Розмова про зловмисні програми з вимогою викупу, яку фахівці відділу ІТ-безпеки мають провести з керівництвом компанії

Три речі, про які кожен фахівець відділу ІТ-безпеки має розповісти керівництву компанії

1. Це розмова про бізнес-ризики, а не лише про ризики, пов’язані з безпекою.

Зловмисна програма з вимогою викупу – це одночасно операційний, фінансовий, репутаційний ризик і ризик для безперервності роботи. Керівництво компанії уже добре розуміє ризики для ланцюга постачання та ринкові ризики. Зловмисна програма з вимогою викупу нічим не відрізняється. Коли вони це бачать, питання змінюється з "як швидше відновитися" на "як зменшити наслідки, перш ніж станеться збій". Важливі обидва питання. Але лише одне змінює економіку атак.

Екосистема зловмисних програм із вимогою викупу зараз працює ефективно як зрілий ринок зі спільною інфраструктурою, спеціалізованими постачальниками послуг і шпіонажем на основі штучного інтелекту, що скорочує витрати зловмисників на кожному етапі. Ліквідація платформи Fox Tempest корпорацією Майкрософт наочно демонструє це. Це був не зловмисник, який використовував програму з вимогою викупу. Це була спільна інфраструктура, від якої залежали сотні злочинних операцій, щоб шкідливий вміст здавався легальним. Виведення її з ладу одночасно погіршило можливості всієї екосистеми. Захисникам потрібно діяти так само, атакуючи спільну інфраструктуру зловмисників на ранніх етапах, а не лише реагувати вже в момент атаки.

Організації, які випереджають загрозу, надають пріоритет захисту ідентичностей, виявленню брокерів доступу, видимості шляхів атак і безперервній аналітиці, що дає змогу зірвати атаку ще до розгортання зловмисної програми, а також інвестиціям у стійкість, які гарантують відновлення після атаки.

Мішенню може стати будь-яка організація. Вирішальне значення має не сам факт втручання, а те, чи здатна організація локалізувати збій, підтримувати операційну діяльність і відновити роботу без катастрофічних наслідків для бізнесу. Для цього потрібні інвестиції в забезпечення неперервності бізнес-процесів та аварійного відновлення (НБПАВ), створення незмінних і сегментованих резервних копій, стратегії стримування компрометації ідентичностей і випробування для відновлення операційної діяльності. Крім того, потрібно вимірювати не лише час відновлення, а також інтервал між початковою компрометацією та локалізацією. Цей інтервал визначає, чи стане втручання бізнес-кризою.

Що змінюється, коли керівництво компанії розуміє економіку загроз

• Інвестиційні пріоритети зміщуються на вищій рівень. Організації, де на рівні вищого керівництва добре розуміють загрози, зазвичай спрямовують ресурси на захист ідентичностей, виявлення брокерів доступу й поглиблений аналіз загроз, який охоплює не лише джерела їх виникнення.
• Стійкість стає стратегічною здатністю, а не одним із завдань для дотримання вимог. Планування неперервності бізнес-процесів і аварійного відновлення, створення незмінних резервних копій і випробування для відновлення операційної діяльності перестають бути контрольними пунктами для перевірки й перетворюються на конкурентні переваги. Найшвидше відновлюються організації, які практикуються.
• Змінюється підхід до функцій відділів ІТ-безпеки. Фахівці відділів ІТ-безпеки не лише реагують на інциденти, а стають радниками з питань стратегічних ризиків, озброєними аналітикою та мовою, які допомагають бізнесу передбачати ризики, пов’язані з кіберзагрозами, й керувати ними ще до того, як вони спричинять операційний збій.

Момент, у якому ми перебуваємо

Корпорація Майкрософт із 2020 року відстежує та публікує інформацію про екосистему "зловмисна програма з вимогою викупу як послуга".

Сьогодні вже недостатньо стратегії реагування, яка була актуальною в 2020 році. Недостатньо також розмови з керівництвом компанії, яка досі застрягла в ландшафті загроз 2020 року.

Щотижня до вересня корпорація Майкрософт у режимі реального часу складає карту ландшафту кіберзлочинності, публікує аналітичні дані про загрози, які наші аналітики спостерігають серед понад 65 фінансово мотивованих суб’єктів, що діють у скоординованій злочинній екосистемі. Програму Hot Cybercrime Summer (Гаряче літо кіберзлочинності) створено, щоб показати саме такий тип аналітики. Її перекладено мовою, зрозумілою для фахівців відділів ІТ-безпеки, і донесено до тих, хто фінансує реагування.

Слідкуйте за серією публікацій. І донесіть ці аналітичні дані до керівництва компанії під час вашої наступної розмови. Карта вже є. Питання в тому, чи використовує її ваша організація. Блоґ про Захисний комплекс Microsoft | Аналіз кіберзагроз: зловмисні програми з вимогою викупу