Риски информационной безопасности: почему чужой список угроз вам не подходит

Владелец магазина сантехники открывает статью «Топ-10 киберугроз года». Фишинг, программы-вымогатели, атаки на цепочку поставок, инсайдерские угрозы. Всё подробно, со статистикой и примерами громких взломов. Всё правда. И ни слова о том, что из этого касается его двенадцати сотрудников, склада и 1С.

Дальше одно из двух. Либо владелец решает, что это написано про банки и госкорпорации с отдельным департаментом и бюджетом, и закрывает вкладку с чистой совестью. Либо пугается и покупает то, что громче рекламируют. Через год выясняется, что деньги ушли на защиту от угрозы, которой у него не было. А положил бизнес обычный сбойный диск без резервной копии.

Причина одна. Риски информационной безопасности у каждого бизнеса свои, а список угроз для всех не работает ни для кого. Разберу, как за час составить свой.

Почему топ-10 угроз из интернета вам не подходит

Любой такой список это среднее по стране. В нём смешаны банк с миллионом клиентов, завод с промышленными контроллерами, поликлиника с картами пациентов и студия из четырёх дизайнеров, у которых вся ценность в одном облачном диске. Ценности у них разные, противники разные, а цена простоя отличается в сотни раз.

Возьмите два бизнеса на одной улице. У интернет-магазина падает сайт на два дня: заказы не идут, клиенты уходят к конкуренту, деньги считаются по чекам. У стоматологии напротив в те же два дня нет интернета: администратор берёт телефон, обзванивает записанных, все приходят. Потери копеечные.

А теперь наоборот. У магазина утекла база с адресами доставки: неприятно, но переживаемо. У стоматологии утекли карты пациентов с диагнозами. Это уже не про деньги, это про то, что люди перестанут к ней ходить, а закон наказывает за такие сведения строже всего.

Один и тот же инцидент стоит разным компаниям совершенно разных денег, и защищаться им нужно от разного, хотя продают обеим примерно одинаковый набор услуг. Список нужен свой.

Что такое модель угроз простыми словами

В нормативных документах есть термин «модель угроз». Звучит тяжело, а смысл бытовой: это письменный ответ на вопрос «от чего именно мы защищаемся» и что мы с этим делаем.

Формальная модель угроз по методике ФСТЭК обязательна для государственных систем и значимых объектов критической инфраструктуры. Там это объёмный документ с методикой расчёта. Определять угрозы обязан каждый, кто обрабатывает персональные данные в информационной системе: это часть 2 статьи 19 152-ФЗ. CRM, 1С, таблица с клиентами в облаке: всё это информационные системы, так что под норму попадает почти любая компания. Компании на двадцать человек хватит таблицы на страницу.

Относитесь к ней как к смете. Строитель не начинает работу, пока не понял, что строит, из чего и на каком грунте. Здесь так же: пока не назван список того, что вы защищаете и от кого, траты на безопасность превращаются в стрельбу вслепую.

Кстати, отсюда простой признак имитации. Если подрядчик приносит вам модель угроз, где не упомянуты ни ваша CRM, ни ваш склад, ни ваши поставщики, значит документ написан не про вас.

Три вопроса, из которых собираются ваши риски информационной безопасности

Оценка рисков информационной безопасности в корпорациях занимает недели. Для малого бизнеса метод помещается в три вопроса. Отвечать на них лучше не в одиночку, а вместе с теми, кто реально ведёт операционку и знает реальное положение дел: с бухгалтером, руководителем производства, старшим менеджером. Полчаса.

• Что у нас есть ценного? Без терминов, по-человечески: база клиентов, договоры, рецептура, сайт с приёмом заказов, 1С с зарплатами, доступ к расчётному счёту, склад с остатками.
• Кто может на это позариться и зачем? Конкурент, которому нужна ваша база. Мошенник, которому нужны деньги. Вы ему безразличны, он берёт что плохо лежит. Обиженный сотрудник, уходящий к конкуренту. Автоматический сканер, который просто перебирает сайты и находит незакрытую дыру.
• Что будет, если это пропадёт, встанет или утечёт? Здесь появляются цифры: столько-то дней простоя, столько-то выручки, штраф такой-то, потеря клиента с таким-то чеком.

Третий вопрос важнее двух первых, и его же чаще всего пропускают. Пока риск не переведён в деньги и дни, он остаётся страшилкой из новостей: непонятно, дорого это или дёшево, срочно или подождёт. Как только появилась сумма, разговор становится нормальным управленческим, тем самым, где сравнивают стоимость проблемы со стоимостью её решения и выбирают, что делать в первую очередь. Этот риск дороже защиты от него, значит закрываем. Этот дешевле, принимаем его и живём дальше.

Дальше метод на четырёх типах бизнеса. Найдите свой.

Интернет-магазин: простой и подмена реквизитов

Утро понедельника, сайт не открывается. Хостинг отвечает, что «ведутся работы». Менеджеры сидят без заказов, а контекстная реклама продолжает крутиться и списывать деньги за клики на страницу с ошибкой.

Ценное здесь: работающий сайт, база заказов, платёжный контур. Риски оказываются не те, о которых принято думать.

Первый риск вы только что видели. Считается он легко: средняя дневная выручка умножается на реалистичный срок восстановления, и получается цена в рублях, которую можно сравнить со стоимостью защиты.

Второй риск. Подмена реквизитов и письма от вашего имени. Клиент оплачивает на чужой счёт, деньги не возвращаются, а разбираться он приходит к вам, потому что письмо пришло от вашего имени и с вашим логотипом. Платить репутацией всё равно вам. Это уже социальная инженерия. Работают с людьми. Системы тут ни при чём.

Третий риск. Данные покупателей: тысяча оформленных заказов это уже тысяча человек, чьи адреса и телефоны лежат у вас в базе. Порог, с которого закон начинает считать утечку серьёзной, ниже, чем принято думать, и обычный магазин его давно перешагнул.

Клиника и всё, что связано со здоровьем

Здесь ценность не в сайте и не в непрерывности, а в самих записях.

Карта пациента это не строчка в базе, а сведения, которые человек не хотел бы видеть у работодателя или соседей. Поэтому утечка здесь бьёт дважды: по людям, которые перестанут к вам ходить, и по кошельку, потому что сведения о здоровье закон относит к специальным категориям и наказывает за их утечку строже обычных данных.

Отсюда и приоритет. На первое место выходит порядок доступа к медицинской системе, а защита сайта отходит на второй план, и проверять надо приземлённые вещи: кто из администраторов видит карты пациентов, остаются ли доступы у уволенных сотрудников, куда выгружаются отчёты и не лежит ли эта выгрузка в общей папке, открытой всему офису. Большинство утечек в медицине это не хакеры. Это выгрузка, которую кто-то унёс на флешке.

Тот же принцип работает в фитнесе, ветклиниках и салонах, где хранят справки: чем чувствительнее информация, тем меньше людей должны иметь к ней доступ. Формальную сторону вопроса разобрал в статье про оператора персональных данных.

Производство и логистика: шифровальщик и остановка

Мастер приходит в семь утра, включает компьютер в цеху, а вместо привычного окна видит текст: файлы зашифрованы, платите. Линия стоит. Отгрузка на сегодня сорвана, завтрашняя под вопросом.

На производстве цена измеряется в часах простоя. Количество утёкших записей тут вторично, и это меняет всю логику защиты. Встала линия: сорваны отгрузки, штрафы по договорам, простой людей.

Это программа-вымогатель. Заражение приходит буднично: через письмо в бухгалтерии или через удалённый доступ подрядчика, который обслуживает оборудование и держит канал в вашу сеть открытым круглосуточно, потому что так удобнее.

И здесь работает то же правило, что в магазине, только цена выше: спасают резервные копии, отделённые от основной сети. Копия, лежащая на том же сервере, шифруется вместе с оригиналом. Это самая частая ошибка. Проверяется она одним вопросом к системному администратору: «когда мы последний раз разворачивали бэкап и сколько это заняло?» Если ответа нет, копии у вас, скорее всего, тоже нет.

Услуги, B2B и кадровые: чужие данные и своя база

Ведущий менеджер пишет заявление и уходит к конкуренту. Через месяц ваши клиенты начинают получать от него предложения. Он забрал не бумаги, а выгрузку контактов с условиями сделок, сделанную за неделю до увольнения.

Четвёртый сценарий про компании, у которых главный актив лежит в головах сотрудников и в паре таблиц: агентства, кадровые, консалтинг, подрядчики на аутсорсе.

Рисков тут два. Первый: вы обрабатываете данные чужих людей, кандидатов и клиентов заказчика. Второй: у вас есть своя коммерческая ценность, то есть база контактов, условия сделок, методики.

И вот тут ловушка. Взыскать с ушедшего менеджера ущерб чаще всего не получается: в компании не введён режим коммерческой тайны. По статье 10 98-ФЗ он считается установленным только после пяти мер: перечень сведений, порядок обращения, учёт допущенных лиц, условие в трудовых договорах, гриф на носителях.

И отдельно про подрядчиков. Передача обработки на сторону не переносит ответственность: по части 5 статьи 6 152-ФЗ перед человеком отвечает оператор, то есть вы. Подрядчик отвечает уже перед вами по договору. Облачная бухгалтерия и колл-центр риск не снимают. Они добавляют ещё одну дверь.

Шпаргалка: где чей риск

Сводка по четырём типам бизнеса. Найдите строку, похожую на вашу, и начните с последней колонки.

Как посчитать цену своего риска

Чтобы сравнивать риски информационной безопасности между собой, нужны цифры. Считать надо не абстрактный ущерб, а три понятные величины.

• Простой. Средняя выручка в день умножается на срок восстановления. Срок берите не из обещаний подрядчика, а из последнего реального случая, когда у вас что-то падало.
• Восстановление. Работа людей, переустановка, ввод данных заново с бумаг. Дороже, чем кажется: бухгалтерия может неделю сводить остатки руками.
• Потерянные клиенты. Сколько заказчиков уйдёт и не вернётся. Для B2B с длинным циклом это тяжелее любого штрафа: один потерянный контракт больше годового бюджета на защиту.

Дальше арифметика. Магазин с выручкой 300 тысяч в день, лежащий трое суток, теряет около миллиона плюс рекламный бюджет в никуда. Резервная копия и запасной канал стоят несопоставимо меньше.

Другой расклад. Студия из пяти человек простой переживёт. Зато уход арт-директора с базой контактов закроет её насовсем, и деньги идут не в резервные копии, а в разграничение доступов.

Штрафы за утечку персональных данных в этой арифметике тоже участвуют: суммы начинаются от трёх миллионов рублей и считаются по числу пострадавших людей, а подробный разбор с частями статьи я вынес в отдельный материал про штрафы. Но ставить их в центр картины неправильно. Штраф приходит, если данные утекли и об этом узнали. Простой, потерянные клиенты и уход человека с базой случаются гораздо чаще, а стоят иногда дороже.

С чего начать: три шага на ближайшую неделю

Список бесполезен, если после него ничего не происходит. Минимальная программа без бюджета.

• Составьте перечень того, что у вас есть. Выпишите, где лежат данные клиентов, кто из сотрудников имеет к ним доступ, какие подрядчики их видят и через какие сервисы эти данные проходят по дороге. Обычно на этом шаге обнаруживается пара забытых выгрузок в общей папке и как минимум один уволенный сотрудник, у которого до сих пор работает доступ к рабочей почте или к базе.
• Уберите лишнее. Данные, у которых больше нет цели хранения, дают чистый риск без пользы, и базовые меры защиты начинаются именно с сокращения того, что вы держите. Как оформить их удаление документально, разобрал в статье про уничтожение персональных данных.
• Проверьте резервные копии на практике. Проверяется не галочка в настройках. Разверните копию и засеките время. Это единственная мера, которая срабатывает почти во всех сценариях сразу.

Когда эти три шага сделаны, становится видно, что осталось. Дальше можно спокойно смотреть, что из этого закрывается организационно, а что требует денег. И если придёт проверка, вам будет чем показать системную работу. Как это выглядит со стороны регулятора, описал в разборе проверки Роскомнадзора.

Работа с рисками информационной безопасности начинается со списка. Покупки идут потом. Час на три вопроса, и вы понимаете, за что платите и почему.

Частые вопросы

Подрядчик как отдельная дверь в вашу систему разобран в статье про поручение обработки персональных данных.