«Недостаток безопасности процессоров Intel — очень серьезный факт, особенно в методе: как можно выпускать такие уязвимые продукты на рынок?». Чтобы объяснить явления киберпреступности и информационной безопасности, оставляя с момента последнего нашумевшего дела после 2017 года, когда только за первое полугодие (и только с учетом подтвержденных случаев) кибератаки в мире выросли на 8,35%, это Габриэль Фаджоли, научный руководитель Обсерватории информационной безопасности и конфиденциальности Политехнический университет Милана , президент Clusit (итальянская ассоциация по информационной безопасности) и генеральный директор P4I, консалтинговой компании группы Digital360. «Как защитить себя? Всегда загружайте доступные обновления и сообщайте нам больше. По словам Тобаги, хакеры — не непобедимые самураи».
Начнем с самого последнего случая: с «вышедших из строя» процессоров трех ИТ-гигантов, таких как Intel, Amd и Arm, которые могут подвергнуть хакерским атакам миллиарды ПК. Что на самом деле произошло?
«Во-первых, давайте сразу проясним одно: в данном случае речь шла не об атаках, а об уязвимости технологической системы. Серьезная брешь в системе безопасности затронула миллиарды единиц оборудования по всему миру, все они были произведены недавно, что подвергает риску данные компаний и частных лиц, содержащиеся в ИТ-оборудовании. Потенциально ничего не могло бы случиться, если бы в мире не было нечестных людей, но, к сожалению, это не так, и поэтому нельзя исключать важных и широко распространенных опасностей. Однако самый серьезный аспект не технологический, а методический: вывод на рынок продуктов с такими серьезными уязвимостями равносилен продаже автомобилей, которые не тормозят даже в обычный дождь. Как эта проблема могла быть упущена из виду при исследованиях, проектировании и разработке?».
Кто является наиболее уязвимыми целями и как они могут защитить себя?
«Кто-нибудь, потому что операции по киберпреступности, да ладно, вредоносных программ al фишинг которые являются наиболее распространенными, играют на большие числа. Пострадали миллиарды людей, возможно, не нацеливаясь ни на кого конкретно, в надежде, что кто-то попадется на удочку. Очевидно, что пожилые люди находятся в группе риска, но, как это ни парадоксально, и молодые люди, которые гораздо больше пользуются электронными инструментами и, несмотря на то, что они более опытны в практическом использовании, часто обращают на них мало внимания, потому что они менее склонны к недоверию и размышлениям перед действием. Совет — всегда загружать все доступные обновления, от операционной системы до браузера, а затем узнавать больше. Это тоже должно стать задачей общества: пора компьютерному образованию войти в школы на постоянной основе».
В отчете Clusit (Итальянская ассоциация информационной безопасности) подчеркивается, что риски киберпреступлений по-прежнему в основном связаны с экономическим ущербом, который они могут нанести жертвам. Каковы различные виды рисков?
«В 75% случаев киберпреступники нацеливаются на своих жертв с целью вымогательства денег. Однако лишь в небольшой степени это происходит путем вторжения в электронные платежные системы, которые сегодня становятся все более безопасными, в то время как в основном это мошенничество, совершаемое по электронной почте, игра на обмане. Например, я вспоминаю случай с нигерийской аферой, а также другие, ставшие модными в 2017 году. Поэтому я настаиваю на необходимости дополнительной информации. Затем есть киберзапугивание, повреждение имиджа, кража личных данных, кража личных данных. И шпионаж».
Здесь, в 2017 году, кибершпионаж сильно вырос, достигнув заголовков с такими делами, как Russiagate: может ли он стать новым рубежом киберпреступности?
«Трудно сказать, станет ли это новой доминирующей тенденцией. Конечно, известные случаи выросли на 126% за один год, пусть они по-прежнему численно немногочисленны из общего количества, хотя и очень важны, как тот, что в «Рашагейт». Однако я убежден, что эта практика может и дальше распространяться не только в геополитической сфере, но и в корпоративной, как инструмент недобросовестной конкуренции».
Кто обычно стоит за взломом?
«Преступные организации со всего мира, которые теперь делают это надежным и существенным источником дохода. Потом волки-одиночки и даже некоторые государства, например Россия и Китай, даже если они, естественно, это отрицают».
Возвращаясь к технологическим недостаткам, которые затем могут способствовать киберпреступности: многие обвиняют громкие имена в Силиконовой долине в слишком поверхностном отношении к этому вопросу. Соглашаться?
«Я бы не сказал, что существует абсолютное пренебрежение, но иногда кажется, что существуют несколько беззаботные подходы, даже если массовое распространение подключенного оборудования приносит проблему в дом не только громких имен в Силиконовой долине, но и всех компаний, которые создают или запрашивают реализацию продуктов и услуг в области информатики и телематики. Могли бы они сделать больше? Определенно да, но я думаю, что они будут: растет осведомленность, в том числе благодаря вниманию средств массовой информации, которое получают непрерывные случаи, которые недавно возникли».
Вместо этого данные Clusit говорят о том, что именно Европа уязвима для кибератак. Почему и как он пытается решить проблему?
«В Европе жертв больше, но это нормально, потому что некоторые страны, в том числе Италия, страдают историческим отставанием в компьютеризации по сравнению с Северной Америкой, но не только. Компьютеризация также означает компьютерную культуру, и в этом мы отстаем, даже если и предпринимаются важные шаги. Законодательство, обсуждаемое в Европейском парламенте (называемое законом о кибербезопасности), должно укрепить ENISA, Европейское агентство сетевой и информационной безопасности, и должно привести к созданию органичной системы сертификации ИТ-безопасности для продуктов и услуг. Это хороший шаг».
Это Италия?
"Становится лучше. Во-первых, возросло внимание общественности: уходящее правительство утвердило новый национальный план киберзащиты и информационной безопасности. Минимальные меры безопасности ИКТ для государственных администраций, которые AgID (Агентство цифровой Италии) приняло в последние месяцы, также работают хорошо. Я всегда считал, что государственное управление в Италии слишком фрагментировано с точки зрения организации ИТ-инфраструктуры и приложений, что, как следствие, увеличивает затраты и риски на ИТ. Вместо этого я думаю, что было бы уместно централизовать управление инфраструктурой и приложениями, чтобы обеспечить рационализацию, экономию средств и большую безопасность. На самом деле, нет никаких сомнений в том, что только игроки, которые могут рассчитывать на значительную экономию за счет масштаба, способны адекватно инвестировать: достаточно вспомнить самые важные платформы облачных вычислений в мире, такие как Dropbox. Ни один частный человек, фрилансер или даже малый и средний бизнес или крупное предприятие не могут позволить себе такие масштабные и постоянные инвестиции в безопасность. Аутсорсинг и агрегация делают системы более безопасными и эффективными. В любом случае путь правильный, даже если я опасаюсь, что ресурсы могут иссякнуть: нужны миллиарды, чтобы обезопасить ПА».
Вместо этого на корпоративном уровне?
«В верхнем сегменте, то есть среди крупнейших компаний, я считаю, что вопрос компьютерной безопасности сейчас стоит на повестке дня. С другой стороны, малые и средние предприятия отстают. Тема заключается в том, что инвестиции в ИТ-безопасность слишком малы: расходы на ИКТ (информационные и коммуникационные технологии) в Италии составили 66 миллиардов в 2016 году. Миланский политехнический институт подсчитал, что из этих 66 миллиардов на безопасность было выделено менее 1 миллиарда, т.е. 1,5 % (0,05% ВВП): слишком мало. В конце концов, кто из нас доверит нам покупку автомобиля, зная, что производитель выделил только один ресурс из 100 на его надежность?».
Наконец, провокация: мы говорили о технологическом отставании даже в Италии, но иногда именно распространение технологий во все более широких областях определяет больший риск. На самом деле, отчет Clusit также включает умную работу, Интернет вещей и Индустрию 4.0 среди факторов опасности…
«Это физиологично, потому что увеличивает поверхность атаки, но технологию не следует демонизировать. Как бы во избежание несчастных случаев в машине, возвращаемся к передвижению в карете. Безусловно, компании должны делать продукты все более безопасными, а общественность должна определять правила и вносить свой вклад в просвещение граждан. Но, к сожалению, всегда будут проблемы, как и во всем: из-за невнимательности, невежества, дезинформации. Нам нужна культура и понимание рисков и, следовательно, способность понимать, где лучше остановиться для собственного блага, но и для блага других».
