Почему аудит не спасает от утечки данных и что мешает компаниям защищать клиентов
Что произошло
Казахстанские компании сталкиваются с нехваткой специалистов по информационной безопасности и необходимостью постоянно совершенствовать защиту от киберугроз. Об этом рассказал сооснователь международной консалтинговой группы Compliance Control Евгений Бабицкий.
Почему казахстанских специалистов приглашают за рубеж
Казахстанские эксперты по информационной безопасности востребованы за пределами страны. Их приглашают в Узбекистан, Кыргызстан и другие государства Центральной Азии, а также в регион MENA – на Ближний Восток и в Северную Африку.
"Республика Казахстан сейчас находится, в общем-то, на передовой. Это подтверждается тем, что специалистов из Казахстана приглашают в другие регионы, в Узбекистан, Кыргызстан и другие, для того чтобы они делились опытом и помогали выстраивать информационную безопасность в ближайших странах региона, а также в регионе MENA", – отметил Бабицкий.
Несмотря на международное признание, отрасль сталкивается с трудностями. Главные из них – нехватка квалифицированных кадров и необходимость быстро адаптироваться к новым технологиям.
"Мы сталкиваемся с дефицитом кадров, с необходимостью их быстро обучать, вовлекать в информационную безопасность. Мы сталкиваемся с новыми угрозами, с необходимостью очень быстро осваивать новые технологии, видеть их риски и думать над тем, как их нивелировать с минимальными временными и денежными затратами", – рассказал эксперт.
Впрочем, Бабицкий считает, что подобные трудности могут стать стимулом для развития.
"Здесь я бы назвал это не слабостью, а назвал это вызовами и возможностями. То есть то, в чём мы сейчас не сильны, мы можем исправить, стать лучше", – пояснил он.
Почему успешный аудит не гарантирует защиту данных
Аудит информационной безопасности позволяет проверить, насколько хорошо защищены системы компании.
"Здесь важно понимать, что аудит – это не волшебная таблетка. Это некий срез на определённую дату, день, месяц, в каком состоянии была инфраструктура на тот момент", – отметил Бабицкий.
После завершения аудита уровень защиты может снизиться.
"Очень часто бывает, что проблема в том, что, пройдя аудит, компания может забыть или специально перестать выполнять какие-то требования просто потому, что так удобно людям", – рассказал эксперт.
Поэтому Бабицкий рекомендует применять подход continuous compliance – непрерывный контроль соответствия требованиям. Он предполагает регулярную проверку того, как организация соблюдает правила информационной безопасности в повседневной работе.
Почему компании по-разному готовятся к кибератакам
Основатель Compliance Control Иван Твердохлебов ранее рассказывал BES.media, что регулярная оценка рисков пока не стала привычной практикой для всех организаций. Чаще ею занимаются крупные компании, в которых работают отдельные подразделения по управлению рисками.
При этом приоритеты в информационной безопасности зависят от особенностей бизнеса. Для одних организаций важнее всего предотвратить утечку конфиденциальных данных, для других – не допустить остановки информационных систем.
Поэтому меры защиты должны учитывать не только возможные угрозы, но и последствия, которые кибератака может иметь для конкретной компании.
Почему это важно для казахстанцев
Компании и государственные организации хранят персональные данные граждан, включая номера телефонов, пароли и банковские реквизиты. Если эта информация попадёт к мошенникам, её могут использовать для обмана и других противоправных действий.
