Утечки данных: лечить нельзя оставить

По данным SafeNet, Inc., с 2013 года в мире было потеряно или похищено более 2 миллиардов записей данных. По данным исследования, проведенного «Лабораторией Касперского» совместно с компанией B2B International, в результате действий киберпреступников в 2014 году 36% российских финансовых компаний столкнулись с утечкой данных, связанных с осуществлением денежных операций. При этом, как показал опрос компании Zecurion, максимальный подтверждённый размер финансового ущерба от утечки информации в российской компании составил $30 млн и лишь 8% российских компаний среднего и крупного бизнеса не сталкиваются с утечками данных.    

Эти данные, конечно, не говорят о катастрофической ситуации в российском бизнесе, однако выглядят довольно пугающе. Правда, оказывается, руководство компаний такие утечки не слишком пугают, по крайней мере, далеко не все уделяют ей должное внимание. Так, по данным Zecurion, лишь 44 % опрошенных гендиректоров получают отчеты подразделений по защите информации, 35 % уверены, что не получают их, а остальные – просто не помнят. С учетом того, что даже регулярное получение такого отчета не означает, что его хотя бы прочитали, а не то что сделали оргвыводы, положение с безопасностью данных оказывается довольно печальным.

Уверенность в том, что ситуация под контролем, есть даже у тех, кто, казалось бы, наиболее внимательно должен относиться к потерям, так как они напрямую связаны с деньгами и поэтому проще просчитываемы – финансовые компании. По данным «Лаборатории Касперского», 81 % таких организаций убеждены, что «принимают все необходимые меры для поддержания актуальности защитных технологий».

Между тем, по данным Zecurion, далеко не все в принципе готовы «просчитать» полученный ущерб. Да и тот, кто готов озвучить определенную цифру, ее, скорее, недооценивает. Так, прогнозируемый средний ущерб от утечки, по данным Zecurion, составляет $310 тыс., тогда как фактический – $820 тыс., что более чем в два раза выше прогнозируемого. Наибольшими финансовыми потерями грозят умышленные утечки от топ-менеджеров как лиц, обладающих максимально широкими правами доступа к внутренней информации.         

При этом топ-список каналов утечек известен давно и практически не меняется со временем. Респонденты Zecurion видят в нем электронную почту (53 %), флешки (45 %), web-сервисы (32 %) и принтеры (19 %). Причем, речь идет как о преднамеренных, так и о случайных утечках. Напомним, что многие аналитики в области безопасности до сих пор называют в ряду наиболее часто встречающихся путей утечек данных – банальную потерю ноутбуков или смартфонов.

С одной стороны, утечки вынуждают компании больше внимания уделять вопросам безопасности. К примеру, 53 % опрошенных SafeNet считают, что «новости о крупнейших утечках данных вынудили их организацию задуматься над изменением своей стратегии безопасности». Согласно результатам исследования «Лаборатории Касперского, 52 % из опрошенных финансовых организаций готовы внедрять новые технологии для дополнительной защиты финансовых транзакций. И в том, и в другом случае лишь немногим меньше половины, вероятно, не считают нужным что-то менять в вопросах защиты данных. Более того – 34% ИТ-руководителей, по данным SafeNet, отметили падение уверенности в том, что современные решения способны обнаруживать новые виды угроз и обеспечивать защиту от них. Похожая ситуация и в сегменте DLP-систем: компании, использующие их в режиме мониторинга, продолжают терпеть убытки от утечек (по данным Zecurion).

«Мы видим, что половина компаний продолжает пренебрегать обеспечением безопасности даже после серьезного киберинцидента. В то время как своевременно установленное комплексное защитное решение не только целиком окупит свою стоимость при первой же атаке, но и спасет от репутационных потерь, которые порой сложно измерить денежным эквивалентом», – подтверждает Алексей Снегирев, руководитель развития направления Kaspersky Fraud Prevention в России, «Лаборатория Касперского».

Все это, скорее всего свидетельствует не только о том, что вопросами безопасности многие компании пренебрегают, но и о том, что далеко не все производители решений для обеспечения информационной безопасности и защиты от утечек смогли донести до потенциальных клиентов информацию о возможностях и функционале своих продуктов.