В российских госорганизациях наиболее распространенными уязвимостями являются слабые пароли и устаревшее программное обеспечение. Анализ, охвативший более 200 проектов в сфере тестирования безопасности (пентестов), показал, что 63% из них относятся к государственному сектору.
Слабые пароли обнаружены в одной трети проектов, среди которых встречаются простые и общепринятые варианты, такие как «password», «user1» и последовательности цифр, включая пустые пароли в приложениях «1С».
Еще одной серьезной проблемой остаются системы с известными уязвимостями. Например, ПО вроде Liferay, «1С-Битрикс» и Microsoft Exchange имеет проблемы, несмотря на доступные обновления безопасности. Множество организаций не спешат их устанавливать, что открывает путь киберпреступникам.
По статистике, эксперты нуждаются в 1-5 днях для преодоления защитного периметра, что подчеркивает серьезные риски. Александр Колесов из Solar JSOC объясняет, что крупные государственные учреждения часто не могут надлежащим образом обновить ПО. Важно учитывать, что обновления могут затрагивать стабильность работы важных сервисов, из-за чего процесс может затягиваться.
Государству крайне важна стабильность в предоставлении услуг гражданам. Несмотря на достижения, уровень защищенности региональных государственных организаций все еще остается ниже, чем у федеральных. Увеличение бюджета на информационную безопасность (ИБ) становится необходимостью для повышения защиты.
Ситуация постепенно улучшается, однако остаются критические уязвимости, особенно в мобильных приложениях, которые используются для получения госуслуг. Эти уязвимости включают незашифрованное хранение данных, утечку отладочной информации и недостаточный контроль доступа.
Никита Басынин, аналитик компании Positive Technologies, утверждает, что высокий процент организаций с обнаруженными уязвимостями не свидетельствует о катастрофической ситуации. Исследования проводятся именно с целью выявления уязвимых мест и предоставления организациям возможностей для улучшения безопасности.
Объясняя этот высокий процент, Басынин проводит аналогию с медицинским обследованием: если у 60% пациентов нашли проблемы, это не означает, что они смертельно больны, а лишь говорит о том, что обследование полезно для выявления проблем и их исправления до того, как они станут серьезными.
Таким образом, регулярные проверки в области кибербезопасности важны для своевременного выявления и устранения проблем, что подтверждает отсутствие абсолютно защищенных структур.
Проведение проверок кибербезопасности является крайне важным в условиях увеличения риска кибератак для организаций любого размера. Наиболее актуальными угрозами остаются программы-шифровальщики и инциденты, приводящие к утечке данных. Уязвимости присутствуют в любой системе, поэтому их необходимо обнаруживать и устранять.
Заказ тестирования на проникновение и аудит информационной безопасности свидетельствует о серьезном подходе государственных компаний к защите информационных систем, говорит Сергей Голованов, главный эксперт «Лаборатории Касперского». Он подчеркивает, что, несмотря на советы экспертов, пользователи часто пренебрегают основными правилами безопасности, включая создание сложных паролей и регулярное обновление программного обеспечения.
По мнению депутата Госдумы Антона Немкина, выводы из исследования ясны: для повышения безопасности нужно пересмотреть стратегии управления паролями, обновления ПО и защиты мобильных приложений. Он выделяет, что комплексная кибербезопасность должна стать приоритетом для снижения рисков утечек данных.
Пентесты играют критическую роль в выявлении уязвимостей, позволяя организациям смотреть на свою инфраструктуру глазами хакера и тем самым заранее находить и устранять реальные точки входа для злоумышленников. В условиях стремительно растущего числа атак организации должны активнее заниматься тестированием на проникновение, чтобы защитить свои данные.
Депутат также отметил, что необходимо предусмотреть законодательные меры для регулирования работы специалистов по тестированию безопасности в стране.
