ФСТЭК: 30% проверенных организаций игнорируют рекомендации по защите от атак
Около 30% организаций, проверенных ФСТЭК России, не выполняют направленные им рекомендации по защите от уязвимостей. Об этом на SOC Forum рассказал заместитель начальника управления ведомства Павел Зенкин. По его словам, специалисты выявляют проблемы и разрабатывают меры защиты, но в части организаций эта работа остается без результата.
«Службой проделывается большая работа по анализу, по выявлению этих уязвимостей, выработке дополнительных мер по их нейтрализации. Все, что остается субъекту, — это просто настроить и реализовать», — сказал Зенкин.
Он привел пример инцидента, которого можно было избежать. По словам представителя ФСТЭК, при разборе произошедшего был сделан вывод, что если бы организация своевременно выполнила направленные ей меры защиты, инцидента бы не произошло. Название организации и подробности атаки он не раскрыл.
При этом нарушения, которые выявляет ведомство, повторяются из года в год. Среди них — отсутствие проверок защищенности, контроля действий системных администраторов, внутреннего и внешнего аудита.
«Необязательно какие-то сложные компьютерные атаки — достаточно примитивных атак, чтобы нанести существенный вред организации», — отметил Зенкин.
По его наблюдениям, руководители нередко начинают активнее заниматься безопасностью после новостей об атаке на похожую организацию: видят знакомое оборудование, аналогичные процессы и последствия, с которыми могут столкнуться сами. Но восстановление после инцидента, подчеркнул он, обходится дороже, чем его предотвращение.
Ждать письма от регулятора — тоже не выход
На сессии рассказали и об обратной проблеме: некоторые организации не устраняют уязвимости, потому что не получили отдельного предупреждения от ФСТЭК. Начальник управления ведомства Павел Жиров привел пример, когда после шифрования систем организация ссылалась именно на отсутствие такого сообщения.
«Есть такие достаточно плохие примеры, когда ждут наши рекомендации, чтобы их выполнить», — сказал он.
Жиров подчеркнул, что регулятор не подменяет собственные процессы безопасности организации: «Процессы должны выполняться вне зависимости от того, ФСТЭК сообщил о том, что это надо устранять, или ФСТЭК об этом не сообщил».
Что это значит для бизнеса
Главная проблема, на которую указывает ФСТЭК, — разрыв между знанием об уязвимости и ее устранением. Для руководителя это повод проверить не только наличие средств защиты и ответственного сотрудника, но и исполнение: кто получает предупреждения, кто исправляет проблему и кто подтверждает, что она действительно устранена.
Закупка защитного ПО и получение рекомендаций сами по себе не предотвращают атаку, если необходимые обновления и настройки остаются на бумаге. А отсутствие отдельного письма от регулятора не означает, что можно отложить работу с уже известной проблемой.
Подпишитесь на «Инк» в Telegram. Там мы пишем нескучным языком о самом важном для предпринимателей. Подписаться.
