Почему защищенность компании становится вопросом деловой репутации

Эксперт по информационной безопасности Контур.Эгиды и Staffcop Юрий Драченин

— Кибербезопасность уже не только задача ИТ-специалистов. Если из-за атаки компания не может принимать заказы, оказывать услуги или сохранять доверенные ей данные, вопросы возникают не только у клиентов, но и у партнеров. Можно ли доверять поставщику, который не способен защитить себя? Стоит ли передавать ему коммерческую информацию, давать отсрочку платежа, заключать долгосрочный контракт?

Крупные заказчики уже включают требования к информационной безопасности в закупочную документацию и проверяют, как устроена защита у подрядчиков. Для них это не формальность. Передавая партнеру данные клиентов или доступ к системам, компания принимает на себя и часть его рисков.

Собственная защищенность не гарантирует спокойствия. Можно вложиться в инфраструктуру, а затем дать доступ подрядчику, у которого с безопасностью все гораздо хуже. Или хранить клиентскую базу в облачной CRM и однажды обнаружить признаки утечки. Доказать, откуда именно ушли данные, бывает непросто, а отвечать перед клиентами все равно придется вам. Проверять нужно и тех, кому доверяете данные и доступы.

Цена инцидента зависит от положения компании на рынке. Большой сервис, которому почти нет альтернатив, может пережить репутационный кризис: пользователи повозмущаются, но продолжат им пользоваться. Зато остановка сайта обойдется ему очень дорого. Для крупного бизнеса ИБ — вопрос непрерывности работы.

Небольшой компании сложнее. Если у конкурентов есть аналогичная услуга, после утечки или длительного сбоя клиенту ничто не мешает уйти. Восстановить сервер можно относительно быстро, вернуть доверие — гораздо труднее. Репутацию зарабатывают годами, а теряют за минуту.

Почему же бизнес экономит на защите? Потому что расходы он привык сопоставлять с результатом. Деньги, вложенные в продажи или новый продукт, понятнее, чем деньги на предотвращение события, которое может и не произойти. Но тут есть вопросы и к самим безопасникам. Не все умеют объяснить руководителю, сколько стоит час простоя, какие убытки принесет конкретная атака и насколько предложенное решение снижает риск. Другие не хотят спорить с бизнесом: все работает, инцидентов нет — зачем просить дополнительный бюджет?

Допустим, вместо картонной двери вы поставили стальную, и после этого к вам перестали залезать воры. Прошло несколько лет. Можно ли сделать вывод, что стальная дверь больше не нужна, раз никто не пытается проникнуть в квартиру? С защитой информационных систем — та же история. Отсутствие происшествий вполне может быть результатом вложений.

Небольшому бизнесу необязательно копировать систему безопасности корпорации. Все зависит от того, чем занимается компания и насколько она зависит от интернета. Я бы начал с антивирусной защиты, многофакторной аутентификации и обучения сотрудников. Если бизнес работает через веб-приложения, стоит оценить необходимость WAF (специализированного межсетевого экрана). Если сотрудники имеют дело с чувствительными данными — инструментов контроля их передачи, в том числе DLP. Важно выбирать защиту под реальные риски, а не покупать все подряд.

Через три-пять лет проверять защищенность партнеров будут гораздо чаще. Пока этим в основном занимаются крупные компании со зрелой ИБ, но число атак растет, а вместе с ним — и понимание последствий. Не удивлюсь, если при выборе между двумя поставщиками заказчик предпочтет не самого дешевого, а того, кто способен работать устойчиво и не подставлять партнеров. Хороший продукт важен. Но если поставщик завтра не сможет выполнить обязательства, одной цены и качества уже недостаточно.