Взлом SolarWinds: почему кибербезопасность должна стать приоритетом уровня совета директоров

Хакерская атака на SolarWinds в декабре 2020 года наглядно продемонстрировала, насколько уязвимы цепочки поставки программного обеспечения и систем, когда в организации отсутствует надежная политика кибербезопасности.

Официальное заявление CISA указывает, что группировка APT (продвинутая постоянная угроза) начала атаки на государственные агентства США, критическую инфраструктуру и частные компании еще в марте 2020 года, проявив терпение, операционную безопасность и изощренные методы. CISA предупреждает, что удаление этого актора из скомпрометированных сред будет чрезвычайно сложной задачей. Подробные векторы заражения и меры по снижению рисков описаны в заявлении здесь.

Эти данные подтверждают выводы экспертов embedded.com и EE Times, подчеркивающие критическую роль безопасности IoT и экспертизу специалистов по безопасности в полупроводниковой отрасли.

Поражает, что взломы происходят даже там, где правительства одержимы безопасностью, но остаются уязвимыми через сторонние системы, игнорирующие базовые меры защиты. Вспоминаю свой опыт работы подрядчиком для британского правительства: требовалось строгое обучение безопасности — никогда не оставлять ноутбук в запертой машине, всегда держать его при себе или в поле зрения. Эти практики иллюстрируют человеческий фактор, который часто упускают из виду.

Инцидент с SolarWinds подчеркивает фундаментальный пробел в политике: должна ли кибербезопасность быть исключительной ответственностью разработчиков железа и софта, или она должна быть закреплена на высшем уровне корпоративного управления?

Компания Woodside Capital Partners, ведущий советник по корпоративным финансам, опубликовала отчет «Семь уроков для CEO, директоров, членов советов и частных фондов», автором которого выступил управляющий директор Нишант Джадхав. Отчет утверждает, что атака на цепочку поставок SolarWinds демонстрирует острую необходимость глубокого понимания кибербезопасности на исполнительном и советском уровнях. В эпоху, когда APT-угрозы могут невидимо пребывать в системах, защита репутации и стоимости бизнеса никогда не была такой важной.

Отчет подчеркивает: члены советов должны уметь простыми словами подтвердить, что в их организации существует надежная кибер-гарантия. Ниже приведены семь уроков:

Урок первый: Приоритет безопасности, а не соответствия — сверху вниз

Подход «сначала безопасность» означает, что руководство и совет понимают конкретные риски компании и риски, которые она создает для клиентов и партнеров. Подход «сначала соответствие» лишь выполняет регуляторные чек-листы и дает фиксированную краткосрочную защиту. Киберугрозы развиваются стремительно, поэтому ежеквартальное утверждение советом профиля угроз необходимо.

Урок второй: CISO должен входить в состав топ-менеджмента

Эффективные CISO мышлят шире IT и учитывают все потенциальные векторы угроз — включая случайные утечки данных со стороны клиентских ролей и риски внедрения новых технологий. Включение CISO в исполнительную команду обеспечивает реализацию рекомендаций по безопасности и непрерывный мониторинг рисков.

Урок третий: Оценка CISO через KPI для постоянной защиты и реагирования

Вместо увольнения CISO после инцидента фокусируйтесь на его способности выделять адекватный бюджет, повышать осведомленность по кибербезопасности во всей организации и моделировать ответы на внешние угрозы вроде SolarWinds. KPI должны отражать как операционную непрерывность, так и способность бизнеса митигировать атаки и восстанавливаться после них.

Урок четвертый: Надежный партнер не гарантирует безопасность

Кейс SolarWinds доказывает: ни один партнер не может считаться невосприимчивым к рискам. Внедрение изолированных (air-gapped) сред для разработки новых продуктов снижает риск проникновения через доверенных поставщиков.

Урок пятый: Компромисс с безопасностью — не рычаг прибыли

Woodside Capital предлагает метрику «кибер-оценка» для оценки компании, отражающую инвестиции в технологии, обучение, политику постоянной защиты и быструю реабилитацию. Высокая кибер-оценка коррелирует с более высокой оценкой бизнеса. Частные фонды должны ставить кибер-оценку выше краткосрочной прибыли.

Урок шестой: Пересмотр кибер-страхования на уровне совета

Многие полисы покрывают финансовые потери от утечек данных, но могут исключать атаки на цепочки поставок или государственные угрозы. CISO должны вовлекать советы в закупку страховки, покрывающей такие сценарии и длительные последствия атаки.

Урок седьмой: Непрерывная защита репутации

Нарушения могут произойти в любой момент, влияя на бизнес-показатели. Компании должны доказывать, что кибербезопасность — их ключевое отличие — через постоянные инвестиции, обучение и прозрачное реагирование. Устанавливая кибер-гарантию и сообщая о ней клиентам и партнерам, фирмы защищают репутацию в долгосрочной перспективе.

Отчет Woodside Capital также перечисляет растущие компании, предоставляющие комплексные решения для кибер-гарантии — от управления рисками до кибер-страхования. Полный отчет доступен здесь.