Есть ряд областей, которые строго контролируются регулирующими органами, то есть разработчики ПО обязаны выполнять определенные требования безопасности при разработке ПО по закону. Например, безопасность объектов критической информационной инфраструктуры регулирует Приказ ФСТЭК России от 25 декабря 2017 г. № 239. В сфере финансов необходимо применять сертифицированное ПО или ПО, соответствующее определенному оценочному уровню доверия.
Однако даже если бизнес не связан с госсферой или ПО не используется на критически важных объектах, то внедрение практик безопасности все равно крайне желательно. Хакеры могут организовать атаку на любой интернет-магазин или приложение, которое доступно в интернете. Если компания не позаботилась о безопасности, то у злоумышленников найдутся точки входа. Посчитать потенциальные убытки в этом случае просто, достаточно оценить стоимость простоя сервиса в течение часа, дня или недели.
Помимо задач доступности и отказоустойчивости сервисов важна сохранность информации. IT-продукты, которые используются для обмена данными, должны обеспечивать информационную безопасность. Это могут быть персональные данные, медицинские сведения, финансовые операции, коммерческая тайна — типов информации, требующей защиты, очень много.
По сути, любому бизнесу следует уделить должное внимание вопросам кибербезопасности. Опыт УЦСБ по оценке и проверке IT-продуктов показывает, что уязвимости есть почти всегда — как минимум ситуации, которые нужно уточнить и пересмотреть.