Kitobni o'qish: «Кибербезопасность: правила игры. Как руководители и сотрудники влияют на культуру безопасности в компании»

Переводчик Людмила Смилевска

Редактор Мария Приморская

Руководитель проекта И. Позина

Корректоры Е. Жукова, Н. Казакова

Дизайнер А. Маркович

Компьютерная верстка Б. Руссо

Copyright © 2019 by McAfee LLC.

All rights reserved.

This translation published under license with the original publisher John & Sons, Inc.

© Издание на русском языке, перевод, оформление. ООО «Альпина ПРО», 2022.

Все права защищены. Данная электронная книга предназначена исключительно для частного использования в личных (некоммерческих) целях. Электронная книга, ее части, фрагменты и элементы, включая текст, изображения и иное, не подлежат копированию и любому другому использованию без разрешения правообладателя. В частности, запрещено такое использование, в результате которого электронная книга, ее часть, фрагмент или элемент станут доступными ограниченному или неопределенному кругу лиц, в том числе посредством сети интернет, независимо от того, будет предоставляться доступ за плату или безвозмездно.

Копирование, воспроизведение и иное использование электронной книги, ее частей, фрагментов и элементов, выходящее за пределы частного использования в личных (некоммерческих) целях, без согласия правообладателя является незаконным и влечет уголовную, административную и гражданскую ответственность.

* * *

Фрэнку, любви всей моей жизни, – тому, кто читал каждую написанную мною страницу, включая эту.

Спасибо, что любишь меня и поддерживаешь.

Глава 1
Как я испортила Пасху

Бывали у меня воскресенья и получше.

16 апреля 2017 года, Пасха. Мы с мужем сидели дома, только закончили ужинать. Настало долгожданное время насладиться покоем и нашим новым увлечением – запойным просмотром Netflix. Знала бы я тогда, что вот-вот сыграю главную роль в собственной драме, заслуживающей гораздо большего внимания…

Загорелся экран моего телефона – пришло сообщение от Шатель, руководителя нашего отдела по подбору персонала. Мы с ней тесно общались. Всего 12 дней назад мы помогли McAfee отделиться от Intel в качестве одной из крупнейших независимых компаний в области кибербезопасности. Я не удивилась ее сообщению на Пасху – думала, она просто прислала мне поздравления с праздником. Но речь там шла не об этом.

«Загляни к нам в соцсети. Дело плохо».

Я открыла страницу McAfee в очень известной социальной сети, название которой не буду здесь упоминать, – и пришла в ужас.

Кто-то взломал профиль нашей новорожденной компании, которой едва исполнилось 12 дней, и исписал страницу самыми грязными и непристойными выражениями, какие только могут прийти в голову. Такое не лучшим образом сказалось бы на любой фирме. Но стоит объяснить, насколько плохо, бесконечно плохо это было для нас.

Оскорбительные надписи резко противоречили всему, что представляла наша организация. Мы только что перезапустили бренд с новым слоганом «Вместе – сила», отражавшим нашу веру в то, что для защиты мира от киберугроз нужно использовать все возможные средства. Мы только что представили сотрудникам новые ценности компании, одна из которых – всеобъемлющая открытость и прозрачность. И мы были лидерами в области кибербезопасности. Что подумают клиенты о нашей способности сохранить их самые ценные цифровые активы, если мы не можем защитить даже собственный профиль в одной из крупнейших соцсетей? И вдобавок ко всему, именно моя команда – маркетинговая организация – отвечала за управление профилями компании во всех социальных медиа, включая этот, «опороченный» прямо у меня под носом.

Я начала действовать. Нужно было связаться с главой нашей диджитал-команды, чтобы понять, что происходит. Я сразу дозвонилась ей, и мне не пришлось объяснять, что звонок никак не связан с Пасхой.

– Я знаю, почему ты звонишь. Мы разбираемся. Наш аккаунт взломали. Мы на связи с [социальной сетью], решаем проблему.

Я начала думать о худшем. Взломанный аккаунт – это одно. Но что если это скоординированная атака на McAfee? Вдруг хакеры нацелились на добычу покрупнее и отвлекли наше внимание этой «пожарной тревогой», чтобы параллельно проникнуть в систему компании?

Руководитель диджитал-команды тут же уверила меня, что наш директор по информационной безопасности уже все проверил и подтвердил: все системы в порядке. На миг я испытала облегчение, но тут же осознала, что нужно сделать еще один звонок. Генеральный директор должен быть в курсе происходящего. И лучше бы мне сообщить ему новости лично. Итак, я набрала его номер, собираясь испортить и ему пасхальное воскресенье. Он взял трубку почти мгновенно.

– Крис, один из наших аккаунтов в социальных сетях взломали.

– Насколько все плохо? – сдержанно спросил он.

– Корпоративные сервера в порядке, Крис. Взломана страница компании на сайте социальной сети.

Я объяснила ему, что случилось. Первым проблему обнаружил Гэвин, наш SMM-специалист. Он был дома и занимался тем же, чем и многие фанаты социальных сетей на выходных, – сидел в сети. Около пяти часов вечера он увидел, что статус на странице компании поменялся на произвольный набор букв. Гэвин предположил, что сообщение случайно написал кто-то из его команды, – и удалил пост.

Затем он связался с сотрудниками, чтобы выяснить, чьих это рук дело. Об обновлении никто ничего не знал.

Вскоре появился новый бессмысленный пост. И теперь он был неслучайным.

Гэвин залогинился в социальной сети и перешел в настройки аккаунта. Имена всех людей, имеющих доступ к управлению страницей, были ему знакомы. Но чтобы перестраховаться, он начал закрывать доступ другим администраторам из списка.

Пока он делал это, страница в браузере обновилась – и его «выкинуло» из аккаунта.

Теперь сомнений в злонамеренности действий не осталось. За секунду Гэвин сообразил, что удаление поста сообщило хакеру: в McAfee знают о взломе. Началась классическая гонка из криминальных фильмов о технологиях: пальцы летали по клавиатуре, появлялись и скрывались значки программ, всплывали сообщения – все в лучших традициях Голливуда. Гэвин и злоумышленник на всех парах в режиме онлайн неслись к одной цели. Даже отсутствие напряженного саундтрека не снижало накала страстей. Гэвин рассказал: «Я старался удалить всех остальных администраторов, и хакер делал то же самое. Он сработал быстрее».

Прежде чем закончить разговор с генеральным директором, мне пришлось поделиться с ним еще одной неутешительной новостью.

– И еще, Крис, зайдя на нашу страницу, вы увидите не только оскорбительные посты, но и картинку, которой заменили лого нашей компании – что-то вроде птицы. Присмотритесь. Это вовсе не птица. Это… кхм… это части тела.

Распространенная вещь в хакерском сообществе – «украшать» взломанные сайты непристойными рисунками, чтобы пометить тех, кто был, как говорят на сленге, «унижен», кого «хакнули». Хакер уже знал, что мы заблокированы и ситуация под его контролем; он повесил пошлую картинку вместо нашего нового логотипа просто так, на всякий случай.

Моя команда максимально вовлекла службу поддержки социальной сети в решение проблемы. Но… в праздники все происходит дольше. Поскольку был уже поздний вечер, нас перевели на сотрудников группы, работающей в Азиатско-Тихоокеанском регионе. Создавалось впечатление, что время физически преодолевало океан, разделяющий нас и службу поддержки. Минуты ползли со скоростью улитки.

Казалось, ожидание длилось целую вечность. Взломали не наши сервера, и у меня не было возможности подключить команду специалистов из McAfee к решению сторонней проблемы. Мы могли лишь каждые несколько минут связываться со службой поддержки, чтобы снова получать ответ: «Мы работаем над этим».

Примерно через полчаса они сообщили, что заблокировали всех администраторов нашей корпоративной страницы, и доступ к ней остался только у них. Это были хорошие новости: по крайней мере, большего вреда нанесено не будет.

А что насчет плохих новостей? Они не могли просто откатить страницу до версии 30-минутной давности. Согласно протоколу, страницу заблокировали, чтобы никто больше не мог изменять ее, а затем должны были последовать процедуры проверки и анализа. В ходе первой они должны были удостовериться, что мы действительно те, за кого себя выдаем, а не хакер, только притворяющийся McAfee (какая ирония!). Анализ же призван был определить степень взлома – и только затем можно было предпринимать дальнейшие действия.

Но как быть с непристойным аватаром? Он все еще висел на нашей корпоративной странице. Хуже того: платформа работала таким образом, что в личных профилях всех сотрудников McAfee в социальной сети вместо логотипа компании также отображалась эта пошлая картинка.

И в моем тоже.

Когда мы снова связались со службой поддержки, нам сообщили, что «процедуры» еще не закончены. Если следовать их логике, выходило, что единственный шанс откатить страницу – реактивировать, то есть разблокировать аккаунт, но они не сделают этого до тех пор, пока не закончат проверку безопасности.

Серьезно? Как это вообще возможно? С нашей страницей ничего нельзя было сделать до окончания проверки. Мы были в полной их власти. Все, что могли предпринять наши сотрудники, – удалить любое упоминание о McAfee из собственных профилей. Те, кто был в курсе происходящего, так и сделали.

Но этого было недостаточно. Я продолжила портить другим пасхальное воскресенье – сообщила о происшествии команде руководителей. Мы позаботились о безопасности серверов компании, но это не означало, что McAfee не будет атакован в других социальных каналах. И, конечно, мы не знали, станут ли следующей мишенью злоумышленников наши руководители – или их профили в соцсетях.

Я разослала руководителям письма и сообщения с просьбой немедленно включить в личных профилях всех социальных сетей многофакторную аутентификацию (подробнее о ней – чуть позже).

Последовав собственному совету, я начала судорожно укреплять безопасность в личных профилях – пока одна очень популярная социальная сеть не завела меня в тупик. Не знаю, что это было: то ли мое тело полностью перешло в режим мобилизации «бей или беги» (когда организм перенаправляет кровоток к основным группам мышц, чтобы скрыться от угрозы или подготовиться к бою – иными словами, уводит подальше от мозга), то ли соцсети стоило сделать настройки безопасности более очевидными. Скорее всего, и то, и другое. Как бы там ни было, я запаниковала и прибегла к отчаянной мере: полностью удалила оттуда личный профиль – и всю его историю.

Час ожидания превратился в два, затем в три, а потом и в четыре. Я регулярно звонила генеральному директору с необходимыми, но раздражающими новостями об «униженном и оскорбленном» профиле нашей компании. Диалоги сводились к следующему:

– Крис, мы все еще работаем с ними. Они не завершили проверку безопасности. Надеемся, все закончится в течение получаса.

Как в том анекдоте про программиста: «намылить, смыть, повторить» – снова и снова, каждые полчаса.

Во время очередного звонка руководитель вытащил козырь из рукава.

– Эллисон, я устал ждать, пока они нами займутся. Я знаю кое-кого из владельцев этой соцсети. Звоню ему.

– Отлично, Крис. Мы пока продолжим подгонять службу поддержки.

Крис связался со своим знакомым и рассказал о нашем случае. Через 30 минут после звонка страницу восстановили в исходном виде. Доподлинно неизвестно, повлиял ли звонок Криса или они просто закончили проверку, но я знала, что теперь ситуация под контролем.

Утром понедельника мы выпустили статью в интранете, чтобы все сотрудники узнали о случившемся в выходные. Помните, я говорила про одну из важных ценностей McAfee – всеобъемлющую открытость и прозрачность? Мы были обязаны объяснить людям, что случилось, особенно учитывая, что публикация отвратительной картинки вместо лого нашей компании затронула их личные страницы. Быть открытым и честным в неловких ситуациях очень сложно, но совершенно необходимо, чтобы жить в соответствии с ценностями.

* * *

Я рассказала эту историю не только потому, что она интересная, и не для того, чтобы вы подумали: «О, лучше уж она, чем я!» В ней заключается краткое содержание всего, о чем пойдет речь в этой книге, потому я и начала с нее.

Чтобы вы почувствовали, как покупка этой книги начала оправдывать себя с первой же главы, я расскажу вам, как произошел взлом и что мы делали после. И самое главное – я опишу действия, которые вы можете предпринять утром следующего рабочего дня, чтобы с вами этого не случилось.

Наученные горьким опытом

Снова получив контроль над аккаунтом, мы попросили службу поддержки социальной сети назвать имя администратора, ответственного за изменения.

Оказалось, это была сотрудница одного из наших агентств по размещению в СМИ (назовем ее Джули), которая больше не работала в компании. Ее учетные данные были украдены подростком, связанным с крупным киберпреступным синдикатом. Джули допустила ошибку, которую совершали многие до нее: проигнорировав правила цифровой гигиены, установила слишком простой пароль. Она использовала один и тот же код для доступа к нескольким учетным записям, включая профиль в этой социальной сети. И поскольку она была авторизованным администратором корпоративной страницы, ее личные учетные данные открывали доступ не только к ее профилю, но и к нашему. И когда злоумышленники взломали один из ее аккаунтов и продали данные в даркнет, хакеры просто опробовали этот пароль и в других социальных сетях. После этого они нанесли удар по корпоративной странице McAfee через административный доступ Джули. Остальное было детской забавой.

Задним умом мы все крепки, и этот случай – не исключение. Итак, уязвимость номер один: Джули использовала один пароль для своего личного и нашего корпоративного аккаунта на платформе соцсети (будучи одним из администраторов нашей страницы) – тот же, что и для других своих учетных записей. Если бы она вводила уникальные пароли, тогда данные, купленные злоумышленниками в даркнете, были бы бесполезны. Что хуже? Узнав о взломе аккаунта, Джули быстро сменила пароль. Но ей не удалось изменить его в других учетных записях, в том числе в важной для этой истории. Это ее вина.

Уязвимость номер два: мы должны были требовать двухфакторной аутентификации в социальных сетях от всех администраторов. Это означает, что для входа в систему им понадобилось бы ввести не только правильный пароль, но и одноразовый код, отправленный, например, на телефон. Если не ввести код в течение нескольких секунд или минут после попытки входа, вы не попадете в систему. Существует несколько версий этого типа аутентификации, и я, конечно, все упрощаю – но в целом все понятно. Это наша вина.

Уязвимость номер три: мы проводили проверку аккаунта недостаточно часто и не поняли вовремя, кому больше не нужен доступ. Джули работала на нас, но мы должны были исключить ее из списка администраторов после окончания проекта. Нас могли взломать и пока она активно сотрудничала с нами, но отсутствие «гигиены» только усугубило ситуацию. Это точно на нашей совести.

Все эти действия могли значительно снизить вероятность взлома. Но, допустим, каким-то невероятным образом достаточно мотивированный, везучий и даровитый хакер смог проникнуть в нашу учетную запись в соцсети. Давайте разберемся, как превентивные меры помогли бы нам после обнаружения взлома.

Мы могли разработать процедуру блокировки действий всех администраторов страницы, не позволяющую хакерам узнать, что мы в курсе атаки. Удалением бессмысленных постов мы только привлекли их внимание. А когда они увидели, как мы закрываем доступ администраторам, они стали работать на опережение.

Нам повезло, что Гэвин оказался на взломанной странице в пасхальное воскресенье. В противном случае мы могли бы не узнать об атаке так быстро. Теперь у нас есть инструмент, который использует средства машинного обучения для обнаружения необычных изображений, ненормативной лексики, оскорблений и других аномальных материалов на страницах социальных сетей. Он немедленно предупреждает нескольких членов нашей команды о такой необычной активности.

Примечание. Я не буду называть конкретный инструмент по двум причинам. Во-первых, программы приходят и уходят, у каждой из них свой уровень эффективности и каждой из них – свое время. Иными словами, в период запуска инструмент может быть очень эффективным – до тех пор пока хакеры не найдут способ его обойти. Я не знаю, когда вы будете читать эту книгу, а потому не стану хвалить то, что, возможно, больше не использую.

Вторая причина, по которой я скрою название этого инструмента, заключается в том, что McAfee является важной мишенью для хакеров по всему миру. Оставляя их теряться в догадках, какие именно средства мы используем, мы помогаем снижать угрозу. Поискав описания инструментов в сети, вы быстро найдете то, что можно опробовать.

Вернемся к урокам, которые мы вынесли.

Мы не были знакомы с протоколом действий службы поддержки соцсети в подобных ситуациях. И очень зря. Только постфактум мы узнали о том, что их политика требует блокировки аккаунта на много часов, вне зависимости от того, насколько велики изменения на странице. Теперь мы узнаем о подобных процедурах заранее – до размещения корпоративных страниц на других сайтах.

Мы на собственном горьком опыте убедились, как много значат деньги. Поскольку мы тратили приличную сумму на продвижение в социальной сети через агентства, самой платформе мы казались менее значимым аккаунтом, чем были на самом деле. Это могло повлиять на быстроту реакции. Теперь мы оплачиваем продвижение напрямую на платформах социальных сетей – чтобы наши инвестиции были на виду и приносили нам уровень сервиса, которого мы заслуживаем.

Кроме того, мы узнали, что сторонние компании, с которыми мы ведем бизнес, могут не иметь надежных методов обеспечения безопасности. Это особенно важно, если это ваши филиалы или у них есть доступ к вашим системам. В частности, у небольших сторонних компаний, с которыми вы поддерживаете отношения, может не быть подразделений ИТ и безопасности, не говоря уже о строгой политике киберзащиты.

И наконец, последний удар под дых. Как показало вскрытие, McAfee даже не был изначальной целью атаки. Когда хакер получил доступ к личным данным Джули, он понятия не имел о том, что она администратор корпоративной страницы компании. Он не знал, кто такая Джули: ему было все равно. Он просто охотился за паролями, стремился определить, к чему они откроют доступ, – к личному банковскому счету, сети компании или чему-то еще. Как только он нашел тот, который случайно подошел к странице McAfee в этой социальной сети, он вывалил на всех, кого мог, целый ушат оскорблений, унизив при этом компанию. Даже для хакеров удача иногда важнее мастерства.

Еще несколько важных уроков

Составьте список людей, с которыми вы можете связаться в такой ситуации. Держите их контакты под рукой – там, где вы и ваша команда легко сможете их найти. Эти списки должны быть не только у ваших людей, но и у сотрудников, обслуживающих сайт компании, ее социальные сети, облачное хранилище и так далее.

В чьи-то рабочие обязанности должна быть включена регулярная проверка доступа к аккаунту, а помимо этого – удаление из списка администраторов людей, чья работа больше не связана с текущими проектами.

Используйте многофакторную аутентификацию. Некоторые наши системы автоматически определяют, когда пользователи входят в них, а когда выходят – даже если выключение произошло всего на несколько минут, например, для смены компьютера. При работе в системах с меньшим уровнем прямого контроля – таких как облачные сервисы, например, – мы просим сотрудников присылать скриншоты, показывающие, что многофакторная аутентификация включена.

Можете себе представить, как тщательно мы теперь изучаем социальные сети, прежде чем разместить там свою страницу. В дополнение к мерам, описанным выше, мы задаем следующие вопросы:

● Как вы обрабатываете личную информацию?

● Какую технологию вы используете? (На основе ответов мы проводим оценку уязвимости).

● Как работает ваша система управления доступом?

● Какие сторонние инструменты можно подключить к вашей платформе, чтобы автоматизировать откат контента, необходимый после взлома?

● Каков алгоритм возвращения взломанного хакерами аккаунта под контроль?

● Какого соглашения об уровне реагирования на атаку и возвращения клиенту контента в том виде, каким он был до взлома, вы придерживаетесь?

Чья это вина?

Безусловно, провайдер социальной сети сможет доказать, что мы сами не сделали несколько очевидных шагов – не свели к минимуму количество администраторов, регулярно проверяя их список, не настояли на использовании уникальных надежных паролей и так далее. Но решению проблемы не способствовала и его жесткая политика, в рамках которой очевидно взломанная грубейшим образом страница должна была оставаться неизменной до окончания проверки. И, конечно, сотруднице агентства не стоило использовать одинаковый пароль для нескольких учетных записей.

Но обратите внимание: главу я назвала «Как я испортила Пасху». Нет, я не взламывала корпоративную страницу McAfee. Не я предоставила такую возможность злоумышленнику. И в то пасхальное воскресенье я меньше всего хотела разбираться с ситуацией, возникшей в результате цепи нелепых ошибок. С учетом всего сказанного я могу лишь взять на себя ответственность за все произошедшее. Ведь, в конце концов, эта корпоративная страница находилась в ведении моей команды. И мы не выполнили свой долг – не приняли разумных мер для ее сохранности.

Личная ответственность – вещь неприятная. Немногим из нас доставляет удовольствие обдумывать, что можно было сделать лучше или иначе для предотвращения несчастного случая. Уклонение – гораздо более нормальная человеческая реакция. Тем не менее именно наша тяга к отказу от личной ответственности остается ключевым оружием в арсенале хакерского сообщества.

Слишком долго кибербезопасность была «чьей-то там» проблемой. Слишком многие считают кибербезопасность мутной темой, не заслуживающей их личного времени, не говоря уже об ответственности. Эта книга ставит целью изменить данную парадигму, хотя бы помочь сделать скромный шаг к признанию ответственности, которую мы все разделяем как сотрудники – и, в конечном итоге, защитники – наших организаций. Если наша компания не может рассчитывать, что мы примем разумные меры предосторожности, чтобы уберечь ее драгоценные цифровые активы, то кому она вообще может доверять?

Однако позвольте мне отвлечься от своей «мелодрамы» и обозначить настоящую проблему. Дело не в том, что сотрудники в большинстве своем не хотят поступать правильно. Гораздо чаще они просто не знают, как это делать.

Кибербезопасность – это командный спорт, в котором каждый должен играть на своей позиции в любую минуту. Дополнительные инструменты могут быть чрезвычайно полезными; но только когда люди, программы, процедуры, регулярные проверки и другие факторы работают вместе, они образуют эффективную защиту.

Помните о важном факторе

Еще один важный элемент, позволяющий минимизировать киберугрозу, – честность. Я определенно выхожу из зоны комфорта, начиная книгу со своим именем на обложке с описания досадного сбоя в системе безопасности, произошедшего у меня под носом. Могло ли быть хуже? Конечно. Этого никогда не должно было произойти? Конечно.

Могли ли вы оказаться на моем месте? И снова – конечно.

Рассказывая эту историю, я хочу задать тон честности, который необходим и в вашем бизнесе, нацеленном на сопротивление плохим парням. Вам необходимо развить культуру безопасности, которая позволит людям не только помогать друг другу, но и быть взаимно честными при обнаружении подозрительных действий. И честность эта – без гнева, обвинений или возмездия – позволит культуре работать.

Кроме того, я описываю взлом нашей страницы, чтобы вы сразу учли наши уроки и применили полученные знания, чтобы устранить щели в броне вашей безопасности.

Почему я?

На рынке не наблюдается недостатка в книгах по кибербезопасности от заслуживающих доверия талантливых авторов с самым разным опытом. Вы можете прочитать расследования журналистов, проанализировавших самые знаменитые взломы в истории. Можете ознакомиться с авторитетным мнением корифеев – основателей отрасли. Еще больше информации вы найдете у технических экспертов, которые весьма подробно разбирают сложные элементы кибербезопасности.

Однако же в то время, когда я это печатаю, найдется крайне мало книг по кибербезопасности, написанных маркетологами. А уж маркетологами, проработавшими в сфере всего несколько лет, – и того меньше. Так зачем доверять такому автору в столь серьезном вопросе?

Считайте мою книгу чем-то вроде гибрида маркетинга и технологий. Всю свою карьеру я переводила технические концепции на обычный язык. Я изучала взаимодействие работы и технологий, чтобы понять, как меняется корпоративная культура.

Так что если вы в целом не разбираетесь в технологиях, будьте уверены: моя цель – дать вам достаточно знаний для понимания нюансов этой сложной темы, не загружая техническими деталями. Но если вы технологически подкованнее меня, уверяю: я не собираюсь все упрощать. Просто предложу рецепты, которые каждый сотрудник – как технический, так и любой другой – может применить для защиты своей организации. И, наконец, если вы один из моих собратьев по кибербезопасности, надеюсь, вы с удовольствием прочитаете эту книгу, восприняв ее как возможность дать другим заглянуть в наш мир. А после – передадите коллегам, не связанным с киберзащитой, чтобы они тоже вступили в наши ряды борцов за безопасность.

Почему вы?

Вы можете считать себя человеком, которому нечего привнести в сферу киберзащиты. В конце концов, как могут сотрудники, менеджеры, руководители и члены совета директоров, работа которых не связана с данной сферой, сыграть значимую роль в игре, правил которой, возможно, даже не понимают?

И здесь я обращусь за вдохновением к миру профессионального спорта – он дает нам много примеров успеха командной работы. Я не фанат спорта, но питаю слабость к американскому футболу. У меня остались очень теплые воспоминания из раннего детства: мы с отцом сидим на диване в гостиной и смотрим игру его любимой команды Dallas Cowboys.

Как и миллионы других болельщиков, в мире профессионального спорта я всего лишь зритель. Просмотр игры – это самое короткое расстояние, на которое большинство из нас может к ней приблизиться. Зрители практически не влияют на исход игры. Эта роль возложена на гораздо более важные персоны – спортсменов и тренеров, – чьи талант, упорство и командная работа в конечном счете определяют, одержат ли они победу.

Раньше я верила в это. Но потом узнала о 12-м игроке Seattle Seahawks – американской профессиональной футбольной команды. Во время любого матча на поле выходят по 11 футболистов от каждой команды. Но Seahawks признают 12-го игрока – не менее важную толпу зрителей.

Со временем я поняла, что мы с папой не желали встречи наших «ковбоев» с Seattle Seahawks на их поле. На их стадионе соперников не ожидает теплый прием. Уровень шума, создаваемый «двенадцатым игроком» команды, всего на пару децибел ниже, чем на летной палубе авианосца. И, как оказалось, поддержка зрителей существенно повлияла на исход нескольких игр. За три сезона Seahawks на своем поле одержали 26 побед против двух поражений. «Двенадцатый игрок» дважды установил мировой рекорд по шуму, создаваемому толпой, и даже спровоцировал как минимум одно небольшое землетрясение.

Эта заслуженная футбольная команда знает, насколько важны зрители. 15 декабря 1984 года из уважения к своим болельщикам они изъяли из обращения 12-й номер. Гигантский флагшток с цифрой 12 гордо реет над их стадионом. А когда команда вышла на поле перед игрой в Супербоуле, шествие возглавлял человек с флагом – также с изображением заветного числа.

Неужели «12» (как называют фанатов Seahawks) действительно такие громкие? В целом – да. Но оказалось, что их стадион был специально спроектирован так, чтобы усиливать шум. В отличие от других полей под открытым небом, где шум рассеивается естественным образом, на стадионе Seahawks есть своего рода вторая палуба и навес, которые направляют шум вниз, создавая какофонию, когда болельщики кричат¹. Руководство команды приложило немало усилий, чтобы сделать «двенадцатого игрока» полноправным участником матчей и прибавить его коллективную мощь к своей.

История о двенадцатом игроке учит нас тому, что зрители могут влиять на исход. Но для этого их нужно вовлекать. Они должны быть полноправными участниками происходящего. И вот теперь – ваш выход. Я написала эту книгу, чтобы каждый осознал важность собственного участия в непрекращающемся соревновании за кибербезопасность. Никто не обвинит вас в том, что вы не надели форму раньше. Но после прочтения этой книги никто не сможет оправдать вашего отказа от ответственности.

В этой книге я хочу продолжить диалог с того места, на котором заканчивалось так много других текстов: дать новичкам в сфере бизнеса план действий, который они могут немедленно воплотить в жизнь, чтобы стать частью борьбы за кибербезопасность. Если вы все еще сомневаетесь, стоит ли вступать в битву, знайте: вы уже в ней. Киберпреступники надеются на равнодушие и отстраненность сотрудников – так им будет проще наносить удары. Если вы не активный игрок, выступающий за свою компанию, вероятно, вы пешка в руках врага. Если вы цените онлайн-свободу, если вам важно, чтобы данные, которые вы используете для принятия решений, не были скомпрометированы, если хотите, чтобы ваши девайсы использовались во благо, а не во вред, то вы уже разделяете миссию профессионалов сферы кибербезопасности. У вас больше общего с нами, чем вы могли себе представить.

W.I.S.D.O.M.

Руководство McAfee серьезно относится к развитию. Каждый квартал мы собираемся вместе, чтобы снова и снова превращать просто «работу» в «командную работу». Мы учимся у коллег, делимся личными историями о наших профессиональных буднях и даем обещание быть более искренними друг с другом и с нашими сотрудниками. В конце этих встреч мы практикуем инструмент W.I.S.D.O.M. (аббревиатура, складывающаяся в англ. слово «мудрость» – Прим. пер.), о котором узнали от группы компаний AIP, нашего партнера по развитию лидерства. Расшифровывается аббревиатура так: What I'll Say (and do) Differently On Monday – «Что я скажу (и сделаю) иначе в понедельник». Каждый из нас берет на себя обязательство проработать одну из ключевых областей развития, которые мы обсудили.

Позвольте мне и вас вооружить такой же «мудростью». В конце каждой главы вы найдете советы о том, что можете сделать в понедельник для повышения уровня кибербезопасности вашей организации. Некоторые из них на первый взгляд очевидны, но могут существенно повлиять на ваш успех. Другие потребуют больше работы, но, скажем так: вид стоит того, чтобы забраться на гору. Советов каждый раз будет не более пяти, так как я верю: 20 % усилий дают 80 % результатов.

Рекомендации, которые вы найдете на этих страницах, можно применить на очень широком спектре предприятий. McAfee обслуживает сотни миллионов потребителей по всему миру. Мы работаем с крупнейшими правительственными и корпоративными организациями. Наши решения защищают и задние дворы, и залы заседаний. Мы действительно вас понимаем.

Использовать советы смогут люди, занимающие различные позиции, – от членов совета директоров крупных компаний до рядовых сотрудников. Кибербезопасность слишком важна, чтобы оставлять ее в ведении специалистов узкого технического профиля. Каждый сотрудник, каждое заинтересованное лицо играет свою роль. Эта книга содержит основы, которые помогут вам применить те или иные техники в организации.

Готовясь к выпуску этой книги, в 2017 году McAfee проинтервьюировала 50 руководителей с различным функционалом (включая генеральных директоров, финансовых директоров, ИТ-директоров, директоров по маркетингу и т. д.), – чтобы проверить уровень кибербезопасности их подразделений. Для этой же цели мы провели этнографическое онлайн-исследование, в котором приняли участие 69 сотрудников компаний (можете считать это своеобразной онлайн-фокус-группой). Мы задавали им вопросы, а также давали упражнения, которые подразумевали сотрудничество на протяжении нескольких дней. В начале каждой главы приведены цитаты этих респондентов, которые помогут более четко сформулировать тему обсуждения и рекомендации.

Вы, «двенадцатый игрок», нужны нам в битве. Вы можете определить ее исход. Эта книга научит вас играть, а также снабдит инструментами и советами – чтобы вы знали, когда кричать с трибуны надо еще громче. Стоит вам вступить в бой, и враг узнает: дом, в который он вошел, легко не сдастся. Мы будем снова и снова сражаться в битве, которую просто не можем позволить себе проиграть.

А теперь давайте зачислим вас в состав.

Глава 2
Мистер/миссис Целлофан

Очень простая аналогия, которую я использую, говоря о кибербезопасности и защите с советом директоров, – это бейсбольный матч. Мне нужно провести идеальную игру. Противникам же достаточно и одного сингла. Причем даже необязательно, чтобы к вам пробрался какой-то негодяй. Достаточно, чтобы кто-то просто пропустил один шаг при настройке сервера. Реальность в кибербезопасности такова, что, если вы на стороне защиты, вам нужно каждую игру проводить идеально. А этого не будет.

Старший/исполнительный вице-президент компании, работающей в сфере услуг

Бедняга Эймос. Его жена хладнокровно убивает своего любовника и заявляет, что защищалась от человека, которого называет «неизвестным» взломщиком. Эймос покорно остается рядом с ней, даже узнав уродливую правду об их романе. Куда бы ни отправился Эймос, он – всего лишь тень на фоне жуткой истории своей жены; никто вокруг его не замечает.

Я говорю о персонаже знаменитого мюзикла «Чикаго». Эймос сетует на то, что его не замечают, в сольном номере под метким названием «Мистер Целлофан»:

 
«А в общем, чтоб друг друга замечать,
Совсем необязательно кричать,
Но не заметят и при свете дня
Невзрачного, прозрачного меня.
Целлофан, мистер Целлофан,
Я б назвался сам мистер Целлофан.
По мне проводят взглядом,
Ходят рядом,
Не увидав меня».
 

Многие из нас могут разделить чувство Эймоса, что нас не замечают. Чувство не из приятных и сопровождается обычно ощущением, что нас недооценивают и не признают. И уж совсем невесело, когда тебя неправильно понимают.

Слишком долго руководители по информационной безопасности оставались в наших организациях этакими мистерами и миссис Целлофан, обреченными трудиться в условиях виртуальной анонимности и постоянно сосредоточенными на том, чтобы с честью исполнять свой долг по обеспечению безопасности. Они живут в тени тех, кого защищают. Более того, если они сбросят свою мантию невидимости, проблемы неизбежно возникнут с обеих сторон.

Как сотрудники, мы не желаем, чтобы нас беспокоили директора по ИБ или их отделы. Мы рассчитываем лишь на защиту с их стороны. Фактически они существуют где-то на задворках наших организаций, где их буквально не видно и не слышно. Если они осмеливаются появиться в поле нашего зрения со своими надоедливыми обновлениями системы безопасности, которые замедляют работу, мы начинаем жаловаться. Еще хуже, если они пытаются отключить доступ к нашим излюбленным службам или устройствам: мы просто найдем способ обойти их запрет.

Наглядный пример: по данным McAfee, в среднестатистической организации в любой момент времени используется порядка 2000 облачных сервисов. А сколько их, по мнению ИТ-подразделения? Ближе к 30². В образовании этой пропасти между представлением и реальностью можно хотя бы отчасти винить теневые ИТ – феномен, при котором сотрудники бесчинствуют и используют облачные сервисы без ведома и уж тем более без разрешения своего ИТ-отдела.

Что может быть хуже для директора по ИБ, чем стать видимым для сотрудников? Стать таковым для правления. Исторически сложилось, что руководители так же мало хотят связываться с кибербезопасностью, как и сотрудники. Если правление приглашало директора по ИБ на встречу, то обычно не для того, чтобы узнать стратегически важные новости о ситуации с кибербезопасностью в компании или сердечно отблагодарить его за работу. Скорее всего, его вызывали затем, чтобы задать сложные вопросы о взломе системы.

Deloitte³, глобальная сеть компаний, предлагающих услуги в сфере аудита и консалтинга, регулярно проводит исследования, в ходе которых опрашивает первых лиц сотен публичных компаний. Так, выяснилось, что в 2014 году лишь в 5 % крупнейших компаний при совете директоров функционировали комитеты, занимавшиеся объединенными вопросами «кибербезопасности и ИТ»⁴.

Итак, в нашем метафорическом мюзикле руководитель по информационной безопасности во многом принял на себя роль Эймоса – он посвятил себя защите тех, кто этого совсем не ценит, и обречен оставаться в тени.

Однако преступники со своими злыми намерениями взялись переписать этот мюзикл. Не проходит и дня, чтобы газетные заголовки (или компании) не объявили об очередном взломе. Настроение первых лиц меняется. Многие осознают, что рискуют, уводя директора по ИБ в тень. Когда в 2016 году Deloitte повторили свое исследование, по уровню внимания от высшего руководства кибербезопасность поднялась до проблемы номер один, при этом 25 % компаний в течение последних двух лет столкнулись со взломами⁵. Мистер и миссис Целлофан были освобождены из заточения в самом темном углу самого дальнего офиса и даже время от времени получают приглашения посетить заседание совета директоров.

Однако тот факт, что благодаря хакерам на директоров по ИБ обратили внимание, не решает проблему кибербезопасности. Отрадно наблюдать, что главные лица компаний держат вопрос под контролем, но просто принять проблему – это лишь первый шаг. Чтобы повысить уровень кибербезопасности компании, эти стороны – техническая (директор по ИБ) и стратегическая (управленцы) – должны научиться понимать друг друга.

Давайте в первую очередь попытаемся понять роль директора по ИБ, которая, по моему мнению, из всех высших должностей трактуется наименее корректно. Это пойдет на пользу не только первым лицам компании, но и всем ее сотрудникам. Директора по информационной безопасности, в свою очередь, наконец выберутся из тени.

Новенький

Корпорации, как и включающие их функциональные дисциплины, существуют уже сотни лет. Одними из самых ранних корпораций стали банки и мануфактуры, а значит, нет ничего удивительного в том, что многие из крупнейших на сегодняшний день публичных компаний обладают обширными познаниями в финансах и операционной деятельности – исходных дисциплинах, ставших основой основ для наших корпоративных предков.

И действительно, согласно отчету Deloitte о практике советов директоров, по состоянию на 2016 год среди первых лиц, которые с наибольшей вероятностью регулярно посещали заседания правления, помимо генеральных директоров и главных юристов были финансовые директора (отмеченные примерно в 99 % опрошенных компаний) и главы подразделений (до 47 %). А как же директора по информационной безопасности? Для сравнения, они регулярно присутствовали на заседаниях на высшем уровне лишь в 11 % опрошенных компаний⁶.

Никого не должно удивлять, что директора по ИБ только прокладывают себе дорогу на эти закрытые мероприятия. В конце концов, если учесть, что другие функциональные дисциплины существуют уже столетия, если не тысячелетия (так, юристы могут утверждать, что их функциональные корни уходят аж во времена Древнего Египта), то роль специалиста по информационной безопасности насчитывает всего какие-то десятилетия. В те времена мы даже не называли это киберзащитой. Ее пионеры обозначали сферу своей деятельности как «информационную безопасность», зародившуюся внутри информационных технологий.

Нам крайне важно совершить короткое, но важное путешествие к истокам кибербезопасности, чтобы понять сравнительно новую роль директора по ИБ. В свое время безопасность информационная и физическая были в широком смысле одним и тем же. Помню (не так уж и давно это было), если мне нужно было получить доступ к сети компании, я делала это через стационарный компьютер, подключенный к Ethernet-кабелю, выводившему меня в локальную сеть. Как сам компьютер, так и технология Ethernet – все это располагалось в помещениях компании. А значит, единственным способом получить доступ к корпоративной сети было физически войти на территорию самой фирмы, что, в свою очередь, требовало наличия определенного уровня допуска – вроде моего бейджа. Физическая и информационная безопасность были для меня неделимы – как в мыслях, так и на практике.

Меня поражает, как сильно все изменилось, и только на моем веку. Работа перестала быть местом, куда я хожу; она стала именно занятием. Я все больше работаю за пределами безопасного, физически ограниченного периметра, принадлежащего компании. Я органично совмещаю профессиональную жизнь с личной – отвечаю на электронные письма с мобильного устройства, выхожу на связь практически из любого места, где можно найти Wi-Fi, и получаю доступ к бесчисленному множеству облачных сервисов, которые облегчают мне жизнь.

И я не единственная, кто считает, что работа во многом стала «беспроводной». Давайте рассмотрим, как наши относительно новые рабочие привычки оказывают несравненно большее, чем раньше, давление на руководителей по ИБ, защищающих нас и наши компании. В любой момент времени наш директор предпринимает как минимум одно из трех стратегических усилий:

1. Преобразования

Любое внедрение технологии, будь то мобильность, облако или интернет вещей, подвергает компанию все большему риску. Дело в том, что в процессе нововведений безопасный периметр предприятия продолжает разрушаться.

Приведем пример: кому принадлежит интернет? Это запутанный лабиринт такой сложности, от которой и у самых технически подкованных из нас головы пойдут кругом.

Кому принадлежит инфраструктура облачных хранилищ вроде тех, что предоставляют Amazon, Google и Microsoft? На этот вопрос ответить уже легче: за физическую безопасность облачной среды отвечает компания, ее предоставляющая. Однако это равносильно утверждению, что в их власти и обеспечение физического доступа к огромным дата-центрам – примерно в том же смысле, что и наши компании обеспечивают защиту зданий, где мы работаем. Кража данных из облачных хранилищ обычно не является результатом физического взлома дата-центров крупнейших интернет-компаний изобретательными ворами: киберпреступники получают доступ к данным, хранящимся в вышеупомянутых дата-центрах или проходящим через них.

На ком же в конечном счете лежит ответственность за эти данные? Это самый однозначный и самый простой вопрос: ваша компания – и только она – несет ответственность за сохранность собственных данных, и неважно, где они хранятся – хоть на серверах, находящихся на территории, принадлежащей вашему работодателю, хоть на тех, что арендуются на общедоступном облаке.

Облако – лишь один из примеров убывающего контроля специалиста по информационной безопасности над инфраструктурой, используемой для хранения или передачи данных его компании. Концепция использования сотрудниками собственных устройств прочно обосновалась в бизнес-сфере, а значит, корпоративные мобильные устройства могут скоро стать пережитками прошлого. Есть весомая причина, по которой в столь многих компаниях не задумываясь позволяют своим сотрудникам по желанию работать на любом устройстве (или нескольких). Согласно данным Frost & Sullivan, использование смартфонов в рабочих целях позволяет сотрудникам сэкономить в день почти час; при этом их эффективность вырастает на 34 %⁷.

У старых технологий очень длительный срок годности, что только усложняет внедрение преобразований. Даже при том, что бизнес-подразделения спешат развернуть облачные сервисы (с формального согласия ИТ-отдела или без оного), за ними все равно тянется длинный хвост локальной инфраструктуры, которую необходимо поддерживать. В качестве примера рассмотрим USB-накопители. В 2017 году исследователи из Университета имени Бен-Гуриона документально зафиксировали 29 известных векторов атаки, компрометирующих USB-накопители⁸. А компания Apricorn, производитель USB-накопителей без программного обеспечения с аппаратным шифрованием, в 2017 году сообщила: из 90 % сотрудников, использующих USB, только 20 % делают это с шифрованием⁹.

Поскольку унаследованная технология редко исчезает полностью и никогда – быстро, все эти попытки преобразований влекут за собой рискованное расширение зоны охвата и ответственности.

Что же остается делать нашему директору по ИБ? Легкомысленно поддержав среду всеобщего доступа и вседозволенности, он оставит свою организацию незащищенной от возрастающих рисков. Став отделом «Нет», чтобы сдержать возможную угрозу, – скорее всего, лишится поддержки среди тех самых сотрудников, которых должен оберегать (вы же помните о тех 2000 облачных сервисов, которые в среднестатистической компании используют без ведома ИТ-специалистов?).

Директор по ИБ оказывается в незавидном положении. Он должен одновременно защищать самые ценные цифровые активы своей компании и способствовать ее преобразованию. К сожалению, более противоречащие друг другу задачи и придумать сложно.

2. Управление рисками

Киберпреступления – огромный бизнес: если быть точным, то в 2017 году его оборот составил $600 млрд, что на $100 млрд больше, чем в 2014-м¹⁰. С точки зрения глобальных последствий киберпреступность – третье по важности экономическое бедствие после коррупции во власти и наркотиков.

Как же мы дошли до этого? Еще живы в памяти времена, когда киберзащита была относительно «проста». Как уже говорилось, информационная безопасность обеспечивалась физической, да и справляться с угрозами тогда было несравнимо легче. В 2006 году McAfee обнаруживал в день по 25 новых угроз. Через 10 лет эта цифра подскочила до 500 000 – более пяти новых угроз в секунду!

И масштаб – это лишь часть проблемы. Раньше обнаруживать угрозы было достаточно просто. Они исходили от вредоносного ПО – программных средств, разработанных плохими парнями, намеревавшимися навредить своим жертвам. «Традиционные» вредоносные программы включали в том числе противные вирусы, которые все вы давно знаете и ненавидите. Когда-то у вредоносного ПО была заранее известная длина строки, что и позволяло определять его как вредоносное. Это сигнатура – своего рода программный отпечаток пальца. Если полиция при поиске преступника обращается к национальной базе данных, содержащей отпечатки пальцев, то специалисты по кибербезопасности заносят сигнатуры вредоносных программ в собственные базы. Если в файле обнаруживаются характерные признаки атаки, он блокируется, а угроза устраняется.

Как же изменились времена! Самые коварные угрозы перестали быть явными: они больше не оставляют хорошо известный и легко распознаваемый отпечаток пальца. Преступники стали куда умнее. Когда вы возьмете в руки эту книгу, она почти наверняка не будет содержать указаний на новейшие киберугрозы; сейчас же, когда я пишу эти строки, моя индустрия сосредоточена на «бесфайловых» атаках. Они используют доверенные технологии внутри вашей организации, например санкционированные инструменты и приложения, а затем наносят вред: обычно это получение доступа к крупномасштабной сети вашей компании и похищение ее данных.

Я говорю «обычно», так как кража данных более не является единственной целью онлайн-преступников. Вирусы-вымогатели – еще одна злободневная тема: здесь злоумышленники даже не утруждают себя кражей данных, чтобы продать их в даркнете. Они значительно сокращают свой путь к прибыли, блокируя (или шифруя) файлы своей жертвы и требуя выкуп за ключ (или дешифрование), прежде чем окончательно их уничтожить.

Данные и деньги могут и не являться конечной целью злоумышленника. Он может быть более склонен сеять хаос, перекрывая доступ к критически важным системам своей жертвы, ставя при этом всю компанию на колени. Или же хакеры могут вести информационную войну, когда сами данные становятся орудием для создания хаоса: просто задумайтесь об объемах данных, которые каждый день генерирует ваша компания, и о том, какой значительный вред могут нанести малейшие манипуляции с ними вашему работодателю. Или, возможно, цель хакера – репутация вашей компании, в чем McAfee удостоверились на собственном горьком опыте при взломе нашей страницы в соцсети.

Вы понимаете, о чем я. Угрозы становятся не только во много раз опаснее, но и значительно сложнее и коварнее. А их масштаб, разнообразие и сила дополнительно повышают риск.

Как же можно ожидать, что директора по ИБ объяснят хитросплетения этой реальности первым лицам своих компаний, которые, по данным Deloitte, собираются не чаще шести раз в год в среднем на четыре часа? Это значит, что среднестатистический совет директоров располагает всего 24 часами в год, чтобы обсудить темы от стратегии компании и ее финансовых показателей до деликатных вопросов слияния и поглощения. Стоит ли удивляться, что кибербезопасности с ее сложной и высокотехнологичной природой на советах директоров уделяют крайне мало внимания?

Но так быть не должно. Кибербезопасность – тема действительно сугубо техническая. Но при этом по сути своей она крайне проста. Речь здесь в основном идет об управлении рисками – а этим языком большинство членов советов директоров владеют в совершенстве.

Вопросы снижения рисков для директоров по ИБ можно сравнить с ходьбой по канату. Им нужно поддерживать баланс между противодействием масштабным угрозам, которые, вероятнее всего, не приведут к катастрофическим последствиям, и незначительным по объему, но нацеленным атакам, которые могут потопить компанию.

Все мы, как члены правления, так и остальные сотрудники, можем понять директоров по ИБ в том, что касается управления рисками, ведь и сами балансируем на этой тонкой грани. У себя в ванной мы стелим коврики, снижающие риск падений (что является относительно небольшой угрозой для большинства людей моложе определенного возраста). В домах устанавливаем датчики дыма и покупаем страховку, чтобы избежать более серьезных рисков вроде пожара. И хотя в нашей жизни может произойти и нечто поистине катастрофическое – скажем, обрушится метеорит (что действительно произошло с одним бедолагой в 1954 году¹¹), – мы спокойно игнорируем подобные риски, учитывая их бесконечно малую вероятность.

Примерно так же классифицировать риски для своих компаний должны и директора по ИБ. Их задача – упростить тему для подачи высшему руководству, не делая ее при этом примитивной. В чем же состоит задача членов совета директоров? Погрузиться в обсуждение, понять, что скрытая бездна проблем вряд ли предусматривает однозначное решение. Война не располагает к ясности. То же касается и кибербезопасности.

3. Автоматизация и эффективность

«Делать больше при меньших затратах» – это раздражающее клише современного предприятия. А кроме того, это нелегкая обязанность директора по ИБ. Мало того, что масштаб угроз и не собирается снижаться, так еще и спрос на специалистов по кибербезопасности намного превышает предложение на рынке труда. По данным Cybersecurity Ventures, к 2021 году в сфере кибербезопасности будет более 3,5 млн незакрытых вакансий¹² – такого количества людей хватит, чтобы заполнить 50 арен Национальной футбольной лиги!

И проблема лишь усугубляется. В 2014 году было подсчитано, что в сфере кибербезопасности не хватает одного миллиона профессионалов по всему миру. К 2015 году показатель вырос до полутора миллионов вакансий. В 2016-м аналитики предполагали, что к 2019 году нехватка специалистов по кибербезопасности составит 2 млн специалистов¹³. Угрозы продолжают расти, а вместе с ними и потребность в квалифицированных профессионалах.

Не располагая достаточным количеством людей, которых можно было бы бросить на решение проблемы, директора по ИБ могут обратиться к множеству продуктов, предоставляемых огромным батальоном поставщиков услуг по кибербезопасности. Программных продуктов, соперничающих за ограниченный бюджет, которым располагает директор по ИБ, существует в избытке, что резко контрастирует с ситуацией на рынке труда. На момент написания этих строк директоров по ИБ осаждали порядка 3500 поставщиков услуг в области кибербезопасности¹⁴. Каждый поставщик предлагал как минимум одну технологию для защиты от угроз, обещая решить небольшую (а то и большую) часть проблем с кибербезопасностью.

Но порой перебор хорошего – это плохо, и слишком большой выбор технологий кибербезопасности прекрасно иллюстрирует эту аксиому. Директора по ИБ в попытках предвосхитить следующую угрозу традиционно спешат с внедрением новейших защитных технологий.

Однако тут они попадают в невыгодное положение. Дело в том, что разрозненные поставщики, конкурирующие за каждый доллар, открывают перед ними темный омут технологий, по большей части плохо сочетающихся друг с другом. Слишком часто случается, что эти технологии продвигают, приобретают, а затем откладывают на полку. Бюджеты тратятся, «полочное» ПО множится, и компании больше не могут быть уверены в оправданности своих инвестиций в разного рода инициативы и инновации. Даже если технология будет «снята с полки» и внедрена на практике, велика вероятность, что ее не удастся совместить с остальными защитными системами компании.

Представьте, что отправляетесь на войну, а в вооружении у вас царит хаос. Представьте, как непоследовательно применяете оружие против врага, прикрывая свои тылы. А теперь добавьте к этой картине тот факт, что ваши бойцы не могут общаться между собой и делиться информацией об угрозах, с которыми сталкиваются, чтобы совместными силами укрепить вашу организованную оборону.

Скорее всего, вам ничего и не придется выдумывать. Просто посетите свой центр мониторинга информационной безопасности, если у компании таковой имеется, где ваши коллеги, отвечающие за кибербезопасность, первыми реагируют на бесконечные атаки. Этим профессионалам, сражающимся на передовой, часто достается в наследство целый клубок технологий и инструментов, приобретенных за многие годы и чаще всего при разных директорах по ИБ. Многие из этих продуктов не передают информацию об угрозах, не говоря уж о том, чтобы хоть чуть-чуть облегчать жизнь специалистам по киберзащите. Слишком уж часто на поверку выходит, что это ваши коллеги из кибербезопасности работают на свои инструменты, а не наоборот.

Enterprise Strategy Group (ESG), независимые аналитики, изучающие рынок ИБ, сообщают, что в 40 % организаций развернуто более 25 инструментов кибербезопасности. Примерно такой же процент компаний признают, что собирают «разведданные» вручную. А 27 % считают, что команда, отвечающая за безопасность, большинство времени проводит, «туша пожары», а не работая над стратегическими проектами¹⁵, что приводит к выгоранию и текучести персонала – катастрофическим последствиям для директора по ИБ в условиях глобальной нехватки кадров.

Мало того, у индустрии кибербезопасности есть секрет, от которого никуда не деться: ни один продукт не способен победить киберпреступность. Может, вас это и не удивляет. В противном случае это означало бы, что в войну можно вступать, имея в арсенале всего одно оружие.

Но и это еще не все. Дело не только в том, что пресловутой магической защиты, способной отразить все угрозы, не существует. Любая защитная технология наиболее эффективна тогда, когда только появляется на рынке. И это полностью противоречит общепринятой в ИТ точке зрения.

Задумайтесь об этом. Когда на рынке появляется новая технология, большинство компаний не отваживаются быть первопроходцами в ее внедрении. В конце концов, зачем становиться подопытным кроликом, когда новшество еще не проверено? Пусть первыми начнут другие, устранят ошибки, улучшат (и удешевят) технологию. И только после этого можно поспешить с ее применением. Это выглядит гораздо более разумной схемой внедрения обычных технологий.

Однако технология кибербезопасности в корне отличается от описанных выше. Когда ИТ-организация внедряет новейшую технологию, призванную заполнить пробелы, на другой стороне нет противника, предпринимающего активные действия против ее успеха. С кибербезопасностью все обстоит не так. Когда значительная доля компаний на рынке внедряет защитную технологию, показавшую высокую эффективность в борьбе с угрозами, злоумышленники снова запираются у себя в лабораториях, чтобы разработать контрмеры. В конце концов они находят способ обойти защитную технологию, если не ослабить ее. (Именно в этот момент поставщики услуг по кибербезопасности, такие как McAfee, запираются у себя в лабораториях и разрабатывают контрмеры против их контрмер, и гонка продолжается.)

В кибербезопасности время на вес золота. Особенно важно выйти на рынок с новой защитной технологией как можно раньше, ведь максимум эффективности она обеспечит именно первым пользователям.

Итак, давайте попробуем рассуждать как директор по ИБ:

1. Не существует одной защитной технологии, способной отразить все виды кибератак: их слишком много, и злоумышленники каждый день придумывают что-то новое. Чтобы обеспечить наилучшую защиту, вам придется использовать множество продуктов от разных поставщиков.

2. Каждая защитная технология показывает наибольшую эффективность, когда только появляется на рынке. Иными словами, вам лучше одним из первых внедрять новейшие технологии кибербезопасности, так как на ранней стадии у злоумышленников пока не было стимула или времени разработать план действий против нее. Когда они сделают это, между поставщиками услуг по кибербезопасности и злоумышленниками начнется игра в кошки-мышки, в которой каждая сторона будет разрабатывать новые способы противодействовать противнику.

3. Итак, важно быть первым, кто начнет действовать. Но вы (как и вся отрасль) страдаете от недостатка талантов, и для быстрого внедрения защитных технологий вашей команде элементарно не хватает людей. Даже если вам это удастся, велика вероятность, что вы не развернете эти средства скоординированно, таким образом, чтобы все технологии в вашей системе функционировали слаженно, обеспечивая обмен информацией об угрозах и работу с совместимыми программными средствами.

4. Поскольку ваши защитные технологии не обеспечивают эффективного обмена данных об угрозах, вашей малочисленной команде, отвечающей за кибербезопасность, остается лишь заполнять бреши. Учитывая, что и объем, и сложность угроз резко возрастают, ваша команда должна распознать сигнал среди шума, обнаружив и устранив самые коварные угрозы – и не дав соперникам опередить вас и нанести вред компании.

Кто готов вступить в такую схватку? Немногие. Вот почему профессионалы в сфере кибербезопасности на самом деле являются невоспетыми героями наших компаний. Они сражаются за нас, оставаясь в тени, невидимые и в значительной степени недооцененные, с учетом всех их стараний.

Вернемся к нашему директору по ИБ: «делать больше с меньшими затратами» для него – не просто фигура речи. Это необходимость. Ему нужно найти способ автоматизировать как можно бóльшую часть рабочих процессов, чтобы позволить своему самому скудному и ценному ресурсу – сотрудникам – сосредоточиться на охоте за наиболее изощренными атаками. Кроме того, ему нужно настойчиво внедрять новые технологии киберзащиты, не ставя при этом под угрозу свои средства обеспечения безопасности неинтегрированными решениями.

Теперь вы понимаете, с чем приходится сталкиваться вашему директору по ИБ, и можете поставить себя на его место:

● Вы способствуете трансформации своей компании, защищая расширяющуюся область, по которой можно нанести удар – облачные, мобильные технологии и приложения интернета вещей.

● Вы управляете рисками своей компании в условиях стремительного роста масштабов и изощренности угроз.

● Вы повышаете эффективность, внедряя продукты сразу после их появления на рынке и встраивая их в единую систему защиты. Кроме того, вы автоматизируете рабочие процессы, чтобы высвободить потенциал вашего самого дефицитного ресурса – талантливых сотрудников – для прицельной работы с самыми сложными и опасными угрозами.

W.I.S.D.O.M. для генерального директора и правления

Все, кто читают эту книгу, являются либо частью проблемы кибербезопасности компании, либо – частью ее решения. Генеральный директор и члены правления – не исключение. Есть множество способов наконец заметить среди нас мистеров и миссис Целлофан, отдать им должное и оказать поддержку, которую они по праву заслуживают.

Во-первых, кибербезопасность не должна быть темой, поднимающейся на совете директоров по случаю или нерегулярно. Это не тот вопрос, который можно игнорировать, пока в защите не будет пробита неизбежная брешь. Первые лица компании должны ввести кибербезопасность в круг регулярно обсуждаемых тем. Я не столь наивна, чтобы полагать, будто кибербезопасность способна привлечь столько же внимания и времени, как, например, финансовые показатели компании. Но если первые лица вообще озабочены снижением риска (а я уверена, что таких большинство), то кибербезопасности следует выделить разумную долю времени в повестке дня.

Сколько именно? Зависит от того, насколько хорошо ваше руководство уже разбирается в теме. Если ваш директор по ИБ еще не дал первым лицам достаточное представление о текущем состоянии вашей кибербезопасности, выделите на эту тему не менее 90 минут. За это время ваш руководитель по ИБ должен осветить наиболее важные для компании в целом вопросы.

Для этого потребуются плотные консультации с руководителями бизнес-подразделений. Правильный ответ может не лежать на поверхности. Например, данные о клиентах могут не быть важнейшим активом вашей организации (хотя, скорее всего, в списке приоритетов будут занимать очень высокое место). Но если вы управляете крупным производственным предприятием, эти данные могут быть важнейшим вашим стратегическим активом, скомпрометировать или закрыть от вас который заинтересованные хакеры смогут с помощью подключенных устройств, дающих доступ ко всем аспектам бизнеса.

Ваш директор по ИБ должен предоставить руководству данные о текущем положении дел с уязвимостью по каждому активу в порядке убывания их стратегической ценности. Не слишком упрощая задачу, вы можете представить себе систему координат, одна ось которой представляет степень уязвимости, другая – стратегический приоритет. Активы, являющиеся одновременно стратегически важными и крайне уязвимыми, требуют немедленного перераспределения бюджета.

Большинство руководителей высшего звена склонны раскошеливаться лишь тогда, когда уже происходит взлом – и это в лучшем случае. Вот что показало проведенное в 2017 году компанией EY глобальное исследование информационной безопасности: 76 % руководителей признали, что выделение дополнительных средств на кибербезопасность могло быть инициировано только в случае взлома, который нанес реальный ущерб. Взлом без последствий? Около 2/3 заявили, что подобное не требует дополнительных расходов¹⁶.

Очень важно обладать достаточными знаниями в области кибер-безопасности, чтобы обеспечивать эффективный надзор за кибер-рисками. Однако на деле владеют им менее 40 % первых лиц компаний¹⁷.

Как только вы скооперируете первых лиц компании и руководителя по ИБ, постарайтесь сделать последнего постоянным участником заседаний совета директоров. Кибербезопасность развивается с головокружительной скоростью. Ваши противники крайне заинтересованы в том, чтобы навредить вам. Они не устраивают себе выходных. И вам не следует расслабляться.

На каждом заседании правления как минимум 30 минут посвящайте вопросам кибербезопасности. Если в среднем совет директоров собирается шесть раз в год на четырехчасовое совещание, то я прошу вас уделить менее 15 % времени обсуждению этой важнейшей темы. Deloitte сообщает, что регулярно вопросы кибербезопасности включаются в повестку заседаний правления менее чем в 20 % компаний¹⁸. Если принять на веру подсчеты Deloitte и учесть, что кибербезопасность относится к самым высоким рискам для большинства руководителей, посвятить этому вопросу три часа в год кажется более чем разумным.

Попросите директора по ИБ обновлять оценку степени риска к подобным заседаниям. Он должен быть готов рассказывать об изменчивой ситуации с уязвимостями. Получить эту информацию он сможет из результатов так называемых атак «красной команды» или тестирования на проникновение. Настаивайте на проведении таких упражнений как на отдельном направлении деятельности. Это моделирование атаки злоумышленников на вашу компанию, в ходе которой можно проверить ее защитные системы. Директор по ИБ сформирует две команды: «красную» (атакующие) и «синюю» (защитники). «Красная» команда, в которую обычно входят эксперты из сторонних организаций, пытается взломать «синюю» (представителей компании). С помощью этого упражнения в компании находят ранее неизвестные уязвимости в своей системе безопасности.

Знайте: «красная» команда всегда побеждает. И это хорошо. Вы же хотите обнаружить уязвимости своей системы раньше, чем это сделают хакеры? Заплатить сторонним агентствам за то, чтобы узнать слабые места своей кибербезопасности, гораздо более выгодное решение, чем расплачиваться со злоумышленниками (и органами регулирования) в случае настоящего взлома.

Наконец, рассмотрите возможность назначить членом совета директоров человека с опытом в сфере кибербезопасности. Он привнесет в заседания свое уникальное видение проблем. Как человек, стоящий на страже киберзащиты, он позаботится о том, чтобы правление не сделало шаг назад, снова задвинув эту функцию на задний план. Думаю, у нас немало работы на этом фронте. По данным Deloitte, за последние два года более 80 % компаний не вводили в состав совета директоров никого, кто обладал бы опытом в сфере кибербезопасности¹⁹.

Как сделать мистера/миссис Целлофан видимыми

Директор по ИБ – незаменимый, часто недооцененный член руководящего состава. Хотя за кибербезопасность несет ответственность каждый сотрудник компании, правление и генеральный директор обязаны задать верное направление с самой верхушки организации. Вы должны сыграть свою роль в том, чтобы киберзащита поднялась в вашей системе ценностей на ту высокую ступень, которой она заслуживает.

Одна из моих любимых киноцитат – из фильма «Подозрительные лица»: «Величайший трюк дьявола состоял в том, чтобы убедить весь мир, будто его не существует». Вашим противникам нужно одно: чтобы вы продолжали держать ваших мистера или миссис Целлофан спрятанными в тени. Злоумышленники рассчитывают, что вы точно так же проигнорируете и их – растущий легион хакеров, ищущих возможность нанести урон вашей компании. Эти злодеи хотят, чтобы вы обесценили кибербезопасность, отнеся ее к нестратегическим инвестициям. Не дайте им добиться этого.

Если здесь вас постигнет неудача, вы рискуете потерять одного из самых ценных членов руководящего состава – мистера или миссис Целлофан. И в условиях нехватки талантливых специалистов в этой отрасли, о чем я уже упоминала, оперативно найти замену вам будет крайне сложно.

Век директора по безопасности в компании относительно недолог – всего 24 месяца по некоторым отраслевым данным. ESG попытались выяснить, почему руководители по ИБ не задерживаются на своих местах. Спрос на рынке труда в сфере кибербезопасности сегодня превышает предложение, и в обозримом будущем ситуация не изменится (благодаря все той же нехватке талантов). Однако ESG выяснили, что, когда директора по ИБ оставляют свою компанию и переходят в другую, руководствуются они далеко не только вопросом заработной платы:

36 % уходят, когда их работодатель не поддерживает корпоративную культуру с упором на кибербезопасность (очень хорошо, что вы читаете эту книгу!);

34 % – когда не чувствуют, что активно участвуют в исполнительном руководстве и советах директоров; и, наконец,

30 % – когда бюджеты, выделяемые на кибербезопасность, несоизмеримы с масштабами организации или отрасли²⁰.

Генеральный директор и правление могут сделать многое, чтобы поучаствовать в решении проблемы кибербезопасности, и в том числе дать право голоса директору по ИБ. Помимо того, чтобы допустить его к обсуждениям, предложите ему провести собрание, где он сможет обосновать необходимость выделять больше ресурсов (учитывая вышесказанное, его аргументы в пользу увеличения бюджета скорее правомерны, чем нет). Относитесь к нему как к управленцу и изучайте его аргументы, задавая вопросы по существу. Постарайтесь сначала глубже изучить проблему кибербезопасности – надеюсь, прочтение этой главы поддержало вас в данном стремлении.

На самом деле директор по ИБ может быть сделан из чего угодно, только не из хрупкого целлофана. Выстоять в суровых ветрах преобразований ему помогает стальной позвоночник; железные кулаки – выдержать бесконечный натиск атак; бетонная челюсть – принимать удары упреков, которые более слабых выведут из строя. Когда вы наконец распознаете и оцените твердость и решимость, отличающие самого недопонятого члена руководящей группы, вы выведете кибербезопасность на свет, а вместе с ней – и неприятелей, которые больше всего хотели бы остаться в тени.