По статистике 70—80% утечек конфиденциальной информации в компаниях происходит по вине самих сотрудников. Эксперты утверждают: полностью защититься от инсайдеров нельзя, можно лишь минимизировать риски утечек.
Шпионские хитрости
Сегодня организации научились защищать коммерческую информацию от внешних угроз: вирусов, фишинга — одного из видов интернет-мошенничества, целью которого является получение конфиденциальных данных пользователей сети. На это тратится существенная часть бюджетов. В то же время штатные сотрудники бывают гораздо опаснее хакеров и вирусов, потому что уже находятся внутри компании и имеют доступ к информации.
Она выносится с помощью мобильных модулей памяти, сотовых телефонов, фотоаппаратов. Например, мини-плеер iPod способен вместить до 60 Гб информации. При использовании специальной утилиты, которая сама отыщет в корпоративной сети файлы с нужным разрешением, всего за несколько минут можно собрать и скопировать на него до 100 Мб.
Чтобы пресечь утечки, в компании «ЛУКОЙЛ», к примеру, ввели обязательное правило — оставлять все мобильные модули памяти на проходной, где для этого предусмотрены специальные ячейки. К «запретным» устройствам относятся и сотовые телефоны со встроенными камерами. Однако, по мнению многих экспертов ИТ-безопасности, такой «физический» барьер неэффективен против современных инсайдеров. Шпиону не составит труда пронести через блокпост ту же флеш-карту.
Весной
Одно из средств корпоративного шпионажа — беспроводные интерфейсы WiFi и Bluetooth. По словам Павла Первина, эксперта по аудитам информационной безопасности компании «Микротест», модуль беспроводного подключения позволяет взломщику войти в корпоративную сеть организации под видом легального пользователя, минуя большинство существующих защитных средств. Чтобы проникнуть в ноутбук кого-нибудь из топ-менеджеров, ему достаточно включенного на машине жертвы WiFi-адаптера.
Как это делается, продемонстрировали специалисты по ИТ-безопасности данной компании. Непосредственно во время семинара они взломали беспроводной интернет-сегмент одного из московских 5-звездочных отелей. Открытыми для кражи информации оказались 20 ноутбуков его элитных постояльцев.
Потери прямые и косвенные
Только за
Однако и компании, и госучреждения предпочитают замалчивать «подвиги» инсайдеров: опасаются материальных и нематериальных потерь. По данным исследования Computer Security Institute, в котором участвовали 639 различных американских компаний, общий ущерб от ИТ-инцидентов за
Кроме прямых финансовых потерь — выплаты компенсаций, штрафов и расходов на ликвидацию последствий вторжения — организации косвенно несут колоссальные убытки от утечек. Это отток клиентов, усиление конкурентов, подорожание услуг контрагентов. И, пожалуй, самый тяжело восстанавливаемый актив — деловая репутация. Немногие российские предприятия осознали, что утечку дешевле предотвратить, чем устранять ее последствия. Значительная часть из них до сих пор не имеет отлаженной системы контроля информации. А ИТ-решения для выявления и предотвращения утечек используют лишь 2% отечественных компаний.
Инсайд-защита
Для начала специалисты по информационной безопасности советуют определиться, что защищать. Необходимо классифицировать имеющуюся в организации информацию: определить, какие данные представляют ценность и могут использоваться только определенным кругом сотрудников.
Следующий шаг — разграничение доступа к сведениям. Нужно четко обозначить, какую степень доступа имеет каждый из сотрудников. «Это позволит контролировать конкретные группы работников и исключить, например, обращение слесаря к базе бухгалтерии», — говорит Михаил Савельев, заместитель директора по маркетингу компании «Информзащита».
Каждой организации надо разработать политику информационной безопасности, считает авторитетный независимый эксперт ИТ-рынка Михаил Емельянников. Все сотрудники должны быть официально с ней ознакомлены.
«Пресекать попытки инсайда надо еще на этапе приема сотрудника на работу, — делится своим опытом представитель компании «Связьинвест» Александр Ткачев. — Мы знакомим новых работников со всеми положениями, касающимися информационной безопасности под подпись. Наши сотрудники четко знают, какие санкции их ожидают при небрежном отношении к информации».
Установив регламент контроля, можно перейти к выбору технических средств защиты. ИТ-специалисты утверждают: контроля мэил-трафика и ограничений работы сотрудников с внешними устройствами недостаточно. Надежнее использовать комплексные ИТ-решения. И отечественные, и иностранные производители предлагают широкий выбор программ защиты. Стоимость комплексной защиты одного рабочего места, по данным InfoWatch, составляет 400—800 долл.
Чтобы определить слабые места компании и выбрать инструменты для их защиты, имеет смысл провести качественный аудит безопасности. Установить уровень уязвимости и последствия утечки. Сколько средств потеряет организация в результате возможного «слива», может оценить только ее руководство.
По мнению М. Емельянникова, не стоит ограничивать технические меры безопасности лишь контролем каналов передачи информации. «Защита должна включать в себя блокирование недопустимых действий пользователей, управление аутентификацией, доступом и правами и резервное копирование», — говорит он.
Со слов Е. Сучковой, даже самое совершенное решение по предотвращению утечек конфиденциальных сведений не будет работать, если не провести подготовку самой компании, не обучить ее службу безопасности грамотно пользоваться защитой.
Заключительный этап — перманентный контроль и анализ. Какую бы грамотную систему защиты ни выстроила компания, несоблюдение административных или технических мер безопасности может свести на нет всю защиту от инсайда.