Агробизнес под прицелом: как кибербезопасность приходит в сельское хозяйство

«С ростом цифровизации растет потребность в защите данных»

— Агробизнес — отрасль традиционно не самая цифровизированная в нашей стране. С чем связан интерес злоумышленников-хакеров к этому сектору?

— Интерес АПК вызывает, поскольку является одной из системообразующих отраслей в России. Цели у всех группировок разные. Есть «хактивисты» и АРТ-группировки, которые делают это ради собственного интереса — финансового или политического. А есть просто ребята, которые решили проверить свои силы незаконным путем.

Но, как показывает практика инцидентов, которые уже известны рынку, основной задачей злоумышленника является остановка процессов. Хакер либо через подрядчика, либо напрямую проникает в инфраструктуру и останавливает какой-либо бизнес-процесс. Чаще всего цель — система 1С, которая в цифровизированной инфраструктуре является основным учетным инструментом. Как правило, хакеры шифруют ее — и работа компании парализуется.

Мы для одного из заказчиков рассчитали такой пример: отгрузка яиц происходит в количестве примерно 15—20 фур в день. Фуры расписаны по времени, и если в течение четырех часов они не будут нагружены — предприятию грозят миллионные штрафы от ретейлеров. Мы видим огромный прямой ущерб. Плюс срывы поставок контрагентам. В случае яиц хотя бы нет порчи продукции — день они переживут. А вот в случае молока все будет еще печальнее.

Поэтому у каждого агропредприятия риски свои, в зависимости от специализации. И к каждому бизнесу надо подходить максимально детально, когда выстраиваешь систему информационной безопасности. По аналитике ключевых вендоров, в России ИБ-атаки будут только расти, и к этому надо готовиться. Откладывать на потом нельзя: несмотря на то, что кейсы взломов крупных агрохолдингов непубличны, они уже есть, и их плотность нарастает.

— Сейчас в отрасли господствуют два разнонаправленных тренда. Один — растущая цифровизация. Второй — чем больше данных оцифровано, тем более явную цель ты представляешь для хакеров. Верно?

— Действительно, с ростом цифровизации растет потребность в защите данных, потому что расширяется окно возможностей для хакеров. При этом не бывает идеально защищенной инфраструктуры, поэтому надо выстраивать постоянный мониторинг кибербезопасности. И это должен понимать каждый руководитель.

— Насколько отрасль дозрела до таких вещей? Агрохолдинги уже проводят кибериспытания?

— Есть такие кейсы, их пока немного, но ведущие игроки отрасли уже обращают на это внимание и выстраивают систему кибербезопасности. Как это и бывает обычно, за флагманами следуют и представители среднего бизнеса — процесс сейчас на подъеме.

«Наш российский менталитет таков: пока не случится инцидент — ничего не произойдет»

— Руководители многих компаний считают, что раз антивирус на компьютерах установлен — этого достаточно. Разве нет?

— Менталитет наш российский таков: пока не случится инцидент — ничего не произойдет. Клиенты говорят, что после инцидентов наступает принятие ситуации, и бизнес наконец понимает: нужно вкладываться в защиту информации. Но я повторюсь: инциденты в АПК — это уже сегодняшний день, они есть, атаки начались, и защиту предприятий нужно усилить.

— Активная разработка сельхоздронов, управление системами автополива и другие способы увеличения технологичности — это новые точки риска?

— Любой цифровой процесс требует защиты, если он не происходит в изолированном контуре. Крупному и среднему бизнесу уже есть смысл подробнее обратить внимание на информационную безопасность.

Очень активно идут аграрии и в ИИ, хотят снизить ручные операции, получить хорошую аналитику. Но использование ИИ ведет за собой серьезные риски.

Для технической защиты конфиденциальных данных на рынке появились решения класса AI-Proxy. Это безопасный шлюз, который встает между сотрудником и нейросетью: находит чувствительную информацию и вырезает ее еще до отправки запроса к модели.

Однако технические средства решают проблему лишь частично. Главная задача сегодня — выстроить процессы так, чтобы сотрудники не пытались обойти защиту. Для этого необходимо разработать удобный внутренний инструмент, прописать четкие правила доступа для разных типов документов и обучить персонал цифровой гигиене. Этой организационной работой стоит заняться уже сейчас, пока случайное использование нейросетей не привело к реальным инцидентам и утечкам коммерческой тайны.

— То есть уже и для агробизнеса ИБ — это не статья затрат, а сохранность инвестиций?

— Да, потому что все это связано с бизнес-процессами и информационными системами, которые их обслуживают. Причем универсального подхода не может быть, все зависит от многих факторов.

«Прежде чем встать на базовый мониторинг, заказчик должен выполнить «киберминимум»

— На профильной сессии Международной выставки «Агроволга» вы рассказывали про услугу разворачивания центра противодействия кибератакам (ЦПК). Насколько эта услуга востребована у агропредприятий в Татарстане и Поволжье?

— Общаясь с ИТ-подразделениями на предприятиях, мы понимаем: их собственных кадров зачастую не хватает даже для обеспечения текущих задач. А формирование полноценного центра противодействия киберугрозам требует вложений и обученных людей.

Поэтому на рынке появилась потребность в услуге мониторинга, чтобы помочь компаниям выполнить хотя бы базовый уровень кибергигиены. Есть предложения для разного уровня защищенности. Например, заказчик получает услугу мониторинга, платит не только за нее, но и за средства защиты информации (СЗИ), входящие в пакет. Тем самым они покрывают инфраструктуру базовыми средствами.

Но стоит понимать: в такой услуге мы можем отразить атаку небольшой группировки, не более. Если речь о профессиональных группировках, нужно уходить в полноценный мониторинг со своим или с купленным ЦПК и приводить в порядок процессы.

Мы всегда советуем: надо считать экономическую эффективность. В моменте свой ЦПК очень дорогой, невозможно сразу создать полноценный центр противодействия кибератакам. Даже холдинги подходят к этому поэтапно: сначала проводят пилот, потом сравнивают две модели — сервисную и свою. «Узкое место» в этой задаче — наличие квалифицированных кадров. Если есть возможность его обеспечить — все получится. Если нет — есть другой выход: коммерческий ЦПК или облачный сервис. Все зависит от задач бизнеса, которые надо решить.

— Как с точки зрения бизнеса подписывается договор на такой мониторинг?

— Чаще всего происходит оформление подписки на какой-то период (например, годовой). Заказчик, прежде чем встать на базовый мониторинг, должен выполнить определенный киберминимум — стопроцентное покрытие инфраструктуры как минимум EDR-агентами. После этого подписывается договор, в котором определяются и прописываются критерии обнаружения и реагирования.

Подготавливаются несколько сценариев. Базовый — когда мониторинг видит происходящее в сети, звонит заказчику и сообщает о неполадках. Либо разрабатываются плейбуки — сценарии реагирования, и заказчик сам реагирует на возникающие угрозы либо при их возникновении временно отдает бразды правления вендору. Возможен и полный цикл реагирования от сервисного партнера. Как именно — обсуждается индивидуально, потому что нельзя отдавать управление на сторону на 100%: при выборе облачного сервиса только заказчик знает, как между собой взаимодействуют внутренние сервисы.

«Нужно определить, за счет каких критичных сервисов генерируется 90% прибыли компании. Их и надо защищать»

— С чего начать заказчику, если он хочет усилить инфраструктуру ИБ?

— Если в компании уже понимают необходимость вложений в информационную безопасность, нужно в первую очередь разработать план усиления инфраструктуры текущими средствами — процедура харденинга. Если собственных компетенций не хватает, можно прийти к нам: мы проведем аудит, посмотрим, как выстроена защита, и создадим план доработки.

К примеру, самая частая ошибка — когда все сервисы размещены в одном сетевом сегменте. И если злоумышленник захватывает одну станцию, он видит все устройства в сети. У нас был опыт с одним из заказчиков из агропромышленного комплекса: усиливать защиту мы начали именно с этого — с сегментации сети. Поменяли оборудование, дизайн сети, распределили каждый сервис — пользователей, телефонию, прочее — в отдельные сегменты, настроили обработку трафика через межсетевой экран. Тем самым создали базовую защиту на уровне сети.

Далее мы вместе с руководством разрабатываем оптимальный план развития ИБ, подходящий этой компании.

— А если плана развития пока нет?

— Если на первом этапе закрыть заказчик хочет только базовые уровни — значит, ему надо пройти харденинг, установить на всех хостах EDR, отладить элементы сетевой безопасности. Вишенкой на торте будет формирование правильного плана бэкапирования критичных сервисов.

— Непосредственно руководитель должен разбираться в этих процессах? Или вы работаете с сотрудниками ИБ-отдела на предприятии? Кто разрабатывает и утверждает этот план?

— Главная задача руководителя — на первом же этапе создать группу ответственных за информационную безопасность. Это должен быть человек из топ-менеджмента — директор по кибербезопасности или по цифровизации. Чтобы бизнес опускал задачи на ИБ и ИТ таким образом, чтобы было понимание, чего хочет руководство, и таким образом можно было уберечься от избыточных инвестиций. Совместно с топ-менеджерами нужно определить, за счет каких критичных сервисов генерируется 90% прибыли компании. Их и надо защищать в первую очередь.

«Атака может развиваться через подрядчика»

— Каков портрет вашего клиента в области АПК?

— Мы ориентированы на крупный и средний бизнес. У таких компаний и задач больше, и уровень инфраструктуры выше.

Но есть важный нюанс: атака может развиваться через подрядчика, по цепочке поставок при условии, что у него есть доступ к цифровой инфраструктуре заказчика. Поэтому уже появляются требования к подрядчикам по рейтингу киберрисков. Например, у нас есть задачи от крупных предприятий: мы обсуждаем риски и помогаем разрабатывать чек-листы защищенности для подрядчиков, которым те должны соответствовать. Отрасль взрослеет, понимает необходимость выстраивания киберзащиты, дальше это будет ужесточаться. Поэтому мы сейчас смотрим дальше периметра своих крупных заказчиков.

— Человеческий фактор — самое слабое звено. Как организовать обучение сотрудников, чтобы оно не вызывало отторжения и помогало решить задачу?

— Если просто читать лекции, люди будут засыпать и ничего не запомнят. Мне нравится, когда в обучение добавляют интерактив: информация подается порционно, а потом идет практическая часть. Например, в тестовой среде надо кликнуть по фишинговому письму и посмотреть, как разворачивается атака. Сотрудник наглядно увидит, как шифруется его рабочая станция, это запоминается лучше, чем просто рассказ.

— Предположим, компания прошла все рекомендованные вами шаги. Как руководителю понять, что можно выдохнуть?

— Никак (улыбается, — прим. ред.). Когда вы уже построили защиту и арендовали ЦПК, надо постоянно все проверять. Есть практика редтиминга — нанимается сторонняя команда для легитимного взлома, чтобы посмотреть, как отрабатывает ЦПК. Потому что, если в инфраструктуре всегда все хорошо, бдительность падает.

Кроме того, нужно регулярно пересматривать концепцию ИБ. За год добавляются новые информационные системы — это новые векторы атаки, или новые процессы, или еще 300 рабочих станций... Инфраструктура динамично меняется, вслед за ней надо менять стратегию и процессы ИБ. Все, что происходит в цифровизации, напрямую отражается в кибербезопасности предприятия.

«Интегратор должен помогать, находиться рядом и не бросать компанию после наладки процессов»

— Чем конкретно ваша компания может помочь компаниям из агросектора?

— Во-первых, мы выстраиваем доверительные отношения с заказчиками. Не только рассказываем, что такое кибербезопасность, но и проводим аудит всех процессов. По полученной информации выдаем рекомендации по харденингу и инфраструктуре — описываем, что необходимо изменить. Предоставляем документы: результаты аудита, краткосрочную и долгосрочную перспективу. Все это объясняем и разбираем с заказчиком.

Потом начинаем строить работу. Здесь есть особенность: часть инфраструктуры нельзя трогать в разгар сезона, поэтому мы планируем работы, прописываем четкие графики остановок оборудования, чтобы не нарушить деятельность предприятия. Со стороны заказчика обязательно назначается ответственный — без этого ничего не «взлетит».

Когда инфраструктура приведена в порядок, начинаем выстраивать базовую кибербезопасность. Настроим межсетевой экран и защиту на периметре. Параллельно установим EDR, ставим средства анализа технологического и корпоративного трафика, проверяем файлы через «песочницы», обучаем сотрудников. Так мы обеспечиваем полноценный проект по построению ИБ.

При этом мы хорошо понимаем, к чему хотим прийти, а заказчик знает, что будет на следующем шаге и сколько он должен будет вложить. Наш план позволяет четко планировать затраты — деньги искать в моменте не придется, они уже заложены в финплан.

Мы понимаем бизнес, под него разрабатываем конкретные решения, помогаем понять стоимость и в конечном счете оставляем заказчику рабочий процесс и средства защиты, которые он дальше будет эксплуатировать.

— Сотрудников вы тоже консультируете? Уровень компетенций у всех разный.

— Когда дело доходит до технических брифов, мы работаем с техническим персоналом заказчика. Формируем программу методики испытаний, показываем функционал. В ряде случаев предлагаем консультирование на определенный период после внедрения либо планируем обучение персонала, чтобы человек понимал, как работать с новыми СЗИ.

Философия нашей работы состоит в том, что мы помогаем заказчику в решении его бизнес-задач и не оставляем его один на один с новым софтом и с новой реальностью кибербезопасности. Как интегратор мы остаемся рядом с заказчиком и на стадии внедрения решений по кибербезопасности, и на стадии их повседневной работы.

— То есть вы выступаете и как аудитор, и как консалтинговый партнер, и как интегратор?

— Верно. Заказчики хотят допускать к своей инфраструктуре только партнера-интегратора, который имеет экспертизу, понимает рынок, плюсы и минусы каждого решения и не бросит заказчика, — это ключевое. Ведь большинство IT-специалистов на предприятиях привыкли к западным решениям, известным им со студенчества. А сейчас надо переобучаться на решения с другой логикой. Поэтому интегратор должен помогать, находиться рядом и не бросать компанию после наладки процессов. Мы быстро реагируем на запросы, всегда на связи, аккаунт-менеджер в курсе проблем круглосуточно. Не оставляем заказчика с проблемой один на один.

У нас уже есть опыт работы с предприятиями из АПК. А значит, нам знакома эта сфера, ее главные риски и точки, которым следует уделить особое внимание.

Реклама. ООО Софт решения