Ура, растем!

Рынок информационной безопасности продолжает расти, что, согласитесь, не может, пусть и немножко, но не радовать. И дело даже не в том, что благодаря этому мы сами можем заработать "сто тыщ мильёнов", как говорилось в небезызвестном мультике "Малыш и Карлсон", а в том, что укрепляется безопасность всей страны, если взглянуть на это дело, так сказать, в государственном масштабе.

Объем российского рынка услуг в области информационной безопасности в 2011 году вырос на 43% и составил 445 миллионов долларов, сообщила во вторник пресс-служба аналитической компании IDC. Отсюда

Рост на 43% за год - этим, согласитесь, может похвастаться далеко не каждый рынок. Но для этого действительно есть определенные предпосылки. Информация играет всё большую роль даже в не самых передовых отраслях народного хозяйства, и о её защите задумываются все. Значит, за год Россия в лице своего бизнеса и государственных структур стала на 43% защищеннее.

Прогноз на этот год - 30%. Кажется, темпы замедляются, но на самом деле, это вполне естественно. Ведь это 30% к уже имеющемуся, т.е. если сравнивать с 2010-м, то это уже что-то вроде такой формулы (было * 1,43) * 1,30. Фактически, защищенных организаций станет ещё больше, что, думаю, вполне очевидно.

Вот такая маленькая трудовая победа. Общая для нас с вами, кстати говоря. Думаю, что ещё несколько лет мы будем наблюдать ничуть не менее бурный рост сферы информационной безопасности, ну а затем последует вполне закономерное плато. Впрочем, возможно, новые угрозы не дадут наступить стагнации - как говорится, поживем - увидим.

Р. Идов,

аналитик компании SearchInform

Деградация под маской прогресса

Не могу не прокомментировать пост моего коллеги из InfoWatch, который намедни высказывался по поводу конфиденциальности персональных данных как уходящего в небытие явления. Как бы красиво ни звучала эта теория, согласиться с ней означает признать абсолютную ненужность всей индустрии информационной безопасности уже сегодня и, более того, неправильность всего пути её развития за всю историю её существования.

Открытость? Да пожалуйста, сколько угодно. Зарубежное шоу "Большой брат" и наше "За стеклом" и "Дом-2", открытость и прозрачность в чистейшем виде. Постройте себе туалет со стеклянными стенами и посмотрите, насколько удобна и полезна такая прозрачность. Может быть, всё-таки, не всегда всё хорошо вываливать на всеобщее обозрение?

На самом деле, открытость во всём - это прямой путь к тому "Большому брату", который описан в бессмертном оруэлловском "1984". Только здесь роль такого стороннего наблюдателя будет играть не власть, а вездесущий анонимус. То есть, наверное, в некотором приближении всё общество. Хорошо ли это? Может, это и есть долгожданная всеобщая и повсеместная демократия, о которой массы мечтают на протяжении десятилетий?

Честно говоря, не думаю. Скорее, это диктатура толпы. Потому что демократия - это как раз право спрятать от чужих глаз то, что ты не хочешь показывать. А если спрятать ничего нельзя? Получается просто одна большая тюремная камера, где все открыты друг другу и где нельзя спрятаться от чужих глаз.

К этому ли должен приводить прогресс? Есть определенные сомнения. Впрочем, если в понимании InfoWatch цель ИБ - именно это, то не мне их судить. Но это очень, очень симптоматично...

Р. Идов,

аналитик компании SearchInform

Россияне и западники

Не помню, поднимал ли я эту тему, или нет, но когда-то, во всякому случае, поднять хотел. А раз и не помню, значит, было это уже так давно, что и снова поднять её совсем не грех. А тема такая: отличия в защите от утечек информации между российскими компаниями и западными. То, что отличия должны быть, думаю, вполне очевидно. Но какие они - вопрос не из простых. Давайте поразмышляем.

Отличия между западными и российскими инсайдерами обусловлены, в первую очередь, различиями в подходах к обеспечению информационной безопасности в компаниях, а также в менталитете работников.
На Западе законы в целом работают лучше, чем в России, где чаще ищут как их обойти, а не как соблюсти. Законодательство в сфере информационной безопасности в этом плане не является исключением. Немалую роль играет «зарплатный фактор»: в западных странах работодатель «покупает» сотрудника большой заработной платой, за которую тот держится, и не ищет незаконных способов приработка.
В целом же подход к обеспечению ИБ в западных странах кардинально отличается от российского. Там принято внедрить DLP-систему и рассказать об этом всем сотрудникам, чтобы отбить охоту заниматься чем-либо кроме непосредственных служебных обязанностей на рабочем месте. Сами DLP при этом ориентированы не столько на решение реальных задач, сколько на соответствие всевозможным законам и требованиям, то есть является, по сути, страховкой от проверок по защите коммерческой тайны, персональных данных и других конфиденциальных сведений. В России же DLP-системы ставят для решения реальных задач, а не для «галочки». Большинство наших клиентов – коммерческие компании, которые покупают DLP-системы за немалые деньги, тщательно взвесив все «за» и «против», что говорит о высоком качестве нашего ПО. И защищаются при этом не от проверок, а именно от инсайдеров, но при этом редко подают на сотрудников в суд, предпочитая решать вопросы без лишней огласки.
В общем, можно сказать, что на западе DLP играет скорее роль психологического оружия, чем реального средства защиты, в то время как в России всё обстоит с точностью до наоборот. Хорошо это или плохо? Всё зависит от того, с какой позиции на это всё смотреть. Во всяком случае, безопасники у нас явно более подкованные.

Р. Идов,

аналитик компании SearchInform

Платит пострадавший?

Думаю, что все согласятся с тем, что в любом инциденте, так или иначе связанном с ИБ, львиная доля всех расходов ложится на пострадавшую сторону. Впрочем, расходы расходам рознь, и сейчас я хотел бы поделиться с вами довольно интересным случаем, который отыскался в Сети. Тут, на мой взгляд, вопрос с расходами совершенно не очевиден, в связи с чем и сами юристы, можно сказать, запутались в показаниях и решениях.

В 2007 году «Ростелеком» заключил договор с индивидуальным предпринимателем Татьяной Перцовкиной о предоставлении ее фирме услуг Интернет. Два года она исправно оплачивала счета, однако с апреля 2009 по август 2010 платежи от Перцовкиной не поступали. Когда «Ростелеком» обратился в суд с иском на 224,3 тыс. руб., предпринимательница платить отказалась, ссылаясь на то, что в указанное время неправомерный доступ к сети с помощью ее логина и пароля осуществлял некий гражданин Волынский. Он израсходовал траффик на сумму 225,086 тыс. руб., но был задержан и признан виновным по ч. 1 ст. 272 УК РФ (неправомерный доступ к компьютерной информации).
Однако, по мнению судов, Перцовкина должна была сама следить за конфиденциальностью логина и пароля. Иск «Ростелекома» был удовлетворен полностью.
Как сообщает pravo.ru, Перцовкина не согласилась с решением и обратилась в надзор. После рассмотрения материалов дела коллегия судей ВАС приняла решение о передаче дела в президиум, отметив, что суды не указали, как именно, опираясь на договор или действующее законодательство, предпринимательнице следовало защищать свои логин и пароль. Кроме того, изучение судебно-арбитражной практики говорит о том, что доказанный факт несанкционированного доступа третьих лиц к сети Интернет с использованием логина и пароля абонента, полученных незаконным путем, является основанием для освобождения от обязанности оплаты незаказанных услуг.

Источник

Конечно, как безопасник, не могу не согласиться с судами, которые посчитали, что утечка логина и пароля - проблема самой гражданки. Но как обычный человек, который сам может попасть в аналогичную ситуацию, я, конечно, не могу не посочувствовать ей, и не согласиться с тем, что расходы, вообще говоря, должен оплачивать тот, кто их несет, иначе получается довольно-таки распространенная, к сожалению, в наших широтах ситуация под названием "с больной головы на здоровую".

Если проводить параллель с утечками информации, можно поднять вопрос: закономерно ли требование возмещения ущерба от утечки от того, кто её допустил? Конечно, фактически, вряд ли виновный сможет оплатить хотя бы десятую часть всех убытков компании, поскольку суммы ущербов от утечек, как мы все прекрасно знаем, бывают просто астрономическими. Но здесь важен скорее принципиальный момент.

На мой взгляд, всё-таки в данном случае (в приведенном выше кейсе с оплатой интернета) требование возмещения ущерба от того, кто незаконно пользовался логином и паролем, вполне обосновано. А вот с утечкой информации - нет. Почему? Тот, кто допускает утечку, сам эту информацию обычно не использует. Значит, закономерно требование возмещение ущерба от того, кто воспользовался утечкой - от конкурента, например.

Впрочем, я, к сожалению, не юрист, и это всё только мои рассуждения. Может, кто-нибудь сможет поделиться чем-то более обоснованным в комментариях?

Р. Идов,

аналитик компании SearchInform

Чтобы неповадно было

Думаю, никто не скажет, что защищать персональные данные - дело плохое и неправильное. И против шпионажа за собой со стороны кого бы то ни было, я уверен, выскажутся абсолютно все пользователи. Но иногда, конечно, палку иногда можно и перегнуть. Думаю, вы уже все в курсе того, что компанию Google в очередной раз штрафуют за шпионаж в отношении пользователей. Но насколько это справедливо и правильно?

В общем, это прецедент. Теперь можно штрафовать каждую компанию, которая размещает на сайтах какие-либо скрипты, собирающие информацию о пользователях. А уж сколько заплатят те же "Гугл" и "Яндекс" за свои "Аналитику" и "Метрику", даже страшно представить. Да и Web-сервера, пишущие логи, тоже вызывают подозрение. Было бы очень интересно теперь ввести правило, что если сайт хоть как-то регистрирует посещение пользователя, он должен сначала спрашивать его согласия. Кстати, не удивлюсь, если в обозримом будущем появится и такая маразматическая норма.

Что вызывает наибольшее удивление, если не сказать, возмущение, так это  сумма штрафа. Она составляет $22500000. Да-да, внимательно посчитайте нули. Как говорится, чтобы всем остальным неповадно было. Честно говоря, мне кажется, что эта сумма не совсем адекватна степени вины Google. Но помня о том, как американцы штрафовали домохозяек на сотни тысяч долларов за то, что те заливали песню на файлообменник, такому штрафу уже не удивляешься. У них там свои понятия о добре и зле, которые тем, кто там не живет, увы, понять совершенно невозможно.

Можно долго гадать, что будет дальше, но, по сути, мы наблюдаем увеличивающийся градус маразма в плане сбора разных статистических данных. Конечно, можно было бы этому порадоваться, потому что персональные данные пользователя находятся во всё большей безопасности, но можно огорчиться тому, КАК это всё происходит.

Р. Идов,

аналитик компании SearchInform

Тема старая, но по-прежнему актуальная

Хочу порекомендовать вашему вниманию свою скромную статью, написанную по просьбе белорусской электронной газеты "Компьютерные вести". Она посвящена прослушиванию и блокировке Skype, и прочитать её можно по этой ссылке.

Тема, конечно, не новая, но по-прежнему весьма интересная для широкой публики. До сих пор находятся люди, которые, наслушавшись о важнейшей роли Skype в событиях так называемой "арабской весны" уверяют, что никакие злобные спецслужбы не имеют доступа ни к каким каналам Skype, поэтому с его помощью можно не то что революцию затевать, а вообще попробовать свергнуть мировую закулису. Да, конечно, до какой-то степени так оно и есть, но если копнуть глубже, то оказывается, что как только вы СИЛЬНО кого-то заинтересуете, то саму Skype (то есть, теперь уже Microsoft) сама выдаст вас со всеми потрохами.

Ну, или, как рабочий вариант, можно организовать слежку а-ля Кевин Митник: получить доступ к компьютеру и установить на нем втихоря что-нибудь типа SearchInform SkypeSniffer. С учетом большого разнообразия современных средств удаленного администрирования, сделать это не так уж и сложно. В конце концов, если будет сильно нужно, можно даже подменить сам клиент Skype, написав что-нибудь троянистое, что успешно под него маскируется. Лишь бы игра стоила свеч.

Поэтому, дорогие революционеры, Skype не так безопасен, как хотелось бы. Вообще, хочу сказать, что, на мой взгляд, дедовский оффлайновые методы, от которых спецслужбы банально отвыкли, могут оказаться сегодня даже эффективнее. Но это как бы не совет и не руководство к действию, а просто частное мнение одного человека.

Ну и те, кто передает корпоративные секреты не корысти ради, а гонорара для, тоже должны иметь в виду, что голубиную почту прослушать таки сложнее, чем Skype. Потому что технический прогресс не стоит на месте, сами знаете.

Р. Идов, 

аналитик компании SearchInform

Имидж - ничто?

Рынок труда сегодня уже не тот, что в лихие девяностые, когда наши сограждане готовы были терпеть любую придурь работодателя за копейки. Сегодня люди выбирают работодателя так же придирчиво, как мужа/жену, это и неудивительно, если учесть, сколько времени современный человек уделяет работе и какое социальное значение имеет сегодня карьерный рост.

Почти две трети (65%) менеджеров среднего и высшего звена готовы отказаться от предложения о работе, если имидж компании-работодателя на рынке труда оставляет желать лучшего. 35% респондентов готовы принять job offer, несмотря на имидж компании, если их устроят предлагаемые условия. Таковы результаты опроса, проведенного рекрутинговой компанией Antal Russia среди 200 менеджеров. 39% опрошенных заявили, что имидж компании-работодателя на рынке труда для них является очень важным фактором выбора нового места работы. Еще для 59% респондентов этот фактор является значительным, но не решающим. Всего 2% менеджеров не обращают внимания на репутацию потенциального работодателя.

Источник

К чему это здесь? К тому, что утечки информации как раз таки и бьют, в первую очередь, по тому нематериальному, но очень дорогому компоненту любой компании - имиджу. И даже в таком вопросе, как подбор персонала, утечки конфиденциальных данных играют заметную негативную роль. Да-да, хорошие менеджеры сами убегут от вас вместе с вашей инфрмацией, если вы будете плохо следить за ней.

Именно поэтому так важна информационная безопасность. Именно поэтому словосочетание "кадровая безопасность" - не пустой звук. К сожалению, множеству российских бизнесменов так никто этого и не объяснил. Что ж, может, они чему-нибудь научатся хотя бы сами на собственном горьком опыте?..

Р. Идов,

аналитик компании SearchInform

Зарисовка на тему персональных данных

Большинство проблем с персональными данными, по моему скромному мнению, связаны с органической неспособностью самих пользователей думать категориями конфиденциальности. Ярчайшее тому свидетельство - феномен социальных сетей, о котором я тут периодически пишу. 

 Не самый любимый мною сайт порадовал неожиданно интересной статьей о том, как стараются привлечь внимание пользователей к вопросу обеспечения безопасности персданных в этих их Соедиенных Штатах. Суть в том, что сайт отслеживает обновление статусов пользователей на Facebook и составляет топы тех, кто только что принял наркотики, кто страдает похмельем, кто хочет чтобы его уволили... В общем, всех тех, кто добровольно распространяет о себе весьма и весьма интересные, с какой стороны ни взгляни, сведения.

По мнению создателей сайта, он научит пользователей лучше думать над тем, какие данные они публикуют о себе в социальных сетях. Только, думается мне, эффективность этого будет не слишком высокой. Толпы хомячков, живущих в соцсетях, просто не привыкли думать, и новый сайт будет играть ту же роль, что и выступления юмористов-сатириков по телевизору. Интересно послушать и посмеяться над другими, но увидеть себя в них - это выше возможностей среднестатистического пользователя социальной сети.

Но сами пользователи в этом, конечно, не виноваты. Просто методы нужны другие. Чтобы ребенок не играл со спичками, ему не показывают жертв пожаров и прочие ужасы. Спички от него просто прячут. Так нужно поступать и здесь.

Р. Идов,

аналитик компании SearchInform

Маразм крепчал...

Трудно какими-то другими словами, кроме тех, которые вынесены в заголовок, охарактеризовать ситуацию, в которую попадают некоторые американские законодатели, проявляющие неподдельный интерес к социальным сетям. Очередная новость с одного из любимых сайтов просто сразила наповал: в Луизиане приняли закон, обязующий осужденных за совершение преступлений сексуального характера, сообщать о содеянном в своей учетной записи в соцсети.

Можно, конечно, долго рассуждать о том, насколько глубоко социальным сетям удалось интегрироваться в жизнь общества, но, думаю, законодатели из Луизианы лучше всех поставили точку в этом вопросе. Подробнее оценить новость можно по ссылке, сейчас же скажу только о том, что в качестве социальной сети здесь фигурирует, само собой, Facebook.

Что меня поразило в этой ситуации? В то время, как во всём мире идет борьба за сохранность в тайне персональных данных, власти Луизианы стремятся, напротив, выставить их на показ в крупнейшей соцсети. Вообще, могу сказать, конечно, что для США не характерна подобная практика, и что вряд ли подобные законы приживутся повсеместно в Соединенных Штатах. Но сам по себе случай симптоматичен.

Ещё один небезынтересный вопрос кроется в моральной стороне проблемы. Человек, совершивший преступление, уже понес наказание. Зачем же дополнительно наказывать его, размещая информацию об этом в социальной сети? Почему бы законодателям тогда не обязать всех обладателей каких-нибудь американских почетных грамот и других регалий тоже вывешивать их в Фейсбуке?

Но, конечно, особую пикантность ситуации придает то, что Facebook - это, вообще говоря, просто коммерческая компания, не имеющая никакого отношения к руководству Луизианы. И что внутренние правила этой компании вообще не приветствуют регистрацию в её социальной сети лиц, совершивших сексуальные преступления. Как можно было принять такой закон, не ознакомившись даже с внутренними правилами Facebook?.. Лично мне это глубоко непонятно.

В общем, как видите, приключения с персональными данными возможны не только в России. Можно было бы посмеяться и забыть, но, увы, за небрежность законодателей придется в итоге расплачиваться всем без исключения...

Р. Идов,

аналитик компании SearchInform