Strict Standards: Only variables should be assigned by reference in /home/crimerus/public_html/manage/_config_.php on line 52
Анализ состояния киберпреступности и компьютерной безопасности за 2005 год

Центр исследования компьютерной преступности

home контакты

Анализ состояния киберпреступности и компьютерной безопасности за 2005 год

Дата: 20.02.2006
Источник: Электронные офисные системы


hack/x_cyber.gif Подготовлен совместно ФБР и Институтом компьютерной безопасности CSI

25 июля 2005 года опубликован очередной ежегодный обзор состояния киберпреступности и компьютерной безопасности, подготовленный совместно ФБР и Институтом компьютерной безопасности (Computer Security Institute, CSI)

Были опрошены 700 американских специалистов по компьютерной безопасности, работающих в корпорациях, государственных агентствах, кредитно-финансовых организациях, в медицинских учреждениях и университетах – почти вдвое больше, чем в 2004 году. Основное внимание было уделено таким вопросам, как:

* Несанкционированное использование компьютерных систем.
* Количество инцидентов внешнего и внутреннего «происхождения».
* Замеченные типы атак или злоупотреблений.
* Меры, принятые в качестве ответной реакции на проникновение в компьютерные системы.

Отчет 2005 года также затрагивает ряд новых проблем, впервые отмеченных в обзоре за 2004 год. Все они связаны с экономическими решениями, которые организациями приходится принимать в отношении обеспечения компьютерной безопасности и управления соответствующими рисками:

* Как организация оценивает отдачу от своих инвестиций в компьютерную безопасность.
* Потребности организации в обучении персонала по вопросам компьютерной безопасности.
* Уровень расходов организации на компьютерную безопасность.
* Влияние аутсорсинга (передачи определенных функций сторонним организациям) на деятельность по обеспечению компьютерной безопасности.
* Влияние закона Сарбейнса-Оксли 2002 года, резко ужесточившего требования к корпоративной отчетности и аудиту.
* Использование аудитов системы безопасности и «внешнего» страхования.
* Доля бюджета подразделения информационных технологий (ИТ) организации, выделяемая на решение вопросов компьютерной безопасности (по данным опроса, большинство организаций тратит на обеспечение безопасности от 1 до 5 % бюджета ИТ).

Основные итоги опроса следующие:

* Вирусные атаки по-прежнему остаются главной причиной финансовых потерь. В то же время резко увеличился ущерб, связанный с несанкционированным доступом. В итоге несанкционированный доступ оттеснил со второго места по уровню нанесенного ущерба на четвертое атаки типа «отказ в обслуживании» (denial of service). На третье место вышла кража конфиденциальной информации.
* Уровень несанкционированного использования компьютерных систем по сравнению с предыдущим годом слегка увеличился. Одновременно респонденты отметили, что уменьшилась общая величина финансовых потерь из-за киберпреступности. Поскольку число участников опроса удвоилось, величина средних потерь в расчете на организацию резко уменьшилась. В то же время в двух областях (неавторизованный доступ к информации и кража персональных данных) отмечено заметное увеличение среднего уровня потерь в расчете на организацию.
* Резко увеличилось число инцидентов, связанных с интернет-сайтами.
* Изо всех отраслей экономики и государственного управления, больше всего тратят на информационную безопасность и имеют наибольший уровень расходов в расчете на одного сотрудника правительства штатов США ($ 500 на человека). Это предположительно объясняется принятием на уровне штатов целого ряда законов по обеспечению информационной безопасности. Интересно, что федеральное правительство США оказалось среди наиболее «скупых» - его уровень расходов всего $ 30 на человека в год.
* Несмотря на все разговоры о развитии аутсорсинга, соответствующие результаты опроса совпадают с данными 2004 года и показывают незначительный уровень аутсорсинга деятельности по обеспечению информационной безопасности. Только 10% организаций передает на аутсорсинг более 20% соответствующих функций. Даже среди тех организаций, которые используют такой аутсорсинг, процент предаваемых внешним организациям функций невелик.
* Страхование компьютерной безопасности по прежнему малопопулярно (используется только в четверти организаций), - несмотря на многочисленные статьи о растущей роли киберстрахования.
* Сохранилась тенденция предыдущих лет по снижению процента организаций, сообщающих силовым органам об инцидентах в области компьютерной безопасности. Основой причиной этого служит боязнь падения курса акций и возникновения негативного имиджа организации. В качестве второй по важности причины молчать оказалась боязнь действий конкурентов.
* Значительная часть организаций проводит оценку экономической эффективности своих расходов на компьютерную безопасность. При этом 38% используют в качестве основного показателя возврат на инвестиции (return on Investment, ROI), 19% внутреннюю норму доходности (Internal Rate of Return, IRR), и 18% - чистая приведенная стоимость (Net Present Value, NPV).
* Аудиты системы безопасности проводят 87% организаций – прирост по сравнению с 82% в 2004 году.
* Закон Сарбейнса-Оксли начал влиять на деятельность в области информационной безопасности в большем числе отраслей, чем в прошлом году.
* Большинство опрошенных считают важным, чтобы персонал имел представление о компьютерной безопасности. Однако в среднем респонденты считают, что их организации недостаточно инвестируют в соответствующее обучение сотрудников.

Источник: Lawrence A. Gordon, Martin P. Loeb, William Lucyshyn and Robert Richardson "2005 CSI/FBI Computer Crime And Security Survey", Computer Security Institute, 2005

Добавить комментарий
Всего 0 комментариев


Copyright © 2001–2021 Computer Crime Research Center

CCRC logo