ИБ в нефтегазовой отрасли: опасные халатные инсайдеры
Исследовательская организация Ponemon Institute подготовила отчет «The State of Cybersecurity in the Oil & Gas Industry: United States». В ходе работы над документом было опрошено 377 компаний.
Как выяснили исследователи, развитие мер информационной безопасности часто не успевает за внедрением цифровых технологий в нефтегазовой отрасли. Только в 35% опрошенных организаций оценили уровень принятых мер ИБ как высокий. Большинство же оценивало уровень ИБ в организации как низкий либо средний. Что касается инцидентов, то с ними сталкивались за 2016 года в 68% компаниях: имели место утечки данных и остановки в работе OT (Operational Technology).
Напомним, что Operational Technology - это набор программного и аппаратного обеспечения, задачей которого является управление такими устройствами, как клапаны, насосы, и т. д. Этот термин отличается от традиционных терминов ИТ и близок к Industrial Control Systems (системы управления производственными процессами). Термин OT чаще применяется в таких отраслях, электроснабжение и инженерные системы, химическое производство, водоочистка и канализация, транспорт и управление научными экспериментами.
Среди опрошенных 59% компаний полагают, что последствия кибератак на OT-решения могут быть более потенциально тяжелыми, чем на IT-решения. Еще 67% полагают, что за несколько последних лет риски заметно выросли.
66% опрошенных четко понимают, что внедрение цифровых технологий в нефтегазовых компаниях заметно увеличивает ИБ-риски. При этом, как указано в тексте выше, за последний год инциденты наблюдались в 68% компаний. То есть часть компаний, даже столкнувшись с проблемами, не связывают рост количества угроз с внедрением современных технологий.
Главное, в чем представители американских нефтегазовых компаний видят опасность — это люди: 65% респондентов считают, что главная угроза кибербезопасности на их предприятии - это халатный или небрежный инсайдер. А еще 15% респондентов считают, что это злонамеренный или преступный инсайдер. Таким образом, подавляющее большинство опрошенных подчеркивают необходимость применения передовых решений для выявления безответственного или атипичного поведения персонала. Тем не менее, несмотря на такое мнение, только 20% компаний в ближайший год планирует приступить к внедрению UBA-решений (User Behavior Analytics, анализ поведения пользователей).
Напомним, ранее компания Absolute Software выяснила, что поколение Millennials (или «поколение Y» включает в себя молодых людей, рожденных с начала 1980-х) представляет больший риск для ИБ по сравнению с представителями других возрастных групп. Новички и стажеры привносят в компании новые идеи и «свежую кровь», но также резко увеличивают ИБ-риски. Максимальный риск представляют стажеры, которые знают, что будут работать в компании недолго, а также совсем молодые сотрудники ощущают намного меньше ответственности за соблюдение норм безопасности, чем их старшие коллеги. Порядка 35% молодых сотрудников проводят изменения настроек в вычислительных устройствах, установленных по умолчанию (среди их старших коллег таких 8%). И четверть представителей «поколения Y» легко идет на ИБ-компромиссы, делая то, что нельзя, но очень хочется (поколение, рожденное в шестидесятые годы прошлого века, поступает так всего в 5% случаях).
Чем больше в компании молодежи тем выше уровень ИБ-безответственности.