Кибербезопасность для производителей: ключевые инсайты от Пэт Тот

Количество кибератак продолжает расти, а киберпреступники становятся более настойчивыми. Компании пытаются навигировать в запутанных технических рекомендациях в быстро меняющемся цифровом ландшафте. Малые производители часто не считают свои компании под риском. В конце концов, зачем кому-то таргетировать малого, сельского производителя, когда есть более крупные бизнесы?

Чтобы понять, что происходит, и узнать, что производителям действительно нужно знать о кибербезопасности, я поговорил с Пэт Тот. Пэт — компьютерный ученый в NIST Manufacturing Extension Partnership с более чем 30-летним опытом в кибербезопасности, работавший над множеством руководящих документов NIST по кибербезопасности.

Вопрос: Действительно ли производители под риском кибератак по сравнению с другими отраслями? Если да, то почему?

Пэт: По данным Департамента внутренней безопасности США, производственная отрасль вторая по количеству зарегистрированных кибератак.

Я думаю, малые производители особенно уязвимы, потому что их видят как легкие точки входа в более крупные цепочки поставок. Представьте: если вы преступник, планирующий взлом в здание и грабеж, вы попробуете взломать здание с видеонаблюдением, сигнализацией и охраной, или скорее таргетнете здание без этих мер безопасности? Обычно второе, поэтому киберпреступники специально таргетят производителей. К сожалению, многие малые бизнесы не имеют должных мер безопасности, потому что не считают себя целями.

Киберпреступники могут быть заинтересованы в вашей интеллектуальной собственности (IP) или хотеть получить информацию о том, с кем вы работаете или кого нанимаете. Утечка данных клиентов Target в 2013 году — один из самых известных примеров. Их провайдер HVAC-систем был намеренно атакован киберпреступниками, потому что хакеры знали, что через него могут получить доступ в системы Target. Утечка привела к краже данных кредитных карт миллионов людей.

Вопрос: Учитывая, что малые и средние производители (СМП) часто главные цели, но также часто имеют ограниченные ресурсы, что могут сделать эти СМП?

Пэт: Это может показаться сложным и немного пугающим, но есть вещи, которые СМП могут сделать, с низкими или нулевыми затратами и легко внедряемыми.

Суть в том, чтобы внедрять политики и обучать сотрудников. Различные исследования показали, что сотрудники — одна из самых уязвимых точек в безопасности каждой компании. Большинство сотрудников просто не знают, за чем следить и как идентифицировать потенциальный или реальный киберинцидент, пока не слишком поздно. Компании должны регулярно коммуницировать, чтобы помочь сотрудникам понять тактику киберпреступников и критически важную роль, которую они играют в предотвращении киберинцидентов.

Например, в вашей компании должна быть политика использования соцмедиа на рабочем месте. Некоторые сотрудники ожидают доступа к соцмедиа в рабочее время. Есть баланс, с которым сталкиваются компании — разрешать доступ к соцмедиа и защищать свои системы. Как это сделать? Внедрите политику. Политика может быть: не разрешать использование соцмедиа на корпоративных системах. Может быть, вы предоставляете отдельную, полупубличную сеть для доступа к соцмедиа в течение дня, не подвергая компанию рискам. Какая бы политика ни была, убедитесь, что сотрудники знают о ней, понимают, почему она существует, и потенциальные последствия нарушения.

Вопрос: Хорошо слышать, что есть бесплатные и дешевые решения для производителей. Если компания готова улучшить кибербезопасность, с чего начать?

Пэт: Начните с NIST Cybersecurity Framework и NISTIR 7621 Small Business Information Security: The Fundamentals. Cybersecurity Framework состоит из стандартов, гайдлайнов и лучших практик для управления киберрисками. Он дает приоритизированный, гибкий и стоимоэффективный подход к защите систем. Small Business Information Security: The Fundamentals основано на Cybersecurity Framework и дает более управляемый обзор для руководителей компаний, у которых может не быть технического бэкграунда. Также фокусируется на том, как оценивать и приоритизировать функции безопасности.

Для начала, вот краткое резюме того, что вы найдете в Framework.

Первый шаг — Identify (Идентификация). Идентифицируйте наиболее ценную информацию для вашей компании. Это информация, потеря или изменение которой остановило бы ваши операции. Например, вы производите шоколадные чипс по рецепту бабушки. Этот рецепт важен для бизнеса и должен быть защищен от кражи или изменения, чтобы бизнес продолжался.

Второй шаг — Protect (Защита). Вы поговорили с менеджерами и персоналом и использовали обратную связь для идентификации важнейшей информации. Теперь время решить, что нужно сделать для ее должной защиты. Этот шаг во многом зависит от угроз и уязвимостей, специфичных для вашего бизнеса. Малые компании, работающие с клиентами лично или по телефону, не имеют столько для защиты, сколько компании, ведущие бизнес через email и веб-порталы. Зависит от вашей операционной среды, какую защиту внедрять.

Третий шаг — Detect (Обнаружение). Вы должны иметь возможность обнаружить, когда произошел киберинцидент. У вас должны быть актуальные антишпионское ПО, антивирусы и системы обнаружения вторжений. Также рассмотрите физическое пространство. Подумайте о таких вещах, как необходимость алертов, когда люди получают доступ к зонам, куда не должны. Будь инцидент цифровым или физическим, важно знать, когда это случилось и к чему получил доступ человек(а).

Четвертый шаг — Respond (Реагирование). Когда киберинцидент происходит, вашей компании нужно быстро реагировать для смягчения потенциального ущерба. Вам нужно иметь план до того, как что-то случится. План должен включать, кто отвечает и кого контактировать при происшествии. Также сотрудники должны знать, как получить доступ к плану в рабочее и нерабочее время.

Вспомните школьные пожарные тренировки несколько раз в год. Как и те тренировки, ваша компания должна регулярно практиковать реагирование на киберинциденты, чтобы сотрудники точно знали, что делать, если произойдет киберинцидент.

Пятый и последний шаг — Recover (Восстановление). Вы должны делать регулярные бэкапы для восстановления систем. Бэкапы должны храниться в отдельном месте или в Облаке. Вы должны тестировать бэкапы. Если не тестируете бэкап-информацию, не можете быть уверены, что сможете полностью восстановиться после события. Как часто тестировать — зависит от того, насколько витальна информация для операций компании.

Это не ситуация «один размер подходит всем», и вы должны решить, что работает для вашей компании и ее культуры. Для одной компании тест раз в год может быть достаточно. Для другой — раз в неделю. Это не легкий ответ, но это действительно требует посмотреть на ваши системы, увидеть, где вы уязвимы, знать угрозы, с которыми сталкиваетесь, и как вы их нейтрализуете.

Вопрос: Допустим, моя компания внедрила должные меры безопасности и создала план реагирования: что дальше?

Пэт: Это не разовая активность. Нельзя написать план реагирования и поставить на полку. Это должен быть живой документ. Все должны знать вашу киберпозицию и как вы можете продолжать ее улучшать.

Каждый раз, когда вы покупаете новое оборудование или нанимаете нового сотрудника, нужно думать, как это влияет на безопасность. Для малых компаний это может быть сложно. Слишком часто вижу случаи, когда компания быстро росла и забыла, что не все нуждаются в доступе ко всей информации. Может занять время, но менеджмент должен пройтись по списку сотрудников и посмотреть, к чему они должны и не должны иметь доступ. Кто-то на цехе не нужен доступ к зарплатной информации. Определение ролей и внедрение разделения этих ролей может быть сложно, но необходимо для защиты компании от киберугроз.

Я думаю, кибербезопасность и качество имеют много общего в плане принятия. Многие компании медленно принимали системы качества вроде ISO 9000. Главная компонента качества — мышление в компании. Кибербезопасность не релегирована только в IT-специалиста или ответственного за кибер — каждый сотрудник на каждом уровне имеет какую-то форму ответственности. Кибербезопасность должна быть частью культуры компании — как качество — чтобы быть эффективной.

Вопрос: Где найти информацию для обучения сотрудников вещам, которые они могут сделать для снижения киберриска компании?

Пэт: Зайдите на веб-страницу ресурсов NIST MEP по кибербезопасности. Там найдете ряд ресурсов, включая простой инструмент самооценки (на базе Cybersecurity Framework NIST) для самооценки уровня киберриска вашей компании. Самооценка поможет определить, где слабости компании и куда фокусировать ресурсы на улучшение. Мы не треким вашу информацию и не храним результаты. После оценки вы получите счет, чтобы знать, где ваши слабости в усилиях по кибербезопасности. Также можете обратиться к одному из 51 центра MEP, расположенных во всех 50 штатах и Пуэрто-Рико, часть национальной сети MEP™, за вопросами или помощью.