И на старуху бывает проруха (снова о зарубежном опыте защиты от утечек)

В не столь уж далеком прошлом я рассуждал на тему "полиции мысли" в отдельно взятых компаниях. И говорил  о том, что великие компании не зря уделяют так много внимания информационной безопасности, потому-то у них и не бывает серьезных проколов, связанных с утечками информации. Но вот буквально вчера я прочитал новость, где говорится о том, что и у Apple с информационной безопасностью не всё так хорошо, как хотелось бы.

Может, конечно, вы уже и в курсе произошедшего, но для тех, кому лень переходить по ссылке и читать новость полностью, процитирую её вкратце:

Пол Девайн, бывший менеджер Apple признался в суде, что в течение трех лет передавал конфиденциальную информацию партнёрам в Сингапуре. В распоряжении азиатских бизнесменов оказались данные о прогнозах продаж, ценовые ориентиры и неизданные технические характеристики продуктов. Обладая внутренней информацией Apple, они могли заключать сделки на более выгодных для себя условиях. Что интересно, все коммерческие тайны инсайдер передавал по электронной почте, пользуясь аккаунтами в бесплатных системах типа Hotmail и Gmail. Причём, прямо со своего служебного ноутбука, на котором эксперты ФБР и нашли копии шпионской переписки. После чего долго упиравшийся подозреваемый наконец признался. Прокурор отказался комментировать возможные меры наказания. По тем пунктам обвинения, в которых сотрудник Apple признал себя виновным, максимальный тюремный срок - до 70 лет, а также штраф на сумму до нескольких миллионов долларов. Уже сейчас Девайн согласился на выплату в почти 2,3 млн. долларов в рамках возмещения вреда.

Какие из этого можно сделать выводы? Ну, во-первых, очевидно, менеджеры компании контролируются  гораздо слабее, чем технические сотрудники - очень сомневаюсь, что тех, кому инсайдер "сливал" информацию, не интересовали никакие технологические разработки и инновации Apple. Скорее, инсайдер просто не смог получить к ним доступ, и потому торговал той информацией, к которой имел доступ по служебным надобностям - это можно считать частичным успехом службы информационной безопасности Apple.

Второй вывод: все-таки контроль трафика в компании совсем не бесполезен. И очень полезно контролировать ноутбуки, потому что инсайдеры могут отправлять секреты и в командировке (для этого, кстати, мы не так давно выпустили специальное решение, но сейчас разговор не о нем). Очевидно, что если бы переписка менеджеров контролировалась достаточно тщательно, то есть, не только почта на корпоративном домене, но и другие каналы передачи данных, то такая ситуация с передачей документов через GMail'ы и HotMail'ы была бы в принципе невозможна.

Ну и третий вывод самый простой - от утечек данных не застрахован никто, даже самые "крутые" и богатые компании. И поэтому не нужно надеяться на лояльность сотрудников, их боязнь потерять работу и прочие эфемерные факторы. Вы не можете залезть в голову своим сотрудникам и посмотреть, что те хотят делать с вашей конфиденциальной информацией. Поэтому от утечек нужно защищаться.

Р. Идов,

эксперт по информационной безопасности