В ожидании роста штрафов вырос спрос на аудит ИБ

В ожидании роста штрафов вырос спрос на аудит ИБ

В ожидании роста штрафов вырос спрос на аудит ИБ

Значительный рост штрафов за утечки персональных данных вызвал увеличение спроса бизнеса на аудит систем информационной безопасности. Таким образом компании стремятся снизить потенциальные финансовые потери от штрафов.

Издание «Коммерсант», ссылаясь на мнения опрошенных экспертов в области кибербезопасности и профильных юристов, отмечает заметный рост интереса к услугам аудита систем хранения и защиты информации.

Эти мероприятия направлены как на минимизацию риска инцидентов с утечкой данных, так и на уменьшение размера возможных штрафов в случае происшествия.

Новые законы — 420-ФЗ и 421-ФЗ — были подписаны президентом 2 декабря 2024 года и вступят в силу уже 30 мая 2025 года. В среднем размер штрафов за утечку персональных данных вырастет в 27 раз, а за повторные нарушения предусмотрены оборотные штрафы. Некоторые виды нарушений при обработке персональных данных будут наказываться не только административной, но и уголовной ответственностью с лишением свободы сроком до 10 лет.

При этом компании могут снизить размер штрафов, если докажут регулярные инвестиции в информационную безопасность, отсутствие нарушений в прошлом и высокий уровень цифровой зрелости.

По данным юридической компании ЭБР, спрос на аудит информационной безопасности за последний год увеличился в два раза. Советник практики интеллектуальной собственности компании Артем Евсеев подчёркивает, что если раньше такие аудиты зачастую проводились формально, то теперь подход стал гораздо серьёзнее. Причинами стали не только возросшие штрафы, но и снятие моратория на внеплановые проверки со стороны регуляторов.

Заместитель генерального директора компании «СКБ Контур» Михаил Добровольский подтвердил «многократный» рост интереса к аудиту систем информационной безопасности. Основные заказчики таких услуг — крупные компании и холдинги.

Проект аудита состоит из нескольких этапов. Как пояснил директор департамента консалтинга и аудита компании «Информзащита» Александр Барышников, сначала специалисты проводят обследование текущих процессов обработки персональных данных и анализируют состояние технической инфраструктуры. Затем определяются угрозы безопасности информации, осуществляется классификация систем по уровням защищенности и проводится проверка на соответствие требованиям регуляторов.

По итогам заказчик получает пакет рекомендаций и организационно-распорядительную документацию. При необходимости юристы дополнительно проверяют правомерность получения персональных данных.

Антон Исупов, руководитель департамента аудита, консалтинга и оценки соответствия АО «Кросс технолоджис», сообщил изданию, что стоимость проекта зависит от множества факторов. Среди них размер бизнеса, объем и виды обрабатываемых данных, сложность ИТ-инфраструктуры.

Значительно повышает стоимость аудита наличие биометрической идентификации и работа с данными повышенных категорий, например медицинскими. Разница в цене таких услуг может достигать трех порядков: от нескольких сотен тысяч до десятков миллионов рублей.

Факт проведения подобных аудитов изданию подтвердили в ряде крупных компаний, в том числе в Яндексе, объединённой компании Wildberries и Russ, а также в РЖД.

В Роскомнадзоре поддержали практику проведения таких проверок: «Мы считаем целесообразным проводить аудит процессов сбора и использования персональных данных. Это позволит убедиться в соблюдении принципов работы с информацией: проверить законность источников получения данных, правовые основания для их сбора, обеспечить минимизацию собираемого объема данных, удостовериться, что данные соответствуют цели их сбора и своевременно уничтожаются после ее достижения».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Активность фишеров за месяц возросла на 17% за счет использования ИИ

Согласно статистике KnowBe4, в феврале 2025 года число фишинговых писем возросло на 17% в сравнении с показателями шести предыдущих месяцев. Основная масса таких сообщений (82%) содержала признаки использования ИИ.

Подобная возможность, по словам экспертов, позволяет усилить полиморфизм атак фишеров — рандомизацию заголовков, содержимого, отправителей поддельных писем.

Незначительные изменения, на лету привносимые ИИ, позволяют с успехом обходить традиционные средства защиты — блок-листы, статический сигнатурный анализ, системы защиты класса SEG.

По данным KnowBe4, больше половины полиморфных фишинговых писем (52%) рассылаются с взломанных аккаунтов. Для обхода проверок подлинности отправителя злоумышленники также используют фишинговые домены (25%) и веб-почту (20%).

Более того, использование ИИ позволяет персонализировать сообщения-ловушки за счет динамического (в реальном времени) сбора информации об адресатах из открытых источников, а также сделать их настолько убедительными, что получатель даже не заподозрит подвох.

По данным KnowBe4, активность фишеров, освоивших новые возможности, за год возросла на 53%. Рост количества случаев использования ИИ в атаках отметили и другие эксперты. Для эффективного противодействия новой угрозе нужны более совершенные ИБ-инструменты — скорее всего, на основе того же ИИ.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru