Коротко об исследовании «2012 Cost of Cyber Crime Study»

Ponemon Institute при поддержке HP опубликовал ежегодное исследование «2012 Cost of Cyber Crime Study» посвященное кибер-мошенничеству и связанных с ним денежных потерь для компаний. Исследование показало, что средние годовые потери в расчете на организацию в США составили 8.9 млн.$, что на 6% выше, чем в 2011 году и на 38%, чем в 2010 году соответственно. Также на 42% выросло количество кибер-атак. Так в среднем компании подвергались 102 атакам в неделю. Наиболее затратными для организаций были атаки, связанные с вредоносным кодом, атаками типа «отказ в обслуживании», кражей или потерей устройств, а также действиями внутренних злоумышленников. В сочетании эти атаки привели к 78% всех потерь.

Дополнительные факты:

•  Кража информации и бесперебойность работы бизнес-систем являются источниками наибольших внешних издержек. В 2012 году 44% общего количества внешних издержек были из-за краж информации, а 30% из-за перебоев в работе и снижения производительности.

·         Внедрение и использование передовых интеллектуальных средств по ИБ может уменьшить последствия от кибер-атаки. Например, организации, в которых используются системы SIEM теряют в среднем на 1,6 млн.$ в год меньше, чем те, кто подобный класс систем не использует (экономия происходит за счет сокращения количества  времени, которое тратится на выявление, реагирование и восстановление работы после атаки).

·         Кибер-атаки могут повлечь за собой большие потери, если не будут быстро отработаны. В среднем компании тратят 24 дня на то, чтобы разобраться с причинами и последствиями кибер-атаки, при этом теряя порядка 600 т.$.

Немного из исследования 12th Global Fraud Survey, Ernst & Young

Ernst & Young выпустил исследование, посвященное коррупции и взяточничеству, опросив при этом около 2 тысяч высокопоставленных сотрудников крупных компаний в 43 странах мира. Ниже несколько интересных моментов.

Если говорить о глобальных оценках положения дел в государстве, то меньше половины опрошенных (39%) отметили, что взяточничество и коррупция широко распространены в их странах. 

Переходя на уровень непосредственно компаний, в которых работают респонденты, мы видим некоторое изменение в оценках. По мнению опрошенных ответственность за все в компании несет совет директоров, но зачастую эти люди не имеют адекватного представления о том, что на самом деле  происходит в компании и каково реальное положение вещей. Более 52% респондентов считает, что совету директоров необходимо более детально разбираться в бизнесе и использовать объективную информацию, если они действительно хотят бороться с коррупцией и мошенничеством в компании.

Несмотря на риски организации все еще не делают достаточно для того, чтобы предотвратить коррупцию и взяточничество. Таблица ниже демонстрирует то, что даже не смотря на наличие соответствующих политик внутри компании лишь в половине случаев людей обучают работать в соответствии с ними, а также реально наказывают за нарушения. 

	Выполняется
Высшее руководство заявляет о соблюдении существующих антикоррупционных политик и политик против взяточничества	84%
У нас существуют антикоррупционные политики, политики против взяточничества, а также разработан кодекс чести	81%
За нарушение существующих политик введены наказания	71%
Описание политик доступно на государственном языке	63%
Доступен тренинг по выполнению данных политик	55%
Были факты наказаний сотрудников за нарушение данных политик	45%

Поэтому можно говорить о том, что зачастую все эти документы пишутся и кладутся на полку, а требования прописанные в них не выполняются. Причин может быть много - от банального "выполнили для галочки и забыли", до отсутствия ресурсов для организации соответствующего процесса вокруг данных документов и прописанных в них требований.

В рамках оценки подходов к управлению взаимоотношениями с партнерами результаты опроса показывают, что большинство организаций не особо обеспокоены этой задачей и  ведут дела с непроверенными и/или возможно аффилированными компаниями (см. таблицу ниже).

	Выполняется
В компании есть утвержденный список проверенных поставщиков	59%
Существует система проверки партнеров (background check)	56%
Осуществляется проверка информации о собственниках компании	50%
Использование услуг внешнего провайдера для проведения проверок	34%
Использование программных продуктов/технологий для проведения проверок	30%

Гартнер опубликовал два отчета по системам SIEM: Magic Quadrant и Critical Capabilities

Гартнер опубликовал два отчета по системам SIEM: Magic Quadrant и Critical Capabilities.

Как отмечают аналитики, 2011 год показал высокий спрос на данные системы.  Рост рынка составил 15% (с $ 987 млн. до $ 1,1 млрд.). Рынок SIEM систем зрелый и высоко конкурентный. При этом большое количество систем могут удовлетворить базовые потребности заказчика, такие как сбор событий, мониторинг, выполнение требований регулятора. Наибольшие проблемы возникают там, где требуется более тонкая настройка и интеллектуальные возможности системы (корреляция), например, выявление таргетированных атак и утечек.

Источник: Gartner (Май 2012)

В этом году в квадрат Гартнера попали 20 вендоров, 12 из которых сфокусированы на теме SIEM, остальные 8 продают другие дополнительные продукты и сервисы по ИБ. Стоит отметить, что за прошедший год произошли несколько заметных поглощений, изменивших расстановку сил на рынке. Так IBM купило Q1 Labs заменив Tivoli SIEM, McAfee приобрело NitroSecurity, NetIQ приобрело технологию мониторинга безопасности Novell, SolarWinds купило TriGeo.

В квадрате лидеров оказались 5 вендоров: HP (ArcSight), IBM (Q1 Labs), McAfee (Nitrosecurity), NetIQ (Novell) и LogRhythm. Лидерскую часть покинули RSA, Symantec и LogLogic.

Если говорить о российском рынке, то наибольшее распространение сейчас у продукции HP (ArcSight), но стоит обратить пристальное внимание на продукт Q1 от IBM и Nitrosecurity от McAfee. Если вендоры будут вести правильные коммуникации с рынком и тщательно работать с партнерами, то у этих продуктов хорошие шансы получить распространение на нашем рынке (особенно в свете последних указаний, которые в ближайшее время выпустит ЦБ).

Что касается исследования по наиболее важным возможностям систем SIEM, то лидерство сохраняется у HP (ArcSight).

Источник: Gartner (Май 2012)

Verizon Data Breach Investigations Report 2012

Компания Verizon выпустила очередной ежегодный отчет «2012 Data Breach Investigations Report», касающийся утечек за 2011 год.

2011 год запомнился не только «Арабской весной», в онлайн мире происходили свои взлеты и падения. 2011 год принес 855 инцидентов и 175 миллионов скомпрометированных записей.

Ключевые моменты, выявленных в ходе исследования.

В 98% случаев за злонамеренной активностью  стояли внешние злоумышленники, объединенные в преступные  группировки. При этом в 80% случаев компрометация данных осуществлялась с помощью того или иного вида взлома.

79% жертв были выбраны потому, что их легко было взломать.

96% атак были несложными

94% случаев взлома затрагивали сервера

84% утечек потребовали недели для их обнаружения

92% утечек были обнаружены третьими лицами

97% утечек можно было избежать при внедрении контролей низкой и средней сложности

96% жертв, которые должны соответствовать требованиям PCI DSS, не соответствовали им.

Наиболее опасные категории веб-сайтов по версии Symantec

А порнография-то на 10 месте:)

Актуальные задачи по ИБ для финансовых институтов

По версии Dell SecureWorks наиболее актуальными проблемами по ИБ для финансовых институтов являются следующие:

·         Обеспечение защиты онлайн банкинга. Несмотря на развитие преступных кибер-группировок и используемых ими инструментов, финансовые институты предлагают своим клиентам все больше различных онлайн сервисом, которыми те с удовольствием пользуются. Самостоятельное осуществление различных операций клиентами онлайн позволяет финансовым институтам экономить деньги на колл-центрах, но при этом добавляет проблем, связанных с обеспечением защиты персональных данных клиентов.

·         Защита мобильного банкинга. Люди все чаще используют мобильные телефоны и планшетники для осуществления платежей, проверки баланса счетов и прочих операций. При этом, не обладая возможностями защиты, существующими у компьютеров, они могут стать более простой мишенью для злоумышленников.

·         Защита приложений.  Банкам стоит обратить внимание на оценку и защиту используемых  веб- и мобильных приложений, в т.ч. и для того, чтобы достичь соответствия требованиям регуляторов. 

·         Борьба с внутренними угрозами. Необходимо бороться не только с внешними угрозами, но и защитить себя от возможностей утечки критичной информации через сотрудников, партнеров и субподрядчиков. Так по результатам исследования компании Deloitte об обеспечении безопасности услуг финансовых институтов больше половины опрошенных директоров по ИБ (56%) уверены в том, что они в состоянии справиться с внешними угрозами, в то время как в борьбе с внутренними угрозам уверенно себя чувствуют лишь 34% опрошенных.

·         Достижение соответствия требованиям регуляторов. На сегодняшний день существует ряд стандартов и законов по информационной безопасности, которые применяются к финансовым институтам. При этом появляются и новые инициативы, со временем переходящие в разряд обязательных к исполнению.

Прогноз по глобальным угрозам ИБ на 2014 год от ISF

Ассоциация Information Security Forum, выпустила прогноз по глобальным угрозам ИБ на 2014 год и дала некоторые рекомендации по борьбе с ними (Threat Horizon 2014).

Угрозы сгруппированы в три основных раздела: внешние, внутренние и угрозы связанные с регуляторами. Предлагаю ознакомиться с ними.

Внешние угрозы

1.     Рост кибер-преступности. Криминальные группы, занимающиеся кибер-преступлениями будут развиваться, расширяться и увеличивать масштабы своей деятельности.

2.     Будут происходить кибер-войны на международом уровне и осуществляться охота за интеллектуальной собсвенностью, способной принести прибыль и дать преимущество в бизнесе.

3.     Активисты станут еще более активными. Все больше людей будет выходить в интернет, объединяться в различные группы по интересам и использовать его как площадку в том числе и для протестов.

4.     Увеличение масштабов интеграции киберпространства с реальным миром приведет к учащению нападений на элементы физической инфраструктуры (системы кондиционирования, производственные системы и пр.) и освещение этого в прессе.

Рекомендации:

·      Используйте необходимые средства обеспечения ИБ, являющиеся признанными «лучшими практиками»

·      Разработайте стратегию обеспечения ИБ

·      Будьте в курсе угроз и того, как они развиваются

Угрозы, связанные с регуляторами

1.     Новые требования обнажат слабые места в защите компаний, что сделает их более уязвимыми.

2.     Новые требования от клиетов, партнеров и регуляторов, касающиеся конфиденциальности, лягут тяжелым бременем на плечи организаций, заставляя их фокусироваться преимущественно на этой теме.

Рекомендации:

·      Внесите коррективы в существующую струтктуру защиты данных и процедуры управления информацией

·      Детально проанализируейте новые требования, чтобы наиболее эффективно встроить их в текущую систему защиты и управления данными

·      Вступайте в отраслевые и прочие ассоциации, чтобы иметь влияние на принимаемые законы и новые требования

Внутренние угрозы

1.     Недостаток инвестиций компаний в критичные функции, в том числе и в информационную безопасность при одновременных инвестициях кибер-преступников в развитие своих технологий.

2.     Продолжене снижения затрат приведет к новой форме неравенства между организациями, а именно между теми, кто понимает тесную связзь между ИТ и ИБ и всеми остальными. Ведущие компании по достоинству оценят стратегическую значимость канаов передачи данных, информационных систем и будут вкладывать в это деньги, тогда как остальные будут страдать от инцидентов ИБ и потери конкуретных преимуществ.

3.     Организации будут продолжать внедрять новые технологии, что будет приносить помимо бизнес-выгод новые уязвимости и новые атаки.

4.     Современные организации все чаще становятся жертвами своих поставщиков, владеющих данными и информацией о них. Проблемы увеличатся, т.к. все больше функций и работ будет отдаваться на аутсорсинг и внешним консультантам.

Рекомендации:

·      Донесите до руководства информацио о важности и значимости обеспечения информационной безопасности. Интегрируйте функции обеспечения ИБ с другими важными функциями в организации (управление рисками и пр.)

·      Поймите основные риски компании и осуществляйте обеспечение информационной безопасности в соответствии с ними

·      Возьмите под контроль заключение контрактов с аутсорсерами, поставщиков облачных сервисов и т.п.

Фишинг по-русски

По ссылке ниже новость на сайте МВД, в которой описана классическая фишинговая схема, реализованная нашими умельцами. Самое важное здесь то, что это первое уголовное дело по этой теме в России.

Читать новость полностью

Краткое руководство от компании Dell SerureWorks по защите приложений мобильного банкинга

Компания Dell SecureWorks (http://www.secureworks.com) разработала краткое руководство для защиты приложений мобильного банкинга.

На сегодняшний день все больше банков предлагают своим клиентам пользоваться теми или иными приложениями через мобильные устройства. Но надо учитывать тот факт, что если они надежно не защищены или при разработке приложения остались какие-то уязвимости это может привести к тому, что злоумышленники смогут получить доступ к счетам клиентов.

Различные конфиденциальные данные для пользования мобильным банкингом, такие как логин, пароль и т.п., представляют собой определенную угрозу безопасности, если они храняться на мобильном устройстве. Т.к. мобильные устройства работают по-разному, порой бывает довольно сложно полностью удалить с них те или иные важные данные. В связи с этим при создании приложения стоит сделать так, чтобы оно могло сохранять как можно меньше конфиденциальной информации, а хранимая информация могла шифроваться. Иначе, при получении доступа к незашифрованной конфиденциальной информации, злоумышленник сможет получить доступ к счету.

Стоит отметить, что данные используемые в приложениях также подвергаются опасности, когда осуществляется их передача по беспроводной сети (с мобильного устройство на сервер банка) в незашифрованном виде.

Осозновая данные угрозы компания Dell SecureWorks дала несколько рекомендаций по защите приложений мобильного банкинга:

1.     Следуйте приемам безопасного программирования. Убедитесь, что сотрудники вашей организации или вашего субподрядчика, задействованные в разработке приложения, проходили обучение по теме безопасного программирования и используют принципы SDLS (жизненный цикл создания безопасного ПО).

2.     Следуйте руководству «Аутентификация при выполнении банковских операций в Internet-среде», разработанному Федеральной Корпорацией по Страхованию Вкладов (США) CIF (FDIC FIL-103-2005). В данном руководстве банкам рекомендованы различные методы аутентификации, а также предложены стратегии по использованию многофакторной аутентификации и ограничения доступа для минимизации рисков.

3.     Установите определенный временной промежуток, позволяющий клиенту повторить попытку ввода своих учетных данных. Это позволит снизить риск получения доступа к информации по счету кому-то, кто не является владельцем мобильного устройства.

4.     Проведите оценку защищенности ваших серверов, на которых установлены мобильные приложения.

5.     Шифруйре конфиденциальные данные, хранящиеся на мобильном устройстве, а также информацию, передаваемую с мобильного устройства по сети интернет.

6.     Тщательно протестируйте приложение на предмет безопасности перед его боевым запуском и распространением по клиентской базе.

Немного об угрозах для мобильного банкинга

Независимая исследовательская и консалтинговая компания Aite Group поделилась своим взглядом на то, как бороться с возрастающей угрозой мошенничества через мобильный банкинг. По их оценке к 2014 году теми или иными видами мобильного банкинга будут пользоваться порядка 44 миллионов американцев. Популярность данной услуги делает ее пользователей мишенью для злоумышленников. В связи с этим банкам необходимо не только предпринимать шаги для защиты мобильных каналов, но и уделять больше внимания мониторингу схем межканального мошенничества, в которых связаны онлайн и мобильный банкинг. Также необходимо прогнозировать потенциальные риски мобильных сервисов и платформ до того, как они будут запущены в работу.

В 2011 году компания Aite провела опрос 24 финансовых директоров крупных компаний большинство из которых считает, что мобильные каналы представляют собой угрозу не только с точки зрения безопасности, но и финансовых рисков, т.к. могут быть использованы для мошеннических действий. При этом специалисты Aite подчеркивают, что на сегодняшний день существуют троянцы написанные специально для мобильных каналов (например Zeus и SpyEye). Также они говорят о том, что уже были выявлены случаи, когда в мобильных телефонах, работающих под Android, троянец записывал все входящие разговоры и отправлял их злоумышленнику. Подобные механизмы открывают большие возможности для межканального мошенничества.

Исследование по фроду в банках. Часть 4 (заключительная).

В заключительной части исследования речь шла о проблемах, связанных с обучением и повышением осведомленности сотруников банка, а также клиентов (как частных, так и корпоративных) в вопросах, касающихся противодействию мошенничеству. Так на вопрос: Какие способы борьбы с мошенничеством были наиболее эффективны? были получены следующие варианты ответов:

77% - обучение сотрудников идентифициовать мошеннические действия и реагировать на них

67% - повышение осведомленности пользвователей в вопросах обеспечения безопасности (освещение техник используемых мошенниками (фишинг, вишинг и пр.))

58% - специализированные продукты по выявлению фрода

45% - использование инструментов, способных обеспечить реакцию в режиме реального времени

28% - ручной мониторинг счетов

Следует отметить, что 68% опрошенных сообщили, что существующие программы по обучению сотрудников и повышению осведомленности клиентов требуют улучшения. И лишь 7% признали, что они абсолютно эффективны.

Общие выводы:

1.     Появление новых угроз требует большего внимания. Помимо тех типов мошенничества, с которыми банки уже умеют работать и неплохо справляются надвигаются новые угрозы, такие как фишинг/вишинг, а таже угрозы связанные с мобильным банкингом.

2.     Если раньше ущерб от мошенничества измерялся только деньгами, то сейчас огромный вес имеет лояльность клиентов. Чтобы сохранить важных заказчиков, компаниям необходимо не только инвестировать деньги в средства выявления и предотвращения мошенничества, но и сообщать об этих инновациях своим клиентов. Безопасность не должна рассматриваться как некий корпоративный секрет, она становится реальным конкурентным преимуществом.

3.     Необходимо улучшение программ по обучению сотрудников и повышению осведомленности клиентов.

Исследование по фроду в банках. Часть 3

Следующая часть исследования была посвящена текущим проблемам с ресурсами в компаниях. Несмотря на то, что проблемы с фродом довольно распространены, по результатам исследования становится очевидным тот факт, что ресурсы на борьбу с этой проблемой в компаниях минимальны. Так при ответе на вопрос: Какие проблемы в вашей организации мешают предотвращению мошенничества? были получены слудющие результаты:

56% - недостаточно ресурсов (бюджета/персонала для выполнения этих задач)

51% - используемые продукты/технологии недостаточны и не соответсвуют требованиям

43% - отсутсвие должной осведомленности у клиентов

33% - организационные проблемы (фрагментарный поход к борьбе с мошенничеством)

27% - сложность в расследованиях преступлений (другие страны)

В 66% опрошенных компаний предотвращением мошенничества занимаются от 1 до 5 человек, в 15% - от 6 до 25 сотрудников, а в 6% компанй вообще нет специально выделенных для этих задач людей.

При этом 34% опрошенных компаний планируют увеличить ресурсы для борьбы с мошенничеством в следующем году, что является очень хорошей тенденцией.

Заключительная часть в следующем посте

Исследование по фроду в банках. Часть 2

Теперь перейдем к наиболее распространенным типам мошенничества. Следующий вопрос исследования касался типов мошенничества, с которыми компании столкнулись. Здесь не было никаких сюрпризов, т.к. мошенничество с картами и чеками являеются традиционными проблемами для банков в США (82% и 63% соответственно). Но что примечательно так это рост таких типов мошенничества как фишинг и вишинг (48%). Про фишинг все более или менее знают, это выуживание личных данных (пароля, номера пластиковой карты и пр.) путем рассылки поддельных писем например от банков или платежных систем, с просьбой пройти по ссылке и ввести нобходимые данные. Сайт поддельный, данные попадают к злоумышленникам. Вишинг является разновидностью фишинга, только отличие в том, что в письме просят не перейти по ссылке, а позвонить по телефону и сообщить данные. Или же осуществляют обзвон напрямую.

При этом стоит отметить, что при указании тех типов мошенничества, которым удавалось наиболее эффективно противостоять (например мошенничества с картами, отмывание денег и т.п.) фишинг и вишинг не указаны вовсе. Поэтому встает вопрос – как компании намерены с ними бороться?

Также следует сказать несколько слов об ACH/wire мошенничестве. С подобными типами мошенничества столкнулись 37% опрошенных компаний. На вопрос – какие меры ваша компания приняла для борьбы с этим типом мошенничества, были получены следующие результаты: 53% усилили внутренний контроль по ACH транзакциям, 40% направили больше усилий на повышение осведомленности клиентов, 18% внедрили out-of-band аутентификацию. Все банковские организации в один голос повторяют как мантру, что в борьбе с ACH мошенничеством необходимо в первую очередь повышать осведомленность пользователей. И это правильно, но в ответ на вопрос, касающийся качества таких программ, клиенты говорят о том, что они нуждаются в улучшении. Поэтому банкам стоит направить свои усилия не только на повышение осведомленности клиентов, но и на улучшение качества подобных программ.


Продолжение в следующем посте

Исследование по фроду в банках. Часть 1

В 2011 году американская компания Information Security Media Group выпустила исследование “The Faces of Fraud: Fighting Back”, посвященное проблеме мошенничества (фрода). В исследовании приняли участие 230 представителей банков и финансовых институтов США, также небольшой процент отпрошенных представляли организации из других отраслей.

Основные цели исследования были следующие:

•          Выявить типы мошенничества, представляющие угрозу для банковских институтов США

•      Понять готовность отрасли к меняющимся угрозам

•      Определить какие стратегии/решения используют компании для борьбы с мошенничеством 

•      Понять в какие стратегии или решения по борьбе с мошенничеством, компании готовы инвестировать бюджеты

Предлагаю ознакомиться с результатами, которые получили создатели исследования. 

Один из наиболее говорящих о том насколько эффективно выявляется мошенничество в компаниях был следующий вопрос (и главное его результаты):

"Когда обычно обнаруживается инцидент, связанный с мошенничеством, затрагивающий вашу организацию?" (см. Рисунок 1)

                                                  Рисунок 1 

76% - когда нам сообщит об этом клиент

48% - в момент транзакции

41% - сообщение от третьих лиц

26% - во время самого инцидента

23% - во время проверки счета

76% финансовых институтов узнают об инциденте только лишь после того, как им об этом сообщают клиенты. Это говорит о том, что необходимо намного эффективнее выявлять подобные инциденты до того, как они затронут клиента. Именно результат, полученный по этому вопросу и задал тон всему исследованию.

  

Продолжение в следующем посте

Представление

Добрый день.

Меня зовут Наталья Зосимовская и с сегодняшнего дня я блоггер.

Мой блог будет посвящен некоторым интересующим меня профессионально темам. Большую часть из них занимают вопросы информационной безопасности. В частности внимания будут заслуживать конкретные произошедшие проблемные случаи связанные с ИБ и к чему они привели, также я буду публиковать результаты интересных с моей точки зрения исследований и опросов, новостей от разработчиков SIEM, DLP, Compliance Management. Если регуляторы придумают что-то интересное, то я тоже об этом напишу.

Спасибо за внимание. Надеюсь вы найдете здесь что-то полезное.