Компания Check Point Software Technologies объявила о результатах исследования, согласно которому 48% опрошенных организаций за последние два года оказались жертвами социальной инженерии. За это время каждая из опрошенных компаний подверглась не менее чем 25 атакам, а ущерб в каждом конкретном случае составил от 25 тыс. до 100 тыс. долл. и выше.
В отчете «Риск, которому социальная инженерия подвергает информационную безопасность» (The Risk of Social Engineering on Information Security) показано, что наиболее частыми источниками угроз социальной инженерии для организаций являются фишинг и социальные сети. Для того чтобы свести к минимуму периодичность атак и наносимый ими ущерб, необходимо владеть средствами технологической защиты и повышать ответственность сотрудников.
Угрозы социальной инженерии, как правило, нацелены на тех сотрудников компании, о которых известно, что они владеют ценной информацией или имеют доступ к ней. На сегодняшний день хакеры используют разнообразные технические методы и приложения для социальных сетей, чтобы собирать персональные и служебные данные о сотрудниках. Цель сбора подобной информации — определение самого слабого звена в организационной структуре компании.
Практически половина опрошенных организаций знают, что подвергались воздействию методов социальной инженерии. С другой стороны, учитывая, что большинство из этих атак остаются незамеченными, это может поставить под угрозу безопасность ИТ-инфраструктуры организации, поэтому данному вопросу следует уделять больше внимания.
Приемы социальной инженерии традиционно опираются на уязвимость отдельных сотрудников, но в последнее время, по мере распространения Web 2.0 и мобильных устройств с доступом к Интернету, появляются новые способы сбора персональной информации и новые исходные позиции для проведения атак. Наиболее восприимчивы к методам социальной инженерии недавно принятые на работу сотрудники (60%) и персонал, работающий по временным трудовым соглашениям (44%) — они обычно не так хорошо знакомы с корпоративной политикой безопасности. Сотрудники, оказавшиеся под влиянием злоумышленников, совершают ошибки, которые ведут к внедрению вредоносного ПО и потере важных данных.
На многих предприятиях человеческому фактору не уделяется должного внимания, хотя именно персонал должен держать первую линию обороны. Для того чтобы пользователи более серьезно относились к защите информации, необходимо вовлекать их в процесс обеспечения безопасности так, чтобы они могли предотвращать угрозы и устранять их последствия в реальном времени. Сетевая безопасность во многом находится в руках самих сотрудников. Обеспечить требуемый для современной ИТ-среды уровень защиты информации, опираясь на разнородные технологии, сейчас уже недостаточно. Сетевая безопасность должна стать эффективным бизнес-процессом, и это проблема не только ИТ-администраторов. Ее обеспечение должно стать одной из должностных обязанностей всех сотрудников, поскольку угрозы становятся все более изощренными и целенаправленными.
