Индустрия 4.0, цифровизация и искусственный интеллект: трудно представить повседневную рабочую жизнь без цифровых потоков данных. Независимо от того, насколько мала или велика ваша компания, к какой отрасли она принадлежит, работает ли она на международном уровне или нет, тема информационной безопасности касается всех. Поэтому малые и средние предприятия (МСП) должны, в частности, рассматривать пересмотр международного стандарта систем управления информационной безопасностью ISO 27001 с 2022 года как хорошую возможность.

Информационная безопасность для МСП

Времена изменились, и вместе с ними изменились требования к кибербезопасности для МСП. Многие МСП быстро растут и часто входят в число лидеров рынка в своих секторах. Поэтому у них соответственно высокая потребность в защите своих, как правило, уникальных ноу-хау и деловых секретов, но в принципе и всех своих данных и информации, от несанкционированного доступа.

Принятие мер для этой необходимой защиты может быть сложным делом, требующим системного подхода.

Однако из-за ограниченных ресурсов МСП редко имеют необходимые средства для бесперебойной информационной безопасности на уровне предприятия, даже если они осознают риски безопасности в общей картине информационных технологий и безопасности данных. Нехватка специалистов в ИТ-секторе и огромные затраты на эксплуатацию собственного Центра операций по обеспечению безопасности (SOC) — это лишь две из многих проблем, которые мешают МСП оптимизировать свою кибербезопасность.

Это становится все более проблематичным, поскольку МСП сталкиваются с растущими атаками со стороны киберпреступников, не в последнюю очередь из-за напряженной геополитической ситуации и участившихся атак на цепочки поставок. Спектр варьируется от программ-вымогателей, рассылаемых массово, до целенаправленных профессиональных атак на отдельные компании. Злоумышленники также все чаще используют облачные сервисы в качестве вектора, который МСП (вынуждены) использовать особенно часто из соображений стоимости и эффективности.

Опрос, проведенный страховой компанией HDI Versicherungen в 2024 году, показал, что 53% малых и средних компаний уже стали объектом кибератак. Однако эта цифра не отражает полный масштаб атак, а только документирует те инциденты, которые компании публично признают.

Это впечатление подтверждается «Gothaer SME Study 2024», согласно которому киберпреступность представляет собой самый высокий риск для 48% МСП. Согласно исследованию, 37% малых компаний также ожидают, что риск стать жертвой кибератаки еще больше возрастет в течение следующих двенадцати месяцев. Это не включает те риски информационной безопасности, которые вообще не исходят от сети, но носят внутренний, в основном личный характер и играют значительную роль в контексте всеобъемлющей информационной безопасности.

ISO 27001 для малого бизнеса

Как сотрудник по информационной безопасности (ISO) и сотрудник по защите данных в малой или средней компании, у вас вряд ли есть выбор в наши дни: вы должны обеспечить безопасность конфиденциальных данных и информации. Это касается не только безопасности информационных технологий. Структурные меры, организационные процедуры и процессы, а также требования к персоналу также должны быть приняты во внимание. Человеческий фактор также играет центральную роль в информационной безопасности и должен быть принят во внимание соответствующим образом.

Признанным стандартом для систематической информационной безопасности является международный стандарт ISO/IEC 27001. Он обеспечивает установленную тестовую базу и руководящие принципы для внедрения систем управления информационной безопасностью (ISMS) — для компаний независимо от их организационной структуры, ориентации или размера. Приложение A нового стандарта ISO/IEC 27001:2022, которое в своей обновленной форме охватывает все аспекты информационной безопасности — от организационных мер до личных и физических мер и технических мер безопасности, — предлагает хорошее введение для малых компаний.

Улучшенная ИТ-безопасность для МСП благодаря новым элементам управления

Прагматичный характер одного только Приложения A делает ISO 27001 хорошим выбором для малых компаний. Он включает в себя в общей сложности 93 меры информационной безопасности (элементы управления), 11 из которых были впервые введены в последнем обновлении в 2022 году.

Новые элементы управления в первую очередь ориентированы на безопасность данных и структур в цифровом домене и, таким образом, предлагают ценные рекомендации, которые могут значительно улучшить информационную безопасность для МСП. Ниже приведен обзор некоторых новых функций и того, как малые компании могут извлечь из них пользу:

• 5.7 Аналитика угроз, 8.16 Мониторинг активности, 8.23 ​​Веб-фильтрация

Эти элементы управления для обнаружения, предотвращения и своевременного распознавания кибератак могут иметь почти экзистенциальное значение для МСП с точки зрения безопасности и управления непрерывностью бизнеса. Малые компании не только уязвимы для киберпреступности из-за своих ограниченных ресурсов, но и могут быстро достичь точки общей неплатежеспособности в случае вируса-вымогателя.

• 5.23 Информационная безопасность при использовании облачных сервисов

Поскольку МСП часто используют внешние облачные сервисы, внедрение подходящих процессов для приобретения, использования, управления и выхода из облачных сервисов особенно актуально. Мера также учитывает обязанности между поставщиком облачных сервисов и организацией, использующей облако, для надлежащей безопасности облака.

• 5.30 Готовность ИКТ для обеспечения непрерывности бизнеса

Непрерывность бизнеса также важна для небольших компаний как часть иногда глубоко интегрированных цепочек поставок и для сведения финансовых потерь к минимуму. Контроль «Готовность ИКТ для обеспечения непрерывности бизнеса» помогает создать соответствующую организационную структуру в случае инцидента и планы обеспечения непрерывности ИКТ, включая процедуры реагирования и восстановления.

• 8.9 Управление конфигурацией

Высокопроизводительная и безопасная работа современных ИТ-ландшафтов во многом зависит от правильной конфигурации всех задействованных систем, компонентов и приложений. Хорошая вещь для ИТ-безопасности небольших компаний: после настройки процессы мониторинга могут быть реализованы автоматически в большинстве случаев, что практически не приводит к дополнительным расходам на персонал. Безопасное управление конфигурацией в информационных технологиях относится к области технологических или технических мер.

• 8.10 Удаление информации, 8.11 Маскировка данных, 8.12 Предотвращение утечек данных

МСП часто создают себе нишу на рынке благодаря своему уникальному опыту. Эти особые знания являются ключом к их успеху и поэтому заслуживают защиты. Технические меры в области информационной безопасности помогают компаниям избегать нежелательных утечек данных и потери данных и минимизировать поверхность атаки для хакеров и промышленного шпионажа.

Информационная безопасность для МСП – Заключение

Элементы управления в Приложении A к ISO 27001 имеют большую ценность для МСП, особенно в свете предстоящей директивы NIS 2 по промышленной кибербезопасности в ЕС.

NIS2: Почему МСП необходимо усилить свою информационную безопасность

Европейский союз опубликовал новую версию Директивы о сетевой и информационной безопасности (NIS) в конце 2022 года. NIS2 предъявляет новые требования к информационной безопасности к компаниям в критических секторах и также затронет многие МСП в отношении защиты данных и ИТ-структур.

В свете текущих сценариев угроз малые и средние предприятия (МСП), государственные администрации и местные органы власти также могут внедрить систему управления информационной безопасностью в соответствии с международно-признанным стандартом ISO 27001 и рассмотреть возможность сертификации. Преимущество эффективной системы управления заключается не только в комплексном и глубоком каталоге требований, но и – и это особенно интересно для МСП – в явно ориентированном на практику Приложении A, в котором перечислены 93 меры безопасности (контроля) в четырех главах нового издания 2022 года.

В надежных руках с ДКС

Наши сертификационные аудиты дают вам прозрачную независимую оценку. Целостный, нейтральный внешний взгляд на людей, процессы, системы и результаты показывает, насколько эффективна ваша система управления и как она внедряется и контролируется. Для нас важно, чтобы вы воспринимали наш аудит не как экзамен, а как обогащение вашей системы менеджмента.

Наш подход это не просто проверка по чек-листу. Мы специально спрашиваем «почему», потому что хотим понять причины, по которым вы выбрали определенный способ внедрения. Мы фокусируемся на потенциале улучшения и поощряем изменение точки зрения. Этот тщательный подход гарантирует, что вы определите области, в которых можно действовать, для постоянного улучшения вашей системы менеджмента.