Внимание итальянских компаний к ИТ-безопасности растет в очень сложный год на этом фронте, на фоне раскрытия нарушений 500 миллионов учетных записей Yahoo и предполагаемых действий кибершпионажа во время президентских выборов в США. В 2016 году рынок решений для информационной безопасности в Италии достиг 2016 миллионов евро в 972 году, до 5% по сравнению с 2015 годом с расходы сосредоточены в крупных компаниях (74% от общего числа) делятся на технологии (28%), услуги по интеграции ИТ и консультации (29%), программное обеспечение (28%) и управляемые услуги (15%).
Об этом заявила Обсерватория информационной безопасности и конфиденциальности Школы менеджмента Миланского политехнического института, представленная в четверг утром на конференции "Киберпреступность: невидимая угроза, которая меняет мир». Согласно исследованию, хотя осведомленность растет, перед лицом новых проблем, связанных с развитием таких технологий, как облачные технологии, большие данные, Интернет вещей, мобильные и социальные сети, долгосрочный подход к управлению безопасностью и конфиденциальностью еще не получила широкого распространения с четкой структурой управления: только 39% крупных компаний имеют инвестиционный план с многолетним горизонтом и только 46% формально имеют фигуру директора по информационной безопасности, управленческого профиля, отвечающего за безопасность.
«Киберпреступность — это конкретная, хотя часто невидимая угроза, способная влиять на мир, о чем свидетельствуют ежедневные новостные сюжеты, для борьбы с которыми требуются новые инструменты и модели, — говорит Габриэле Фаджиоли, научный директор Центра информационной безопасности и Конфиденциальность -. Новые тенденции цифровых инноваций, такие как облачные технологии, большие данные, Интернет вещей, мобильные устройства и социальные сети, требуют новых ответов, которые больше нельзя откладывать. Новый европейский Регламент о защите персональных данных создает некоторые предварительные условия, необходимые для достижения эталонной основы, которую, однако, необходимо понять и внедрить. Путь управления информационной безопасностью и конфиденциальностью требует от компаний внедрения подходящих моделей управления, планирования и решений, чтобы справиться с трансформацией».
Как объясняет Алессандро Пива, директор Обсерватории информационной безопасности и конфиденциальности: «Если мы проанализируем данные исследований более глубоко, то на самом деле осознаем, насколько крупные итальянские организации все еще отстают: более половины еще не имеют систематизированной управленческой фигуры для ИТ. управление безопасностью, подчеркнув важный пробел по сравнению с тем, что происходит в других странах. Кроме того, наблюдается задержка в понимании влияния тенденций цифровых инноваций, таких как облачные технологии, Интернет вещей, большие данные, мобильные устройства, на управление безопасностью. В нынешних условиях необходимы более зрелые и сквозные модели управления, обеспечивающие правильное сочетание навыков для управления все более распространенными технологиями. И необходимо, с одной стороны, разрабатывать системы, способные предсказывать возможные атаки, с другой — разрабатывать программы информирования пользователей, чтобы способствовать ответственному поведению».
Проекты
Проекты безопасности итальянских компаний в области безопасности в основном ориентированы на выявление рисков и защиту от атак, тогда как поддержка обнаружения событий с последующим реагированием и восстановлением еще незрела. На самом деле, самые популярные проекты среди крупных компаний — это тесты на проникновение и безопасность данных (51%), сетевая безопасность (48%), безопасность приложений (45%), безопасность конечных точек (43%), безопасность информации и управление событиями (SIEM). (38%), безопасность обмена сообщениями (38%), веб-безопасность (36%), управление и администрирование удостоверений (IGA) (32%), анализ угроз (20%), безопасность транзакций (19%), безопасность социальных сетей (16%). %).
С другой стороны, наиболее распространенные политики касаются резервного копирования (89%), управления логическим доступом (84%), регулирования политик ИТ-безопасности (80%), управления и использования устройств компании (72%). управление жизненным циклом данных (58%), использование социальных сетей и Интернета (57%), действия, которые должны быть реализованы в ответ на ИТ-инциденты (52%), политики классификации данных (52%) и их шифрование (39%). ).
Мобильный телефон
Почти все итальянские компании (97%) предоставляют своим сотрудникам мобильные устройства, включая ноутбуки, смартфоны и планшеты, а также мобильные бизнес-приложения, с рисками не только возможной кражи или потери мобильных устройств, но и возможных целевых кибератак. 74% итальянских компаний имеют конкретные инициативы по снижению рисков, связанных с Mobile Security, которые касаются как внедрения определенных технологических платформ и инструментов, таких как решения MDM (управление мобильными устройствами) для ограничения использования мобильных устройств (61%), так и стандартизированное и общепринятое определение правил, которым должны следовать пользователи устройств при доступе к бизнес-системам и данным. 27 % организаций установили правила, ограничивающие доступ к определенным приложениям и службам из сетей за пределами компании, а 61 % установили особые правила использования мобильных устройств.
облако
Основные риски для облачных сред зависят от взаимоотношений с поставщиком: самая главная угроза для 63% компаний — отсутствие контроля над операциями поставщика услуг, для 44% — столкновение с поставщиком и утечка данных, для 41 % отсутствие прозрачности в отношении договорных обязательств с поставщиком. Поэтому ясно, что компании больше не беспокоят технологические угрозы, а необходимо уделять больше внимания составлению контракта и управлению отношениями с поставщиками.
IoT
С развитием Интернета вещей увеличивается количество подключенных к сети устройств и возможных точек доступа для атаки на корпоративную информационную систему. 47 % организаций еще не предприняли никаких действий для своей защиты в этой области, 41 % оценивают возможные действия, 13 % имеют политики обеспечения безопасности при проектировании продукта (защита с помощью таких мер, как мониторинг использования учетных данных и передовые методы программирования). , 10% используют конкретные технологические решения, 9% имеют политики по сбору данных внутри корпоративного периметра и 5% по управлению данными, собираемыми смарт-объектами.
Кибер-интеллект
Киберугрозы все чаще становятся неотъемлемой частью корпоративной цифровой ткани, и избежать нарушения безопасности на 100% невозможно, поэтому наряду с традиционным подходом, основанным на защите систем, компании начинают применять логику упреждения угроз. Анализ данных, связанных с миром информационной безопасности, контролируется 57% организаций посредством формального или неформального контроля, для 8% существует контроль за пределами основной деятельности по информационной безопасности, в 35% он не обслуживается.
32% компаний не используют данные для интерпретации или прогнозирования критических проблем, а остальные 68% начали действия в этой области. Интеграция данных из различных источников (мировые данные об инцидентах, IP-адреса, журналы, подозрительные URL-адреса из пользовательских отчетов и т. д.) позволяет разрабатывать модели мониторинга угроз, способные перехватывать возможные аномалии и управлять ими до того, как ситуация действительно станет критической. В некоторых компаниях есть специальные структуры в Центрах управления безопасностью, которые анализируют и сопоставляют данные с точки зрения киберразведки.
страхование
Рынок страхования кибер-рисков в Италии все еще незрелый. Покрытие кибер-рисков направлено на покрытие убытков, причиненных непосредственно абоненту или третьим лицам, от расследования и управления событиями до управления предварительными расследованиями, до покрытия ущерба. Только 15% компаний уже имеют активное страховое покрытие, хотя только чуть более чем в половине случаев (8%) это полисы, специально ориентированные на кибер-риск, а в остальных случаях это общее покрытие, которое предлагает его в качестве условия. . 29% оценивают страховое покрытие, а 32% считают рынок киберстрахования недостаточно зрелым или не считают проблему актуальной.
Икс-Фактор
В безопасности фактор X является фундаментальным, элемент неопределенности, связанный с человеческим поведением, такие как отвлечение внимания или отсутствие осведомленности, часто используемые киберпреступниками для взлома корпоративных систем. 95% итальянских организаций уже начали конкретные действия по повышению осведомленности корпоративных пользователей. Наиболее распространенные инициативы касаются периодических сообщений, отправляемых сотрудникам по электронной почте (77%), и учебных курсов в форме аудиторных занятий или электронного обучения (66%). В 28% случаев обучение также подкрепляется точечной раздачей информационных материалов (ваучеров, буклетов, плакатов). Для 28% организаций это настоящие структурированные проекты повышения осведомленности с использованием различных инструментов и часто охватывают многолетний горизонт. Мероприятия по оценке уязвимостей также проводятся в отношении сотрудников компании (28%), например, путем отправки поддельных фишинговых писем или имитации компьютерных атак, которые служат, с одной стороны, для измерения уровня осведомленности сотрудников, а с другой - для проверки эффективности инициативы уже реализованы.
МСП
Анализ распространения решений по информационной безопасности среди примерно 800 малых и средних итальянских предприятий показывает, что 93% МСП выделили бюджет в 2016 году, хотя это не обязательно соответствует зрелому и сознательному использованию. На самом деле, основными причинами для инвестиций являются соблюдение нормативных требований (48%) и атаки, совершенные в прошлом (35%), но иногда они следуют за необходимостью реагировать на новые технологические (22%) или бизнес-потребности (31%). У большинства малых и средних предприятий есть базовые решения для обеспечения безопасности (76%), такие как антивирус и защита от спама, а 62% заявляют, что у них также есть сложные решения, такие как брандмауэры или системы обнаружения вторжений. Однако каждая четвертая организация (25%) руководствуется здравым смыслом, без определенного технологического подхода. 46% имеют четко определенные политики компании, и только 10% имеют обучающие программы, направленные на повышение осведомленности. Подход к безопасности в МСП в основном ориентирован на идентификацию (66%) и защиту (66%), гораздо меньше на обнаружение (12%) и реагирование (15%). Внимание к опросу растет по мере увеличения размера предприятия: с 11% малых предприятий до 20% средних предприятий.
МСП, похоже, недооценивают рост осведомленности о рисках среди своих сотрудников. отмечает Алессандро Пива -. Только 9% малых компаний (от 10 до 49 сотрудников) имеют специальные программы обучения для повышения осведомленности ресурсов об ИТ-рисках, в то время как актуальность действий по повышению осведомленности растет с увеличением размера компании, достигая 20% для средних и малых компаний (от 50 человек). и 99 сотрудников) и 24% для более крупных компаний (от 100 до 249 сотрудников)».
