Киберустойчивость: почему ответственность начинается с «дизайна»

Киберпреступники не дремлют: от социальной инженерии до искусственного интеллекта, их арсенал растёт, а атаки становятся всё изощрённее. Организациям приходится адаптироваться, ведь реагировать уже поздно — надо предупреждать. Предвидеть угрозы, устранять уязвимости ещё до начала атаки теперь жизненно важно: это снижает риск и укрепляет защиту бизнеса.

Но не только компании, но и поставщики IT-решений — так называемые вендоры — должны брать частицу этой ноши на себя, помогать клиентам, внедрять новые стандарты безопасности. Самый действенный принцип — безопасность «по замыслу»: включать защиту на каждом этапе создания софта или сервисов, не по остаточному принципу, а как фундамент всей архитектуры IT-продукта.

Вместе с этим — «ответственное раскрытие»: когда уязвимости устраняют до того, как они станут оружием, и говорят о проблемах открыто. Такой честный подход повышает доверие и прозрачность в отношениях между вендором и клиентом.

Скажете, атаки становятся страшнее из-за AI? Так оно и есть, отмечает глобальный доклад Fortinet за 2025 год: инструменты вроде FraudGPT и ElevenLabs позволяют автоматически создавать вредоносный код и фишинговые письма, упрощая работу злоумышленникам. Особенно страдают промышленные, медицинские и финансовые структуры, а торговля украденными данными идет в полный рост.

Вендоры изо всех сил пытаются не отстать от быстро меняющихся угроз. Защита «по умолчанию» — когда безопасность интегрируется в каждый этап жизненного цикла ПО (от проектирования до утилизации) — это путь к упреждающей киберзащите. Однако ответственность лежит прежде всего на тех, кто создает ПО и сервисы: гарантировать защиту должны именно они.

Fortinet, например, приняла обязательство «Secure by Design», согласившись с инициативой Агентства кибербезопасности и инфраструктуры США. Это включает установки по безопасности по умолчанию, регулярные обновления, отказ от небезопасных функций и библиотек. Рекомендуется использовать языки программирования, безопасные по работе с памятью, а также аппаратное хранение ключей шифрования — чтобы их нельзя было украсть из обычного ПО.

Не обойтись без тестирования: статический и динамический анализ, регулярное сканирование на уязвимости, чтобы ошибки не проникали в релиз. Такой подход помогает постепенно повышать уровень защиты, делая все процессы прозрачными и понятными и для заказчика.

Передовой опыт — вовлечение независимых исследователей: специальные программы раскрытия уязвимостей по строгим протоколам, чтобы любые найденные «дыры» оперативно чинились. Это защищает не только отдельную фирму, но и смежные отрасли: совместное обсуждение угроз помогает быстрее реагировать, обмениваться актуальной аналитикой и принимать решения на отраслевом уровне.

Время реагировать на угрозы ушло, нужно опережать события. Только интеграция защиты на всех этапах и совместная ответственность идут в ногу с сегодняшними вызовами. Если клиенты и поставщики будут работать вместе по этим принципам, шанс защититься от новых атак неизмеримо возрастёт.