Крупная кибератака не обязательно снизит кредитный рейтинг больницы или водоканала. Гораздо сильнее на оценку влияет способность организации быстро восстановить работу и выдержать финансовые потери – к такому выводу пришло рейтинговое агентство Fitch.
Агентство выпустило отдельные отчёты о рисках для американских медицинских организаций и систем водоснабжения. Обе отрасли привлекают злоумышленников по схожим причинам: услуги нельзя надолго останавливать, инфраструктура всё сильнее зависит от подключённых систем, а многие организации продолжают работать со старым оборудованием и ограниченными бюджетами.
По оценке Fitch, сам факт успешной атаки редко заставляет агентство пересматривать рейтинг. Проблемы начинаются, когда инцидент усиливает уже существующие финансовые и операционные трудности. Медицинские организации с устойчивой прибылью и достаточным запасом средств обычно сохраняют рейтинг, если способны быстро реагировать на происшествия и продолжать работу, пока восстанавливаются.
Наиболее уязвимы небольшие медицинские учреждения с ограниченными финансами и нехваткой специалистов по информационной безопасности. Из-за долгого простоя растут расходы на то, чтобы восстановиться, и падают доходы – это может сильнее ударить по их финансовому положению и стать основанием, чтобы снизить рейтинг.
Для водоканалов возникает дополнительная проблема. Небольшим предприятиям нужны деньги, чтобы защищать оборудование и нанимать сотрудников, но получить средства часто можно, только если повысить тарифы. После серьёзного инцидента, который нарушил подачу воды или привёл к утечке данных клиентов, доверие к руководству может снизиться, а добиться того, чтобы утвердили новые тарифы, станет ещё сложнее.
Угроза для водной инфраструктуры США уже носит практический характер. В апреле Агентство по охране окружающей среды США, ФБР, Агентство по кибербезопасности и защите инфраструктуры и Агентство национальной безопасности предупредили о продолжающихся атаках связанных с Ираном злоумышленников на технологическое оборудование систем питьевого водоснабжения и очистки сточных вод.
Медицинская отрасль одновременно готовится к ужесточению требований HIPAA. Министерство здравоохранения и социальных служб США предложило обязать организации шифровать защищённые медицинские данные, применять многофакторную проверку личности, разделять сети, регулярно искать уязвимости, ежегодно проверять защищённость и тестировать планы реагирования на инциденты.
Fitch не ожидает, что новые требования сами по себе заметно ухудшат рейтинги организаций из портфеля агентства. Многие крупные учреждения уже внедрили значительную часть предлагаемых мер, а расходы, чтобы выполнить требования, невелики относительно их выручки. Главным фактором кредитной устойчивости агентство считает не способность полностью исключить кибератаки, а готовность пережить инцидент, не останавливая работу надолго и не позволяя финансовому положению серьёзно ухудшиться.