Сергей Петренко - Политики безопасности компании при работе в Интернет

Исследование CSI/FBI 2004 года затронуло ряд новых проблем безопасности, в частности аутсорсинга работ по защите информации (подразумевающего передачу части функций по защите информации сторонним организациям), а также страхования остаточных информационных рисков предприятия.

Текущее исследование показало, что аутсорсинг работ по защите информации не является столь широко распространенным явлением, как аутсорсинг работ в области традиционных информационных технологий. Лишь 12 % респондентов указали, что их организации передают сторонним организациям более 20 % функций безопасности (см. рис. П1.9). При этом 63 % респондентов указали, что их организации в настоящее время не занимаются и не планируют заниматься аутсорсингом функций безопасности. Достаточно интересно будет проследить динамику развития аутсорсинга функций безопасности в будущих исследованиях CSI/FBI.

Как свидетельствует рис, П1.10, практика внешнего страхования остаточных информационных рисков также находится на этапе становления. Постепенно предприятия начинают понимать, что зрелость современных технологий защиты информации, таких, как антивирусная защита, защита от НСД, межсетевое экранирование и VPN, обнаружение вторжений и аномалий и пр., не могут полностью устранить информационные риски предприятия. Поэтому обращение к услугам внешнего страхования для покрытия остаточных информационных рисков и снижения прогнозируемых финансовых потерь выглядит вполне естественным шагом. Пока страховые компании не располагают представительными статистическими данными по инцидентам безопасности для обоснованного определения тарифов страхования информационных рисков, но уже пытаются предлагать страховые полисы. В целом же исследование 2004 года позволило определить (см. рис. П1.10), что только менее 30 % респондентов воспользовались услугами внешнего страхования. В дальнейшем также интересно проследить динамику обращения предприятий к услугам внешнего страхования информационных рисков.

Характеристика инцидентов безопасности. Исследование 2004 года показало (см. рис. П1.11) сохранение тенденции 2000 года сокращения общей частоты успешных атак на информационные системы. Доля респондентов, ответивших, что на предприятии столкнулись с несанкционированным использованием компьютерных систем, за последние 12 месяцев сократилась до 53 % (это наименьший процент с 1999 года). Доля респондентов, ответивших, что случаев несанкционированного использования компьютерных систем не было, увеличилась до 35 %, в то время как доля респондентов, которым не известно, имело ли место такое несанкционированное использование, снизилась до 11 %.

Таблица П1.1. Характеристика инцидентов безопасности в 2004 году

Приведенная здесь таблица наглядно демонстрирует, что количество инцидентов безопасности постепенно снижается. При этом угрозы безопасности равномерно распределились на внешние и внутренние. Эта таблица также показывает, что доля респондентов, фиксирующих за год от 6 до 10 инцидентов безопасности, судя по всему, стабилизировалась на уровне 20 %, в то время как доля респондентов, фиксирующих количество инцидентов безопасности за год от одного до пяти, увеличилась до 47 %. В 2004 году впервые зафиксирован самый низкий процент (12 %) респондентов, оценивающих, что их организация столкнулась за год более чем с десятью инцидентами безопасности.

Рис. П1.12. показывает, что общее количество атак на компьютерные системы или выявленное злоупотребление этими системами медленно, но вполне устойчиво уменьшается.

Как видно на рис. П1.13, на большинстве предприятий в 2004 году столкнулись с происшествиями на Web-сайтах. При этом 5 % респондентов сообщили о том, что их организации столкнулись более чем с десятью происшествиями на Web-сайтах. Подавляющее большинство (89 %) респондентов указали, что в течение года их организации столкнулись с происшествиями на Web-сайтах числом от одного до пяти.