Кибератаки – большая угроза для важнейшей отрасли, а потому подрядным компаниям нужно уделять серьёзное внимание для нейтрализации этих вызовов, уверен вице-президент НОСТРОЙ.

Несколько дней назад в своём Телеграм-канале вице-президент Национального объединения строителей Антон Мороз поднял проблему по поводу тех вызовов, с которыми представители стройиндустрии столкнулись в эпоху цифровизации. Тема информационной безопасности в строительстве перестала быть узкоспециальной, ведь сегодня кибербезопасность напрямую влияет на устойчивость бизнеса, сохранность репутации и финансовое благополучие компаний.

Цифровая трансформация в строительстве – давно не вопрос конкурентных преимуществ. Это – вопрос выживания. «Цифра» уже глубоко интегрирована в бизнес-процессы многих компаний строительного бизнеса, потому отрасль столкнулась с новой для себя реальностью: кибератаки превратились для неё в столь же серьёзную угрозу, как срыв сроков или перерасход бюджета. При этом мишенью злоумышленников являются не только крупные корпорации.

Под удар попадают все участники строительного рынка, связанные с госзаказом или имеющие государственное участие. Кроме этого, в зоне риска оказываются частные девелоперы, проектные институты, генеральные подрядчики и субподрядчики. Злоумышленники не выбирают жертв по размеру бизнеса – они ищут слабые места в защите информационных систем атакуемых предприятий.

Новые цели хакеров

При этом хакеры уже давно перестали интересоваться лишь кражей денег со счетов. Их цели стали более изощрёнными и опасными. Они стремятся добыть проектную документацию, BIM-модели и сметы – всё то, что составляет коммерческую тайну и даёт компании конкурентные преимущества. Утечка этой весьма чувствительной информации может обнулить годы работы и миллионные инвестиции, понесённые жертвой атаки.

Второй объект интереса цифровых преступников – базы данных клиентов с персональной информацией, включая биометрические данные. В условиях, когда строительные компании собирают и обрабатывают огромные массивы личных данных дольщиков, покупателей и подрядчиков, такие утечки становятся катастрофой.

Третья угроза – полная остановка работы компании через DDoS-атаки или программы-вымогатели. Когда предприятие не может получить доступ к своим системам, останавливаются все бизнес-процессы от проектирования до сдачи объектов.

Почему строительная отрасль уязвима?

Эксперты отмечают, что строительная отрасль исторически фокусировалась на физических рисках: авариях на стройплощадках, нарушениях технологии, срывах поставок материалов. Цифровая защита часто оставалась на уровне антивируса и усложненного пароля. Этого катастрофически мало в современных условиях.

Главная проблема состоит в разветвлённой цепочке поставок и большом объёме взаимодействия участников рынка. Крупная компания может инвестировать серьёзные средства в кибербезопасность, выстроить многоуровневую защиту и нанять компетентных специалистов. Но данные могут утечь через субподрядчика, который работает с устаревшим программным обеспечением и не имеет в штате IT-специалиста. Увы, один слабый участник в цепочке открывает для злоумышленников доступ ко всей ИТ-системе, посредством которой взаимодействуют участники строительного процесса.

Каким может быть объём убытков?

Последствия кибератак для строительного бизнеса измеряются не только прямым ущербом. Средняя глобальная стоимость утечки данных составляет 4,44 миллиона долларов. Для российских компаний суммы могут быть меньше, но их размер всё равно критичен.

Подобные инциденты несут в себе также и репутационный ущерб, который оборачивается потерей доверия со стороны клиентов, партнёров и инвесторов. Восстановление репутации после утечки данных занимает годы, а у некоторых компаний и вовсе не получается восстановить своё реноме.

Стоит также помнить, что государство ввело серьёзные штрафы за утечку персональных данных. Особенно жёсткие санкции предусмотрены за утечку биометрической информации или данных о здоровье – до 15.000.000 рублей. Для среднего бизнеса такой штраф может стать фатальным.

Промышленный шпионаж – ещё одна угроза в этом ряду. С помощью удалённой атаки конкуренты или недружественные игроки могут получить доступ к критически важным проектам, технологиям, ноу-хау. В условиях импортозамещения и технологического суверенитета это особенно опасно.

Стратегия защиты

Антон Мороз подчёркивает, что защита от киберугроз вышла за рамки компетенции IT-отдела. Это вопрос стратегии на уровне руководства компании.

• Первый шаг – оценка рисков во всей цепочке взаимодействия: от собственных серверов до каждого подрядчика и субподрядчика.
• Второе, о чём нужно позаботиться – это защита периметра. Нужна обязательная двухфакторная аутентификация, регулярное обновление программного обеспечения, жёсткий контроль доступа к информационным системам. Простые меры, которые закрывают до 80% уязвимостей.
• Третий шаг – работа с человеческим фактором, поскольку большинство утечек происходит из-за ошибок сотрудников. Регулярные тренировки по киберграмотности должны стать нормой, а не разовой лекцией при приёме на работу.
• Четвёртое – проверка облачных решений. Компании должны убедиться, что у провайдера есть офлайн-режим работы и возможность полного вывода данных. Зависимость от одного поставщика облачных услуг создаёт дополнительный риск.

Наконец, нужно иметь план действий на случай атаки. Предприятию нужно знать заранее, как восстановить данные, как коммуницировать с клиентами, партнёрами и средствами массовой информации в кризисной ситуации.