CNews: Как вы можете оценить изменения в глобальном киберпространстве, произошедшие за последние несколько лет?

Андрей Грицаенко: События последних 5 лет заставляют задуматься о том, до какого максимального уровня могут возрасти риски в киберпространстве. Начиная с пандемии коронавируса, динамика развития киберугроз демонстрирует пугающую динамику. В течение последних 4 лет основной вклад в усложнение ландшафта угроз вносит геополитическая ситуация и фактически открытый конфликт между государствами в киберпространстве. Подобные тектонические сдвиги повлияли на восприятие кибербезопасности в большинстве стран мира: стало понятно, что западные вендоры могут внезапно покинуть регион присутствия, оставив клиентов без обновлений и поддержки, а импортные средства защиты превратиться в «кирпич».

Возросшая активность проправительственных хакерских группировок и организованных, координируемых групп хактивистов заставляет компании по всему миру уделять все большее внимание кибербезопасности, учитывая современные тенденции кибератак: фишинг, кибершпионаж, атаки на цепочки поставок, применение систем искусственного интеллекта. Усложняющийся ландшафт киберугроз только способствует повышению уровня уязвимости информационных инфраструктур, что связано с глубоким проникновением цифровизации во многие отрасли экономики, которые становятся чрезвычайно зависимы от надежности и безопасности применяемых информационных технологий, а также с широким использованием облачных инфраструктур, повышением доли применяемых Open Source решений, распространением технологий ИИ.

Для обеспечения адекватной киберзащиты все чаще применяются системы автоматизации, которые позволяют управлять поверхностью атак, выявлять аномалии в защищаемой инфраструктуре, оперативно реагировать на киберинциденты, а также отчасти компенсируют дефицит кадров в отрасли ИБ.

CNews: Какие основные вызовы характерны для финансового сектора Республики Беларусь?

Андрей Грицаенко: Для финансовых организаций в Республике Беларусь актуален широкой спектр киберугроз, так как к традиционным источникам добавляются политически мотивированные хактивисты и проправительственные APT-группировки, нацеленные на кибершпионаж, вывод из строя финансовой инфраструктуры и нанесение максимального ущерба, включая репутационный и социальный. Кроме того, нельзя исключать и вероятность внедрения вредоносного кода в ПО с открытым исходным кодом, которое все чаще применяется в различных корпоративных инфраструктурах, но сильно зависит от качества работы множества независимых разработчиков.

В последнее время, благодаря стремительному развитию и применению систем ИИ, все более актуальным становится вопрос выявления и устранения уязвимостей в ИТ инфраструктуре. Киберустойчивость финансовой системы важна для любого государства, однако для стран, в которых высока доля участия государственных органов в экономике, надежность цифровых процессов влияет еще и на стабильность всей системы госуправления. Тесная взаимосвязь между государственными органами, банками, процессинговыми и расчетными центрами, а также поддерживающими их провайдерами связи, хостинга и инфраструктурных услуг (ЦОДы, облака) — основа устойчивого оказания финансовых услуг, которая базируется на кибербезопасности всех участников взаимодействия.

Важность обеспечения безопасности финансового и иных высокотехнологичных секторов экономики Республики Беларусь подчеркивается и на общереспубликанском уровне: так, в перечне владельцев критически важных объектов информатизации, приведенном в приложении №1 к указу Президента Республики Беларусь №40, больше половины из перечисленных организаций — это представители финансового и страхового секторов, провайдеры услуг связи и ИТ-предприятия. Напомню также, что в соответствии с этим указом, в Республики Беларусь создан Национальный центр обеспечения кибербезопасности и реагирования на киберинциденты, который в том числе обеспечивает работу национальной команды реагирования на киберинциденты (государственный CERT.BY) и ее взаимодействие с командами реагирования центров кибербезопасности государственных органов и иных организаций, включая владельцев критически важных объектов информатизации.

CNews: В чем специфика обеспечения кибербезопасности в Белорусском межбанковском расчетном центре?

Андрей Грицаенко: Белорусский межбанковский расчетный центр (БМРЦ) обеспечивает работу ряда межбанковских автоматизированных систем республиканского значения, таких как система BISS (Belarus Interbank Settlement System — ключевая платежная система Национального Банка Беларуси, в которой в режиме реального времени осуществляются межбанковские расчеты), автоматизированная информационная система исполнения денежных обязательств, система мгновенных платежей и других. Помимо разработки, сопровождения и обеспечения надежной и бесперебойной работы автоматизированных систем, в задачи БМРЦ входит обеспечение информационной безопасности, включая аудит, проектирование и аттестацию систем защиты информации, по выполнению тестирований на проникновение, а также по управлению киберинцидентами силами собственного центра кибербезопасности.

Наш SOC-центр обеспечивает кибербезопасность не только нашей компании, но и предоставляет услуги по обнаружению, предотвращению и минимизации последствий кибератак, расследованию киберинцидентов и реагированию на них, сбору и анализу информации о состоянии защищенности объектов информатизации, а также по информированию Национального центра кибербезопасности о выявленных киберинцидентах. Это накладывает дополнительные требования к уровню защищенности информационной инфраструктуры БМРЦ, уровню зрелости процессов ИБ в организации, надежности применяемых технологий, а также, разумеется, к квалификации наших сотрудников. Подтверждением высокого уровня зрелости выстроенной в БМРЦ системы менеджмента информационной безопасности стало успешное прохождение сертификации на соответствие требованиям стандарта СТБ ISO/IEC 27001-2024 в марте 2025 года.

CNews: Какие киберугрозы актуальны для вашей организации?

Андрей Грицаенко: Перечень актуальных киберугроз обусловлен спектром выполняемых задач и оказываемых нами услуг, поэтому в числе приоритетов можно отметить обеспечение кибербезопасности инфраструктуры, выполнение организационных и технических мероприятий по защите информации и безопасной разработки ПО. Обеспечение инфраструктурной ИБ стало уже классической задачей, методы решения которой, однако, непрерывно меняются с развитием технологий атак и защиты.

Процессы обеспечения кибербезопасности постоянно совершенствуются с учетом все более широкого применения средств автоматизации и дальнейшего совершенствования процессов до выполнения действий в автоматическом режиме, с использованием методов машинного обучения и искусственного интеллекта. Успешная же реализация задач, связанных с внутренней разработкой ПО, во многом зависит от внедрения процессов безопасной разработки, минимизации рисков атак на цепочку поставок и контроля программных зависимостей при разработке и использовании софта.

Таким образом, управлению подлежат не только процессы непосредственного создания ПО, но и использования сторонних компонентов и модулей, задействованных в разработке, а также их перекрестные и транзитивные зависимости. Кроме того, управление рисками кибератак через установленные доверительные отношения с контрагентами (поставщиками, подрядчиками, партнерами) также играет важную роль — следует не только предварительно оценивать киберзащищенность контрагентов и обеспечить надежные методы обмена информацией, но и реализовать разграничение доступа внутри инфраструктуры.

CNews: Кибератаки стали происходить все чаще, последствия от их реализации все более масштабные. Как выстроить процесс управления киберинцидентами в современной высокотехнологичной организации?

Андрей Грицаенко: Действительно, в современных компаниях целесообразно сосредоточиться на недопущении успешной реализации кибератаки, но это очень сложно и финансово затратно. При этом еще никому не удалось гарантировать 100% защиту. Однако это не значит, что все меры по предотвращению киберинцидентов бесполезны. Такое суждение обусловлено объективной сложностью современных кибератак, наличием множества мотивированных и организованных нарушителей с широкими возможностями, непрерывным усложнением киберландшафта, применением все более продвинутых методов кибернападений, например, с использованием систем искусственного интеллекта для эффективного поиска уязвимостей и разработки эксплойтов, создания сложного ВПО, создания чрезвычайно правдоподобных фишинговых писем.

Если кибератаки нельзя предотвратить на 100%, то логично сфокусироваться на минимизации ущерба от их реализации с помощью адекватного и своевременного выявления, анализа, устранения киберугроз и восстановления всех затронутых инцидентом бизнес-процессов в функциональное состояние. Для оперативного выполнения мер реагирования на каждом этапе процесса управления киберинцидентом следует максимально автоматизировать перечень выполняемых действий. Это позволит не только сократить время реагирования, но и снизить нагрузку на команду реагирования, а также избежать ошибок, обусловленных человеческим фактором.

Для такой автоматизации необходимо провести тщательную предварительную подготовку: разработать политику и сценарии реагирования, неоднократно протестировать их, а затем актуализировать на основе полученных результатов и обратной связи от команды реагирования. Когда наступает киберинцидент, важна каждая секунда и каждая мелочь, поэтому к формализации сценариев реагирования следует подойти со всей серьезностью, учитывая нюансы инфраструктуры, свойства бизнес-процессов, сложившиеся методы коммуникации и эскалации, особенности реализации функционала в применяемых средствах защиты.

Разработанные, проверенные и оптимизированные сценарии реагирования следует максимально автоматизировать: продумать, что можно выполнять автоматически на каждом из этапов, разработать способы автоматизации активного реагирования (например, блокирование учетной записи или сетевого соединения). Затем следует выбрать подходящее SOAR-решение для такой автоматизации, в котором можно будет реализовать всю логику сценариев реагирования, настроить интеграцию с используемыми в инфраструктуре системами, сформировать удобную визуальную часть (карточки инцидентов и дашборды для операторов, отчетность и графики для руководителей).

Важность применения средств автоматизации при реагировании на киберинциденты подкрепляется и на государственном уровне. Изменения, которые вносятся в законодательство о кибербезопасности, все больше усиливают требования по практической реализации мероприятий, где без средств автоматизации (решений класса SOAR) уже обойтись невозможно. Так, к ранее установленным требованиям в приложении 2 к приказу ОАЦ при Президенте Республики Беларусь от 25.07.2023 г. №130 (в редакции приказа ОАЦ №98 от 27.05.2026 г.) добавлено, что центры кибербезопасности должны обеспечивать наличие системы обработки сведений о киберинцидентах.

CNews: Какие процессы кибербезопасности можно и нужно автоматизировать?

Андрей Грицаенко: Функционал реагирования на киберинциденты — это первый и главный кандидат на автоматизацию с учетом важности процесса управления инцидентами ИБ и высокой зависимостью потенциального ущерба от скорости реагирования, а значит и от степени автоматизации. Кроме скорости выполнения ответных действий при наступлении киберинцидента важно также соблюсти законодательные требования: в Республике Беларусь действует норма о необходимости оперативного (в течение 1 часа) уведомления Национального центра кибербезопасности о киберинцидентах, выявленных центрами кибербезопасности.

Для автоматизации реагирования на киберинциденты мы используем SOAR-решение Security Vision, которое позволяет гибко настраивать сценарии, интегрировать эксплуатируемые у нас решения для получения контекстуализирующей инцидент информации, выполнять мероприятия активного противодействия атакующим для снижения ущерба от атаки, а также помогает формировать отчетность и визуализировать данные по киберинцидентам. Важной и крайне полезной особенностью платформы Security Vision является расширенное применение методов машинного обучения для выявлений аномалий в инфраструктуре (нестандартное поведение устройств, учетных записей, изменения в сетевом трафике), что позволяет выявить скрытые киберинциденты, которые не были обнаружены другими защитными решениями. Это особенно ценно в контексте повышения доли сложных кибератак и использования атакующими все более совершенных методов сокрытия вредоносной активности.

Кроме автоматизации процессов реагирования на киберинциденты целесообразно роботизировать многие другие процессы управления ИБ, такие как учет и контроль активов, управление уязвимостями и безопасностью конфигураций, управление событиями ИБ, управление данными аналитики киберугроз, проведение внутренних и внешних аудитов соответствия требованиям ИБ, контроль соответствия требованиям текущего законодательства. Все указанные процессы можно автоматизировать в том числе с помощью решений платформы Security Vision.

CNews: Какие метрики можно применять для оценки эффективности реагирования на киберинциденты, для контроля процессов ИБ в целом?

Андрей Грицаенко: Для того, чтобы объективно оценивать состояние киберзащищенности организации и качество работы выстроенной в ней системы управления ИБ, лучше всего закладывать основы системы оценки показателей эффективности на ранних этапах. Можно руководствоваться стандартами и рекомендациями, такими как ISO/IEC 27004:2016 «Мониторинг, измерение, анализ и оценка» и NISTSP 800-55 «Рекомендации по измерению эффективности информационной безопасности».

Целями измерения эффективности процессов ИБ могут быть устранение недостатков в системе управления ИБ, изменение структуры финансирования и обоснование расширения штата сотрудников ИБ-департамента, обоснование необходимости использования новых защитных технологий для более эффективного снижения уровня киберрисков, а также планирование расширения деятельности ИБ-команды (например, при внедрении защитных мер для новых бизнес-процессов организации).

Охваченные автоматизацией процессы ИБ также гораздо нагляднее демонстрируют состояние ИБ, при этом данные от систем автоматизации гораздо проще собирать и интерпретировать. Таким образом, для оценки эффективности процесса управления киберинцидентами можно использовать данные о среднем (медианном) времени обнаружения, анализа, сдерживания, устранения инцидента и восстановления после него, информацию о количестве зафиксированных инцидентов в разрезе их типов и уровней опасности, данные о количестве обрабатываемых событий ИБ и инцидентов ИБ за определенный временной период, охват матрицы MITRE ATT&CK средствами защиты, а также аналитические данные, полученные после детального разбора случившихся инцидентов (количество проэксплуатированных уязвимостей, длина графа кибератаки, примененные атакующими тактики и техники).

Для контроля более широкого спектра процессов ИБ можно использовать показатели, отражающие процент проинвентаризированных активов по отношению к общему числу обнаруженных активов, процент неустраненных вовремя уязвимостей различного уровня, процент согласованных с ИБ конфигурационных изменений, количество обработанных за определенный период времени киберрисков, процент выполненных в срок организационных мероприятий по ИБ, процент прошедших обучение на ИБ-тренингах работников, результаты моделирования кибератак на сотрудников (например, учебных фишинговых рассылок).

CNews: Нехватка квалифицированных кадров характерна для отрасли ИБ во многих странах. Как преодолеть этот вызов?

Андрей Грицаенко: Для Республики Беларусь в последние годы характерен значительный рост спроса на ИБ-специалистов. В основном это обусловлено изменениями требований законодательства по кибербезопасности, а также внешними и внутренними факторами. Эти факторы дополняются также появлением и внедрением процессов, основанных на новых технологических решениях. Придя к определенному уровню зрелости и зависимости от информационных технологий, почти все компании сталкиваются с задачей формирования коллектива, способного эффективно обеспечить защиту инфраструктуры и выстроить деловые отношения со смежными подразделениями, пользователями и руководителями организации.

Ситуация, при которой информационная инфраструктура сначала развивалась очень динамично, но бесконтрольно, достаточно распространена, поэтому специалисты по ИБ сталкиваются с необходимостью разобраться с «историческим наследием». Перед подразделениями кибербезопасности стоят и традиционно сложные и ответственные задачи: отражение кибератак, количество и сложность которых значительно выросли за последние годы, внедрение новых средств защиты и поддержка старых, контроль активов, управление уязвимостями, проведение ИБ-обучения сотрудников и т.д.

Средства автоматизации могут помочь в решении этих задач и частично компенсировать дефицит кадров в отрасли, но и для внедрения, настройки и сопровождения этих систем нужны специалисты. К счастью, профессия специалиста по кибербезопасности становится все более востребованной в учебных заведениях, растет число компьютерных энтузиастов и ИТ-специалистов, которые уделяют изучению вопросов ИБ все больше времени.

Однако многие из вчерашних выпускников и непрофильные специалисты часто сталкиваются с необходимостью объективного подтверждения своей ИБ-квалификации, зачастую полученной самостоятельно. В подобном случае потенциальным кандидатам на роль ИБ-специалистов помогла бы система независимой профессиональной сертификации, в рамках которой можно было бы оценить навыки и знания специалистов без привязки к конкретным технологиям и вендорам.

CNews: Сейчас много говорят про практическое применение систем искусственного интеллекта. Как вы считаете, ИИ помогает отрасли ИБ или создает новые риски?

Андрей Грицаенко: Применение методов машинного обучения и систем искусственного интеллекта в ИБ-решениях практикуется уже не первый десяток лет. Так, еще в начале 2010-х компания Symantec использовала технологию VML (VectorMachineLearning, векторное машинное обучение) в своем DLP-решении. Атакующие уже более 10 лет используют программы для синтезирования голоса (в целях реализации атак методом голосового фишинга), поиска уязвимостей, эффективного горизонтального перемещения, которые основаны на машинном обучении.

Однако именно за последние годы обсуждение технологий ИИ вышло на качественно новый уровень. Это связано с массовым применением и доступностью ИИ-агентов и систем класса GPT. Такие решения обладают определенными характерными уязвимостями, которые позволяют атакующим обходить заложенные разработчиками ограничения. В результате, атакующие получают возможность выполнения запросов с злонамеренными целями, например, для создания вредоносного ПО или фишинговых сообщений, для получения доступа к обрабатываемым ИИ-системами данным или для выполнения вредоносных действий от имени ИИ-агента.

Однако, ИИ-системы также широко применяются для обеспечения кибербезопасности, для выдачи подсказок и рекомендаций по реагированию на киберинциденты команде SOC-центра, выполнения рутинных операций (инвентаризация активов, контроль уязвимостей и поверхности атак, триаж и первичный анализ инцидентов). В настоящее время прослеживается тренд на все более широкое применение ИИ-систем, однако существует также и запрос на развитие моделей интерпретируемого ИИ (Explainable AI), при использовании которых пользователи смогут понять, какими путем ИИ-система пришла к определенному выводу или результату. Использование Explainable AI, вероятно, повысит уровень доверия к системам искусственного интеллекта и позволит более широко их применять.

CNews: Каковы ваши прогнозы на ближайшие 1-2 года по развитию ИБ (новые угрозы, новые технологии)?

Андрей Грицаенко: Новые технологии кибератак в ближайшем будущем будут связаны, скорее всего, с развитием систем ИИ, ростом уровня автоматизации действий атакующих, усложнением методов социальной инженерии, а также с дальнейшим повышением числа атак на цепочки поставок, особенно с учетом популярности Open Source решений даже в корпоративной среде. Технологии кибербезопасности также, вероятно, будут все шире использовать машинное обучение и искусственный интеллект для выявления скрытых кибератак, повышения эффективности защиты и реагирования на инциденты ИБ, помощи дефицитным и сильно загруженным ИБ-специалистам.

Для адекватного ответа на непрерывно изменяющиеся киберугрозы специалистам по кибербезопасности следует внимательно следить за развитием перспективных технологий, поскольку продвинутые атакующие стремятся использовать самые новые подходы для повышения экономической эффективности и результативности проводимых киберопераций.

■ Рекламаerid:2W5zFH7wYSmРекламодатель: ООО «Интеллектуальная безопасность»ИНН/ОГРН: 7719435412/5157746309518Сайт: https://www.securityvision.ru/