Угроза безопасности данных пугает и вызывает недоверие у IТ-специалистов, говорится в отчете Oracle и KPMG об облачных угрозах безопасности в 2020 г. за первую треть года (Oracle and KPMG Cloud Threat Report 2020). Опрос 750 специалистов по кибербезопасности и IТ по всему миру показал, что использование принципа «латания дыр» (patchwork approach) при решении проблем безопасности данных, неправильно настроенные сервисы и путаница с новыми моделями облачной безопасности породили кризис доверия. И его смогут преодолеть только те компании, у которых безопасность стала частью культуры ведения бизнеса.

Забота о безопасности данных лишает IТ-специалистов сна

Исследование показало, что IТ-специалисты больше обеспокоены безопасностью данных своей компании, чем безопасностью у себя дома.

• IТ-специалистов втрое больше заботит безопасность финансовых данных и интеллектуальной собственности компании, чем безопасность собственного жилья.
• IТ -специалисты испытывают озабоченность в отношении поставщиков облачных услуг, 80% специалистов полагают, что поставщики облачных услуг, с которыми они ведут бизнес, станут их конкурентами на ключевых для них рынках.
• 75% IТ-специалистов считают, что публичное облако защищено лучше, чем их собственные ЦОД, однако 92% IТ-специалистов не верят, что их организации полностью готовы к использованию безопасных публичных облачных сервисов.
• Около 80% IТ-специалистов утверждают, что недавние утечки данных, с которыми столкнулись другие организации, заставили их усилить защиту данных при развитии бизнеса.

Приверженцы старых подходов к защите данных играют в «угадайку»

IТ-специалисты стараются устранить проблемы защиты данных при помощи «латания дыр» различными решениями по кибербезопасности, но сталкиваются с практически невыполнимой задачей, так как эти системы редко бывают корректно сконфигурированы.

• 78% организаций используют более 50 различных решений для обеспечения кибербезопасности, 37% компаний используют более 100 таких решений.
• У организаций, где выявлены неправильно настроенные облачные сервисы, в прошлом году произошло 10 и более инцидентов с потерей данных.
• 59% организаций сообщили, что они столкнулись с целевой фишинговой атакой на учетные данные сотрудников с привилегированными облачными учетными записями.
• Самые распространенные типы неправильной настройки:
  — учетные записи с избыточными привилегиями (37%);
  — незащищенные веб-серверы и другие типы серверных нагрузок (35%);
  — отсутствие многофакторной аутентификации при доступе к основным сервисам (33%).

Перекладывание ответственности ведет к большей путанице и нарушениям безопасности

Как никогда раньше организации переносят в облако все больше критически важных для бизнеса нагрузок. А растущее потребление облачных сервисов создает новые «слепые зоны» в безопасности, поскольку IТ-подразделения и поставщики облачных услуг работают на тем, чтобы понять, где их индивидуальная ответственность за безопасность данных. Эта путаница ведет к тому, что отделы информационной безопасности испытывают сложности в попытках справиться с растущим ландшафтом угроз.

• Почти 90% компаний уже используют «ПО как услугу» (SaaS), 76% -«Инфраструктуру как услугу» (IaaS), а 50% организаций собираются перенести все данные в облако в течение следующих двух лет.
• Модели совместной ответственности за безопасность создают путаницу. Только 8% руководителей служб информационной безопасности заявили, что полностью понимают модель совместной ответственности за безопасность.
• 70% IТ-специалистов считают, что для защиты всей среды в публичном облаке требуется слишком много специальных инструментов.
• 75% IТ-специалистов неоднократно теряли данные при использовании облачного сервиса.

Актуальность модели «На первом месте — безопасность»

Для решения проблем безопасности и преодоления недоверия поставщики облачных услуг и IТ-подразделения должны работать вместе над формированием культуры «На первом месте — безопасность» (Security-First). Такая модель подразумевает найм, подготовку и удержание квалифицированных специалистов по информационной безопасности, а также постоянное улучшение процессов и технологий, помогающих устранять угрозы в условиях постоянно расширяющегося цифрового мира.

• 69% организаций сообщают, что директора по ИБ (CISO) реагируют на проблемы информационной безопасности постфактум и принимают участие в проектах использования публичного облака только после серьезного инцидента.
• 73% организаций имеют в штате директора по информационной безопасности с опытом работы в облаке или планируют нанять такого специалиста. Более половины компаний (53%) создали новую должность руководителя по безопасности бизнес-информации (Business Information Security Officer, BISO), который работает в сотрудничестве с директором по ИБ (CISO) и помогает интегрировать культуру безопасности в организации.
• 88% IТ-специалистов полагают, что в течение следующих трех лет в большинстве облаков станет использоваться интеллектуальное и автоматическое внесение исправлений и обновлений для повышения безопасности.
• 87% IТ-специалистов считают, что обязательным условием приобретения новых средств безопасности станет наличие у них возможностей искусственного интеллекта (AI) и машинного обучения (MO). Они обеспечат лучшую защиту от таких угроз, как мошенничество, вредоносное ПО и ошибки конфигурации.

 «В течение последних двух лет перенос важной информации в облако показал свою перспективность. Однако использование разнородных инструментов и процессов обеспечения безопасности постоянно приводило к дорогостоящим конфигурационным ошибкам и утечкам данных. Впрочем, определенный прогресс здесь есть, — утверждает Стив Дахеб, старший вице-президент по направлению Oracle Cloud. — Интеллектуальные инструменты с автономными возможностями помогают преодолеть недостаток квалификации. Траты на эти инструменты уже включены в дорожную карту бюджетных расходов на ближайшее будущее, а руководители высшего звена последовательно придерживаются принципа «на первом месте — безопасность», унифицируя разные направлений бизнеса».

Загрузить отчет Oracle и KPMG об облачных угрозах безопасности в 2020 году можно по этой ссылке.