Более половины российских объектов критической инфраструктуры не обеспечивают должных мер информационной безопасности

Основные результаты исследования:

• Объекты критической инфраструктуры являются объектами атак. Представители 1 из 13 объектов критической инфраструктуры РФ подозревают, что стали жертвой кибератак, совершенных с определенной целью, а на каждом сотом предприятии абсолютно уверены в этом.
• Российские предприятия рассчитывают скорее на свои силы, чем на государственные программы по защите объектов критической инфраструктуры. Отношение предприятий к этим программам скорее скептическое (об этом заявили 35% респондентов). Тем не менее, российские объекты критической инфраструктуры, хоть и в меньшей степени, чем в среднем в мире, но готовы сотрудничать с государством (большинство компаний высказалось по этому поводу нейтрально либо положительно)
• Потенциал для повышения степени готовности предприятий. Данные исследования показывают:

-  20% объектов критической инфраструктуры РФ не реагируют должным образом на инциденты информационной безопасности;

-  26% объектов критической инфраструктуры не применяют достаточных мер для контроля доступа к инфраструктуре на основании учетных данных;

-  30% объектов критической инфраструктуры не имеют плана аварийного восстановления информационных систем, либо он находится в низкой степени готовности;

-  30% объектов критической инфраструктуры не применяют достаточных мер по обеспечению безопасности веб-сайтов;

-  33% объектов критической инфраструктуры не осуществляют должным образом мониторинг информационной безопасности;

-  34% объектов критической инфраструктуры не применяют достаточных мер по защите сети;

-  Исполнительное руководство 35% объектов критической инфраструктуры не осознает важности угроз информационной безопасности  в достаточной мере;

-  37% объектов критической инфраструктуры не применяют достаточных мер по обеспечению безопасности электронных сообщений;

-  На 39% объектов критической инфраструктуры не проводятся на достаточном уровне тренинги по безопасности;

-  45% объектов критической инфраструктуры не проводят на достаточном уровне аудит безопасности;

-  Более половины (51%) объектов критической инфраструктуры не применяют либо применяют недостаточные меры по защите конечных точек (рабочих компьютеров пользователей, серверов, терминалов и т.п.), то есть более половины предприятий не защищены.

• Системы мониторинга инцидентов информационной безопасности и контроля утечек информации нуждаются в совершенствовании. Исследование показало недостаточный уровень осведомленности и контроля в области информационной безопасности: треть респондентов не уверены в том, были их  информационные системы атакованы или нет. Большинство предприятий, чьи системы были атакованы, не могут определенно сказать, были эти атаки успешны или нет. К тому же, треть респондентов не могут определенно сказать, готовы они противостоять кибератакам или нет.
• В  сравнении с уровнем обеспечения информационной безопасности в мире Россия пока несколько отстает. Индекс защищенности, основанный на статусе по различным мерам обеспечения безопасности составляет в среднем -7% против +25% в мире. Собственная оценка готовности предприятий к атакам также ниже общемировой - готовы противостоять кибератакам в России только 41%, против 70% в среднем в мире. 

«В 2009 году Россия вошла в десятку стран с наиболее высокой вредоносной активностью в интернете. Пока количество атак на российские предприятия кажется не столь угрожающим, тем не менее, тенденция показывает нарастание количества угроз, которое усугубляется недостаточной защищенностью объектов критической инфраструктуры, - говорит Николай Починок, директор отдела технических решений Symantec в России и СНГ. - Принятие закона о защите персональных данных несомненно положительно скажется на процессе повышения уровня информационной безопасности, но, тем не менее, существует еще масса аспектов информационной безопасности, не охваченных этим законом и нуждающихся в улучшении. Предприятия должны понимать, что для обеспечения должного уровня защищенности недостаточно лишь установить антивирус, нужны системы контроля доступа, защиты от утечек данных, мониторинга инцидентов, нужны соответствующие тренинги для сотрудников. И чем больше руководство объектов критической инфраструктуры будет осознавать важность информационной безопасности, тем быстрее мы будем двигаться в этом направлении и тем выше будут показатели защищенности наших предприятий». 

Объекты критической инфраструктуры – термин, используемый правительствами многих стран, описывающий активы, которые абсолютно необходимы для нормального функционирования общества и экономики и включает предприятия следующих основных отраслей: здравоохранение, энергетика, экстренные службы (полиция, пожарные и т.п.), банки и финансы, телекоммуникации и информационные технологии. Проблема защиты объектов критической инфраструктуры стала особенно актуальной после появления нового поколения компьютерных вирусов, использующих сложные и изощрённые механизмы для внедрения в хорошо защищённые сети промышленных объектов (например - Stuxnet, проникший в сеть Бушерской АЭС в Иране) и способных создать угрозу национальной безопасности.