Журнал "Системы Безопасности" № 5‘2018

S E C U R I T Y A N D I T M A N A G E M E N T n w w w . a l l - o v e r - i p . r u 58 финансовая отрасль является одним из основ- ных потребителей подобных интеллектуальных средств защиты, однако часто разнообразные продукты различных производителей, установ- ленные в инфраструктуре, работают обособлен- но друг от друга, выполняют отдельные функ- ции и не позволяют увидеть картину информа- ционной безопасности организации в целом, что приводит к вероятности не обнаружить своевременно возникновение инцидента. Другими словами, использование подобных интеллектуальных решений способно значи- тельно увеличить защищенность информа- ционной инфраструктуры, однако только в том случае, если такие решения используются комплексно, с учетом общей стратегии обес- печения информационной безопасности ком- пании, специфики бизнеса и текущих потреб- ностей. кроме того, для достижения макси- мального эффекта таких средств их примене- ние должно быть подкреплено экономически обоснованными оценками, то есть необходи- мо учитывать стоимость актуальных кибер- рисков в денежном эквиваленте. обоснован- ность и целесообразность внедренных мер возможно оценить лишь тогда, когда извест- ны ожидаемые и неожидаемые потери (Expected and Unexpected Loss) от реализации информационного риска. Именно стоимост- ная оценка киберриска позволяет в дальней- шем определить оптимальный объем инве- стиций в информационную безопасность (например, с использованием модели Gor- don-Loeb и аналогичных) и определить набор мер, необходимых и достаточных для кон- кретной организации. Управление киберрисками – необходимое условие успешного развития финансовые институты постепенно приходят к пониманию того, что тщательное выполнение требований регулятора, а также приобретение дорогостоящих средств защиты порой приводят не к реальной защищенности, а лишь к "бумаж- ной безопасности" и ложному чувству защиты. Получение необходимых аттестатов соответ- ствия, введение регламентов и инструкций, использование сертифицированных средств защиты, безусловно, позволят успешно пройти проверки контролирующих органов. однако для того чтобы по-настоящему снизить риски возникновения компьютерных инцидентов, необходимо построение эффективной системы управления процессами информационной без- опасности, в частности структурированного менеджмента информационных рисков. а это невозможно без непрерывного анализа кибер- риска и его стоимостной оценки, что примени- мо не только для финансовых институтов, но именно для них это является решающим факто- ром успешного функционирования в условиях современной цифровой реальности. Процесс менеджмента рисков информацион- ной безопасности является непрерывным и в общем виде представлен на рис. 2. кроме того, даже после смягчения риска остаточный киберриск всегда имеет место, так как построить на 100% защищенную инфраструктуру нельзя: невозможно избе- жать вероятности наличия уязвимостей "нулевого дня", также всегда присутствует человеческий фактор. Именно по этой причине страхование инфор- мационных рисков приобретает все большую популярность, потребность в нем ежегодно уве- личивается (рис. 3) и, по разным оценкам, годовой рост рынка киберстрахования состав- ляет от 25 до 50%. согласно отчету группы Alli- anz, рынок страхования от киберугроз может стать одним из самых перспективных в ближай- шие 10 лет 3 . возможность страхования киберриска сегодня имеет особую актуальность для банков и иных финансовых организаций, так как позволяет восстановить возможные убытки от совершен- ного киберпреступления и сохранить жизнеспо- собность организации. однако представители крупнейших российских страховых компаний отмечают, что на данном этапе не готовы брать ответственность за стра- хование компьютерных преступлений, так как отсутствуют надежные механизмы объективной оценки киберриска, а также еще не выработан оптимальный подход к андеррайтингу таких рисков, что сдерживает рост популярности дан- ной услуги в россии 4 . От проблем к решениям Подводя итог, можно коротко сформулировать основные трудности в области защиты инфор- мации, с которыми на сегодняшний день стал- киваются финансовые институты: 1. финансовые организации терпят большие убытки от кибератак и непрерывно рискуют оказаться жертвой киберпреступников, которые разрабатывают все новые способы проведения атак. 2. в то же время данные организации испыты- вают особенно сильное давление со стороны государства и вынуждены выполнять серьезные законодательные требования по защите инфор- мации, часто – формально, что не всегда при- водит к реальной защищенности и не снижает фактическую подверженность организации киберриску. 3. Чрезвычайное разнообразие средств защи- ты информации на рынке приводит к тому, что сделать правильный выбор средств защиты, которые действительно необходимы, сложно. отсутствует комплексный подход к их приме- нению, возникает разрозненное представление о текущем уровне защиты, а это, в свою оче- редь, может повлечь принятие неверных управленческих решений и неэффективные финансовые вложения в информационную безопасность. 4. Потребность в страховании информацион- ных рисков растет, однако на российском страховом рынке представлено крайне мало вариантов страхования киберриска по причи- не отсутствия (слабости) стратегии андеррай- тинга. Для устранения обозначенных проблем необходим прозрачный и объективный подход комплексного управления киберрисками орга- низации. решением может стать система или фреймворк, способный выявлять и анализировать кибер- риски, производить их финансовую оценку с учетом специфики конкретной компании. стоимостная оценка информационных рисков крайне необходима для банков и иных финан- совых институтов, так как позволит количе- ственно оценить реальную защищенность от актуальных киберугроз. в дальнейшем данная оценка также может служить основой для составления планов по митигации информа- ционных рисков и определения оптимального объема инвестиций в средства и системы защиты. Помимо этого, подобное решение сможет ока- зать положительное влияние и на рынок стра- хования информационных рисков, так как стои- мостная оценка подверженности компании информационным рискам ускорит и упростит андеррайтинг данного типа рисков. n октябрь – ноябрь 2018 www.secuteck.ru отраслевой фокус БаНкИ Рис. 3. Прогноз роста мирового рынка киберстрахования в миллиардах долларов В се большее конкурентное преимущество и эффективность при- обретают средства защиты информации со встроенными интеллек- туальными алгоритмами, способные автоматизированно принимать решения, анализировать большие объемы данных и выявлять зако- номерности Г одовой рост рынка киберстрахования составляет от 25 до 50%. Согласно отчету группы Allianz, рынок страхования от киберугроз может стать одним из самых перспективных в ближайшие 10 лет Ваше мнение и вопросы по статье направляйте на ss @groteck.ru 3 Источник: https://www.anti-malware.ru/news/2017-02-27/22365. 4 Там же