Direkta och indirekta kostnader för att skydda företagets information. Informationssäkerhetens ekonomi Kostnader för organisationer för informationssäkerhet

De investerar i en mängd olika datasäkerhetstekniker, från plattformar för att betala bonusar för att upptäcka programvarors sårbarheter till diagnostik och automatiserad testning av program. Men framför allt lockas de av autentiserings- och identitetshanteringsteknik - cirka 900 miljoner dollar investerades i startups som ägnade sig åt denna teknik i slutet av 2019.

Investeringar i nystartade utbildningar inom cybersäkerhet nådde 418 miljoner dollar 2019, till stor del drivna av KnowBe4, som tog in 300 miljoner dollar. Starten erbjuder en nätfiske -simuleringsplattform och en rad utbildningsprogram.

År 2019 togs cirka 412 miljoner dollar emot av företag som är involverade i sakernas internet. I denna kategori är SentinelOne ledande när det gäller investeringar, som 2019 fick 120 miljoner dollar för utveckling av teknik för slutpunktsskydd.

Samtidigt citerar Metacurity -analytiker andra uppgifter som kännetecknar situationen på riskkapitalmarknaden inom informationssäkerhetssektorn. År 2019 nådde investeringsvolymen här 6,57 miljarder dollar, efter att ha ökat från 3,88 miljarder dollar 2018. Antalet transaktioner ökade också - från 133 till 219. Samtidigt förblev den genomsnittliga investeringsvolymen per transaktion praktiskt taget oförändrad och uppgick till 29,2 miljoner i slutet av 2019, enligt Metacurity.

2018

Tillväxt med 9% till 37 miljarder dollar - Canalys

År 2018 nådde försäljningen av utrustning, programvara och tjänster för informationssäkerhet (IS) 37 miljarder dollar, en ökning med 9% jämfört med för ett år sedan (34 miljarder dollar). Sådana uppgifter släpptes den 28 mars 2019 av Canalys analytiker.

Medan många företag prioriterar att skydda sina tillgångar, data, slutpunkter, nätverk, anställda och kunder, sa de att cybersäkerhet stod för endast 2% av de totala IT -utgifterna 2018. Men fler och fler nya hot dyker upp, de blir mer komplexa och mer frekventa, vilket ger leverantörer av informationssäkerhet nya möjligheter till tillväxt. De totala utgifterna för cybersäkerhet förväntas överstiga 42 miljarder dollar 2020.

Canalys analytiker Matthew Ball tror att övergången till nya modeller för implementering av informationssäkerhet kommer att accelerera. Kunderna ändrar arten av sina IT-budgetar med offentliga molntjänster och flexibla prenumerationsbaserade tjänster.

Omkring 82% av projekt för distribution av informationssäkerhetssystem under 2018 var förknippade med användning av traditionell hårdvara och programvara. I de återstående 18% av fallen användes virtualisering, offentliga moln och informationssäkerhetstjänster.

År 2020 kommer andelen traditionella modeller för distribution av informationssäkerhetssystem att sjunka till 70%, eftersom nya lösningar blir allt populärare på marknaden.

Leverantörer kommer att behöva skapa ett brett utbud av affärsmodeller för att stödja denna övergång, eftersom olika produkter är lämpliga för olika typer av distributioner. Den största utmaningen för många idag är att göra de nya modellerna mer fokuserade på affiliate -kanaler och integrera dem med befintliga affiliateprogram, särskilt med kundverksamhet via molnplattformar. Vissa molnmarknader har redan reagerat på detta, så att partner kan erbjuda anpassade erbjudanden och priser direkt till kunder, spåra registreringar av erbjudanden och rabatter, sade Matthew Ball i ett inlägg daterat 29 mars 2019.

Enligt Canalys analytiker Ketaki Borade har ledande cyberförsvarsteknikleverantörer introducerat nya distributionsmodeller som innebär att företag går över till ett prenumerationssystem och ökar verksamheten i molninfrastrukturen.

Cybersäkerhetsmarknaden har förblivit mycket dynamisk, med rekordtransaktioner och volymaktivitet som svar på växande lagstadgade och tekniska krav, liksom den kvarvarande risken för dataintrång, säger Eric McAlpine, medgrundare och Managing Partner för Momentum Cyber. ”Vi tror att detta momentum kommer att fortsätta att driva sektorn till ett nytt territorium när den strävar efter att möta nya hot och konsolideras inför trötthet hos leverantörer och växande kompetensbrist.

2017

Cybersäkerhetskostnaderna översteg 100 miljarder dollar

År 2017 nådde de globala utgifterna för informationssäkerhet (IS) - produkter och tjänster - 101,5 miljarder dollar, sa forskningsföretaget Gartner i mitten av augusti 2018. I slutet av 2017 uppskattade experter denna marknad till 89,13 miljarder dollar. Orsaken till den betydande ökningen av bedömningen rapporteras inte.

CIO: s är engagerade i att hjälpa sina organisationer att säkert använda tekniska plattformar för att bli mer konkurrenskraftiga och driva företagstillväxt, säger Siddharth Deshpande, forskningschef på Gartner. ”Den fortsatta talangbristen och regleringsändringar som General Data Protection Regulation (GDPR) i Europa driver den fortsatta tillväxten på cybersäkerhetsmarknaden.

Experter tror att en av nyckelfaktorerna som bidrar till högre kostnader för informationsskydd är införandet av nya metoder för att upptäcka och reagera på hot - de blev högsta prioritet för organisations säkerhet under 2018.

Enligt Gartners uppskattningar översteg organisationernas utgifter för cybersäkerhetstjänster globalt 2017 52,3 miljarder dollar 2017, och 2018 kommer dessa kostnader att stiga till 58,9 miljarder dollar.

År 2017 spenderade företag 2,4 miljarder dollar på applikationsskydd, 2,6 miljarder dollar på dataskydd och 185 miljoner dollar på molntjänster.

Årlig försäljning av lösningar för hantering av identitet och åtkomst (Identity And Access Management) var lika med 8,8 miljarder. Implementeringen av skyddsmetoder för IT -infrastruktur ökade till 12,6 miljarder dollar.

Studien rapporterade också att man spenderar 10,9 miljarder dollar på utrustning som används för att säkerställa nätverkssäkerhet. Deras tillverkare tjänade 3,9 miljarder dollar på riskhanteringssystem för informationssäkerhet.

Konsumenternas cybersäkerhetsutgifter för 2017 uppskattades av analytiker till 5,9 miljarder dollar, enligt en Gartner -studie.

Gartner uppskattade marknadsstorleken till 89,13 miljarder dollar

I december 2017 blev det känt att företagens globala kostnader för informationssäkerhet (IS) 2017 kommer att uppgå till 89,13 miljarder dollar. Enligt Gartner kommer företagskostnaderna för cybersäkerhet att överstiga 82,2 miljarder dollar 2016 med nästan 7 miljarder dollar.

Experter anser att cybersäkerhetstjänster är den största utgiftsposten: 2017 kommer företag att anslå över 53 miljarder dollar för dessa ändamål mot 48,8 miljarder dollar 2016. Det näst största segmentet på informationssäkerhetsmarknaden är lösningar för att skydda infrastruktur, vars kostnader 2017 kommer att uppgå till 16,2 miljarder dollar istället för 15,2 miljarder dollar för ett år sedan. Utrustning för nätverkssäkerhet - på tredje plats (10,93 miljarder dollar).

Informationssäkerhetskostnadernas struktur omfattar också konsumentprogramvara för informationssäkerhet och system för identitets- och åtkomsthantering (IAM). Kostnaderna i dessa områden 2017 beräknas till Gartner till 4,64 miljarder dollar och 4,3 miljarder dollar, medan 2016 var siffrorna på 4,57 miljarder dollar respektive 3,9 miljarder dollar.

Analytiker förväntar sig en ytterligare ökning av informationssäkerhetsmarknaden: under 2018 kommer organisationer att öka utgifterna för cyberförsvar med ytterligare 8% och anslå totalt 96,3 miljarder dollar för dessa ändamål. Bland tillväxtfaktorerna listade experter den ändrade regleringen i informationen säkerhetssektorn, medvetenhet om nya hot och företagens led mot en digital affärsstrategi.

I allmänhet beror kostnaden för cybersäkerhet till stor del på företagens reaktion på cybersäkerhetsincidenter, eftersom antalet högprofilerade cyberattacker och informationsläckor som organisationer lider av växer runt om i världen '', säger Ruggero Contu, forskningschef på Gartner.

Analytikerns ord bekräftas av de uppgifter som Gartner erhöll 2016 under en undersökning av 512 organisationer från åtta länder i världen: Australien, Kanada, Frankrike, Tyskland, Indien, Singapore och USA.

53% av de tillfrågade utsåg cybersäkerhetsrisker som den främsta drivkraften bakom ökningen av utgifterna för cybersäkerhet. Av detta antal sa den högsta andelen av de tillfrågade att hot mot cyberattack är de mest inflytelserika för att fatta beslut om utgifter för informationssäkerhet.

Gartners utsikter för 2018 förutser en ökning av utgifterna inom alla större områden. Så cirka 57,7 miljarder dollar (+ 4,65 miljarder dollar) kommer att spenderas på cyberskyddstjänster, cirka 17,5 miljarder dollar (+ 1,25 miljarder dollar) på infrastruktursäkerhet, 11,67 miljarder dollar på utrustning för nätverksskydd (+ 735 miljoner dollar), konsument programvara - 4,74 miljarder dollar (+ 109 miljoner dollar) och IAM -system - 4,69 miljarder dollar (+ 416 miljoner dollar).

Analytiker tror också att år 2020 kommer mer än 60% av världens organisationer samtidigt att investera i flera dataskyddsverktyg, inklusive förebyggande av förlust av information, kryptering och revision. I slutet av 2017 uppskattades andelen företag som köper sådana lösningar till 35%.

En annan viktig del av företagens utgifter för informationssäkerhet är att engagera tredje parts specialister. Det förväntas att mot bakgrund av brist på personal inom cybersäkerhet, informationssäkerhetens växande tekniska komplexitet och ökade cyberhot, kommer företagens kostnader för outsourcing av informationssäkerhet 2018 att öka med 11% och kommer att uppgå till till 18,5 miljarder dollar.

Enligt Gartners beräkningar kommer 2019 att företagsutgifterna för tjänster från tredje parts informationssäkerhetsexperter stå för 75% av den totala kostnaden för programvara och utrustning för cybersäkerhet, medan 2016 var denna andel på 63%.

IDC förutspår 82 miljarder dollar marknadsstorlek

Två tredjedelar av kostnaderna kommer att falla på företag relaterade till stora och mycket stora företag. År 2019, enligt IDC -analytiker, kommer storleken på utgifterna för företag med mer än 1000 anställda att överstiga 50 miljarder dollar.

2016: Marknadens storlek är 73,7 miljarder dollar, tillväxten är 2 gånger mer än IT -marknaden

I oktober 2016 presenterade analysföretaget IDC en sammanfattning av forskningen om den globala informationssäkerhetsmarknaden. Dess tillväxt förväntas bli änka högre än IT -marknadens.

IDC uppskattar att den globala försäljningen av utrustning, mjukvara och tjänster för cyberförsvar kommer att nå cirka 73,7 miljarder dollar 2016, och 2020 kommer siffran att överstiga 100 miljarder dollar, uppgående till 101,6 miljarder dollar. Under perioden 2016 till 2020 kommer informationen säkerhetsmarknadsteknik kommer att växa med i genomsnitt 8,3% årligen, vilket är dubbelt så mycket som förväntad tillväxt i IT -branschen.

De största cybersäkerhetskostnaderna (8,6 miljarder dollar) i slutet av 2016 väntas i banker. Den andra, tredje och fjärde platsen när det gäller sådana investeringar kommer att upptas av diskreta tillverkningsföretag, statliga myndigheter respektive kontinuerliga produktionsföretag, som kommer att stå för cirka 37% av kostnaderna.

Ledare inom dynamiken i ökande investeringar i cybersäkerhet ges av analytiker till sjukvården (2016-2020 förväntas en genomsnittlig årlig tillväxt på 10,3%). Cyberförsvarskostnaderna inom telekom, bostadssektor, myndigheter och investerings- och värdepappersmarknaden kommer att stiga med cirka 9% per år.

Forskare kallar den största cybersäkerhetsmarknaden för den amerikanska, vars volym 2016 kommer att nå 31,5 miljarder dollar. De tre bästa kommer också att omfatta Västeuropa och Asien-Stillahavsområdet (exklusive Japan). Det finns ingen information om den ryska marknaden i kortversionen av IDC -undersökningen.

Dmitry Gvozdev, generaldirektör för det ryska företaget Monitor Security, förutspår en ökning av andelen tjänster i de totala ryska säkerhetskostnaderna från 30-35% till 40-45%, och förutspår också utvecklingen av kundmarknadsstrukturen-från den totala dominans av staten, finans- och energisektorerna mot medelstora företag från ett brett spektrum av branscher.

En av trenderna bör vara utvecklingen av andelen inhemska mjukvaruprodukter i samband med frågor om importersättning och den utrikespolitiska situationen. Men i vilken utsträckning detta kommer att återspeglas i finansiella indikatorer kommer i stor utsträckning att bero på rubelkursen och prispolitiken för utländska leverantörer, som fortfarande upptar minst hälften av den inhemska marknaden för mjukvarulösningar och upp till två tredjedelar i utrustningen segmentet. Det slutliga årliga finansiella resultatet av hela den ryska marknaden för informationssäkerhetslösningar kan också knytas till externa ekonomiska faktorer, säger Gvozdev i ett samtal med TAdviser.

2015

MARKNADSSTORLEK

FEDERAL UTGIFTER

CYBER BROTT

KOSTNADSBROTT

FINANSIELLA TJÄNSTER

Internationell

SÄKERHETSANALYTIK

2013: EMEA -marknaden växte till 2,5 miljarder dollar.

Storleken på marknaden för säkerhetsprodukter i EMEA -regionen (Europa, Mellanöstern och Afrika) växte med 2,4% jämfört med 2012 och uppgick till 2,5 miljarder dollar. Analytiker kallade multifunktionella program- och hårdvarukomplex för att skydda datanätverk - UTM -lösningar ( Enad hothantering). Samtidigt förutspådde IDC att marknaden för tekniska informationssäkerhetsmedel 2018 kommer att nå 4,2 miljarder dollar i värde med en genomsnittlig årlig tillväxt på 5,4%.

I slutet av 2013 intog Check Point den ledande positionen bland leverantörer när det gäller intäkter från försäljning av tekniska informationssäkerhetstekniska medel i EMEA -regionen. Enligt IDC ökade säljarens intäkter i detta segment för 2013 med 3,8% till 374,64 miljoner dollar, vilket motsvarar en marknadsandel på 19,3%.

2012: PAC -prognos: Informationssäkerhetsmarknaden kommer att växa med 8% per år

Den globala informationssäkerhetsmarknaden kommer att växa med 8% årligen fram till 2016, när den kan nå 36 miljarder euro, säger studien.

Begreppet "informationssäkerhet" har olika betydelser beroende på sammanhanget. I sin vidaste mening innebär begreppet skydd av konfidentiell information, produktionsprocess, företagsinfrastruktur från avsiktliga eller oavsiktliga handlingar som leder till ekonomisk skada eller förlust av rykte.

Informationssäkerhetsprinciper

I vilken bransch som helst grundläggande princip för informationssäkerhet är att upprätthålla en intresseavvägning för medborgaren, samhället och staten. Svårigheten att upprätthålla en balans ligger i det faktum att samhällets och medborgarnas intressen ofta är i konflikt. En medborgare försöker hålla hemliga detaljerna om sitt personliga liv, källor och inkomstnivå, dåliga gärningar. Tvärtom är samhället intresserat av att ”avklassificera” information om olaglig inkomst, fakta om korruption och kriminella handlingar. Staten skapar och förvaltar en begränsningsmekanism som skyddar medborgarnas rättigheter till icke-avslöjande av personuppgifter och samtidigt reglerar rättsförhållanden relaterade till avslöjande av brott och att ställa gärningsmännen inför rätta.

Viktigt i dagens miljö principen om juridiskt stöd skaffar sig informationssäkerhet när regleringsstöd inte håller jämna steg med utvecklingen av informationssäkerhetsbranschen. Juridiska luckor gör det inte bara möjligt att undvika ansvar för it -brott, utan hindrar också implementeringen av avancerad dataskyddsteknik.

Globaliseringsprincipen , eller integrationen av informationssäkerhetssystem påverkar alla sektorer: politisk, ekonomisk, kulturell. Utvecklingen av internationella kommunikationssystem kräver konsekvent datasäkerhet.

Enligt principen om ekonomisk ändamålsenlighet måste effektiviteten hos åtgärder för att säkerställa informationssäkerhet matcha eller överstiga de förbrukade resurserna. Den oåterkalleliga kostnaden för att underhålla ett säkerhetssystem skadar bara framsteg.

Principen för systemflexibilitet informationsskydd: eliminering av alla regimrestriktioner som förhindrar generering och implementering av ny teknik.

Strikt reglering av konfidentiell, inte öppen information innebär principen om tystnadsplikt .

Ju fler olika hårdvaru- och programvarusäkerhetsverktyg som används för att skydda data, desto mer mångsidig kunskap och färdigheter krävs för att angripare ska upptäcka sårbarheter och kringgå skydd. Syftet är att stärka informationssäkerheten principen om mångfald informationssystems skyddsmekanismer.

Enkel kontroll säkerhetssystemet bygger på tanken att ju mer komplext informationssäkerhetssystemet är, desto svårare är det att kontrollera de enskilda komponenternas konsistens och genomföra central administration.

Nyckeln till en lojal inställning av personal till informationssäkerhet är ständig utbildning i informationssäkerhetsregler och tydliga förklaringar av konsekvenserna av bristande efterlevnad av reglerna, till och med företagets konkurs. Lojalitetsprincip För datasäkerhetsadministratörer och all företagspersonal är säkerhet kopplad till medarbetarnas motivation. Om anställda, såväl som motparter och kunder uppfattar informationssäkerheten som onödig eller till och med fientlig, kan inte ens de mest kraftfulla systemen garantera informationssäkerheten i företaget.

De listade principerna är grunden för att säkerställa informationssäkerhet i alla branscher, vilket kompletteras med element beroende på branschens särdrag. Låt oss titta på exemplen på bank, energi och media.

Banker

Utvecklingen av cyberattack -tekniker tvingar bankerna att införa nya och ständigt förbättra grundläggande säkerhetssystem. Målet med att utveckla informationssäkerhet i banksektorn är att utveckla sådana tekniska lösningar som kan säkra informationsresurser och säkerställa integrering av de senaste IT -produkterna i finansiella instituts viktiga affärsprocesser.

Informationssäkerhetsmekanismer för finansinstitut är uppbyggda i enlighet med ratificerade internationella konventioner och avtal, samt federala lagar och standarder. Följande är riktmärken för informationssäkerhet för ryska banker:

Bank of Rysslands standard STO BR IBBS-1.0-2010 "Säkerställa informationssäkerhet för organisationer i Ryska federationens banksystem";
Federal Law No. 161 "Om det nationella betalningssystemet";
Federal lag nr 152 "om personuppgifter";
PCI DSS -betalkortindustrins datasäkerhetsstandard och andra dokument.

Behovet av att följa olika lagar och standarder är förknippat med att banker utför många olika operationer, bedriver verksamhet åt olika håll som behöver sina egna säkerhetsverktyg. Till exempel, att säkerställa informationssäkerhet för fjärrbanktjänster (RBS) inkluderar skapandet av en säkerhetsinfrastruktur, som inkluderar medel för att skydda bankapplikationer, kontrollera dataflöden. övervaka banktransaktioner och utreda incidenter. Flerkomponentskydd av informationsresurser säkerställer minimering av hot i samband med bedrägeri vid användning av RBS-tjänster, samt skydd av bankens rykte.

Informationssäkerheten för banksektorn, liksom andra branscher, beror på bemanning. Det säregna med informationssäkerhet i banker är den ökade uppmärksamheten på säkerhetsspecialister på regulatorns nivå. I början av 2017, Bank of Russia tillsammans med ministeriet för arbete och socialt skydd med deltagande av FSTEC, ministeriet för utbildning och vetenskap för informationssäkerhet specialister.

Hur gör jag en IB -revision i en bank korrekt?

Energi

Energikomplexet är en av de strategiska industrier som kräver särskilda åtgärder för att säkerställa informationssäkerhet. Om på arbetsplatser i administrationer och avdelningar är vanliga informationssäkerhetsverktyg tillräckliga, då behöver skyddet på de tekniska områdena energiproduktion och leverans till slutanvändare ökad kontroll. Huvudsyftet med skyddet inom energisektorn är inte information, utan den tekniska processen. I detta fall måste säkerhetssystemet säkerställa integriteten i den tekniska processen och automatiserade styrsystem. Därför, innan man introducerar informationssäkerhetsmekanismer hos företag inom energisektorn, studerar experter:

skyddsobjektet är en teknisk process;
enheter som används inom kraftteknik (telemekanik);
medföljande faktorer (reläskydd, automatisering, energimätning).

Informationssäkerhetens betydelse i energisektorn bestäms av konsekvenserna av genomförandet av informationscyberhot. Detta är inte bara materiell skada eller ett slag mot rykte, utan framför allt - skada på medborgarnas hälsa, undergräva miljön, kränkning av infrastrukturen i en stad eller region.

Att utforma ett informationssäkerhetssystem inom energisektorn börjar med att förutsäga och bedöma säkerhetsrisker. Den huvudsakliga utvärderingsmetoden är modellering av möjliga hot, vilket hjälper till att rationellt fördela resurser när man organiserar ett säkerhetssystem och för att förhindra implementering av cyberhot. Dessutom är bedömningen av säkerhetsrisker i energisektorn kontinuerlig: granskningen utförs under systemets drift hela tiden för att ändra inställningarna i tid för att säkerställa maximal skyddsnivå och hålla systemet uppdaterat hittills.

Massmedia

Informationssäkerhetens huvuduppgift i media är att skydda nationella intressen, inklusive medborgarnas, samhällets och statens intressen. Medias aktivitet i moderna förhållanden reduceras till skapandet av informationsflöden i form av nyheter och journalistiskt material som tas emot, bearbetas och skickas ut till slutanvändare: läsare, tittare, besökare.

Tillhandahållande och kontroll av säkerhet inom massmedia genomförs i flera riktningar och inkluderar:

Utarbetande av rekommendationer om förfaranden mot kris vid erkännande av hotet om ett informationsangrepp;
utbildningsprogram om informationssäkerhet för medarbetare vid mediala redaktioner, presstjänster, PR -avdelningar;
tillfällig extern administration av en organisation som har genomgått en informationsattack.

Ett annat problem med informationssäkerheten i media är partiskhet. För att säkerställa objektiv täckning av händelser krävs en skyddsmekanism som skulle skydda journalister från påtryckningar från regeringstjänstemän, ledning och / eller ägaren av media, och samtidigt - försäkra goda affärsstrukturer mot oärliga mediala företrädares agerande .

Begränsning av åtkomst till data är en annan hörnsten i informationssäkerheten inom mediesektorn. Problemet är att begränsning av tillgången till information för att förhindra informationshot inte blir ett "skydd" för censur. Ett beslut som kommer att göra medias arbete mer öppet och bidra till att undvika skador på nationella säkerhetsintressen finns i utkastet till konvention om tillgång till informationsresurser, som väntar på en omröstning i Europeiska unionen. Normerna i dokumentet förutsätter att staten ger lika tillgång till alla officiella dokument genom att skapa lämpliga register på Internet och sätter åtkomstbegränsningar som inte kan ändras. Det finns bara två undantag som gör att du kan avbryta begränsningar för åtkomst till informationsresurser:

allmän nytta, vilket innebär möjligheten att avslöja även de uppgifter som inte är föremål för spridning under normala förhållanden;
Nationellt intresse om dold information skadar staten.

Privat sektor

Med utvecklingen av en marknadsekonomi, tillväxt och hårdare konkurrens blir företagets rykte en oskiljaktig del av immateriella tillgångar. Bildandet och säkerheten för en positiv bild beror direkt på informationssäkerhetsnivån. Det finns också en återkoppling när den etablerade bilden av företaget på marknaden fungerar som en garanti för informationssäkerhet. Med detta tillvägagångssätt finns det tre typer av företags rykte:

1. Bild på en "värdelös" organisation vars informationsresurser inte är av intresse, eftersom de inte kan användas till nackdel eller fördel för en tredje part.

2. Bilden av en stark motståndare, att hota vars säkerhet är "min egen kära". Oskärpa gränserna för möjligheterna att avvisa en informationsattack hjälper till att upprätthålla anseende hos en formidabel motståndare: ju svårare det är att förstå potentialen för informationsskydd, desto mer otillgängligt ser företaget ut i angriparnas ögon.

3. Bild på en "användbar" organisation... Om en potentiell aggressor är intresserad av företagets lönsamhet, istället för ett informationsangrepp, är dialog och utformning av en gemensam informationssäkerhetspolicy möjlig.

Varje företag organiserar sin verksamhet, iakttar lagstiftningens normer och strävar efter att uppnå de uppsatta målen. Liknande kriterier passar också i utvecklingen av informationssäkerhetspolicy, implementering och drift av interna säkerhetssystem för konfidentiella data och IT -resurser. För att säkerställa högsta möjliga informationssäkerhet i en organisation, efter implementering av säkerhetssystem, bör säkerhetskomponenterna systematiskt övervakas, omkonfigureras och uppdateras efter behov.

Informationsskydd av strategiska objekt

I början av 2017 antog Rysslands statsduma vid första behandlingen ett paket med räkningar som rör informationssäkerhet och kritisk informationsinfrastruktur i landet.

De viktigaste källorna till informationshot på den ryska federationens militära sfär.

Ordföranden för parlamentariska utskottet för informationspolitik, informationsteknik och kommunikation Leonid Levin, som presenterade propositionerna, varnade för en ökning av antalet cyberattacker mot strategiskt viktiga objekt. Vid ett möte i kommittén sa FSB: s representant Nikolai Murashov att 70 miljoner cyberattacker genomfördes på föremål i Ryssland under året. Samtidigt med de växande hoten från externa attacker ökar omfattningen, komplexiteten och samordningen av informationsattacker inom landet.

Räkningar som utfärdats av parlamentariker skapar en rättslig grund för information om nationell kritisk infrastruktur och enskilda industrier. Dessutom föreskriver propositionerna de statliga organens befogenheter inom informationssäkerhet och föreskriver ett hårdare straffansvar för kränkning av informationssäkerheten.

Kaspersky Lab Global Corporate IT Security Risks Survey är en årlig analys av företagens informationssäkerhetstrender runt om i världen. Vi betraktar så viktiga aspekter av cybersäkerhet som mängden informationssäkerhetskostnader, de nuvarande hottyperna för olika typer av företag och de ekonomiska konsekvenserna av att möta dessa hot. Genom att få insikt i informationssäkerhetsbudgetering från chefer kan vi dessutom se hur företag runt om i världen reagerar på förändringar i hotlandskapet.

Under 2017 försökte vi förstå om företag ser informationssäkerhet som en kostnadskälla (en nödvändig ondska som de måste spendera pengar för), eller börjar betrakta det som en strategisk investering (det vill säga ett sätt att säkerställa affärskontinuitet som ger betydande fördelar i en tid med snabbt utvecklande cyberhot).

Detta är en mycket viktig fråga, särskilt eftersom IT -budgeten har sjunkit i de flesta regioner i världen.

I Ryssland ökade dock den genomsnittliga säkerhetsbudgeten något med 2017 - 2%. Den genomsnittliga informationssäkerhetsbudgeten i Ryssland var cirka 15,4 miljoner rubel.

Denna rapport beskriver de typer av hot som företag i alla storlekar står inför, samt mönster i fördelningen av IT -kostnader.

Allmän information och forskningsmetodik

Kaspersky Labs globala IT -säkerhetsriskerundersökning för företag är en undersökning av IT -chefer i deras organisationer som har genomförts årligen sedan 2011.

De senaste uppgifterna samlades in i mars och april 2017. Totalt intervjuades 5274 respondenter från mer än 30 länder, företag av olika storlekar deltog i studien.

Följande beteckningar används ibland i rapporten: småföretag - mindre än 50 anställda, SMB (mellanstora och småföretag - från 50 till 250 anställda) och stora företag (företag med en personal på 250 eller fler personer). Den aktuella rapporten presenterar en analys av de mest vägledande parametrarna från undersökningen.

Huvudsakliga slutsatser:

Det blir svårare för företag i alla storlekar att hantera cyberhot och skyddskostnaderna ökar också. I Ryssland, i segmentet medelstora och små företag, är den genomsnittliga kostnaden för att eliminera konsekvenserna av bara en cyberincident 1,6 miljoner rubel, och för segmentet stora företag är kostnaden 16,1 miljoner rubel.

Andelen IT -budget som ägnas åt informationssäkerhet växer. Detta gäller för företag i alla storlekar. Samtidigt förblir budgetens totala belopp lågt, och i Ryssland var tillväxten bara 2%, så specialister tvingas utföra sina uppgifter med få resurser.

Skadorna från en incident bara växer och företag som inte prioriterar kostnader för informationssäkerhet kan snart möta stora utmaningar. Studien visade att inom SMB -segmentet spenderar företag cirka 300 tusen rubel för varje säkerhetsincident på ytterligare betalningar till personal, och stora företag kan spendera 2,7 miljoner rubel för att minska skadan på varumärket.

Skador från säkerhetsincidenter

Skadorna från cybersäkerhetsincidenter fortsätter att växa, eftersom företag måste hantera en mängd konsekvenser, från ytterligare offentliga uppsökningar till att anställa nya medarbetare. Under 2017 ökade de ekonomiska förlusterna ytterligare vid kränkningar av dataintegritet. Detta bör påverka tillvägagångssättet i denna fråga: företag kommer inte längre att se kostnaderna för cybersäkerhet som ett nödvändigt ont och kommer att börja se dem som investeringar som undviker betydande monetära förluster vid en attack.

Allvarliga kränkningar av dataintegritet blir allt dyrare

Det största bekymret för CTO: er är massiva attacker som läcker miljontals poster. Det här var attackerna mot UK National Health Service (NHS), Sony eller HBO -hacket med utgivande av konfidentiell data relaterad till serien "Game of Thrones". I verkligheten är dock sådana stora incidenter undantaget snarare än regeln. De flesta cyberattacker gjorde inte rubriker förrän förra året och förblev domän för specialrapporter för specialister. Naturligtvis har ransomwareepidemierna förändrat situationen lite, men företagets segment av verksamheten förstår inte hela bilden.

Det relativt få antalet kända storskaliga cyberattacker betyder inte att skadan från de flesta attackerna är obetydlig. Så hur mycket spenderar företag i genomsnitt på att åtgärda en ”typisk” kränkning av dataintegritet? Vi bad undersökningsdeltagarna att uppskatta hur mycket deras företag spenderade / förlorade till följd av en säkerhetsincident som inträffade under det senaste året.

Alla företag med 50 eller fler anställda var skyldiga att uppskatta kostnaderna för var och en av följande kategorier:

För var och en av kategorierna beräknade vi de genomsnittliga kostnaderna för företag som står inför informationssäkerhetsincidenter, och summan av alla kategorier tillät oss att uppskatta den totala skada som orsakats av en informationssäkerhetsincident.

Resultaten för små och medelstora företag och stora företag visas separat nedan, eftersom statistiken för dem skiljer sig åt i många avseenden. Till exempel är den genomsnittliga skadan för ryska SMB -företag nästan 1,6 miljoner rubel, medan den för stora företag är nästan tio gånger högre - 16,1 miljoner rubel. Detta visar att cyberattacker är dyra för företag i alla storlekar.

Det är inte förvånande att stora företag i genomsnitt drabbas av fler förluster när dataintegriteten kränks, men det är intressant att analysera fördelningen av skador efter kategori.

Under det senaste året var personalförmåner den största kostnaden för både små och medelstora företag och stora företag. Men i år har bilden förändrats och olika utgiftsposter har blivit de viktigaste för företag av olika storlekar. Små och medelstora företag förlorar fortfarande mest på personalförmåner. Men stora företag började investera i ytterligare PR för att minska skadorna på varumärkets rykte. Dessutom var en betydande kostnadspost för stora företag kostnaden för att förbättra teknisk utrustning och köpa ytterligare programvara.

För alla företag har kostnaden för personalutbildning ökat. Säkerhetsincidenter får ofta företag att inse vikten av att öka cyberkunnighet och förbättra hotinformation.

Storföretagens mer omfattande interna resurser och detaljerna i regleringen av deras verksamhet bestämmer en annan balans mellan kostnaderna för att eliminera hotet i sig och kostnaderna för skadestånd. En allvarlig utgiftspost var höjningen av försäkringspremier, försämrade kreditbetyg och underminering av förtroendet för företaget: i genomsnitt förlorar stora företag efter varje incident cirka 2,3 miljoner rubel.

Vår forskning visade att mycket av kostnadsökningarna berodde på behovet av att förebygga - eller åtminstone minska - ryktförluster i form av kreditbetyg, varumärkesimage och kompensation.

På grund av det omfattande genomförandet av nya bestämmelser kommer genomsnittliga skador sannolikt att fortsätta växa, eftersom företag måste rapportera alla incidenter offentligt och öka insynen i dataskyddet.

Sådana trender är typiska, till exempel i Japan, där den genomsnittliga kostnaden för att eliminera konsekvenserna av ett säkerhetsöverträdelse mer än fördubblats, från 580 000 dollar 2016 till 1,3 miljoner dollar 2017. Den japanska regeringen har vidtagit åtgärder för att skärpa myndighetskraven som svar på en ökning av cybersäkerhetshot. Under 2017 trädde nya lagar i kraft, vilket orsakade en plötslig kostnadsökning.

Men utveckling och genomförande av lagar tar tid. Med det snabbt utvecklande företags IT -landskapet och utvecklingen av cyberhot blir lagstiftningsfördröjning en stor utmaning. Till exempel kom nya japanska standarder överens 2015, men deras ikraftträdande måste skjutas upp i två hela år. För många kostade förseningen en kostnad: under de senaste två åren föll ett antal stora japanska företag offer för kostsamma attacker. Ett exempel är resebolaget JTB Corp., som stod inför en enorm läcka 2016. Data från 8 miljoner kunder stals, inklusive namn, adresser och passnummer.

Detta är ett av symptomen på ett globalt problem: hoten utvecklas snabbt och trögheten hos regeringar och företag är för hög. Ett annat exempel på att dra åt skruvarna är European Data Protection Regulation (GDPR), som träder i kraft i maj 2018 och avsevärt begränsar acceptabla sätt att behandla och lagra data för EU -medborgare.

Lagar förändras över hela världen, men de kan inte hålla jämna steg med cyberhot - tre vågor av ransomware 2017 påminde om detta i Ryssland. Därför bör företagen vara medvetna om den ofullkomliga lagstiftningen och stärka sitt skydd i enlighet med de faktiska omständigheterna - eller stå ut med skador på rykte och kunder i förväg. Det är värt att förbereda sig för nya lagkrav utan att vänta på tidsfrister. Genom att ändra policyer efter att relevanta lagar har offentliggjorts riskerar företag inte bara böter, utan också säkerheten för deras och kunddata.

Det finns inga främmande sårbarheter: säkerhetsöverträdelser från partners är dyra

För att skydda mot dataläckage är det mycket viktigt att förstå vilka attackvektorer som används av angripare. I sin tur hjälper denna information dig att förstå vilka typer av attacker som är de mest kostsamma.

Undersökningen visade att följande incidenter fick de allvarligaste ekonomiska konsekvenserna för medelstora och små företag:

Incidenter som påverkar infrastruktur som är utrustad med tredjepartsutrustning (17,2 miljoner RUB)
Incidenter som påverkar molntjänster från tredje part som används av företaget (3,6 miljoner rubel)
Felaktigt datautbyte via mobila enheter (2,5 miljoner RUB)
Fysisk förlust av mobila enheter, utsätter organisationen för risker (2,1 miljoner RUB)
Incidenter relaterade till icke-datoranordningar som är anslutna till Internet (till exempel industriella styrsystem, Internet of Things) (1,7 miljoner rubel)

Situationen med stora företag är något annorlunda:

Riktade attacker (75 miljoner RUB)
Incidenter som påverkar tredjeparts molntjänster (19 miljoner RUB)
Virus och skadlig kod (9 miljoner RUB)
Felaktigt datautbyte via mobila enheter (7,3 miljoner RUB)
Incidenter som påverkar leverantörer som företag utbyter data med (4,4 miljoner rubel)

Av dessa uppgifter kan man se att attacker orsakade av säkerhetsproblem med affärspartners ofta kostar företag i alla storlekar de dyraste. Detta gäller både organisationer som hyr moln eller annan infrastruktur från tredjepartsleverantörer, och företag som utbyter sina data med partners.

När du ger ett annat företag tillgång till din data eller infrastruktur blir deras svagheter ditt problem. Vi har dock redan observerat att de flesta organisationer inte lägger tillräcklig vikt vid detta. Därför är det inte förvånande att sådana här incidenter är de mest kostsamma: någon boxare kommer att berätta att det är det oväntade slaget som vanligtvis slår ut.

Också omedelbart märkbar är en annan vektor som oväntat har gått in i de fem största hoten för medelstora företag: attacker som involverar andra anslutna enheter än datorer. Idag växer Internet of Things (IoT) -trafik mycket snabbare än trafik som genereras av någon annan teknik. Detta är ett annat exempel på hur ny utveckling ökar antalet potentiella sårbarheter i affärsinfrastruktur. I synnerhet har den utbredda användningen av fabriksinställda lösenord och svaga säkerhetsfunktioner på IoT-enheter gjort dem till en idealisk fångst för botnät som Mirai, skadlig kod som kan förena ett stort antal sårbara enheter till ett enda nätverk för att utföra storskaliga DDoS-attacker mot utvalda mål.

Uppmärksamheten riktas mot förlusten från riktade attacker i storföretagssegmentet - detta hot är extremt svårt att motverka. Under de senaste åren har ett antal högprofilerade riktade attacker mot banker blivit kända, vilket också förstärker denna nedslående statistik.

Satsa på riskminskning

Som vår forskning har visat blir hoten mot informationssäkerhet allvarligare. Under dessa förhållanden kan man inte annat än oroa sig för själva informationssäkerhetsbudgetarnas tillstånd. Genom att analysera deras förändringar kan vi avgöra om organisationer ser sin säkerhet som en kostnadskälla, eller om balansen gradvis förändras, och de börjar se ett fält för investeringar som ger en verklig konkurrensfördel.

Budgetens storlek visar företagets inställning till IT -säkerhet, vikten av säkerhetssystemets roll ur ledningens synvinkel och organisationens vilja att ta risker.

Informationssäkerhetsbudget: andelen växer, "pajen" minskar

I år ser vi att besparingar och outsourcing har lett till krympande IT -budgetar. Trots detta (och kanske på grund av detta) har andelen informationssäkerhet i dessa IT -budgetar ökat. I Ryssland kan en positiv trend ses i företag i alla storlekar. Även bland mikroföretag som verkar i brist på resurser har andelen IT-budgetar som ägnas åt informationssäkerhet ökat, om än med en bråkdel av en procent.

Detta innebär att företag äntligen börjar förstå vikten av informationssäkerhet. Kanske visar detta att informationssäkerhet började uppfattas av många som en potentiellt användbar investering, och inte som en kostnadskälla.

Vi ser att i IT -världen minskar budgetarna avsevärt. Medan cybersäkerhet får en större bit av pajen, krymper pajen i sig. Trenden är oroande, särskilt med tanke på hur höga insatserna är i detta område och hur dyr varje attack är.

I Ryssland nådde den genomsnittliga informationssäkerhetsbudgeten för stora företag 2017 400 miljoner rubel och för SMB - 4,6 miljoner rubel.

Exempel: 694 respondenter i Ryssland kan bedöma budgeten

Inte överraskande rapporterar statliga tjänsteleverantörer (inklusive försvarssektorn) och finansinstitutioner runt om i världen de högsta utgifterna för informationssäkerhet i år. Företag inom båda dessa sektorer spenderade i genomsnitt mer än 5 miljoner dollar på säkerhet. Det är värt att notera att IT- och telekommunikationssektorn, liksom energiföretag, också spenderade mer än genomsnittet på informationssäkerhet, även om deras budgetar visade sig vara närmare 3 miljoner dollar, inte 5 dollar.

Men om du delar de totala kostnaderna med antalet anställda, går regeringsorganisationerna mot slutet av listan. I genomsnitt spenderar IT och telekom $ 1258 per capita på cybersäkerhet, medan energisektorn spenderar $ 1344 och finansbolag $ 1436. Som jämförelse tilldelar myndigheter endast 959 dollar per person för cybersäkerhet.

Både inom IT- och telekommunikationssegmentet och inom energiförsörjningsindustrin är höga kostnader per anställd sannolikt förknippade med behovet av att skydda immateriella rättigheter, vilket är särskilt angeläget inom dessa sektorer av ekonomin. När det gäller verktyg kan de höga skyddskostnaderna också hänföras till att dessa företag blir allt mer sårbara för riktade attacker från skadliga grupper.

I denna bransch är investeringar i informationssäkerhet avgörande för att överleva eftersom företagskontinuitet är avgörande för strömförsörjningen. Konsekvenserna av en framgångsrik cyberattack i denna bransch är särskilt svåra, så investeringar i informationssäkerhet får mycket påtagliga fördelar.

I Ryssland investeras IT och telekommunikation främst i informationssäkerhet, liksom industriföretag - den genomsnittliga kostnaden för den förra når 300 miljoner rubel, för den senare - 80 miljoner rubel. Industri- och tillverkningsföretag förlitar sig i allmänhet på automatiserade styrsystem (ICS) för att säkerställa kontinuiteten i sina produktionsprocesser. Samtidigt ökar antalet attacker mot ICS: under de senaste 12 månaderna har antalet ökat med 5%.

Anledningar till att investera i informationssäkerhet

Spridningen av investeringarna i informationssäkerhet mellan sektorer är mycket stor. Därför är det särskilt viktigt att ta reda på orsakerna som får företag att spendera begränsade resurser på informationssäkerhet. Utan att veta motiven är det omöjligt att förstå om företaget anser att pengarna som spenderats på säkerheten för IT -infrastrukturen är bortkastade eller anser att det är en lönsam investering.

Under 2017 erkände betydligt fler företag runt om i världen att de skulle investera i cybersäkerhet oavsett förväntad avkastning på investeringen: 63%, en ökning från 56% 2016. Detta visar att allt fler företag förstår vikten av informationssäkerhet.

De främsta orsakerna till ökningen av informationssäkerhetsbudgeten, Ryssland

Inte alla företag förväntar sig en snabb avkastning på investeringarna, men många globala företag nämner press från viktiga intressenter, inklusive företagets högsta ledning (32%), som orsaken till ökningen av informationssäkerhetsbudgetarna. Detta visar att företag börjar se sin strategiska fördel i ökningen av kostnaderna för informationssäkerhet: säkerhetsåtgärder gör det möjligt att inte bara skydda sig vid en attack, utan också för att visa för kunderna att deras data också är i säkra händer. för att säkerställa verksamhetskontinuitet, som företagets ledning är intresserad av ...

Den mest populära anledningen till att öka kostnaden för informationssäkerhet de flesta inhemska företag namngav behovet av att skydda en allt mer komplex IT -infrastruktur (46%), och behovet av att förbättra kvalifikationerna för informationssäkerhetsexperter noterade 30%. Dessa siffror indikerar behovet av att förbättra den kompetensnivå som finns tillgänglig för företaget genom att utveckla sina egna anställdas kompetens. Faktum är att både små och medelstora och stora företag alltmer investerar i att stödja sin interna arbetskraft i kampen mot cyberhot.

Samtidigt har behovet av att öka kostnaderna för informationssäkerhet på grund av ny affärsverksamhet eller företagsexpansion bland ryska företag minskat: från 36% förra året till 30% 2017. Kanske speglar det de makroekonomiska faktorer som våra företag har tvingats möta den senaste tiden.

Slutsats

Massattacker som WannaCry, exPetr och BadRabbit orsakade massiva skador 2017. Skadan är också stor från riktade attacker, särskilt mot ryska banker. Allt detta visar att cyberhotlandskapet förändras snabbt och oundvikligen. Företag måste anpassa sitt försvar eller bli utelämnade.

En allt viktigare faktor för affärsbeslutsfattande är skillnaden mellan kostnaden för att förbereda sig för att avvärja cyberattacker och de kostnader som offret uppkommer.

Rapporten visar att även relativt små dataintrång som inte är av intresse för allmänheten kan vara mycket kostsamt för företaget och allvarligt påverka dess verksamhet. En annan orsak till ökade kostnader vid säkerhetsincidenter är förändringar i lagstiftning runt om i världen. Företag måste antingen anpassa sig eller riskera både bristande efterlevnad och eventuell hackning.

Under dessa omständigheter blir det särskilt viktigt att överväga alla konsekvenser och kostnader. Kanske är det därför fler och fler företag från olika länder ökar andelen informationssäkerhet i sina IT -budgetar. Under 2017 erkände betydligt fler företag runt om i världen att de skulle investera i cybersäkerhet oavsett förväntad avkastning på investeringen: 63%, en ökning från 56% 2016.

På grund av den ökande skadan från cybersäkerhetsincidenter kommer de organisationer som anser IT -kostnader som investeringar i säkerhet och är villiga att spendera betydande pengar på dem troligtvis bättre förberedda för eventuella problem. Hur är läget i ditt företag?

Hur motiverar man kostnaden för informationssäkerhet?

Omtryckt med vänligt tillstånd InfoTeKS Internet Trust OJSC
Originaltexten finns här.

Mognadsnivåer i företaget

Gartner -gruppen identifierar fyra nivåer av företagets mognad när det gäller informationssäkerhet (IS):

0 -nivå:

Ingen är involverad i informationssäkerhet i företaget, företagets ledning inser inte vikten av informationssäkerhetsproblem;
Ingen finansiering tillgänglig;
IS implementeras med vanliga operativsystem, DBMS och applikationer (lösenordsskydd, differentiering av tillgång till resurser och tjänster).

1: a nivå:

IS betraktas av ledningen som ett rent "tekniskt" problem, det finns inget enhetligt program (koncept, policy) för utvecklingen av företagets informationssäkerhetssystem (ISS);
Finansiering ligger inom den totala IT -budgeten.
IS implementeras med hjälp av nollnivå + backupverktyg, antivirusverktyg, brandväggar, VPN -organisationsverktyg (traditionella skyddsverktyg).

2: a nivån:

IS betraktas av ledningen som ett komplex av organisatoriska och tekniska åtgärder, det finns en förståelse för IS: s betydelse för produktionsprocesser, det finns ett program för utveckling av ISMS för företaget godkänt av ledningen;
IS implementeras med hjälp av första nivån + medel för stark autentisering, analys av e -postmeddelanden och webbinnehåll, IDS (system för intrångsdetektering), säkerhetsanalysverktyg, SSO (enkel autentisering), PKI (infrastruktur för offentlig nyckel) och organisatoriska åtgärder (intern och extern revision, riskanalys, informationssäkerhetspolicy, föreskrifter, rutiner, föreskrifter och riktlinjer).

Nivå 3:

IS är en del av företagskulturen, utsedd av CISA (senior information security officer);
Finansiering ges under en separat budget;
IS implementeras med hjälp av andra nivå + IS -hanteringssystem, CSIRT (IS -överträdelsesteam), SLA (servicenivåavtal).

Enligt Gartner -gruppen (data gäller för 2001) är andelen företag i förhållande till de beskrivna 4 nivåerna följande:
0 -nivå - 30%,
1: a nivån - 55%,
2: a nivån - 10%,
3: e nivån - 5%.

Gartner -gruppens utsikter för 2005 är följande:
0 -nivå - 20%,
1: a nivån - 35%,
2: a nivån - 30%,
Nivå 3 - 15%.

Statistik visar att majoriteten av företagen (55%) nu har implementerat den minimikrav som krävs av traditionella tekniska skyddsmetoder (nivå 1).

Vid implementering av olika tekniker och skyddsmedel uppstår ofta frågor. Vad ska jag implementera först, intrångsdetekteringssystem eller PKI -infrastruktur? Vad blir mer effektivt? Stephen Ross, chef för Deloitte & Touche, föreslår följande tillvägagångssätt för att bedöma effektiviteten hos enskilda säkerhetsåtgärder och medel.

Baserat på grafen ovan kan det ses att de dyraste och minst effektiva är specialiserade verktyg (egen eller anpassad utveckling).

Det dyraste, men samtidigt mest effektiva är kategori 4 -skydd (nivå 2 och 3 enligt Gartner -gruppen). För att genomföra denna kategori av medel är det nödvändigt att använda riskanalysförfarandet. Riskanalys i detta fall gör det möjligt att garantera att genomförandekostnaderna är tillräckliga för de befintliga hoten om IS -intrång.

De billigaste, men med hög effektivitet, är organisatoriska åtgärder (intern och extern revision, riskanalys, informationssäkerhetspolicy, affärs kontinuitetsplan, föreskrifter, rutiner, föreskrifter och riktlinjer).

Införandet av ytterligare skyddsmedel (övergång till nivå 2 och 3) kräver betydande finansiella investeringar och följaktligen motivering. Frånvaron av ett enhetligt program för utveckling av ISMS, godkänt och undertecknat av ledningen, förvärrar problemet med att motivera investeringar i säkerhet.

Riskanalys

Resultaten av riskanalyser och statistik som samlats in om incidenter kan tjäna som en sådan motivering.Mekanismer för att genomföra riskanalys och samla statistik bör anges i företagets policy för informationssäkerhet.

Riskanalysprocessen består av 6 sekventiella steg:

1. Identifiering och klassificering av skyddade objekt (företagsresurser som ska skyddas);

3. Bygga en modell av angriparen;

4. Identifiering, klassificering och analys av hot och sårbarheter;

5. Riskbedömning;

6. Valet av organisatoriska åtgärder och tekniska skyddsmetoder.

På scenen identifiering och klassificering av skyddade föremål det är nödvändigt att göra en inventering av företagets resurser inom följande områden:

Informationsresurser (konfidentiell och kritisk information om företaget);
Programvaroresurser (OS, DBMS, kritiska applikationer, t.ex. ERP);
Fysiska resurser (servrar, arbetsstationer, nätverks- och telekommunikationsutrustning);
Serviceresurser (e -post, www, etc.).

Kategoriseringär att bestämma graden av sekretess och kritik av resursen. Konfidentialitet avser nivån av sekretess för information som lagras, bearbetas och överförs av resursen. Kritik förstås som graden av resursens inflytande på effektiviteten i företagets produktionsprocesser (till exempel vid driftstopp i telekommunikationsresurser kan leverantörsbolaget gå i konkurs). Genom att tilldela sekretess- och kritikalitetsparametrarna vissa kvalitativa värden kan du bestämma varje resurs betydelse när det gäller dess deltagande i företagets produktionsprocesser.

För att bestämma vikten av företagets resurser när det gäller informationssäkerhet kan du få följande tabell:

Exempelvis har filer med information om lönenivån för företagets anställda värdet "strikt konfidentiellt" (sekretessparameter) och värdet "försumbar" (kritikalitetsparameter). Genom att ersätta dessa värden i tabellen kan du få en integrerad indikator på denna resurs betydelse. Olika varianter av kategoriseringsmetoder ges i den internationella standarden ISO TR 13335.

Bygga en angriparmodellär processen att klassificera potentiella överträdare enligt följande parametrar:

Angripartyp (konkurrent, klient, utvecklare, företagsanställd, etc.);
Angriparens position i förhållande till skyddsobjekten (internt, externt);
Kunskapsnivån om skyddsobjekt och miljö (hög, medel, låg);
Nivån på möjligheter för åtkomst till skyddade objekt (max, genomsnitt, minimum);
Handlingstid (ständigt, vid vissa tidsintervaller);
Plats (antagen plats för angriparen under attacken).

Genom att tilldela kvalitativa värden till angiven parametrar i angriparmodellen är det möjligt att bestämma angriparens potential (en integrerad egenskap hos angriparens förmåga att implementera hot).

Identifiering, klassificering och analys av hot och sårbarheter låter dig bestämma sätten att genomföra attacker på skyddade objekt. Sårbarheter är egenskaper hos en resurs eller dess miljö som används av en angripare för att implementera hot. Listan över sårbarheter för programvaruresurser finns på Internet.

Hot klassificeras enligt följande kriterier:

hotets namn;
angripartyp;
sätt att genomföra;
utnyttjade sårbarheter;
utförda åtgärder;
implementeringsfrekvens.

Huvudparametern är hur ofta hotet genomförs. Det beror på värdena för parametrarna "angriparpotential" och "resurssäkerhet". Värdet av parametern "resurssäkerhet" bestäms av expertbedömningar. Vid bestämning av parametervärdet beaktas angriparens subjektiva parametrar: motivation för genomförandet av hotet och statistik från försök att genomföra hot av denna typ (om sådana finns). Resultatet av hotet och sårbarhetsanalysen är en utvärdering av parametern "implementeringsfrekvens" för vart och ett av hoten.

På scenen riskbedömningar den potentiella skadan från hot om informationssäkerhetsöverträdelser för varje resurs eller grupp av resurser bestäms.

Den kvalitativa indikatorn på skada beror på två parametrar:

Resursens betydelse;
Hotfrekvensen för denna resurs.

Baserat på de mottagna skadebedömningarna väljs rimligen organisatoriska åtgärder och tekniska skyddsmetoder.

Ackumulering av incidentstatistik

Den enda sårbarheten i den föreslagna metoden för riskbedömning och följaktligen motivera behovet av att införa ny eller ändra befintlig skyddsteknik är definitionen av parametern "frekvens av hotförverkligande". Det enda sättet att få objektiva värden för denna parameter är att samla statistik över incidenter. Den ackumulerade statistiken, till exempel för ett år, gör att vi kan bestämma antalet hot (av en viss typ) per resurs (av en viss typ). Det är lämpligt att arbeta med ackumulering av statistik inom ramen för incidenthanteringsförfarandet.

2018-08-21T12: 03: 34 + 00: 00

Stora kommersiella företag lägger cirka 1% av sina årliga intäkter på att säkerställa deras fysiska säkerhet. Företagssäkerhet är lika mycket en resurs som teknik och produktionsmedel. Men när det gäller digitalt skydd av data och tjänster blir det svårt att beräkna de finansiella riskerna och nödvändiga kostnaderna. Vi berättar hur mycket pengar från IT -budgeten det är rimligt att avsätta för cybersäkerhet, finns det en minsta uppsättning verktyg som kan undvikas.

Säkerhetskostnaderna ökar

Kommersiella organisationer runt om i världen, enligt Rapportera Gartner, spenderade cirka 87 miljarder dollar på cybersäkerhetsbehov 2017, inklusive programvara, specialiserade tjänster och hårdvara. Det är 7% mer än 2016. I år väntas siffran nå 93 miljarder, och nästa år kommer den att passera 100 -märket.

Enligt experter är marknaden för informationssäkerhetstjänster i Ryssland cirka 55-60 miljarder rubel (cirka 900 tusen dollar). 2/3 av den stängs av regeringens order. Inom företagssektorn beror andelen av sådana kostnader starkt på företagets form, geografi och verksamhetsområde.

Inhemska banker och finansiella strukturer i genomsnitt investera i sin cybersäkerhet 300 miljoner rubel per år, industriister - upp till 50 miljoner, nätföretag (detaljhandel) - från 10 till 50 miljoner.

Å andra sidan har tillväxtsiffrorna för den ryska cybersäkerhetsmarknaden varit 1,5-2 gånger högre i flera år än i global skala. Under 2017 var tillväxten 15% (vad gäller kundernas pengar) i förhållande till 2016. I slutet av 2018 kan det visa sig vara ännu mer imponerande.

De höga tillväxttakterna förklaras av den allmänna återupplivningen av marknaden och den kraftigt ökade uppmärksamheten hos organisationer på den verkliga säkerheten för deras IT -infrastruktur och datasäkerheten. Kostnaderna för att bygga ett informationsskyddssystem ses nu som en investering, de är planerade i förväg och inte bara tagna på en överbliven grund.

Positiv tekniksinglar ut tre drivkrafter för tillväxt:

Högprofilerade incidenter under de senaste 1,5-2 åren har lett till att idag är det bara lata som inte förstår informationssäkerhetens roll för ett företags finansiella stabilitet. Var femte toppchefer intresserar sig för praktisk säkerhet inom ramen för sin verksamhet.

Det senaste året har varit lärorikt för företag som ignorerar det grundläggande ... Avsaknaden av uppdaterade uppdateringar och vanan att arbeta utan att uppmärksamma sårbarheter ledde till att Renault-fabrikerna i Frankrike, Honda och Nissan i Japan stängdes av. banker, energi, telekommunikationsföretag påverkades. Maersk, till exempel, kostade 300 miljoner dollar åt gången.

Ransomware -epidemierna WannaCry, NotPetya, Bad Rabbit har lärt inhemska företag att installation av antivirus och brandväggar inte är tillräckligt för att känna sig trygg. Du behöver en övergripande strategi, en inventering av dina IT -tillgångar, dedikerade resurser, en strategi för att hantera hot.
På ett sätt sätts tonen av staten, som har aviserat en kurs mot en digital ekonomi som täcker alla områden (från sjukvård och utbildning till transport och finans). Denna policy påverkar direkt tillväxten inom IT -sektorn i allmänhet och informationssäkerhet i synnerhet.

Kostnaden för säkerhetsproblem

Allt detta är lärorikt, men varje företag är en unik historia. Frågan om hur mycket man ska lägga på informationssäkerhet från företagets allmänna IT -budget, men inte korrekt, men ur kundens synvinkel är den mest angelägna.

Internationellt forskningsföretag IDC om exemplet på den kanadensiska marknaden samtal optimal 9,8-13,7% av investeringarna i cybersäkerhet av den totala IT-budgeten i organisationen. Det vill säga, nu spenderar det kanadensiska företaget i genomsnitt cirka 10% för dessa behov (man tror att detta är en indikator på ett hälsosamt företag), men att döma av mätningarna skulle det vilja vara närmare 14%.

Företag har ingen anledning att undra hur mycket de behöver lägga på sin informationssäkerhet för att känna sig lugna. Idag är det inte svårare att bedöma riskerna från cybersäkerhetsincidenter än att beräkna förlusterna från fysiska hot. Det finns en världsomspännande statistik , enligt vilken:

Hackerattacker kostar den globala ekonomin mer än 110 miljarder dollar årligen.
För småföretag kostar varje incident i genomsnitt 188 000 dollar.
51% av hackarna 2016 var riktade, det vill säga organiserade kriminella grupper mot ett specifikt företag.
75% av attackerna utförs i syfte att orsaka materiella skador, ekonomiskt motiverade.

Våren 2018 genomförde Kaspersky Lab sin storskaliga studie ... Enligt en undersökning bland 6 tusen företagsspecialister runt om i världen har skadorna från hackande företagsnätverk och dataläckor ökat med 20-30% under de senaste åren.

Den genomsnittliga kostnaden för skador i februari 2018 för kommersiella organisationer, oavsett storlek, omfattning av verksamheten, var 1,23 miljoner dollar. För små och medelstora företag kostar ett misstag av personal eller framgångsrika handlingar från hackare 120 tusen dollar.

Förstudie för informationssäkerhet

För att korrekt bedöma de ekonomiska resurser som krävs för att organisera informationssäkerhet i företaget är det nödvändigt att göra en förstudie.

Vi gör en inventering av IT -infrastruktur och bedömer risker, sammanställer en lista över sårbarheter i fallande viktordning. Detta inkluderar också anseendeförluster (en ökning av försäkringsräntor, en minskning av kreditbetyg, kostnader för stilleståndstider för tjänster), kostnaden för att återställa systemet (uppdatering av utrustning och programvara).
Vi listar de uppgifter som informationssäkerhetssystemet ska lösa.
Vi väljer utrustning, verktyg för att lösa problem och bestämmer dess kostnad.

Om företaget inte har kompetensen att bedöma hot och risker för cybersäkerhet kan du alltid beställa en informationssäkerhetsrevision på sidan. Idag är denna procedur kortvarig, billig och smärtfri.

Industriföretag med en hög grad av processautomationsexperter rekommendera använd en adaptiv säkerhetsarkitekturmodell (Adaptiv säkerhetsarkitektur), föreslaget 2014 av Gartner. Det låter dig omfördela kostnaderna för informationssäkerhet korrekt, ägna mer uppmärksamhet åt verktyg för att upptäcka och reagera på hot, och innebär implementering av ett övervaknings- och analyssystem för IT -infrastruktur.

Hur mycket kostar cybersäkerhet för små företag

Författarna till Capterra -bloggen bestämde sig räkna hur mycket informationssäkerhetssystemet kostar i genomsnitt för små och medelstora företag under det första användningsåret. För detta valdes lista av 50 populära "box" -erbjudanden på marknaden.

Det visade sig att prisintervallet är ganska stort: från $ 50 per år (det finns till och med 2-3 gratis lösningar för små företag) till 6 tusen dollar (det finns enstaka paket och 24 tusen vardera, men de ingick inte i uträkningen). I genomsnitt kan ett litet företag räkna med 1 400 dollar för att bygga ett rudimentärt cyberförsvarssystem.

De billigaste är tekniska lösningar som ett företags VPN eller e -postskydd som kan hjälpa till att skydda mot specifika typer av hot (t.ex. nätfiske)

I andra änden av spektrumet finns kompletta övervakningssystem med ”avancerat” eventrespons och omfattande skyddsverktyg. De hjälper till att skydda företagsnätverket från storskaliga attacker och tillåter till och med att förutsäga deras utseende och stoppa dem i ett tidigt skede.

Företaget kan välja flera betalningsmetoder för informationssäkerhetssystemet:

Pris per licens, genomsnittspriset är $ 1000-2000, eller $ 26 till $ 6000 per licens.
Pris per användare. Den genomsnittliga kostnaden för ett informationssäkerhetssystem per användare i ett företag är $ 37, intervallet är från $ 4 till $ 130 per person och månad.
Priset för den anslutna enheten. Den genomsnittliga kostnaden för denna modell är $ 2,25 per enhet. Priset varierar från $ 0,96 till $ 4,5 per månad.

För att korrekt beräkna kostnaden för informationssäkerhet måste även ett litet företag implementera grunderna för riskhantering. Den allra första incidenten (webbplats, tjänst, betalningssystem föll), som inte kan korrigeras inom 24 timmar, kan leda till att verksamheten stängs.