Киберугрозы в Италии заметно отличаются от наблюдаемой в других странах картины, но исследователи пока не могут уверенно объяснить причину этого расхождения. Для ИБ-команд это неприятный, но полезный сигнал: география, локальная цифровая среда и поведение пользователей способны ломать даже привычные модели оценки риска.
О необычном профиле угроз сообщает Dark Reading. В доступном описании материала не раскрываются ни конкретные векторы атак, ни названия исследовательских групп, ни численные показатели, поэтому делать выводы о «главной итальянской уязвимости» было бы натяжкой. Сам факт, который фиксирует публикация, важнее громкого диагноза: исследователи увидели разрыв между Италией и общей международной статистикой, но не нашли одного очевидного фактора, который этот разрыв объясняет.
В кибербезопасности это нормальная, хотя и не слишком комфортная ситуация. Статистика редко отражает только техническое качество защиты. На нее одновременно влияют состав отраслей, распространенность устаревших систем, практика аутсорсинга, готовность компаний сообщать об инцидентах, активность конкретных преступных групп и даже то, какие события попали в выборку. Если один из этих факторов не учтен, аккуратный на вид рейтинг быстро превращается в гадание по тепловой карте.
Особенно опасно в таких случаях искать простую национальную причину: «в стране плохо обновляют ПО», «малый бизнес не вкладывается в защиту» или «там сильнее фишинг». Каждая из версий может оказаться частично верной, но без методики исследования и сопоставимых данных она не объясняет наблюдение. Например, рост зарегистрированных атак может говорить как об ухудшении защиты, так и о том, что компании чаще фиксируют и раскрывают инциденты. Снижение числа публичных сообщений, наоборот, не доказывает снижение реального риска.
Для российских компаний здесь есть вполне прикладной вывод. Не стоит без поправок переносить на свою инфраструктуру зарубежные отраслевые отчеты, глобальные рейтинги фишинга или средние показатели по вымогательским атакам. Они полезны как индикатор направлений: где растет давление, какие приемы используют злоумышленники, какие типы активов чаще становятся целью. Но приоритизацию защитных мер лучше строить на собственной телеметрии: журналах событий, результатах проверок доступа, данных о патчах, учениях по реагированию и реальных сценариях работы сотрудников.
Разработчикам эта история напоминает о другой распространенной ошибке — подмене модели угроз списком популярных CVE. Уязвимость с высоким баллом критичности не всегда является первым кандидатом на исправление именно в вашей среде. Важнее, доступна ли система извне, есть ли рабочий эксплойт, какие привилегии можно получить после компрометации и насколько быстро команда обнаружит подозрительную активность. При этом низкая заметность атаки иногда опаснее громкой критической дыры: о первой могут узнать только после утечки или простоя.
Бизнесу стоит проверить, не построена ли его отчетность по ИБ на слишком узком наборе метрик. Количество заблокированных писем, найденных уязвимостей и закрытых тикетов показывает нагрузку, но слабо отвечает на главный вопрос: какой ущерб компания реально способна предотвратить. Более полезны показатели времени обнаружения и локализации инцидента, доли критичных активов с подтвержденным резервным восстановлением, покрытия многофакторной аутентификацией и качества инвентаризации внешних сервисов. Именно на таких деталях обычно и проявляются региональные или отраслевые аномалии.
Неясная причина итальянского отклонения — не повод объявлять статистику бесполезной. Скорее это повод относиться к ней как к началу расследования, а не к готовому вердикту. Пока исследователи не покажут методику и не отделят особенности измерения от реальных изменений ландшафта угроз, киберугрозы в Италии останутся хорошим примером того, почему в ИБ нельзя принимать средние значения за карту местности.
