Базові правила захисту однакові скрізь. А от пріоритети різні: те, що критично для банку, буває другорядним у клініці — та навпаки. Розберемо специфіку трьох галузей, додамо ще три коротко й закінчимо тим, що об'єднує всіх, — захистом сайту.
Що визначає пріоритет галузі
Орієнтир простий: яка з трьох цілей тріади коштує вам найдорожче.
- конфіденційність — коли витік руйнівний (клініки, юристи, кадрові агенції);
- цілісність — коли підміна даних катастрофічна (фінанси, виробництво);
- доступність — коли простій дорівнює прямим втратам (інтернет-торгівля, сервіси).
Важливі, звісно, усі три. Але пріоритет вирішує, куди підуть перші гроші та перші години роботи. Пріоритет — річ рухома: варто магазину відкрити медичний напрям, і поруч із доступністю з'являється таємниця даних пацієнта.
Кібербезпека для банкінгу: цілісність і шахрайство
Що критично: незмінність транзакцій, надійне впізнання клієнта, протидія шахрайству.
Специфічні загрози:
- підміна платіжних реквізитів — зокрема через цільовий фішинг бухгалтерії;
- компрометація клієнтських рахунків — фішинг, дзвінки, соціальна інженерія;
- підроблені сторінки й застосунки, які збирають дані картки;
- інсайдер — працівник із легальним доступом до фінансових даних;
- атаки на доступність (DDoS): клієнт, який не може провести оплату, — уже втрачений клієнт.
Що особливо важить: сувора багатофакторна автентифікація, моніторинг нетипових операцій, розділення обов'язків (аби критичний платіж не міг провести одноосібно одна людина) і жорсткі вимоги регулятора — у фінансовій системі свою роль відіграє Національний банк.
Неочевидне: банк захищає не лише себе. Його слабким місцем часто стає підрядник — інтегратор, кол-центр, рекламна агенція з доступом до систем. Суворість тут пояснюється й математикою: одна вдала схема масштабується миттєво — та сама вразливість спрацьовує у тисяч клієнтів одночасно.
Кібербезпека в охороні здоров'я: конфіденційність та безперервність
Що критично: таємниця даних пацієнта — і водночас безперебійна робота обладнання. Особливість галузі у тому, що ставкою є не лише гроші, а здоров'я людей.
Специфічні загрози:
- програми-вимагачі — найболючіше: зашифрована система здатна зупинити роботу закладу;
- витік медичних даних — особливо чутлива категорія;
- вразливе обладнання — апарати з давнім програмним забезпеченням, яке неможливо просто оновити;
- широкий доступ персоналу — багато користувачів, часто без ІТ-підготовки;
- спільні облікові записи на постах — класика, після якої неможливо з'ясувати, хто саме відкрив картку.
Що особливо важить: резервні копії й перевірений план відновлення (простій неприпустимий), сегментація мережі, аби відокремити медичне обладнання від офісної, розмежування доступу до карток, навчання персоналу.
Неочевидне: старий апарат, який неможливо оновити, — не привід здаватися. Його ізолюють: окремий сегмент мережі, заборона виходу назовні, доступ лише з визначених станцій. Корінь проблеми зазвичай у договорі: постачальники обладнання роками не згадували в них про оновлення програмної частини.
Інтернет-торгівля: доступність і платіжні дані
Що критично: аби майданчик працював, а оплати клієнтів лишалися захищеними.
Специфічні загрози:
- DDoS у піковий сезон — атака у найгарячіший тиждень року коштує найдорожче;
- атаки на застосунок — ін'єкції, міжсайтові сценарії, діри у CMS і додатках;
- скімінг оплати — чужий скрипт на сторінці платежу тихо копіює дані картки;
- боти — перебір паролів, скуповування дефіцитного товару, накрутки;
- компрометація панелі адміністратора.
Що особливо важить: WAF і протидія DDoS, оновлення CMS і додатків, багатофакторна автентифікація адміністраторів, контроль сторонніх скриптів на сторінці оплати.
Неочевидне: перед піковим тижнем зміни варто заморозити. Половина «атак» у чорну п'ятницю виявляється власним оновленням додатка, викоченим напередодні ввечері.
Ще три галузі коротко
Виробництво. Головна лінія — між офісною мережею й цеховою. Атака на керування верстатами має фізичні наслідки: зупинка лінії, брак, аварія. Якщо підприємство визнано об'єктом критичної інфраструктури, додаються ще й вимоги закону.
Освіта. Тисячі облікових записів, слабкі паролі, безліч пристроїв, які приносять самі користувачі. Пріоритет — гігієна доступу: унікальні паролі, другий фактор викладачам і адміністраторам, окрема гостьова мережа.
Професійні послуги (адвокати, аудитори, бухгалтери на аутсорсі). Ви зберігаєте чужі таємниці, а отже, стаєте зручним обхідним шляхом до клієнта. Пріоритет — конфіденційність, шифрування архівів і дисципліна пересилання документів.
Логістика. Доступність плюс незмінність: підмінена накладна чи адреса доставки означає зниклий вантаж, а зупинений склад — зірвані строки у десятків клієнтів одразу.
Три галузеві міфи
Галузева кібербезпека обростає міфами швидше за будь-яку іншу тему. Три найстійкіші:
«Ми клініка, грошей у нас немає — навіщо нас чіпати». Вимагачам байдуже до вашого прибутку: вони шифрують усе, до чого дотягнулися, і продають вам же ваші файли. Заклад, який не може працювати, платить швидше за банк.
«Ми маленький магазин, DDoS нам не загрожує». Масові атаки не обирають жертву за розміром. Дешевий удар по вашому сайту під час розпродажу коштує зловмиснику копійки, а вам — тижневої виручки.
«Наші верстати не підключені до інтернету». Перевірте. Дуже часто виявляється, що інженер підрядника залишив канал віддаленої підтримки — «щоб не їздити щоразу».
Спільна риса всіх трьох міфів — переконання, ніби нападник обирає жертву свідомо. Насправді жертву обирає сканер.
Ланцюг постачання: чому чужа галузь стає вашою
Ви можете взагалі не працювати з фінансами чи медициною — і все одно жити за їхніми правилами. Причина проста: галузь вашого клієнта визначає вимоги до вас.
Рекламна агенція з доступом до сайту банку, бухгалтерія на аутсорсі, розробник медичної системи — усі вони стають зручним обхідним шляхом. Нападник не ламає добре захищений периметр клієнта; він знаходить підрядника, у якого немає навіть другого фактора.
Практичний висновок: вимоги до кібербезпеки варто читати не лише у власній галузі, а й у галузі найбільшого замовника. Перевіряється це просто — попросіть у підрядника перелік людей із доступом до ваших систем. Якщо відповідь готуватимуть довше за добу, доступи давно ніхто не переглядав.
Кібербезпека сайту: спільний знаменник
Сайт є майже у кожної компанії — й саме він стає першою мішенню незалежно від галузі. Мінімум, нижче якого опускатися не варто:
- HTTPS і чинний сертифікат.
- Оновлення системи керування вмістом, тем і додатків — найпоширеніша діра.
- Другий фактор на адміністративному вході.
- Фільтр застосунку (WAF) — проти типових атак.
- Резервні копії самого майданчика й бази, перевірені відновленням.
- Захист від DDoS — бодай базовий, через мережу доставки вмісту.
- Мінімальні права облікових записів: редактор не потребує прав адміністратора.
- Контроль сторонніх скриптів — кожен доданий лічильник має власника й причину.
Цей перелік від галузі не залежить — залежить лише глибина. Клініка додасть шифрування архіву, магазин — контроль сторінки оплати, банк — усе перелічене плюс вимоги регулятора.
Перевірити реальний стан допомагає тестування на проникнення: воно показує не теоретичні ризики, а те, куди справді можна зайти.
Бізнес та кібербезпека: три речі, спільні для всіх
Хоч би якою була галузь, три опори не змінюються.
Люди. Вхід нападника майже завжди один — лист або дзвінок. Навчання коштує години на півріччя.
Копії. Перевірена копія поза мережею рятує і клініку, і магазин, і завод. Неперевірена — нікого.
Відповідальний. Конкретна людина, а не «ІТ загалом». Без прізвища у наказі не працює жоден інший пункт.
Порядок теж однаковий скрізь: спершу люди й копії, потім інструменти. Компанії, які починають із дорогого фільтра, зазвичай мають зламану пошту.
Кібербезпека та бізнес перестали бути паралельними світами: у тендерах питають про захист, у договорах з'являються строки повідомлення щодо інцидентів, а партнери перевіряють підрядників. Тому кібербезпека в компаніях різних галузей будується на одному фундаменті — відрізняється лише те, що ставлять зверху.
Як визначити власний пріоритет за три питання
- Що станеться, якщо ваші дані завтра опиняться у відкритому доступі? Катастрофа — ваш пріоритет конфіденційність.
- Що станеться, якщо хтось непомітно змінить цифру у базі? Катастрофа — ваш пріоритет цілісність.
- Що станеться, якщо ви зникнете з мережі на дві доби? Катастрофа — ваш пріоритет доступність.
Найгостріша відповідь і показує, куди вкладати перші гроші. Решту закривають базові заходи — однакові скрізь.
Якщо ж катастрофічними виглядають усі три відповіді — вітаємо: ви або банк, або лікарня, або промисловий об'єкт. Тоді пріоритет визначає вже не бізнес, а закон.