Регуляторика побуждает компании больше вкладываться в ИБ

Как показало исследование Bridewell, руководители служб безопасности (Chief Security Officer/CSO) ведущих британских компаний в сфере критической национальной инфраструктуры (CNI), всё больше полагаются на соблюдение нормативных требований для повышения уровня киберзащиты и увеличения инвестиций.

Так, 35% CSO, работающих в 13 секторах CNI Великобритании, назвали правовой аспект основным фактором, влияющим на их программы безопасности. Это на 26% больше, чем в прошлом году, и на 29% больше, чем в 2024-м. Параллельно с этим рост взаимосвязей, стремление к поддержке инноваций и развитие киберугроз стали менее значимыми факторами. Только 25% респондентов упомянуло один из этих факторов как движущую силу инвестиций в ИБ в 2025 и 2026 годах.

Эта тенденция, вероятно, связана с ускорением принятия нормативных актов, таких как британский закон о кибербезопасности и устойчивости (CSRB), а также директива ЕС NIS2 и закон о киберустойчивости (CRA). Кроме того, в Соединённом Королевстве недавно была проведена модернизация системы оценки кибербезопасности (CAF) для организаций, представляющих «серьёзную информационную ценность».

В то же время, по мнению местных экспертов, критически важные секторы экономики сталкиваются с проблемами регулирования, которое остаётся непоследовательным. Лишь 46% опрошенных сообщило о внедрении или соблюдении CAF и 29% — о принятии директивы ЕС NIS2. Поэтому, как говорится в отчёте, «неудивительно», что 39% признаёт низкий уровень уверенности в своих мерах защиты данных.

Как отметил гендиректор Bridewell Энтони Янг, хотя всегда найдутся люди, жалующиеся на чрезмерное регулирование, «кнут всё ещё работает», и финансовый сектор является хорошим примером, поскольку представляющие его компании всегда лидировали по ИБ-уровню в стране. Однако Янг ​​предостерег от формализма: «Регуляторы задают более сложные вопросы, и организациям потребуется продемонстрировать соответствие политике, а также реальные возможности».

Кроме того, технический директор Bridewell и руководитель отдела управляемых услуг безопасности компании Мартин Райли констатировал, что некоторые преимущества регуляторных указаний могут создавать дополнительные проблемы для организаций, работающих в сфере критически важной инфраструктуры.

Отчёт Bridewell также показал, что почти все организации в британском секторе CNI стали мишенью хакеров: 93% респондентов сообщило о киберинцидентах за последний год. Половина жертв назвала в качестве основного последствия сбои и отключения ИТ-систем, а 34% упомянуло о негативном воздействии на работу операционных систем.

Аналитики отмечают активное внедрение нейросетей в оборонительные операции: 36% компаний уже использует ИИ для автоматизации реагирования на инциденты и поддержки поиска угроз. Энтони Янг сравнил происходящее вокруг ИИ с «ранними днями облачных технологий»: «Он мощный и широко распространён, но часто внедряется быстрее, чем средства контроля, предназначенные для его защиты. Организации должны применять к ИИ ту же дисциплину и меры предосторожности, которые они теперь ожидают от облачных и цифровых инфраструктур».

Наконец, исследование выявило поразительный разрыв в доверии к постквантовой криптографии. Хотя 90% заявило о своей готовности, 38% признало, что ещё не ознакомилось с рекомендациями правительства. Это несоответствие подчёркивает то, что Bridewell описывает как «уверенность без ясности» в новых областях риска.

Усам Оздемиров