Liam Jansen
- Кібератаки та програми-вимагачі зростають, оскільки пристрої все ще постачаються зі старими, легко експлуатованими вразливостями безпеки.
- «Безпечно за дизайном» означає, що кібербезпека повинна бути вбудована в технології, а не залишена на відкуп користувачам — проте багато компаній не приймають цього підходу через слабкі ринкові стимули.
- Ключові рішення, що отримують підтримку, включають юридичні санкції для недбалих компаній, чіткі урядові вказівки, більшу прозорість продуктів, вимоги до безпеки в ланцюзі постачання та підвищені стандарти кіберстрахування.
- Відповідальність через регулювання та попит споживачів може сприяти створенню більш безпечних продуктів і реальним змінам у технологічній індустрії.
- Тривала цифрова безпека вимагає зміни відповідальності — безпека повинна бути стандартною функцією, а не післясмаком, оскільки залежність суспільства від підключених технологій поглиблюється.
За кожним світлом екрана — на вашому столі, у вашому автомобілі, у вашій кишені — точиться невидима битва. Кіберзлочинці досліджують шви наших пристроїв, шукаючи вразливості. Але з ростом атак і збільшенням заголовків про програми-вимагачі залишається непохитна істина: наша технологія все ще надто легка для злому. Незважаючи на широкі обіцянки та сміливі урядові ініціативи, цифровий світ тримається на десятирічних вразливостях, піддаючи мільйони небезпеці з кожним кліком.
Чому технологічні компанії не можуть створити безпечніші продукти з самого початку? Це не через брак знань. По всьому світу такі агенції, як Агентство з кібербезпеки та безпеки інфраструктури США та Національний центр кібербезпеки Великої Британії, кричать з дахів про «безпеку за дизайном» — ідею, що цифрова безпека не повинна лягати на плечі кожного користувача, а має бути вбудована в пристрої та програмне забезпечення, на які ми покладаємося. Проте відомі вразливості продовжують існувати в продуктах, які використовують деякі з найбільших організацій світу. Результат? Хвилі атак, які охоплюють цілі галузі, зазвичай експлуатуючи вразливості, які розробники могли (і повинні були) закрити.
На недавньому саміті з кібербезпеки у Великій Британії з’явився вражаючий консенсус серед провідних експертів: перешкодою є не технології, а ринкові сили. Сучасна екосистема програмного забезпечення переповнена талантами та технічною експертизою, але економічні стимули відстають. Компанії, які вкладають ресурси в надійну безпеку, не бачать негайних винагород на касі. Ті, хто економить, часто стикаються лише з легким покаранням, тоді як їхні клієнти сплачують рахунок, коли відбуваються витоки даних.
Отже, як ми можемо перевернути ситуацію? П’ять стратегій отримують підтримку:
- Справжні наслідки за недбалість. Деякі лідери стверджують, що компанії, які постачають продукти з безвідповідальними, добре відомими вразливостями — такими як відома SQL-ін’єкція — заслуговують на більше, ніж публічне осудження. Вони повинні стикатися з юридичними санкціями та великими штрафами, відображаючи правила, які можна побачити в Законі Великої Британії про безпеку продуктів і телекомунікаційну інфраструктуру, де ліниві стандартні паролі тепер можуть коштувати виробникам дорого. Але не всі з цим погоджуються. Критики стурбовані «безпекою через юристів», попереджаючи, що це може спровокувати безкінечні судові позови без реального покращення результатів.
- Чіткі, дієві вказівки від урядів. Стандарти безпеки потребують зубів, але також прозорості та простоти. Організації, такі як NCSC Великої Британії та Канадський центр кібербезпеки, прагнуть звести останню інформацію про загрози до використання в кодах практики — даючи радам і виконавцям впевненість у здійсненні інвестицій у безпеку. Це план дій, який потребує постійних оновлень, оскільки кіберризики еволюціонують.
- Освітлення чорного ящика. Прозорість є недооціненою зброєю. Якщо покупці можуть легко порівняти, які бренди інвестують у безпеку — і які економлять — ринок почне нахилятися. У 2024 році США запровадили обіцянку безпеки за дизайном для виробників програмного забезпечення, заохочуючи публічну прихильність до найкращих практик. Великобританія створює незалежні лабораторії для перевірки заяв постачальників, пропонуючи клієнтам обґрунтований вибір. Коли покупці вимагають кращої безпеки, ринок реагує.
- Тиск з боку ланцюга постачання. Деякі галузі, такі як оборона США, встановили високі стандарти безпеки для постачальників, приводячи ланцюг постачання в порядок. Інші, такі як телекомунікації, відстають. Оскільки глобальна торгівля стає більш взаємопов’язаною, потужні покупці можуть встановлювати очікування — змушуючи постачальників відповідати.
- Зростаюча тінь кіберстрахування. Оскільки атаки зростають, страхування стало обов’язковим для багатьох компаній. Страховики підвищують планку, вимагаючи основи, такі як багатофакторна аутентифікація, перш ніж укладати поліс. Ці вимоги тихо встановлюють мінімальний стандарт, підштовхуючи організації до кращих звичок. Страховики можуть йти далі, публікуючи звіти про найгірших порушників і найпоширеніші помилки, озброюючи громадськість знаннями.
Ставки не можуть бути вищими. Наші лікарні, електромережі, міста та навіть іграшки для дітей залежать від мереж коду, сповнених небезпек. Наслідки недбалості розповсюджуються по суспільству: руйнівні зломи, викрадені системи та зруйнована довіра.
Компанії, уряди та окремі особи повинні відмовитися задовольнятися технологією минулого. Вимагаємо більшого від постачальників, винагороджуємо тих, хто вбудовує безпеку у свої проекти, та підтримуємо сміливу політику, щоб притягнути до відповідальності недбалих учасників.
Велика цифрова трансформація зазнає невдачі, якщо безпека не стане такою ж основною, як кнопка живлення. Наступна глава залежить не лише від блискучого інженерного мистецтва, а й від готовності кожного учасника — виробників, покупців, регуляторів — наполягати на тому, що кібербезпека повинна бути стандартною функцією, а не розкішним доповненням.
Для отримання додаткової інформації про те, як агенції вирішують цифрові загрози у всьому світі, відвідайте CISA та NCSC.
Ключове висновок: Мрія про технології, що забезпечують безпеку за дизайном, залишається незавершеною — не через брак навичок, а через брак колективної волі. Якщо ми вимагатимемо більшого, ринок відповість. Але час спливає.
9 шокуючих причин, чому ваша технологія все ще небезпечна (і як захистити себе сьогодні)
# Чому наша технологія все ще така вразлива? Несподівані інсайти, рішення та що ви можете зробити
Незважаючи на постійні заголовки про кібератаки та зростаючий хор, що вимагає продуктів «безпечних за дизайном», більшість наших пристроїв — від смартфонів до критичної інфраструктури — залишаються тривожно легкими для злому. Розмова зазвичай зосереджена на високопрофільних атаках з програмами-вимагачами, але основні проблеми є глибшими, зумовленими ринковою динамікою, застарілими процесами та змішаними стимулами.
Давайте глибше зануримось у те, що пропустила вихідна стаття, розширимо реальні рішення, тенденції в галузі та надамо вам негайні, дієві рекомендації для захисту себе та вашої організації.
—
Приховані факти: що вам потрібно знати
1. Технічні рішення існують — тож чому їх не використовують?
Багато основних найкращих практик безпеки, таких як валідація вводу, брандмауери за замовчуванням та безпечні механізми оновлення, добре відомі та широко доступні. Проблема не в браку знань — це часто витрати та тиск на швидкість, які змушують компанії швидко постачати продукти, іноді ігноруючи відомі вразливості ([Microsoft Security Blog](https://www.microsoft.com/)).
2. Безпечне кодування рідко заохочується
Незважаючи на десятиліття попереджень, дослідження показують, що команди програмного забезпечення рідко оцінюються за кількістю вразливостей у їхньому коді ([SANS Institute](https://www.sans.org/)). Замість цього метрики все ще обертаються навколо швидкості та доставки функцій.
3. Програми за вразливості проти боргу за вразливості
Програми за вразливості (коли дослідники отримують плату за виявлення вразливостей) виявили тисячі помилок у широко використовуваних продуктах. Проте багато критичних вразливостей зберігаються роками, і не всі постачальники швидко реагують на розкриття.
4. Зростаючий лабіринт відповідності
Регуляторні рамки, такі як GDPR, CCPA та майбутня Директива NIS2, змушують компанії серйозніше ставитися до кіберризиків, але іноді призводять до формального виконання, а не до суттєвих покращень.
5. ШІ як двосічний меч
Інструменти ШІ тепер використовуються як для автоматизації тестування безпеки, так і зловмисниками для швидшого виявлення вразливостей. Згідно з CISA, гонка прискорюється.
—
Кроки дій: що ви (і ваша організація) можете зробити негайно?
Крок 1: Вимагайте прозорості
– Наполягайте на політиках розкриття вразливостей від постачальників.
– Запитайте, які рамки безпеки вони дотримуються (наприклад, ISO 27001, SOC 2).
Крок 2: Впроваджуйте базові заходи захисту
– Завжди включайте багатофакторну аутентифікацію (MFA).
– Підтримуйте програмне забезпечення/прошивку в актуальному стані.
– Видаліть або змініть всі стандартні паролі.
– Регулярно перевіряйте доступ користувачів і відкликайте непотрібні дозволи.
Крок 3: Прийміть контроль ризиків ланцюга постачання
– Використовуйте інструменти, такі як Програмний рахунок матеріалів (SBOM), для відстеження походження коду ([OpenSSF](https://openssf.org/)).
– Купуйте лише у постачальників, перевірених третіми сторонами.
—
Реальні приклади використання
– Охорона здоров’я: Атаки з програмами-вимагачами на лікарні порушують медичну допомогу, але більшість з них виникають через погані політики паролів і застарілі системи.
– Критична інфраструктура: Злом Colonial Pipeline (2021) експлуатував один скомпрометований пароль без MFA.
– Пристрої IoT: Вразливості розумних іграшок призвели до зловживань даними — але дії Великої Британії та ЄС сприяють кращим базовим заходам захисту за законом.
—
Суперечки, обмеження та невідповідані питання
– Покарання за недбалість: Юридичні санкції можуть стримувати інновації або призвести до «перевірки наявності» безпеки, яка не відповідає духу захисту.
– Відповідь на прозорість: Примушення компаній розкривати всі інциденти може викрити комерційні таємниці або допомогти хакерам.
– Чи є кіберстрахування костилем? Критики стверджують, що це може дозволити компаніям передавати ризик замість виправлення основних проблем.
—
Характеристики, специфікації та ціни: Продукти, безпечні за дизайном
– Шукайте пристрої/програмне забезпечення, сертифіковані за стандартами, такими як «Кібероснови» (Велика Британія) або підтверджені NCSC.
– Продукти з регулярними OTA (безпроводними) оновленнями та налаштовуваними функціями безпеки, такими як апаратна криптографія, можуть коштувати більше на початку, але зменшують витрати на злом у довгостроковій перспективі.
—
Тенденції в галузі та прогнози
– До 2025 року Gartner прогнозує, що 60% організацій використовуватимуть кіберризик як основний детермінант у партнерствах з третіми сторонами.
– Архітектура нульового довіри — ніколи автоматично не довіряйте внутрішньому/зовнішньому трафіку — стане новим стандартом ([Gartner](https://www.gartner.com/)).
– США та ЄС обидва розглядають обов’язкові «мітки безпеки» на споживчих пристроях (аналогічно етикеткам харчування).
—
Переваги та недоліки
Переваги безпеки за дизайном
– Менше перерв у бізнесі через атаки.
– Конкурентна перевага на ринках, чутливих до безпеки.
– Нижчі страхові премії.
Недоліки
– Збільшені початкові витрати на розробку.
– Довший час виходу на ринок.
– Постійні витрати на відповідність.
—
Безпека та стійкість
Стійка кібербезпека враховує не лише реагування на інциденти, а й безпеку життєвого циклу продуктів — від дизайну до утилізації. Електронні відходи (пристрої, які більше не підтримуються оновленнями безпеки) залишаються великою, часто ігнорованою небезпекою.
—
Відгуки та порівняння
– Apple проти Android: Закрита екосистема Apple зменшує певні ризики, але обидві платформи стикаються з проблемами безпеки ланцюга постачання.
– Microsoft Windows проти ChromeOS: Орієнтований дизайн ChromeOS на веб/хмарні операції забезпечує простішу поверхню атаки, але обмежує підтримку застарілих додатків.
—
Найактуальніші питання
Q1: Чому у нас немає мінімальних стандартів безпеки для всіх пристроїв?
Глобальне регулювання відстає від інновацій; однак нові закони в США, Великій Британії та ЄС наздоганяють.
Q2: Чи можуть покупці зараз робити розумніший вибір?
Так! Обирайте постачальників, які публікують стандарти безпеки, надають сертифікати третьої сторони та мають прозорі політики патчування.
Q3: Що стосується застарілих ІТ-систем — старих, але критично важливих систем?
Сегментуйте старі системи, вимкніть непотрібний доступ до мережі та пріоритетно патчуйте або замініть найбільш вразливі.
—
Негайні поради
– Змініть всі стандартні паролі та увімкніть MFA на кожному обліковому записі — негайно.
– Перед покупкою технологій запитайте у постачальника їх останній звіт про оцінку безпеки.
– Підпишіться на сповіщення про загрози від CISA та NCSC для отримання останніх найкращих практик.
—
Дієві рекомендації
– Наполягайте на «безпеці за дизайном» як на непереговорному пункті в контрактах на закупівлю.
– Винагороджуйте постачальників за швидке патчування та програми відповідального розкриття.
– Підтримуйте сильну освіту в галузі безпеки на кожному рівні — кінцевих користувачів, керівників та розробників.
—
У вас більше влади, ніж ви думаєте. Кожен ваш запит на безпечнішу технологію — щоразу, коли ви ставите складні питання — наближає нас до світу, де кібербезпека не є післясмаком. Для отримання додаткових порад та офіційних вказівок відвідайте CISA або NCSC сьогодні.
Не чекайте наступного зламу — зробіть безпеку вашою стандартною налаштуванням вже зараз.
