встраивать безопасность в разработку и заранее готовиться к восстановлению после инцидентов.

«Кибербезопасность – это часть производственного процесса», – заявил директор по информационным технологиям Альфа-банка Алексей Фетисов, выступая на сессии «На шаг впереди: переход от реагирования к предупреждению угроз», организованной Альфа-банком на форуме «Цифровые решения». Участники дискуссии обсудили, как компаниям предупреждать угрозы и какие решения можно доверить автоматизированным системам.

Кибератаки ускоряются

Вице-президент по информационной безопасности «Билайна» Алексей Волков отметил, что ИИ ускоряет уже известные виды атак и делает их доступными большему числу людей. «То, что раньше могла сделать только преступная группировка, состоящая из очень хороших, в плохом смысле, умов с финансовой мотивацией, сейчас может сделать человек со средней квалификацией в одиночку», – заявил эксперт.

Еще одной проблемой становится то, что компании не всегда успевают реагировать на новые угрозы. Управляющий директор Positive Technologies Алексей Новиков считает, что многие компании пока не готовы к таким изменениям. Им приходится одновременно противостоять новым угрозам, обновлять системы и контролировать собственную инфраструктуру. По мнению Новикова, ситуация может быстро ухудшиться. «Пройдет буквально полгода, и 90% российских компаний просто не будут успевать реагировать на то, что происходит в информационном пространстве вокруг них», – отметил он. Среди причин эксперт назвал атаки через подрядчиков и постоянные изменения корпоративной инфраструктуры, за которыми службы безопасности не всегда успевают следить.

Директор по защите IT-инфраструктуры департамента защиты информации и IT-инфраструктуры «Норникеля» Павел Торопин обратил внимание на то, что защитникам приходится учитывать не только применение ИИ злоумышленниками, но и новые технологические решения внутри самих компаний. Расширение инфраструктуры и использование гибридных технологий увеличивают количество потенциальных точек входа для атакующих, подчеркнул он.

Отдельной задачей становится защита данных при использовании ИИ. Так, например, «Норникель» рассматривает использование внутренних и внешних моделей ИИ, рассказал Торопин. Для этого компании необходимо обеспечить контроль за данными как в собственной инфраструктуре, так и в облачных сервисах. «В любой момент времени мы хотим представлять, что происходит с нашей информацией, что с ней случается в облачных сегментах, ровно так же, как и в нашей внутренней среде», – отметил Торопин.

Компании не всегда понимают, что защищают

Одной из проблем информационной безопасности остается отсутствие полной и актуальной картины собственной инфраструктуры. Даже при наличии средств защиты компания может не знать обо всех подключенных к сети системах и изменениях в их работе. На это указал директор департамента архитектуры стратегических проектов группы компаний «Солар» Антон Ефимов. «Самая опасная ситуация – жить в иллюзии, что я все знаю про свою инфраструктуру», – заявил он.

По словам эксперта, недостаточно один раз согласовать требования к системе и рассчитывать, что она будет работать без изменений. Инфраструктура постоянно развивается, поэтому службе безопасности необходимо отслеживать появление новых систем, устройств и подключений, уточнил Ефимов.

Однако мало знать состав инфраструктуры: важно также понимать, какие системы обеспечивают работу ключевых бизнес-процессов. По мнению Ефимова, приоритетом должна быть не защита инфраструктуры как таковой, а обеспечение непрерывности работы компании. Для этого нужно определить, сбои в каких системах и процессах могут привести к наиболее серьезным последствиям.

Волков предложил рассматривать киберугрозы как часть общих рисков бизнеса. «[В случае кибератаки] есть риски остановки деятельности, оттока клиентов, утраты выручки, и для нас неважно, от чего они происходят», – отметил он. Поэтому ответственность за защиту должна лежать не только на специалистах по безопасности, но и на руководстве, полагает эксперт.

Риски возникают и при работе с подрядчиками. Крупные компании могут использовать их программные продукты и предоставлять партнерам доступ к своим системам, хотя уровень защиты у подрядчиков может быть ниже. Новиков предложил развивать практику, при которой крупный бизнес помогает проверять защищенность своих поставщиков и подрядчиков, в том числе проводит согласованные аудиты и тестирование безопасности. «Было бы отлично, если бы большие компании взяли такое шефство над своими подрядчиками, над маленькими компаниями, и приглядывали, что у них с кибербезопасностью», – заявил Новиков.

Безопасность начинается на этапе разработки

По мере ускорения разработки программного обеспечения проверка безопасности только готовых продуктов становится недостаточной, отметил Фетисов. По его мнению, специалистов по безопасности нужно привлекать еще при проектировании цифровых продуктов, а не только перед их запуском. 

Во время дискуссии участники отметили подход secure by design – проектирование с учетом требований безопасности с самого начала, а также связанный с ним принцип shift left, или «сдвиг влево»: проверки проводят на ранних этапах разработки, когда исправлять ошибки проще и дешевле.

Особенно важным этот подход становится на фоне распространения вайбкодинга – создания программного кода с помощью ИИ. По словам Фетисова, раньше основное время занимало написание кода, а теперь ИИ-агенты могут быстро создавать его по готовому заданию. Поэтому требования к безопасности необходимо включать в спецификацию еще до начала разработки. «Нужно начинать работать над безопасностью на этапе идеи», – подчеркнул представитель Альфа-банка.

Волков добавил, что чем позже обнаружена уязвимость, тем дороже ее исправить. Но ранние проверки не отменяют необходимости контролировать безопасность готовых систем, в том числе программных продуктов сторонних разработчиков.

Фетисов также призвал оценивать не количество созданного кода, а результат, который получает бизнес. «Мерить то, что мы стали больше производить кода и стали лучше, я считаю неправильным. Надо мерить ценностью», – заявил Фетисов.

Автоматизация должна понимать, где остановиться

ИИ и автоматизированные инструменты позволяют быстрее обнаруживать угрозы, но не все решения стоит доверять машинам. Участники дискуссии считают, что компаниям необходимо определить пределы автоматизации. По словам Фетисова, Альфа-банк применяет такой подход в «Альфа-сканере» – облачном инструменте, который непрерывно проверяет внешний периметр на типовые уязвимости. Затем специалисты оценивают обнаруженные проблемы и определяют очередность их устранения. «То, что попадает в высокий приоритет, чинится немедленно. Конечно, хочется, чтобы такие проблемы не происходили, но если что-то появилось, сразу выявляем и устраняем», – отметил он. По словам эксперта, изначально банк использовал решение для защиты собственной инфраструктуры, а теперь оно доступно также клиентам и партнерам.

Ефимов рассказал о подходе, который в ГК «Солар» называют цифровым мандатом. Он предполагает правила, определяющие, какие действия система защиты может выполнять самостоятельно, например отключать зараженное устройство от сети. Внедрять такой подход, по мнению эксперта, следует постепенно, начиная с участков инфраструктуры, где ошибка автоматики не остановит работу компании. «Увидеть угрозу – это как кино: можно с попкорном смотреть. Но что дальше?» – отметил Ефимов, подчеркивая необходимость не только обнаруживать, но и останавливать атаки.

По словам Новикова, цель – не только защитить системы от атаки, но и предугадать следующие шаги злоумышленника. «Это означает, что мы знаем, куда хакер пойдет дальше и превентивно принимаем меры, чтобы он туда не дошел», – пояснил эксперт. Для этого необходимы сведения о событиях, действиях пользователей и работе систем. По словам Новикова, объединение таких данных помогает выявлять закономерности, которые могут быть незаметны при анализе отдельной компании. Но организации не всегда готовы делиться такими данными с внешними поставщиками решений по безопасности, что затрудняет разработку систем предупреждения угроз.

Компании готовятся к восстановлению

Даже развитая система защиты не исключает возможности инцидента, поэтому компаниям необходимо заранее готовиться к восстановлению. Время возвращения к нормальной работе зависит от наличия актуальных резервных копий данных, подготовки сотрудников и необходимых технических средств, объяснил Торопин. По его словам, для оценки сроков восстановления нужен подробный план действий. В нем необходимо определить ответственных за принятие решений, отключение систем и возобновление их работы.

Ефимов добавил, что наличие плана на бумаге не гарантирует, что в критический момент сотрудники смогут действовать по нему. Поэтому организации должны регулярно проводить учения. Важность практической подготовки подчеркнул и Фетисов. «В момент кризиса ты не растешь до уровня своих ожиданий, а падаешь на уровень своей подготовки», – отметил эксперт.