Оценка киберрисков: как она помогает директорам по информационной безопасности

По достижении определенного возраста многие люди регулярно посещают врача для профилактического осмотра. Это имеет смысл и даже оплачивается медицинской страховкой. Таким образом можно своевременно выявить риски и опасности и принять соответствующие меры. Точно так же обстоят дела и в области кибербезопасности: регулярные оценки рисков помогают командам по безопасности выявлять уязвимости и возможности для оптимизации. Тем не менее, такие оценки проводятся далеко не повсеместно.

Преимущества оценки киберрисков

При этом директора по информационной безопасности (CISO) получают следующие преимущества, интегрируя оценку киберрисков в свою работу:

• Выявление уязвимостей: Оценка киберрисков помогает выявить пробелы в безопасности ИТ-инфраструктуры, сетей и систем компании. Это дает возможность устранить такие уязвимости до того, как ими воспользуются киберпреступники.

• Приоритизация мер по управлению рисками: Не каждая система является критически важной, равно как и не все данные компании имеют одинаковую важность. Результаты оценки рисков показывают, какие активы и системы наиболее важны и подвержены наибольшему риску атаки. На этой основе руководители по безопасности могут приоритизировать свои меры и тем самым более эффективно распределять ресурсы для устранения наиболее критических рисков.

• Соблюдение требований соответствия: Практически каждая компания должна соблюдать различные нормы по защите данных и их безопасности, такие как GDPR или стандарт безопасности данных индустрии платежных карт (PCI DSS). Многие из этих законодательных требований явно предписывают проведение специальных оценок рисков, например, в рамках GDPR — оценку воздействия на защиту данных. Оценки рисков помогают соответствовать требованиям соответствия для различных нормативных актов. Таким образом можно гарантировать соблюдение необходимых стандартов безопасности и избежать возможных штрафов или юридических последствий за нарушения.

• Принятие обоснованных решений и снижение затрат: Оценка киберрисков дает компаниям всестороннее понимание своих киберрисков. С одной стороны, на этой основе они могут принимать обоснованные решения о стратегиях снижения рисков, тем самым уменьшая вероятность успешной и дорогостоящей кибератаки. С другой стороны, они могут осуществлять целенаправленные и, следовательно, более эффективные инвестиции в свою кибербезопасность.

Взгляд на риск данных

Целью большинства кибератак являются данные компании, что влечет за собой чрезвычайно дорогостоящие последствия: согласно отчету IBM “Cost of a Data Breach Report 2025”, один инцидент с утечкой данных обошелся в среднем в 4,44 миллиона долларов США. Поэтому стоит уделить особое внимание данным и риску, которому они подвергаются.

Это тем более важно, что, в отличие от инфраструктуры и других систем, данные не могут быть “нескомпрометированы”. Серверы можно переустановить, облачные экземпляры — перестроить. Однако однажды похищенные данные остаются в руках киберпреступников. От этого не спасают и резервные копии.

О том, каким рискам подвергаются данные в целом, свидетельствует анализ почти 10 миллиардов облачных объектов в рамках оценки рисков данных в более чем 700 компаниях из различных отраслей по всему миру. Согласно этому анализу, один из десяти наборов данных в облаке доступен всем сотрудникам. Это создает внутренний радиус, который значительно увеличивает потенциальный ущерб в случае атаки программы-вымогателя.

Однако отсутствие многофакторной аутентификации (MFA) также облегчает злоумышленникам компрометацию внутренне раскрытых данных: Microsoft установила, что более 99% скомпрометированных учетных записей не имеют MFA.

Заключение

Эти общие результаты уже выявляют основные проблемные области. Тем не менее, важно определить индивидуальный риск данных и выявить слабые места в рамках оценки риска данных.

Как правило, компании не знают, какими данными они вообще обладают, где они хранятся и кто имеет к ним доступ. Только обладая этой базовой информацией, можно распознать свой риск и принять целенаправленные меры. Затраты времени при этом составляют около двух-четырех часов, что вполне приемлемо, и в рамках подробного отчета предоставляются готовые к немедленному применению рекомендации. Кроме того, в процессе оценки часто выявляются и другие проблемы безопасности, от текущих кибератак до паролей Kerberos, которым до 15 лет.

При регулярно проводимой оценке киберрисков можно наглядно документировать прогресс в области безопасности данных, в том числе и для руководства. Таким образом, у CISO наконец появляется инструмент, который делает их успехи в области кибербезопасности видимыми.

Рекомендуем к прочтению: С помощью этих четырех шагов вы минимизируете киберриск