Брайан Хонан: Страх и недоверие в ИБ-индустрии
МАДРИД. В других отраслях каждый промах — это возможность сделать выводы. О сфере информационной безопасности этого не скажешь.
Напротив, нередко неудача становится поводом пристыдить жертву, осмеять такую мощную корпорацию, как Equifax, которая недавно потеряла данные 145 миллионов клиентов. Ее глава отдела информационной безопасности — несмотря на долгую карьеру в области IT — получил музыкальное образование, и над этим с удовольствием глумились многочисленные пользователи Twitter.
В прошлую пятницу, 6 октября, в презентации, закрывшей мадридскую конференцию Virus Bulletin 2017, независимый консультант Брайан Хонан (Brian Honan) выразил мнение, что безопасность как индустрия пока не может завоевать доверие людей.
«В нашей отрасли пока не умеют обучать новых сотрудников и любят посмеяться над теми, кто пострадал, — сказал Хонан, основатель первой в Ирландии группы быстрого реагирования на компьютерные происшествия (CSIRT-IE). — Deloitte — жертва. Equifax — жертва. Yahoo — жертва. Каждый клиент, доверивший этим компаниям свои данные, — тоже жертва. В нашей отрасли предпочитают насмехаться. Мы не учимся на чужих ошибках и не помогаем другим избежать этих ошибок. Вместо этого мы замалчиваем проблемы».
Он призвал учиться у других отраслей, например у авиаперевозчиков, которые имеют план действий на случай ошибок, прогнозируют неудачи и реагируют на них должным образом. Из-за этого, как он показал в пятницу, безопасность авиаперелетов многократно возросла с 1980-х.
«Нам необходимо не бояться выносить сор из избы, перестать создавать атмосферу страха и смеяться над пострадавшими, — считает Хонан. — В первую очередь мы должны оказывать помощь, а не насмехаться. Если мы не будем делать этого, за нас это сделает правительство».
Череда неудач, постигших сферу безопасности в 2017 году, среди которых серьезные утечки и атаки с целью вымогательства, свидетельствует о проблемах, существующих почти два десятка лет. Хонан подчеркнул, что люди до сих пор используют ненадежные пароли, нередко открывают вложения из ненадежных источников, не умеют ставить патчи, а зловреды по-прежнему находят пути к компьютерам.
«Почему в 2017 году люди все еще думают, что пароль «password1″ способен защитить их от преступников?» — любопытствует Хонан.
Слабые пароли, пропуск исправлений, устаревшее программное обеспечение и антивирусы, отсутствие непрерывного мониторинга и бесконечное число уязвимостей — из-за этого специалисты по информационной безопасности тонут в океане недоверия.
«Это не кибер-ниндзя из Северной Кореи взламывают наши системы, — сказал Хонан. — Это мы снова и снова допускаем одни и те же ошибки и получаем все тот же результат».
Судя по событиям 2017 года, крупные атаки приводят ко все более серьезным и опасным последствиям в реальном мире. Из-за вируса WannaCry больницам в Великобритании пришлось перенаправлять пациентов в другие учреждения. Вирус NotPetya на некоторое время приостановил работу глобальной судоходной линии Maersk, а также гиганта фармацевтической индустрии Merck. В результате июньской атаки компания Maersk потеряла 300 млн долларов.
Для борьбы с этими угрозами корпорации и фирмы вынуждены снова и снова покупать устройства и продукты, которые не решают проблему, а нагоняют страх, неуверенность и сомнения.
«Нам нужно многое изменить в работе. Нельзя так пользоваться страхом, неуверенностью и сомнениями людей, — призвал Хонан. — Сначала наша отрасль пугает общество неведомыми угрозами, а затем предлагает решение в блестящей коробочке со словами «Держите, это вас спасет». А когда решение не срабатывает, что вы делаете? Вы запугиваете их снова, чтобы продать еще одну блестящую коробочку».
«Большинство фирм не попадают под прицел продвинутых злоумышленников. Большинству компаний не нужно лишний раз беспокоиться об атаках нулевого дня», — заявил Хонан.
«Нужно перестать использовать целевые атаки и атаки нулевого дня в качестве рекламного хода. Нам необходимо завоевать доверие людей, — считает он. — Нам нужно делиться информацией об угрозах, делать выводы из полученных уроков и забыть о страхе потерять прибыль из-за того, что информация выйдет наружу. Если мы не будем этого делать, наше будущее бесперспективно, и доверию там места не будет. Мы разучимся доверять выборам, транспортным компаниям — всему на свете».