Кибербезопасность и технологические риски государственного сектора

Почему это важно: кибербезопасность в государственном секторе

Когда системы больницы шифруются злоумышленником, врачи не видят истории назначений лекарств, машины скорой помощи направляются в другие места, операции отменяются. Когда системы управления водоканалом оказываются скомпрометированы, под угрозой общественная ценность не в виде сбоя сервера, а в виде безопасности питьевой воды. Когда взламывается база данных ведомства по выплате пособий, наиболее уязвимыми нередко оказываются те, кто меньше всех способен пережить последствия: задержка выплаты, украденная личность, семья, не способная доказать, кто она, государству, которое обязано её поддерживать. Компьютерная безопасность, обычно называемая кибербезопасностью, — практика защиты компьютерных систем, сетей и данных от несанкционированного доступа, нарушения работы или повреждения. В государственных учреждениях эта практика находится прямо на пути между государством и гражданином, которому оно служит.

Поэтому в этой теме киберриск рассматривается как вопрос общественной ценности, а не только как технический. Легитимность и поддержка зависят от того, верят ли граждане, что учреждениям, хранящим их данные и обеспечивающим работу основных услуг, можно доверять в том, что и то и другое будет в безопасности (см. тему 1.2 — Стратегический треугольник: легитимность, ценность и потенциал). Одна широко освещённая утечка может нанести этому доверию долговременный ущерб — так же, как неверно обработанная чрезвычайная ситуация, — потому что граждане оценивают учреждения не меньше по тому, как те ведут себя под атакой, чем по повседневной работе (см. тему 3.12 — Управление кризисами, чрезвычайными ситуациями и устойчивостью, где киберинциденты рассматриваются как одна из категорий в рамках более широкой дисциплины устойчивости). Кибербезопасность неотделима и от управления данными: учреждение не может защитить то, о наличии чего не знает, а интероперабельность и открытость, создающие общественную ценность из данных, одновременно расширяют поверхность, которую может использовать злоумышленник (см. тему 5.4 — Данные государственного сектора, интероперабельность и открытые данные).

Проблема ресурсов остро стоит именно в государственном и социальном секторах. Крупные национальные ведомства всё чаще располагают специальными командами безопасности и корпоративными бюджетами; водоканал небольшого города, региональный больничный трест и местная некоммерческая организация, содержащая приют для жертв домашнего насилия, как правило, нет, хотя хранят данные, чувствительность которых сопоставима с данными любого банка или превосходит её. Злоумышленникам это известно. Государственные органы с недостаточными ресурсами в этой теме — не периферийный случай, а почти её центр: типичное государственное учреждение, сталкивающееся сегодня с этим риском, — это не национальное министерство, а небольшой местный орган, региональное коммунальное предприятие или благотворительная организация с несколькими сотрудниками по информационным технологиям и вовсе без специалиста по безопасности.

Наконец, это живая и усугубляющаяся проблема, а не гипотетическая. Кампании вымогательского программного обеспечения всё чаще нацелены на местные органы власти, больницы, школы и организации социального сектора именно потому, что у них сочетаются чувствительные данные, основные услуги, низкая терпимость к простоям и сравнительно слабая защита, — сочетание, делающее их более склонными платить и менее способными предотвратить атаку с самого начала. Для организаций этого класса рассматривать кибербезопасность как узкоспециальное дополнение, а не как обязательство общественной ценности на уровне управления, — почти приглашение к атаке.

Основные понятия

Критическая инфраструктура — совокупность систем и активов (энергетика, водоснабжение, транспорт, здравоохранение, финансы, связь), настолько необходимых, что их выход из строя или уничтожение имели бы разрушительные последствия для безопасности, экономики или общественного доверия. Защита критической инфраструктуры — дисциплина обеспечения безопасности этих систем от физических и цифровых угроз в равной мере; она важна здесь, потому что многие из наиболее значимых киберинцидентов в государственном секторе — это не атаки на абстрактные данные, а атаки на операционные технологии, поддерживающие работу физической инфраструктуры, в отличие от информационных технологий, ведущих учёт и обрабатывающих операции.

Субъект угрозы (threat actor) — любое лицо, группа или государство, которые могут попытаться скомпрометировать систему; в государственном секторе это и преступные группы с финансовой мотивацией, и спонсируемые государствами субъекты, преследующие цели шпионажа или дестабилизации, и одно и то же учреждение может сталкиваться с обоими одновременно, при совершенно разных их целях. Вымогательское программное обеспечение (ransomware) — вредоносная программа, шифрующая данные или системы организации и требующая выкуп за их освобождение; оно стало основной угрозой для государственных органов именно потому, что основные услуги не терпят длительных простоев, а это усиливает давление в пользу выплаты. Фишинг — форма социальной инженерии, при которой злоумышленники вводят сотрудников в заблуждение, чтобы получить учётные данные или установить вредоносную программу, как правило, с помощью обманного электронного письма; он остаётся самым распространённым способом первоначального проникновения, поскольку нацелен на людей, а не на технологии.

Утечка данных — несанкционированный доступ к информации, её раскрытие или потеря: в результате внешней атаки, действий инсайдера или простой человеческой ошибки, например неправильно настроенной базы данных, оставленной открытой в интернете. Атака на цепочку поставок компрометирует организацию косвенно, через менее защищённого поставщика, разработчика программного обеспечения или поставщика управляемых услуг, которому организация-цель доверяет; такие атаки особенно опасны для государственного сектора, потому что многие государственные органы пользуются услугами одних и тех же немногих поставщиков программного обеспечения, а значит, компрометация одного поставщика может одновременно каскадом перейти на сотни учреждений.

Кибергигиена — совокупность рутинных практик (своевременное обновление программного обеспечения, надёжная аутентификация, ограничение того, кто к чему имеет доступ, резервное копирование данных и проверка восстановления из этих копий), предотвращающих подавляющее большинство успешных атак без необходимости в экзотических средствах. Большинство утечек использует известные необновлённые уязвимости или слабые учётные данные, а не новые приёмы, поэтому разрыв между фактической кибергигиеной организации и её заявленной политикой обычно лучше предсказывает её риск, чем изощрённость угроз, названных в её реестре рисков.

Архитектура нулевого доверия (zero trust) — принцип проектирования безопасности, согласно которому ни один пользователь или устройство не должны пользоваться доверием по умолчанию, даже внутри собственной сети организации, а каждый запрос на доступ должен проверяться независимо от того, откуда он исходит. Она стала влиятельной в руководствах для государственного сектора, потому что лучше, чем прежняя модель, доверявшая всему, что уже находится внутри периметра, соответствует тому, как на самом деле происходит современная государственная работа: сотрудники, подрядчики и граждане обращаются к услугам с множества устройств и из разных мест.

Управление инцидентами компьютерной безопасности, обычно называемое реагированием на инциденты, — организованный процесс обнаружения инцидента безопасности, его локализации, устранения и восстановления после него с последующим разбором того, что позволило ему произойти. Обязанность раскрытия информации — установленная законом или регулированием обязанность уведомлять пострадавших лиц, регуляторов или общественность о компрометации персональных данных или критически важных услуг в определённый срок и по определённому стандарту, исходя из того, что граждане и надзорные органы вправе знать, когда их данные или основные услуги оказались под угрозой, и что своевременное раскрытие позволяет людям защитить себя.

Лучшие практики

1. Рассматривайте кибербезопасность как ответственность руководящего органа, а не делегированную техническую функцию. Советы, советы директоров и исполнительные команды должны регулярно получать доклады о киберриске на понятном языке и непосредственно утверждать бюджет на него, а не оставлять его для согласования внутри более широкой статьи расходов на информационные технологии, где его проще всего сократить.
2. Составьте перечень того, чем вы располагаете и что от этого зависит, прежде чем решать, как это защищать. Организация не может обезопасить данные или системы, которые не учтены; актуальный перечень активов и данных, сопоставленный с работой по интероперабельности и управлению данными, рассмотренной в другом месте (см. тему 5.4 — Данные государственного сектора, интероперабельность и открытые данные), — предпосылка для каждой другой практики в этом списке.
3. Применяйте основы везде, прежде чем тратиться на что-либо передовое. Управление обновлениями, многофакторная аутентификация, проверенные резервные копии и контроль доступа по принципу наименьших привилегий останавливают подавляющее большинство реальных атак; государственный орган, не обеспечивший их, не должен отдавать приоритет подпискам на сведения об угрозах или специально разработанным средствам мониторинга.
4. Принимайте признанную систему рекомендаций, а не изобретайте собственную. Такие системы, как Cybersecurity Framework Национального института стандартов и технологий США, дают общий словарь и структуру — выявление, защита, обнаружение, реагирование, восстановление, — которую небольшая организация может принять в упрощённом виде, а крупная — в полном, не изобретая заново базовую классификацию.
5. Объединяйте ресурсы малых организаций вместо того, чтобы каждая закупала защиту в одиночку. Общая служба центра операций безопасности, региональный пул реагирования на киберинциденты или отраслевая рамка закупок могут дать группе небольших местных органов или некоммерческих организаций защиту, которую ни одна из них не могла бы позволить себе самостоятельно, — самый прямой ответ на проблему нехватки ресурсов, лежащую в центре этой темы.
6. Напишите план реагирования на инциденты до инцидента и отрабатывайте его. План, впервые составленный во время реальной атаки, — это плохо составленный план, написанный в панике людьми, ни разу не проверявшими, работает ли он; план, отрабатываемый хотя бы раз в год, превращает хаотичный первый час в отрепетированную последовательность известных шагов (о более широкой дисциплине, на которую это опирается, см. тему 3.12 — Управление кризисами, чрезвычайными ситуациями и устойчивостью).
7. Определите политику раскрытия информации и выплаты заранее, а не во время инцидента. Станет ли организация рассматривать выплату выкупа, у кого есть полномочия принять такое решение и как и когда будут уведомлены пострадавшие люди, должно быть закреплено политикой, утверждённой советом, а не импровизироваться под давлением реального требования вымогателя.
8. Сегментируйте сети, чтобы компрометация одного участка не стала компрометацией всех. Отделение операционных технологий, управляющих физической инфраструктурой, от обычных офисных информационных технологий и отделение высокочувствительных систем от менее чувствительных ограничивает то, как далеко может продвинуться злоумышленник, проникший через одно слабое место.
9. Управляйте рисками третьих сторон и цепочки поставок так же строго, как внутренними. Требуйте гарантий безопасности, оговорок о праве аудита и обязанностей уведомления об инцидентах в контрактах с поставщиками программного обеспечения и поставщиками управляемых услуг, поскольку растущая доля крупных инцидентов в государственном секторе исходит от доверенного поставщика, а не от прямой атаки.
10. Вкладывайтесь в людей, а не только в инструменты. Регулярное реалистичное обучение, включая учебные фишинговые рассылки, измеримо снижает число успешных атак социальной инженерии, а удержание даже одного-двух квалифицированных специалистов по безопасности в небольшой организации обычно стоит больше, чем равные по объёму траты на дополнительные лицензии на программное обеспечение.
11. Сообщайте об инцидентах честно и используйте предотвращённые инциденты как бесплатные уроки. Культура, наказывающая сотрудников за сообщение о подозреваемой утечке, гарантирует, что о следующей сообщат поздно или не сообщат вовсе; быстрее всего совершенствуются те организации, которые рассматривают каждый предотвращённый инцидент как материал для обучения, а не как повод искать виноватых.
12. Закладывайте киберустойчивость в условия закупок и грантов, а не только во внутреннюю политику. Заказчики финансирования и заказывающие органы могут требовать базового уровня практики безопасности от организаций, которые они финансируют или с которыми заключают контракты, распространяя хорошую практику на более мелких исполнителей, которые в противном случае не имели бы внешнего давления, побуждающего вкладываться в безопасность (см. тему 3.7 — Государственные закупки и заказ услуг).

Вопросы для обсуждения в вашей команде

Знаем ли мы, какими данными и системами мы на самом деле располагаем и какие из них причинили бы кому-либо вред в случае компрометации? Многие организации узнают подлинный объём своих данных лишь при расследовании утечки — в худший из возможных моментов. Пройдите по основным услугам и для каждой спросите, к каким персональным или операционно чувствительным данным она обращается и что произошло бы с реальным человеком, если бы эти данные были украдены, изменены или стали недоступны. Если честный ответ — «мы не уверены», то сама эта неопределённость и есть вывод, а её устранение — первый пункт вашей повестки. Этот вопрос важнее всего для организаций, выросших за счёт поглощений, слияний или накопления унаследованных систем, где институциональная память о том, что существует, истончилась.

Если бы нас завтра поразило вымогательское программное обеспечение, смогли бы мы восстановиться из резервной копии, не платя? Ценность резервной копии не в том, что она существует, а в том, что её проверили на реальное восстановление — достаточно быстрое и из достаточно свежей версии, чтобы это имело значение. Спросите, когда резервные копии в последний раз проверялись реальным упражнением по восстановлению, а не только журналом завершения, и сколько времени заняло бы полное восстановление по сравнению с тем, как долго ваша организация может терпеть простой. Если эти цифры не совпадают, решение о ресурсах нужно принимать сейчас, а не во время инцидента. Это также повод обсудить, изолированы ли сами резервные копии от сети, до которой мог бы добраться злоумышленник, проникший в ваши основные системы.

Кто вправе решать, платим ли мы выкуп, и обсуждали ли мы это когда-либо до того, как нас об этом попросили? Это одно из самых ответственных решений, с которыми может столкнуться исполнительная команда; его нередко требуется принять в течение нескольких часов и при неполной информации о том, чем на самом деле располагает злоумышленник. Заблаговременное определение процесса, уполномоченных лиц и принципов — даже если окончательное решение всё равно будет зависеть от обстоятельств инцидента — предотвращает импровизированное решение под давлением вымогательства. Обсудите, что говорит о выплате выкупа закон вашей юрисдикции и условия ваших заказчиков финансирования и кого вам потребовалось бы уведомить.

Не представляют ли наши самые малые партнёры и поставщики для нас большего риска, чем мы сами для себя? Хорошо защищённая центральная организация всё равно может быть скомпрометирована через плохо защищённого поставщика, подрядчика или партнёра по исполнению, имеющего законный доступ к её системам или данным. Составьте карту третьих сторон, которые могут достичь ваших систем или хранят ваши данные, и честно оцените, какой уровень уверенности в их практиках безопасности вы действительно имеете и какой лишь предполагаете. Решите, какой минимальный стандарт вы будете требовать от них впредь и как будете это проверять, а не просто запрашивать письменное заверение.

Узнали бы мы, что нас взломали, и как быстро? Одни из самых разрушительных инцидентов — не те, что происходят быстро, а те, что остаются необнаруженными месяцами, пока злоумышленник тихо исследует сеть, повышает привилегии и выводит данные. Обсудите, как вы на самом деле обнаружили бы необычную активность сегодня, кто за этим следит и работает ли такой мониторинг вне рабочих часов, поскольку многие атаки намеренно запускаются ночью или в праздничные выходные, когда реагирование наиболее медленно. Если обнаружение целиком зависит от того, что гражданин или организация-партнёр сообщит вам о неполадке, это критический пробел.

Достаточно ли хорошо наш совет или руководящий орган понимает этот риск, чтобы им управлять, или мы тихо передали это суждение команде информационных технологий? Решения о киберрисках включают реальные компромиссы между затратами, непрерывностью услуг и защитой граждан, которые по праву относятся к ведению руководящего органа, а не являются делегированным техническим вопросом, который надо одобрить не вникая. Обсудите, как о киберриске сейчас докладывается вашему совету, изложено ли это языком, на основании которого неспециалист реально может действовать, и решается ли вопрос бюджета с той же тщательностью, что и для любого другого крупного риска. Если ваш руководящий орган сейчас не смог бы своими словами объяснить три главных киберриска вашей организации, этот пробел нужно устранить первым.

На практике: пример общественной ценности

Транспортное управление среднего региона — вымышленное, иллюстрирующее закономерность, а не сообщающее о какой-либо реальной организации — эксплуатировало стареющие системы составления расписаний и приёма платежей, которые десять лет латали по частям, а не модернизировали. Его команда по информационным технологиям состояла из трёх человек, отвечавших за всё — от заявок службы поддержки до сетевой безопасности, а у кибербезопасности никогда не было собственной статьи бюджета: она жила внутри общей статьи «обслуживание систем», которая в реальном выражении годами не росла.

Злоумышленник получил доступ через фишинговое письмо, отправленное сотруднику по финансам, с поддельным счётом от поставщика, которым управление действительно пользовалось. Проникнув внутрь, он шесть недель незаметно перемещался по сети, а затем развернул вымогательское программное обеспечение, зашифровавшее систему расписаний, платформу приёма платы за проезд и резервные копии управления, которые никогда не были изолированы от основной сети. Автобусы в первый день продолжали ходить благодаря тому, что водители помнили свои маршруты, но плату за проезд нельзя было собирать электронно, табло с информацией в реальном времени погасли, а финансовые системы управления оказались непригодны для выплаты заработной платы.

Исполнительная команда столкнулась с решением о выкупе без заранее согласованной политики: никто заранее не решил, у кого есть полномочия одобрить платёж, какова правовая позиция и что говорить пассажирам. Восстановление из резервной копии было невозможно, поскольку копии были зашифрованы вместе со всем остальным. После девяти дней сбоев, частичного восстановления обслуживания и платежа, который совет управления впоследствии назвал наименее плохим из доступных на тот момент вариантов, управление заказало независимую проверку.

Выводы проверки были неэффектными и полностью соответствовали закономерности, описанной в этой теме: отсутствие многофакторной аутентификации в финансовых системах, отсутствие сегментации сети между офисными системами и платёжной инфраструктурой, отсутствие проверенного восстановления из резервных копий более двух лет и полное отсутствие видимости киберриска на уровне совета до инцидента. Ответ управления был столь же неэффектным — поэтапный план устранения основных недостатков, совместное соглашение о мониторинге безопасности с двумя соседними транспортными управлениями для распределения расходов на специализированное покрытие, недоступное каждому из них по отдельности, и постоянный пункт повестки совета о киберриске. Ничто из этого не было дорогим по меркам крупной программы в области информационных технологий; всё это годами не выполнялось, потому что никому никогда чётко не поручали настаивать на этом.

Четыре секторальные перспективы

Местное самоуправление

Местные органы находятся в неудобной точке пересечения: они хранят крайне чувствительные данные — записи социального ухода, сведения о жилье и пособиях, избирательные списки — и обеспечивают услуги, без которых граждане не могут легко обойтись, но, как правило, располагают наименьшими бюджетами на безопасность и наименьшим числом специалистов среди всех уровней власти. Крупное национальное министерство может создать собственный центр операций безопасности; небольшой районный совет, как правило, не может, поэтому общие службы, региональное объединение ресурсов и национальные программы поддержки — практический путь к достаточной защите, а не факультативное дополнение. Местные избранные должностные лица также нередко хуже всех на любом уровне власти подготовлены к тому, чтобы критически оценить технический доклад о рисках, и потому понятная отчётность перед избранными членами — отдельная управленческая задача на этом уровне.

Национальное правительство

Национальные правительства, как правило, располагают ресурсами для создания специализированных агентств кибербезопасности и национальных рамок — такие органы, как Национальный центр кибербезопасности Великобритании (National Cyber Security Centre) или Агентство по кибербезопасности и безопасности инфраструктуры США (Cybersecurity and Infrastructure Security Agency), существуют, чтобы устанавливать стандарты, координировать реагирование и поддерживать менее обеспеченные ресурсами государственные органы в своей юрисдикции. Особая задача национального уровня связана не столько с базовой гигиеной, сколько с спонсируемыми государствами и высококвалифицированными субъектами угроз, взаимозависимостью критической национальной инфраструктуры между секторами и частными операторами, а также с дипломатическими и правовыми аспектами установления источника атаки и ответа на неё, которые редко возникают на местном или организационном уровне.

Социальный сектор и некоммерческие организации

Некоммерческие и неправительственные организации нередко хранят одни из самых чувствительных данных среди всех секторов — медицинские записи, записи о пострадавших от насилия или преследований, дела беженцев и лиц, ищущих убежища, — работая при этом с самыми скудными бюджетами на безопасность среди всех типов организаций, рассматриваемых в этой книге, потому что заказчики финансирования редко выделяют средства на безопасность, а условия грантов редко её требуют. Многие организации социального сектора также зависят от волонтёров и высокой текучести кадров, что затрудняет поддержание последовательного обучения по безопасности и контроля доступа по сравнению со стабильной, профессионально укомплектованной организацией; инцидент безопасности может быть для небольшой благотворительной организации вопросом существования, чего редко бывает для государственного ведомства, потому что репутационный ущерб и утрата доверия жертвователей могут просто погубить организацию (см. тему 3.8 — Управление в социальном секторе и некоммерческих организациях).

Многосторонние и международные организации

Многосторонние и международные органы действуют в юрисдикциях с разными законами о раскрытии информации, разными определениями критической инфраструктуры и разным уровнем национального киберпотенциала, что делает саму координацию отдельной проблемой: собственные системы международного органа могут быть хорошо защищены, тогда как его национальные ведомства-члены сильно различаются, а такой орган, как Организация экономического сотрудничества и развития (ОЭСР) или Агентство Европейского союза по кибербезопасности, играет в такой же мере роль в установлении стандартов и наращивании потенциала, как и оперативную. Многосторонняя перспектива — это и то место, где важнее всего трансграничное реагирование на инциденты и механизмы обмена информацией, поскольку атака, начавшаяся в инфраструктуре одной страны, может в течение нескольких часов каскадом перейти на инфраструктуру другой — быстрее, чем способно действовать большинство международных механизмов координации.

Типичные сбои и ошибки

Театр безопасности без операционного содержания. Организация принимает внушительно выглядящий документ политики, сертификат соответствия или одно дорогое средство и считает вопрос закрытым, тогда как базовая гигиена — обновления, многофакторная аутентификация, проверенные резервные копии — остаётся непоследовательной. Это стоит реальных денег ради видимости безопасности, а не самой безопасности, и нередко обнаруживается, что это был театр, лишь тогда, когда инцидент вскрывает разрыв между политикой и практикой.

Бесхозный риск. Предполагается, что кибербезопасность — чья-то чужая работа: команды по информационным технологиям, поставщика, регулятора, — и единого подотчётного владельца на уровне руководящего органа не существует. Это порождает риск, который обсуждается повсюду и решается нигде, и именно такая закономерность оставляет организации неспособными ответить на базовые вопросы о собственной уязвимости, когда их об этом спрашивают.

Недофинансирование, оправдываемое отсутствием предыдущего инцидента. Поскольку хорошо работающая программа безопасности не порождает заметных событий, когда добивается успеха, её легко лишить финансирования в напряжённом бюджетном цикле в пользу того, что даёт видимый результат, а отсутствие утечки до сих пор принимают за свидетельство достаточной защиты, а не за свидетельство того, что защита ещё не проверялась. Это отражает ту же бюджетную логику, которая подрывает инвестиции в устойчивость в целом (см. тему 3.12 — Управление кризисами, чрезвычайными ситуациями и устойчивостью).

Унаследованные системы, эксплуатируемые за пределами поддерживаемого срока службы. Государственные органы часто продолжают эксплуатировать программное или аппаратное обеспечение долго после того, как поставщик перестал выпускать для него обновления безопасности, потому что замена дорога, разрушительна или политически непопулярна, а система «всё ещё работает». Необновляемая неподдерживаемая система — это не неудобство унаследованного наследия, а открытая дверь, в которую злоумышленнику ничего не стоит войти.

Культура реагирования, начинающаяся с поиска виноватых. Когда сотрудников, сообщивших о подозреваемой утечке или ошибке, наказывают вместо того, чтобы поддержать, о будущих инцидентах сообщают поздно, преуменьшая их значение, или не сообщают вовсе, и организация теряет сигнал раннего предупреждения, который даёт своевременное сообщение. Этот сбой усугубляет все остальные в этом списке, потому что ни одно из перечисленных выше исправлений не работает, если организация не способна честно увидеть собственные проблемы.

Модель зрелости

Контрольный перечень

• Названное лицо или комитет на уровне руководящего органа отвечает за киберриск и регулярно докладывает о нём понятным языком.
• Существует актуальный перечень данных и систем организации и тех из них, которые наиболее чувствительны или наиболее критичны для услуги.
• Многофакторная аутентификация обязательна во всех системах, хранящих чувствительные данные или управляющих критически важными услугами.
• Резервные копии создаются регулярно, хранятся изолированно от основной сети, а восстановление проверялось в течение последних двенадцати месяцев.
• Программное обеспечение и системы обновляются по определённому графику, а для любой системы, которую больше нельзя обновлять, есть документированный план замены или изоляции.
• Существует письменный план реагирования на инциденты, в нём указано, у кого есть полномочия принимать ключевые решения, и он был отработан реалистичным учением в течение последнего года.
• Существует утверждённая советом политика о выплате выкупа и о том, как и когда будут уведомлены пострадавшие люди, регуляторы и общественность.
• Контракты с поставщиками программного обеспечения и поставщиками управляемых услуг включают гарантии безопасности и обязанности уведомления об инцидентах.
• Сотрудники регулярно проходят реалистичное обучение по безопасности, включая учебные фишинговые рассылки.
• Сообщение о подозреваемом инциденте или предотвращённом инциденте рассматривается как ценная информация, а не как основание для поиска виноватых.
• Изучены возможности совместных или объединённых механизмов безопасности с равными по статусу организациями схожего размера и бюджета.
• Киберриск прямо учтён в более широком планировании на случай кризиса и устойчивости организации, а не в отдельном, не связанном с ним плане.

Ключевые источники

Эта тема опирается на Cybersecurity Framework Национального института стандартов и технологий США как ведущую структурированную систему рекомендаций для организации практики кибербезопасности; на опубликованную миссию Агентства Европейского союза по кибербезопасности и его руководство по достижению общего уровня кибербезопасности в Европейском союзе; на работу Организации экономического сотрудничества и развития в области политики цифровой безопасности, рассматривающую цифровую безопасность как вопрос управления экономическими и социальными рисками, а не чисто технический; а также на оперативные руководства, публикуемые национальными агентствами кибербезопасности, такими как Национальный центр кибербезопасности Великобритании и Агентство по кибербезопасности и безопасности инфраструктуры США, оба из которых предоставляют бесплатные руководства, специально ориентированные на государственные органы с недостаточными ресурсами.

Ссылки

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Centre (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about