МОСКВА, 17 дек — РИА Новости. Хакерам чаще всего достаточно бюджета в 1 миллион рублей для организации успешной кибератаки на российскую компанию, говорится в докладе «Росконгресса» «Экономика информационной безопасности: логика принятия решений и роль руководителей служб ИБ в формировании бюджета», с которым ознакомилось РИА Новости.
«Компании, которые регулярно проверяют свою защиту и должны лучше понимать реальные уязвимости, дают завышенные оценки защищенности. По результатам исследования «Недопустимое событие 2025. Цифровой краш тест российского бизнеса» бюджета в 1 миллион рублей было достаточно, чтобы реализовать недопустимое событие у трех из пяти компаний, причем 67% были взломаны простыми атаками», — говорится в докладе.
Стоимость взлома складывается из квалификации хакеров, используемого инструментария, инфраструктуры, отрасли экономики, уровня зрелости систем информационной безопасности, принимаемых мер реагирования, цепочки кибератаки и времени атакующего.
Авторы доклада опросили руководителей служб информационной безопасности российских компаний и пришли к выводу, что большинство из них существенно переоценивают стоимость успешной кибератаки на их предприятие.
Так, почти половина участников исследования оценила стоимость атаки на свою компанию на максимальном уровне – выше 10 миллионов рублей.
Оказалось, что службы безопасности часто путают техническую сложность взлома со стоимостью атаки для злоумышленников. «Видя тщательно выстроенную защиту, они переоценивают экономические барьеры для атакующих, не учитывая существование специализированного рынка услуг киберпреступности и готовых инструментов», — объясняет «Росконгресс».
Адекватной оценке рисков также мешает незрелость систем управления. «Детальное понимание критических активов и угроз ведет к более реалистичным оценкам. Зрелость в управлении информационной безопасностью коррелирует не с завышением оценок, а с их точностью», – говорится в докладе.
Авторы приходят к выводу, что российскому бизнесу нужна единая методика оценки киберугроз.
«Отсутствие единой методики экономической оценки киберугроз приводит к тому, что даже опытные руководителей служб ИБ, активно проверяющие защиту, систематически переоценивают стоимость взлома. Это затрудняет обоснование инвестиций перед руководством и приводит к искажению приоритетов. Топ-менеджеры в интервью подтверждают, что экономическая оценка киберрисков остается нерешенной задачей для большинства организаций», — говорится в документе.
