Україна опинилася в унікальній ситуації: країна одночасно є найбільш атакованою в кіберпросторі й однією з тих, хто накопичив найбільше практичного досвіду оборони. Розберемо, який тут ландшафт загроз, хто грає на полі кібербезпеки та що з цього має знати український бізнес.
Що робить український контекст іншим
Три особливості, яких немає в більшості країн.
1. Атаки як частина ширшого конфлікту. Вони цілять радше в роботу держави й суспільства, аніж у гроші: енергетика, зв'язок, державні реєстри, медіа, логістика. Мета — хаос, а зовсім не викуп.
2. Постійний тиск замість поодиноких кампаній. Проти України діють добре забезпечені APT-групи, які працюють роками, з масованим цільовим фішингом і швидким використанням свіжих вразливостей.
3. Бізнес як мішень і як сходинка. Приватну компанію атакують заради доступу до партнера — держоргану чи об'єкта критичної інфраструктури.
При цьому звичайна кіберзлочинність нікуди зникла лише в уяві: шахрайство, програми-вимагачі і фішинг проти малого бізнесу лишаються масовими. Кібербезпека України — це водночас війна й буденна злочинність; захист від них будується схоже, а от мотиви зловмисників різні.
Хто грає на полі кібербезпеки
Держава. Національна система тримається на розподілі ролей: координація, реагування через національну команду, протидія злочинам, оборонний напрям, окремі правила для фінансового сектору. Нормативна база й перелік органів — у статті про державну інформаційну безпеку.
Приватний сектор. Українські компанії з кібербезпеки, банки, оператори зв'язку. Вони захищають не тільки себе — фактично вони тримають частину критичних сервісів країни.
Міжнародні партнери. Технічна допомога, обмін даними про загрози, підтримка від великих технологічних компаній і партнерських урядів. Саме вона дала змогу швидко відновлювати те, що руйнували.
Професійна спільнота. Обмін індикаторами компрометації, спільні розслідування, публічні звіти (див. MISP).
Головна риса української моделі — тісна публічно-приватна взаємодія. Держава публікує дані про активні кампанії, бізнес їх використовує й повідомляє про інциденти назад. Кібербезпека України тримається не на єдиному центрі, а на швидкості обміну.
Куди рухається регулювання кібербезпеки
Головна зміна останніх років — наближення правил до європейських підходів. Що це означає практично:
- ризик-орієнтований підхід замість формального переліку заходів: спершу оцінюють ризики, далі складають план і рухаються до цільового стану;
- ширше коло компаній, які підпадають під вимоги, — уже далеко за межами держпідприємств;
- обов'язкові базові заходи та щорічний перегляд плану;
- персональна відповідальність: у регульованих організаціях запроваджено посаду керівника з кіберзахисту.
Деталі — у статті про об'єкти критичної інфраструктури. Загальний напрям простий: вимоги посилюються, а перевіряють уже не наявність папірців, а сліди реальної роботи.
Кадри й спільнота: тихий фронт
Про це говорять рідко, проте саме тут вирішується довгий бій. Українська кібербезпека зростала не лише за рахунок технологій — вона зростала за рахунок людей, які за кілька років пройшли шлях від теорії до щоденної практики.
Наслідки подвійні. З одного боку, українські спеціалісти цінуються за кордоном, і відтік кадрів реальний. З іншого — усередині країни сформувалася спільнота, яка ділиться досвідом відкрито: розбори атак, публічні звіти, безкоштовні матеріали, курси. Для невеликої компанії це означає, що базові знання з кібербезпеки доступні майже задарма — бракує зазвичай не інформації, а рішення її застосувати.
Що з цього корисно бізнесу — практично
Незалежно від розміру компанії, ви можете скористатися тим, що вже створено коштом країни.
- Стежте за попередженнями національної команди. Там публікують інформацію про активні кампанії та індикатори компрометації — їх можна завантажити у свої фільтри й одразу підняти захист. Це безкоштовно.
- Повідомляйте про інциденти. Команда реагування приймає звернення й допомагає з розбором (див. план реагування).
- Перевірте свій статус. Раптом ви вже об'єкт критичної інфраструктури — краще дізнатися про це заздалегідь, аніж під час перевірки.
- Готуйтеся до європейських правил. Вимоги, які сьогодні стосуються великих, завтра дійдуть до середніх.
- Закрийте базу. Хоч би який ландшафт, більшість атак починається з фішингу, слабких паролів і невстановлених оновлень.
Найдешевший спосіб скористатися чужим досвідом — читати публічні розбори інцидентів. Там описані конкретні вектори, конкретні помилки й конкретні кроки, які спрацювали. Матеріал, за який за кордоном платять консультантам, тут лежить у відкритому доступі.
Одне застереження: попередження варто переглядати щотижня, у визначений день. Інакше добрий намір розчиняється у поточних справах.
Що змінилося за останні роки
Картина стала складнішою, ніж «нас атакують — ми тримаємось».
Зрілість зросла. Українські організації навчилися помічати те, чого раніше просто не бачили: з'явилися журнали, моніторинг, призначені відповідальні. Частина зростання статистики пояснюється саме цим.
Нападники змістилися. Коли технічні двері почали зачиняти, вони пішли через людину: соціальна інженерія, підроблені голоси, листи без жодної помилки.
Регулювання наздогнало практику. Те, що раніше було доброю звичкою обізнаних компаній, стало обов'язком: план, відповідальний, звітність про інциденти.
Уроки, які Україна віддає світу
За роки постійних атак українська кібербезпека виробила кілька висновків, за якими сьогодні вчаться інші країни.
Резервні копії — зброя, а зовсім не формальність. Саме вони рятували реєстри й бази, коли інші рівні здавали. Копія в іншій країні перестала бути параноєю.
План відновлення важливіший за ідеальний захист. Стійкість перемагає ілюзію невразливості: питання лише в тому, за скільки годин ви повернетеся.
Обмін інформацією працює. Коли одна організація ділиться індикаторами, десятки інших не постраждають. Мовчання коштує дорожче за сором.
Люди — головна лінія оборони. Технології безсилі проти відкритого фішингового листа; навчений працівник — ні.
Розподілена інфраструктура витримує краще за міцну. Дані, які лежать у трьох місцях, переживають те, чого не переживає єдиний надійний сервер.
Три помилки українського бізнесу
«Нас захистить держава». Держава попереджає, координує, допомагає з розбором. Але паролі, копії та оновлення — усе одно ваша робота: кібербезпека України складається із захищеності кожної окремої компанії, а не навпаки.
«Ми ж не воюємо». Дев'ять із десяти атак на малий бізнес мотивовані грошима, а зовсім не політикою. Ландшафт лише додав до звичайної злочинності ще один шар.
«Про інцидент краще мовчати». Мовчання рятує репутацію рівно доти, доки про витік не розкажуть клієнти. Зате воно гарантовано допомагає нападнику дійти до наступної компанії — можливо, вашого партнера.
Чого український бізнес досі не робить
Три речі, безкоштовні до останньої копійки, — і яких усе одно бракує в більшості компаній.
Не читає попереджень. Індикатори компрометації лежать у відкритому доступі, проте завантажують їх одиниці. Кібербезпека в Україні влаштована так, що держава робить першу половину роботи — другу має зробити хтось усередині компанії.
Не перевіряє підрядників. Той, хто обслуговує вашу пошту, часто має ширші права, ніж будь-хто зі штату. Одне питання «покажіть перелік людей із доступом» економить місяці розслідувань.
Не тренує відновлення. Копія є майже в усіх, а розгортали її одиниці. Саме на цьому кроці українські компанії втрачали найбільше — і саме він коштує найдешевше.
Кібербезпека України цікава світові саме тим, що всі ці висновки перевірені не на навчаннях, а на практиці — під безперервним тиском і з обмеженим бюджетом.