Лекція 2. Цифрова безпека бізнесу та кібер ризики підприємств в умовах цифрової економіки

Кіберризики мають свої особливості, певні види подій і можливі збитки та на відміну від традиційних ризиків можуть наздогнати бізнес в будь-якій точці світу і практично в кожному бізнес-процесі. Таким чином кіберризики можна класифікувати та згурпувати за такими ознаками:

 - втрата або крадіжка носіїв інформації та мобільних пристроїв;
 - доступ сторонніх осіб до конфіденційної інформації за допомогою вразливих хмарних сховищ;
 - ненавмисне розголошення співробітниками конфіденційної інформації;
 - навмисні дії співробітників (інсайдерів);
 - неконтрольоване копіювання даних співробітниками.

Такий підхід дозволив виокремити наступні види кібер-ризиків:

 - ризик втрати інформації під час злому паролю доступу або внаслідок DDoS- атаки;
 - ризик фінансових втрат від фішінгових атак;
 - ризик фінансових втрат через порушення роботи комп’ютерних систем;
 - ризик фінансових втрат від кібер-шантажу або вірусного блокування комп’ютерних систем;
 - ризик фінансових втрат через викрадення та розголошення персональних даних та інформації.

Таким чином систематизовано види подій та надано характеристику кіберризиків:

1.    Нецільові атаки :

 -  фішинг (вішинг, фармінг, клікфрода та ін.) – вид інтернет-шахрайства, метою якого є отримання доступу до конфіденційних даних користувачів – логінів і паролів;
 - кардинґ – вид шахрайства, при якому проводиться операція з використанням банківської картки або її реквізитів, яка не ініційована або не підтверджена її власником;
 - смс-шахрайство – вид шахрайства, при якому клієнту банку надсилають смс-повідомлення і/або телефонують з невідомого номера з метою отримання конфіденційної інформації по платіжній картці.

2.    Цільові атаки:

 - фінансове шахрайство – кримінологічне явище, що являє собою злочинну діяльність та виражається у системі кримінально-караних та легальних дій, які вчиняються шляхом обману або зловживання довірою в процесі формування, розподілу та використання грошових фондів з метою здобуття матеріальної вигоди;
 - розкрадання баз даних – характеризується незаконним обігом чужої сукупності даних, організованої відповідно до концепції, яка описує характеристику цих даних і взаємозв'язки між їх елементами, в своїх корисливих інтересах або з корисливих мотивів в інтересах іншої особи;
 - промислове шпигунство – різновид економічного шпигунства, якому властиве звуження масштабів завдань з одержання інформації, що цікавить, від державного – до масштабу однієї або декількох фірм-конкурентів;
 - DDoS атаки – напад на комп'ютерну систему з наміром зробити комп'ютерні ресурси недоступними користувачам, для яких комп'ютерна система була призначена;
 - кібервимагання (кріптолокери) – вірусна атака, що включає в себе використання шкідливого програмного забезпечення (шкідливих програм), файли в якому зашифровані і робить їх непридатними для використання, до тих пір, поки викуп не буде оплачений.

3.    Атаки зсередини :

 - навмисна шкода та розкрадання інформації – несанкціоноване копіювання інформації, збій ІТ-інфраструктури, втрата переносних пристроїв, відправка «не тих» даних, поширення конференційної інформації за допомогою соціальних мереж, надання неякісних послуг з аутсорсингу (хмарні сервіси, дата-центри, колл-центри тощо);
 - знищення інформації – послідовність операцій, призначених для здійснення програмними або апаратними засобами безповоротного видалення даних, у тому числі залишкової інформації;
 - сприяння цільової атаці – підтримка атак «замовного» характеру, спеціально націленої на один сайт або їх групу, що об'єднані однією ознакою (сайти однієї компанії, відносяться до певної сфери діяльності, або об'єднані рядом ознак).

Встановлено, що особливостями кіберризиків виступають: специфічність ризиків і збитків; інформаційна асиметрія та взаємозалежність безпеки (можлива засекреченість інформації з боку страхувальника); специфічні властивості планів з реагування у випадках кіберризиків; більшість подій викликані умисними діями – перспектива суброгації; еволюціовання інформаційних систем та кібератак, що може спричинити зміну природи кіберризиків; залучення професійних консультантів на етапі укладення поліса та врегулювання збитку; наявність статистичних даних та складність оцінки збитку; складність визначення покриття, винятків, обмеження, відповідальності та часу для пред’явлення претензій. При цьому можливими збитками від кіберризиків можуть бути: прямі збитки (розкрадання коштів, втрата інформації, пошкодження програмного забезпечення, поломка обладнання і т. п.); збитки від перерви в комерційній діяльності; відповідальність перед третіми особами (за завдану шкоду, розголошення інформації); збиток внаслідок промислового шпигунства і розкрадання інтелектуальної власності; втрата чи ушкодження репутації компанії; додаткові витрати (антикризовий-PR, юридичні послуги тощо).

Для мінімізації або усунення кіберризиків існує три основних напрямки:
 - технологічні рішення безпеки;
 - просвітницька робота в сфері протидії та профілактики кіберзлочинів;
 - кіберстрахування.