Дорожные карты по кибербезопасности
Цифровая трансформация бизнеса и появление киберфизических систем создают беспрецедентный риск для безопасности.
Как считают аналитики Gartner, уже к 2027 году 75% работников будут приобретать, модифицировать или создавать технологии за пределами компании. Стоит отметить, что для многих организаций сложно сбалансировать кибербезопасность с необходимостью ведения бизнеса.
Единственный способ эффективно противостоять растущим киберугрозам и рискам, связанным с цифровизацией – это внедрение программы постоянной безопасности. Gartner указывает, что многие организации тратят ресурсы на документацию и технологии, но недостаточно внимания уделяют управлению и анализу киберрисков.
В своей «Дорожной карте для кибербезопасности» Gartner приводит некоторые из главных вопросов инициативы:
1. Как меры будут способствовать устойчивости бизнеса и достижению целей роста при одновременном снижении рисков. 2. Как можно использовать подход, ориентированный на результат, для определения приоритетов и инвестиций в кибербезопасность? 3. Какие лидеры и команды должны быть вовлечены в эту работу?
Ниже приведены несколько ключевых этапов:
• Согласование стратегии;
• Постановка целей и разработка бизнес-обоснования;
• Выбор задачи;
• Понимание ключевых бизнес-приоритетов; определение миссии и видения программы и выявление факторов, влияющих на бизнес, технологии и угрозы;
• Определение целей программы, ее ценности, а также ролей и обязанностей ключевых участников;
• Определение средств контроля безопасности в соответствии со стратегиями организации и приведение их в соответствие со стандартизированной системой безопасности;
• Обратная связь от заинтересованных сторон, определение ключевых целей и завершение подготовки первоначального резюме документа о стратегии безопасности;
• Интеграция возможностей, инструментов и технологий;
• Определение роли и обязанности сотрудников службы безопасности;
• Развитие важнейших компетенции и обучение желаемым или отсутствующим навыкам
Аналитики Gartner рекомендуют повышать ценность бизнеса с помощью экспертного руководства, инструментов, партнерских связей и целевых мероприятий. Кроме того, стоит демонстрировать ценность бизнеса. Важно понимать стратегию и видение программы кибербезопасности и избегать рисков с помощью эффективных ежедневных программ кибербезопасности.
В отчёте «Глобальный прогноз кибербезопасности 2025» от WEF показаны острые киберпроблемы в текущем 2025 году и возможные последствия для руководителей крупных, средних и малых компаний. Основной тезис отчета заключается в том, что в сложном киберпространстве, характеризующемся геополитической неопределенностью, растущим неравенством и изощренными угрозами, лидеры компаний должны руководствоваться принципом безопасности и защиты данных бренда. Отчет отражает растущую сложность киберландшафта, которая имеет глубокие и далеко идущие последствия для компаний и стран. Эта сложность обусловлена рядом факторов:
• Эскалация геополитической напряженности способствует большей неопределенности обстановки;
• Усиление интеграции и зависимости от более сложных цепочек поставок приводит к более непрозрачной и непредсказуемой картине рисков;
• Быстрое внедрение новых технологий приводит к появлению новых уязвимостей, поскольку киберпреступники эффективно используют их для достижения большего масштаба и повышению изощренности атак.
Мировые нормативные требования усложняют соблюдение стандартов кибербезопасности для компаний. Все эти аспекты усугубляются растущим разрывом в навыках, что делает крайне сложным эффективное управление киберрисками.
По данным отчета WEF, растущая сложность киберпространства усугубляет цифровое неравенство, увеличивает разрыв между крупными и малыми организациями, углубляет разрыв между развитыми и развивающимися экономиками и усиливает отраслевое неравенство. Представители порядка 35% малых организаций считают, что киберустойчивость их компаний недостаточна, и эта доля выросла в семь раз с 2022 года. Напротив, доля представителей крупных организаций, сообщающих о недостаточной киберустойчивости, сократилась почти вдвое.
Неравенство в киберустойчивости еще больше подчеркивается региональными различиями в готовности: в то время как только 15% респондентов в Европе и Северной Америке не уверены в способности своих стран реагировать на крупные киберинциденты, нацеленные на критически важную инфраструктуру, эта доля возрастает до 36% в Африке и 42% в Латинской Америке.
Государственный сектор также непропорционально затронут: 38% респондентов сообщают о недостаточной устойчивости, по сравнению с 10% средних и крупных организаций частного сектора.
Основные выводы из отчета по кибербезопасности для бизнеса:
1. Уязвимости в цепочке поставок становятся главным киберриском экосистемы для любой компании. Из крупных организаций всего 54% определили проблемы цепочки поставок как самое большое препятствие для достижения киберустойчивости. В сочетании с отсутствием прозрачности и контроля за уровнями безопасности поставщиков это становится ведущим риском кибербезопасности для организаций. Основные опасения вызывают возможные уязвимости программного обеспечения, внесенные третьими лицами, и распространение кибератак по всей экосистеме компании.
2. Геополитическая напряженность формирует стратегию кибербезопасности. Почти 60% мировых компаний заявляют, что геополитическая напряженность повлияла на их стратегию кибербезопасности. Геополитические потрясения сильно повлияли на восприятие рисков: каждый третий руководитель назвал кибершпионаж и потерю конфиденциальной информации/кражу интеллектуальной собственности главной проблемой, в то время как 45% лидеров обеспокоены нарушением операций и бизнес-процессов.
3. Быстрое внедрение ИИ приводит к новым уязвимостям. В то время как 66% компаний ожидают, что ИИ окажет самое значительное влияние на кибербезопасность в текущем году, только 37% сообщают о наличии процессов для оценки безопасности инструментов ИИ перед развертыванием. Это выявляет парадокс разрыва между признанием рисков кибербезопасности, обусловленных ИИ, и быстрым внедрением ИИ без необходимых мер безопасности для обеспечения киберустойчивости.
4. Также названы уязвимости кибербезопасности, ожидаемые в текущем 2025 году. Генеративный ИИ расширяет возможности киберпреступников, способствуя росту атак с использованием социальной инженерии. Около 72% респондентов сообщают об увеличении организационных киберрисков, при этом программы-вымогатели остаются главной проблемой. Почти 47% представителей организаций называют состязательные атаки, поддерживаемые генеративным ИИ, главной проблемой. В 2024 году наблюдался резкий рост фишинговых и атак с использованием социальной инженерии, при этом 42% организаций сообщили о таких инцидентах.
5. Регулирование укрепляет киберустойчивость, однако порой создает значительные проблемы с соблюдением требований. Оно все чаще рассматривается как важный фактор улучшения базовой позиции кибербезопасности и укрепления доверия. Однако дисгармония в регулировании создает значительные проблемы для организаций: более 76% руководителей служб информационной безопасности на ежегодном заседании World Economic Forum, посвященному кибербезопасности в 2024 году, сообщили, что фрагментация регулирования в разных юрисдикциях существенно влияет на способность их компаний соответствовать требованиям.
6. Компании сталкиваются с нехваткой критически важных работников кибербезопасности. С 2024 года разрыв в кибернавыках увеличился на 8%, при этом две из трех компаний сообщили о разрывах в навыках от умеренных до критических, включая нехватку необходимых умений и навыков для выполнения требований безопасности. Кроме того, только 14% организаций уверены, что у них есть персонал и навыки, которые им нужны, чтобы защитить свой бизнес от кибератак.
В проведенном международной аудит-консалтинговой корпорацией PricewaterhouseCoopers исследовании Global Digital Trust Insights приняли участие 4042 руководителя предприятий и технологических компаний из 77 стран. В отчете, опубликованном в 2025 году, указаны значительные пробелы, которые компаниям необходимо преодолеть, чтобы достичь киберустойчивости:
Пробелы в реализации мер по обеспечению киберустойчивости: несмотря на возросшую обеспокоенность по поводу киберрисков, только 2% руководителей утверждают, что их компании внедрили меры по обеспечению киберустойчивости во всех своих организациях во всех обследованных областях;
Пробелы в готовности: руководители организаций чувствуют себя наименее подготовленными к противодействию киберугрозам, например, рискам, связанным с облачными вычислениями и нарушениями со стороны третьих лиц;
Пробелы в участии директоров по информационной безопасности: менее половины руководителей утверждают, что их директора по информационной безопасности в значительной степени вовлечены в стратегическое планирование, отчетность перед советом директоров и надзор за внедрением технологий, в 13% компаний присутствует разрыв в вопросах соответствия требованиям в области ИИ и устойчивости между руководителями информационной безопасности и генеральными директорами;
Пробелы в измерении киберрисков: хотя руководители признают важность измерения киберрисков, менее половины из них делают это эффективно, и только 15% в значительной степени измеряют финансовое воздействие киберрисков.
Все это указывает на необходимость лучшего сотрудничества высшего руководства и стратегических инвестиций для укрепления киберустойчивости.
Аналитики PwC считают, что чтобы защитить свои организации, руководители должны рассматривать кибербезопасность как постоянный пункт деловой повестки дня, встраивая ее в каждое стратегическое решение и требуя сотрудничества с высшим руководством.
