Недопустимый киберриск. Что не так с подходом бизнеса к информационной безопасности
Как становятся белыми хакерами
Люди приходят в индустрию после профильного высшего образования или курсов. Значительную долю составляют самоучки из смежных областей. Важно, чтобы мышление человека подходило для этой профессии: помогает желание что-то постоянно искать и тестировать весь мир вокруг.
Какая мотивация у белых хакеров
Все, кто работает в кибербезопасности, понимают, что взломать можно абсолютно любую систему. Невозможно создать стопроцентную защиту: ее делают люди, а люди ошибаются.
У белого хакера в крови вызов самому себе и неуемное любопытство сделать что-то экстраординарное. А еще такие исследования дают возможность выступить на конференции, поделиться результатами в профильном блоге, попасть в виртуальный «зал славы».
Конечно, взлом — это и заработок тоже. Компании платят большие деньги за особо важные исследования и уязвимости нулевого дня, от которых не существует защиты. Некоторые исследователи занимаются поиском только чего-то экстраординарного, тратят значительное время и ресурсы и получают за это хорошее вознаграждение.
Исследователю важна свобода действий, широта охвата и профиль проекта; белому хакеру нужно, чтобы сложность и особенности задачи всегда различались.
Как устроена работа белого хакера
Небольшая компания, которая платит за выявление уязвимости до 1 млн рублей, обычно имеет ограниченный периметр, где мало что можно сломать. При таком бюджете белые хакеры проверяют компанию стандартными методами. Это социальная инженерия, то есть вредоносные письма и звонки сотрудникам, а также отслеживание случайных ошибок.
С бюджетом в 10 млн рублей можно потратить на исследования значительное время, организовать детальную проработку социальной инженерии и технических атак.
С бюджетом от 50 млн рублей появляется возможность купить то, что дорого ценится на черном рынке. Например, фрагменты вредоносного кода или последовательности команд для самых современных уязвимостей, которые пока не используются массово и публично.
Сходства и различия черных и белых хакеров
Черные и белые хакеры атакуют одними и теми же способами, но цели у них разные. Обмен опытом у белых — на конференциях, у черных — на форумах и каналах в даркнете. Главное различие — это образ мысли. Черные хакеры уверены, что можно нарушать законы и делать что угодно безнаказанно.
Существует серая зона, где работают исследователи и аналитики угроз. Они развивают свои учетные записи на черных форумах, чтобы следить за утечками и продажами доступа к компаниям. Правоохранительные структуры также ведут агентурную работу в серой зоне.
Сколько зарабатывает белый хакер
Если грубо оценивать в годах активной работы в крупных компаниях, то можно взять зарплату ИТ-специалиста, вычесть 30% и получить деньги в кибербезе. Помимо основной работы можно делать сторонние проекты, брать подработки по знакомству либо через агрегатор и на этом зарабатывать больше. Например, с утра до вечера специалист защищает периметр своего работодателя, а после работы или по выходным с собственной командой пытается реализовать недопустимое событие другой компании за вознаграждение в несколько миллионов рублей.
Недопустимое событие как основа стратегии
Для бизнеса не всегда понятно, в чем ценность отдельно найденной уязвимости. Другой вопрос, когда тебе могут наглядно показать, как можно остановить твое производство, украсть персональные данные клиентов или выкрасть со счета деньги.
В этом случае на кибербезопасность обращают внимание не только технические специалисты, но и весь менеджмент, на глазах которого произошло событие, которое может нанести бизнесу неприемлемый ущерб.
Концепция кибериспытаний взяла все лучшее из предыдущих подходов и максимально приблизила это к реальным атакам черных хакеров с пользой для компаний. В этом случае исследователи могут показать, как можно фактически остановить бизнес, но сделают это в доверенной среде и без реальных рисков. Компания в этом случае поймет, какие проблемы у нее в ИТ-инфраструктуре, и исправит их, чтобы ими не смогли воспользоваться злоумышленники.
Какие ошибки допускают компании в построении защиты
Самая распространенная ошибка: защищаются не от того, от чего нужно. В России концепция недопустимых событий появилась всего пару лет назад. Бизнесу начали объяснять, что нужно не защищаться от всех рисков на свете — это грозит потерей денег, — а покрывать самое важное и проверять полученный результат.
Во-вторых, компании часто тратят огромный бюджет на то, что им в действительности не требуется. Это только увеличивает строку расходов, что в условиях экономической нестабильности вызывает дополнительную напряженность для бизнеса.
В-третьих, компании сращивают ИТ и информационную безопасность (ИБ). Это большая проблема, потому что одно должно контролировать другое. ИТ-специалист должен думать о том, чтобы все работало и было удобно. А представитель ИБ должен думать о безопасности. Это разные задачи.
И последняя ошибка: компании не используют все возможности рынка внешних подрядчиков и кибербезопасности. Многие думают, что нужно нанимать людей в штат и это очень дорого, хотя на деле это необязательно.
Что бизнес может перенять у хакеров
Белые хакеры и их работа помогают бизнесу задуматься, что конкретно для него станет тем самым недопустимым событием, которое полностью остановит функционирование компании. Так можно по-новому взглянуть на выстроенные процессы, ИТ-инфраструктуру и трансформироваться во что-то более защищенное. А это позитивно отразится не только на самой компании, но и на клиентах и на всей экономике страны.
