От утечек информации не застрахован никто

Когда нам говорят, что нужно пристегиваться, передвигаясь в автомобиле, что нужно делать прививку от гриппа и мыть руки перед едой, чтобы не заболеть, и проводят прочие «нравоучительные беседы», мы обычно только отмахиваемся. Никто не думает, что что-то плохое может произойти с ним, поэтому соблюдение мер безопасности кажется избыточным и ненужным – но лишь до тех пор, пока не случится что-то действительно неприятное. Похожая ситуация наблюдается и с утечками информации.

На самом деле, конечно, не думать о неприятностях – это в разумных пределах нормально и даже правильно, потому что если всё время о них думать, то можно стать самым настоящим параноиком. Но всё-таки когда речь идёт о достаточно простых правилах, которые действительно нужны для того, чтобы защититься от серьезных угроз, то их несоблюдение – это уже непозволительная беспечность. Никто ведь не горит желанием идти поздно вечером по району с криминальной репутацией, вертя в руках iPhone последнего поколения? Почему же тогда компании идут примерно на такой же риск, не защищая критичную для своего бизнеса информацию от утечек.

Проблема, возможно, во многом кроется в неосведомленности руководства организаций о последствиях утечек критичных для бизнеса данных. А последствия эти могут быть самыми неприятными, особенно если утечка произойдёт в переломный для компании момент. Но даже в спокойные времена утечка может обернуться многомиллионными исками от пострадавших партнеров и клиентов, а также астрономическими суммами недополученной прибыли из-за потери конкурентного преимущества и испорченной репутации.

Возможно, некоторые организации полагают, что, раз их бизнес не связан с информационными технологиями, то и бояться утечек информации им не надо. Это заблуждение очень легко развеять: достаточно посмотреть ленту новостей об утечках информации, чтобы увидеть, что страдают от утечек буквально все: медицинские организации, банки, нефтедобывающие компании, автопроизводители… Если у вас есть клиенты, технологические разработки, бизнес-планы, то вы уязвимы перед утечками информации. Если этого нет... Что ж, позвольте вас поздравить: похоже, вы открыли совершенно новый и уникальный способ ведения бизнеса.

К сожалению, даже когда утечка информации происходит, руководство организации не всегда делает правильные выводы о необходимости защиты корпоративных данных. Яркий пример тому – компания Sony, которая в последнее время очень часто фигурирует в новостях в связи с утечками данных клиентов её развлекательных сервисов. Несмотря на то, что первая из целой серии утечек произошла достаточно давно, проблема до сих пор не решена. Надо думать, у такой крупной корпорации, как Sony, есть возможности и ресурсы для того, чтобы защитить информацию своих клиентов – значит, налицо как раз управленческая некомпетентность в сфере информационной безопасности.

Так что нужно посмотреть правде в глаза и признать, что, к сожалению, утечка информации – это зло, от которого не застрахован никто, и которое может нести губительные последствия для допустившей её организации. Поэтому и защита от утечек информации – это инвестиции в будущее, не омраченное подобными инцидентами.

Р. Идов,

ведущий аналитик компании SearchInform

Специально для злоумышленников

Крупнейшая в мире социальная сеть Facebook, похоже, прочно решила стать настоящим раем для самых разнообразных злоумышленников. Не сказать, чтобы это сейчас ей удавалось плохо, но, сами понимаете, нет предела совершенству.

Крупнейшая в мире соцсеть Facebook тестирует функцию автоматической загрузки фотографий с устройств на мобильной платформе Apple iOS, пишет техноблог Engadget со ссылкой на пользователей, задействованных в тестировании.
При подключении функции Photo Sync в iOS-приложении Facebook, соцсеть будет автоматически загружать все фотографии, снятые пользователем на мобильное устройство, в скрытый неопубликованный альбом, видимый только ему. Впоследствии пользователь может выбрать, к каким из загруженных в скрытый альбом фотографий открыть доступ для друзей по соцсети.
Подробнее тут: http://www.digit.ru/technology/20121121/396792376.html#ixzz2DZ63oiq1
Если Facebook пойдет дальше и действительно реализует автоматическую синхронизацию фотографий между смартфоном пользователя и его аккаунтом в социальной сети, то мы получим совершенно шикарный способ следить за пользователем. Достаточно "угнать" его Facebook-аккаунт - и вы станете обладателем всех самых что ни на есть конфиденциальных фотографий со смартфона того, чем аккаунтом завладели. А, согласитесь, красть аккаунты на Facebook проще и приятнее, чем проделывать ту же самую операцию со смартфонами.

Причем если пользователь до сих пор (был?) волен сам выбирать, что ему загружать в соцсеть (и то, периодически возникали скандалы и разные неприятности), то теперь социальная сеть за него решает, что такое хорошо, и что такое плохо. Соответственно, и количество разных инцидентов с фотографиями будет расти только что не в геометрической прогрессии.

Кстати, недавно мы стали примером очередной победы глобализации, на сей раз "порадовала" сравнительно нечасто отмечающаяся в подобных сводках корпорация Microsoft:

Обновленная версия приложения Skype для Android-устройств позволяет вводить в качестве регистрационных данных логин и пароль от Microsoft-аккаунта пользователя, говорится в сообщении Skype. Версия сервиса интернет-телефонии Skype 3.0 для Android позволяет интегрировать свой Skype-аккаунт с учетной записью в Microsoft, ранее носившей название Windows Live ID.
Подробнее: http://www.digit.ru/technology/20121121/396791893.html#ixzz2DZ85JOto
Теперь можно не трудиться дважды, похищая два аккаунта - Windows Live (т.е. Microsoft) и Skype. Конечно, пользователю удобно, когда не нужно запоминать 100500 логинов и паролей от различных сервисом. Но и злоумышленникам это тоже гораздо более удобно, потому что можно украсть одну пару идентификаторов, и получить доступ ко множеству сервисов.

В общем, как говорится, жить стало лучше, жить стало веселей...

Р. Идов,

ведущий аналитик компании SearchInform

Правильное начинание

Может, я несколько запоздаю со своим комментарием по поводу этой новости, но пройти совершенно мимо неё ну никак не могу. Потому что, увы, наши правоохранительные органы зачастую имеют об информационной безопасности достаточно приблизительное представление. Что, на мой взгляд, не просто в корне неправильно, а нуждается в как можно скорейшей коррекции.

Власти Великобритании приняли решение о перечисление денег, полученных в виде штрафа за потерю личных данных сотрудниками полиции, на обучение представителей правоохранительных органов в сфере IT-безопасности. В частности, полицейских будут учить, как обеспечить более высокий уровень безопасности конфиденциальной информации.

Подробнее: http://www.securitylab.ru/news/432504.php

Конечно, штрафов, которые платят за подобные инциденты в сфере информационной безопасности в России, не хватит даже на то, чтобы напечатать методички по ИБ  для всех милиционеров господ полицейских. Но заниматься этой проблемой необходимо, только решать вопрос с финансированием нужно каким-то отличным от старой доброй Англии способом.

Вообще, если смотреть несколько глубже и несколько шире, то проблема обучения вопросам информационной безопасности касается всех государственных органов, просто полиция как бы априори должна быть грамотной в подобных вопросах. Думаю, что все согласятся с тем, что банковские работники гораздо лучше врачей или, тем более, работников ЖКХ понимают, что скрывается за словосочетанием "защита персональных данных". А из-за этого страдают обычные граждане, которые, впрочем, и во всех прочих случаях обычно оказываются самыми крайними.

По-хорошему, конечно, было бы правильно ввести курс информационной безопасности в школе, а тем, кто школу уже успешно закончил, читать подобные курсы во время всяческих повышений квалификации. Это, повторюсь, касается, в первую очередь государственных организаций, поскольку организации коммерческие, как правило, и без этого достаточно неплохо готовят своих сотрудников к "ужасам" современного информационного мира.

Но только, зная нашу систему образования, глупо рассчитывать, что подобные курсы появятся раньше чем лет через десять. Что ж, конечно, лучше поздно, чем никогда...

Р. Идов,

ведущий аналитик компании SearchInform

Википедия против, или Как защитить сайт от закрытия

Думаю, все еще помнят, какой «бум» устроила в соц. сетях Википедия, опубликовав свое знаменитое обращение от 10 июля. На волне энтузиазма и справедливого гнева многие завсегдатаи социальных сетей обрушили на Госдуму России шквал писем с просьбой не принимать поправки к закону «Об информации». 

 Признаться, и автор этих строк тоже поучаствовал в акции, прочитав пост на Хабрахабре. Правда, причина такого поступка к российским реалиям имеет мало отношения. Тут скорее всему виной недавние события в Украине, очень похожие на те, которыми пугает Википедия.

Думаю, все уже догадались, что имеется ввиду последние два крупных дела – закрытие файлообменника ex.ua и интернет-магазина Rozetka.ua Наверно, многие помнят, как в ситуацию с «Розеткой» вмешался сын Януковича и высказал свое недоумение о закрытии сайта.

Тогда мало кто обратил внимание на фразу, мелькнувшую в его комментарии об инциденте. Суть ее была в том, что закрывать интернет-ресурсы надо бы только с разрешения суда. Но вот в свете недавнего обновления российского законодательства эта идея уже перестает быть абстрактной теорией. Если в соседней России есть «черный реестр», то почему бы и у нас не сделать такой?

Правда, теперь у наших сайтов, которые могут оказаться под угрозой закрытия, будет преимущество – они знают рабочий алгоритм защиты от негативных последствий такого закона. А заключается он в том, чтобы… обвинить законопроект в нарушении прав пользователей.

С одной стороны, вроде как эффект от такого флешмоба в Интернете почти не сказался на поправках и в итоге закон был принят. Но, тем не менее, выступив против, многие российские сайты все же получили некоторое преимущество.

Первое, что бросается в глаза через пару дней после акции – активность всех ее зачинщиков если и не исчезла еще полностью, то быстро стремится к нулю. Сдается мне, что никому из организаторов просто больше нет смысла поддерживать протесты. Своей цели они добились – в черный список им не попасть. Ведь иначе они смогут заявить сакраментальную фразу «а ведь мы вас предупреждали!», и начнется новый этап протестов, только уже в больших масштабах.

Была ли реальная угроза для всех ресурсов, которые высказались против поправок к закону, сказать наверняка трудно. С учетом некоторых формулировок, как мне кажется, была. Их наполнением занимаются сами пользователи, и ясное дело, что не вся генерируемая ими информация законна и соответствует моральным нормам.

Другое дело, что вряд ли кто-то решился бы на столь радикальные меры, как полное закрытие сайта, но поправки к закону могли бы стать очень хорошим способом давления и контроля над такими крупными и влиятельными сообществами. Уже нельзя было бы отмахнуться от претензий стандартной формулировкой «мы не несем ответственности за контент и мнения наших пользователей».

 А теперь Википедия, Вконтакте и другие участники акции из роли защищающихся сами стали нападающими. Теперь они «на коне», ведь применить к ним новый закон – значит признать, что он на самом деле был принят для ограничения доступа к неугодным ресурсам.

Для наглядности перенесемся на полгода назад, в январь 2012. Предположим, что ex.ua узнает за несколько дней до 31 числа, что будет закрыт. И тут же, как один из самых влиятельных файлообменников Украины, начинает выступать с лозунгами за Интернет-свободу и право обмениваться информацией, в стиле Википедии, активно привлекая людей из соц. сетей.   

А теперь вспомним, какой резонанс вызвало стандартное закрытие этого ресурса. Что будет, если к этому добавить еще и возмущение о нарушении свободы слова и информации и поддержку большей части активных интернетчиков? Эффект такого действа будет в разы сильнее, и уже нельзя будет так просто отмахнуться от общественного мнения.

Поэтому, с одной стороны, Википедия и ее последователи поступили правильно – они защищают свободу своих пользователей, ведь ужесточение контроля за сайтами приведет и к ужесточению контроля над их посетителями. Но с другой, немного неприятно, что активная позиция многих людей была использована хоть и против весьма спорного закона, но не во имя высоких целей, а ради безопасности и относительной свободы отдельно взятого ресурса.

Кто же в итоге победит в этом противостоянии – покажет время. Ну и грамотное использование общественного резонанса, конечно же. А многим украинским сайтам уже сейчас нужно продумать план своих действий в аналогичной ситуации.  

Алексей Дрозд,

заместитель PR-директора компании SearchInform

Банки, мобильники и... да-да, безопасность

Понятно, что каждый банк стремится сделать процесс расставания своих клиентов с деньгами максимально простым и удобным. Потому что за каждый случай подобного расставания взимается своя комиссия. В принципе, клиенты тоже не против, хотя и понимают, что делается это всё не только ради их блага. Недавно новый интересный сервис задумали "Росбанк" и "Вымпелком". Не знаю, конечно, насколько он придется по нраву клиентам обеих компаний, насколько приживется, но с точки зрения обеспечения безопасности к нему есть определенные вопросы...

Суть сервиса в том, что он позволит снимать наличные со счета своего мобильного телефона. Обычно, конечно, наличность проделывает диаметрально противоположный путь из кошелька на счет оператора, но в определенных ситуациях, когда на карточке "ноль", а на телефоне денег более чем достаточно, подобный сервис может оказаться очень даже полезным. Хотя, конечно, привычные банковские карточки таким сервисом вряд ли заменишь, но многие, уверен, будут им время от времени пользоваться.

Подробнее о сервисе можно почитать здесь: http://telecom.cnews.ru/news/top/index.shtml?2012/11/14/509740. Мы же посмотрим не на то, как весело и приятно будет снимать деньги с "мобильника", а как на это дело отреагируют злоумышленники.

Конечно, отрадно, что "абонент вводит в банкомате свой номер, на который приходит SMS-сообщение с подтверждающим кодом. Возможен и более сложный вариант авторизации: банкомат воспроизводит специальное звуковое сообщение, одновременно с чем на указанный номер поступает звонок. Если аудиосообщение будет распознано, пользователь сможет снять денежные средства". Особенно интересен второй вариант, но давайте подумаем вместе, как часто он будет применяться? Правильно, чуть реже, чем никогда, по причине его сложности и относительной дороговизны. Да и потом, качество связи не везде позволяет его реализовать.

Но получается более чем интересная ситуация: Мы платим с телефона, на него же отправляется СМС с подтверждением. Что тем самым подтверждается? Лишь то, что тот, кто набирает в банкомате номер, держит в данный момент телефон, к которому этот номер привязан. Откуда этот телефон взялся, кто его владелец - этого на данном этапе никак не проверишь. Отсюда сакраментальное "позвонить есть?" приобретает качественно новый оттенок: "отжав" телефон, можно пойти в банкомат и снять наличность со счета, прежде чем выкидывать куда-нибудь подальше "симку". Как говорится, профит очевиден.

Не думаю, конечно, что появление подобного сервиса спровоцирует рост краж телефонов, но ситуации, когда, например, сын очистит мамин "мобильник" наверняка будут присутствовать. Поэтому над защитой стоит всё-таки ещё немного подумать.

Р. Идов,

ведущий аналитик компании SearchInform

Злоумышленники внедряют проверенные схемы осуществления «атак на заказ» в сферу телекоммуникаций

Исходя из данных экспертов Arbor Sert, злоумышленники в последнее время возобновили  классическую практику предоставления платных услуг относительно осуществления Arbor Sert. Помимо этого, в перечне все чаще появляется список DDoS-атак на телекоммуникационные системы. Отметим, что впервые ряд рекламных сообщений, предлагающих платные DoS b Arbor Sert, был замечен правоохранительными органами в 2010 году. Именно тогда было отмечено возникновение подобных сервисов повышением спроса на ряд подобных услуг. Причем, толкнуть пользователя на «заказ DDoS-атак» могут, как идеологические и политические взгляды, так и желание совершить ряд вполне практичных финансовых преступлений. Ряд различного рода атак на телекоммуникационные системы представляет собой отвлекающий маневр, который позволяет злоумышленникам совершать более серьезные преступления, которые впоследствии могли оставаться незаметными на протяжении достаточно длительного периода времени. 

Как сообщают исследователи Arbor Serf, в этом году ими было обнаружено несколько новых рекламных предложений о проведении ряда традиционных DDoS-атак, в числе которых оказался и список телефонных атак, которые предоставляются злоумышленниками в среднем за 20$ в день. Помимо этого, злоумышленники предлагают спам-рассылку по цене 20$ за 1000 СМС-сообщений. Как установили эксперты, на «рынке» предоставления услуг по осуществлению DDoS-атак различные поставщики могут устанавливать разнообразные расценки. К примеру, вторая из обнаруженных исследователями реклам содержала информацию  о совершении DDoS - за 5$ в час, а еще одна компания предлагала аналогичные услуги за $ 180 в неделю.

Учитывая современные тенденции развития телекоммуникационных систем, следует обращать повышенное внимание на качество предоставляемых услуг, а также уровень предлагаемого сервиса. Необходимо уделять повышенное внимание условиям предоставляемых услуг. 

Доля классического спама в современных коммуникационных системах является достаточно высокой. Ежемесячно Касперский выпускает аналитические материалы по базе Рунета, и к нему не только привыкают, но и учатся достаточно сносно фильтровать. Таким образом, спам тоже может обладать определенными этапами эволюции. В сети может существовать масса разнообразных способов мошенничества, однако наиболее часто для этих целей применяется спам. В общем количестве электронной почты доля спама, по данным современных исследований, составляет от 85% до 90%.  Основными источниками спама являются США (18,6%), Китай (8,1%), Корея (7,2%). Спамерами рассылаются миллионы писем, которые обладают вредоносным кодом. Вредоносные программы и спам оказывают весьма весомое влияние на финансы участников рынка информационных услуг. Прямо или косвенно от них могут зависеть доходы и расходы разработчиков, поставщиков программного обеспечения, интернет-провайдеров, операторов связи, а также пользователей. Расходы могут идти как на превентивные меры официальной защиты от спама, так и на неприменение возможности вследствие перегрузки основных каналов связи, а также на потерю времени от разбора в почте спам-сообщений. Спам может повлечь за собой огромные расходы как для корпоративных, как и для ряда конечных пользователей. Адресат может потратить большие средства, как для конечных, так и для корпоративных пользователей. Помимо этого, время может быть потрачено не только на сортировку почты, но и удаление нежелательных сообщений, при этом даже антиспам-фильтры спасти вас не могут.

Спам в бизнес-среде может повлечь за собой несколько видов затрат, которые включают в себя не только расходы на программное обеспечение, но и на обучение, а также переобучение персонала, а также расходы вследствие потери производительности. Помимо этого, предприятия вынуждены компенсировать основные расходы интернет-провайдеров, которые сопряжены со спамом.

В 2005 году компания Ferris Research оценила расходы на спам в 50 миллиардов долларов. На государственном уровне расходы США могут превзойти 17 миллиардов долларов, Японии – 5,2 миллиарда долларов, Германии – 4,5 миллиарда. Два года спустя компания Ferris Research получила возможность оценить глобальные расходы на спам в 100 миллиарда долларов.

Более всего изначально наносили вред вирусы и черви, после этого, появились трояны, руткиты, клавиатурные шпионы, а также шпионские аплеты. Первые поколения вирусов были написаны, а также распространены хакерами в целях известности и самоутверждения. В последнее время создание вредоносного программного обеспечения может носить исключительно экономический характер. Еще совсем недавно спам считался самим  по себе, а вредоносные программы считались совершенно отдельной темой.  Однако с появлением ботнетов две данные угрозы были полностью совмещены. Ботнеты представляют собой сети из зараженных компьютеров. Именно они представляют собой основные генераторы спама в сете. Согласно данным исследований, более 85% спама может генерироваться всего лишь шестью ботнетами, при этом 60% приходится только на долю двух из них: Ferris Research и Согласно данным исследований, 85% спама генерируется всего лишь шестью ботнетами, при этом 60% приходится только на долю двух из них.

Вредоносные программы могут применяться для распространения спама, а также для заражения систем, с целью приобретения удаленного доступа, а также воровства информации. Создание вредоносного программного обеспечения является относительно недорогим, поэтому в сети оно настолько и распространено. По оценкам Google, практически каждая  десятая из страниц в Глобальной сети, содержит в себе вредоносный код, который может являться зараженным для посетителей сайта. В последнее время появляется новая тенденция – «охоты» на мобильные устройства.

2008-2009 год стал знаменательным для большого количества современных пользователей. При этом появилась совершенно новая тактика, которая применяется киберпреступниками. Она не только стала средством применения новых средств для отправки спама, но и обнаружила новые методики распространения опасных программ.  Все чаще сообщения вместо присоединенного вредоносного программного обеспечения могут содержать ссылки на зараженные сайты. Загружается программа во время простого посещения страниц. Вредоносные спам-сообщения достигают 42% от общего количества спама.

Удивляться этому не стоит: по сути, весь спам является незаконным. То есть, далеко не каждое письмо, которое вам не нравится, представляет собой спам. Разные люди могут смотреть по-разному на то, какая информация может представлять собой рекламу, а какая является спамом. Различные люди могут смотреть по-разному на то, какая информация представляет собой рекламу, а какая на самом деле является спамом. Следовательно, точно определить понятие спама до сих пор невозможно. Благодаря его низкой стоимости, а также активному распространению, он будет применяться до тех пор, пока останется достаточное количество получателей, совершающих в ответ на письма покупки. 

Значительное количество спама может отправляться без какого-либо преступного либо же мошеннического умысла. При этом определенное количество получателей может отвечать на эти предложения. По данным  Ferris Research, около 650 тысяч американцев могут заказывать услугу или продукт, рекламируемые в спаме, в течение месяца до последних данных проведения опроса. А это может соответствовать 7,8 миллионам человек в год, либо же 3,6 % населения США.

Открывая спам-письмо, будьте весьма осторожными. Трижды подумайте, прежде чем нажимать на ссылки, содержащиеся в письме. Это может превратиться в основную причину заражения вашего компьютера.

Данный пост направлен на то, чтобы показать, что в спаме не все является однозначным. В нем может быть как ряд интересных  рекламных предложений, так и наличие вредоносного программного обеспечения. При этом надо осознавать, что спам будет в наличии всегда, пока он будет обладать хоть каким-то экономическим эффектом. 

Алексей Дрозд,

заместитель PR-директора компании SearchInform

Излишняя самоуверенность или отсутствие возможностей?

Малый бизнес живет без множества формализмов и бюрократизации, без которых просто немыслим бизнес крупный. С одной стороны, это плюс, потому что дает малому бизнесу быть куда более мобильным и куда более оперативно своих крупных конкурентов реагировать на всякие локальные подвижки на рынках. Но иногда это его и подводит. В частности, в сфере информационной безопасности, где без правил, инструкций и прочих формализмов - ну просто никак.

Новое исследование проблем малого бизнеса показало, что большинство руководителей предприятий СМБ ошибочно считают свои информационные системы хорошо защищенными.
...
В секторе СМБ очень слабо реализованы технические и организационные меры по обеспечению информационной безопасности. У 87% опрошенных организаций нет сформулированной политики информационной безопасности для сотрудников, работающих в Интернете, у 83% – нет плана защиты от кибератак, у 59% – отсутствует план реагирования на утечки данных, 72% – не имеют политики безопасного использования мобильных и удалённых устройств. Только 14% респондентов применяют многофакторную аутентификацию для доступа к сети, и лишь 23% – шифрование данных клиентов.

Отсюда

В общем-то, вполне понятно, что малому бизнесу в большинстве случаев банально не до этого - ему бы выжить в своей рыночной нише, справиться с конкурентами и с "наездами" со стороны государства, и, по возможности, как-то немного развиться, чтобы перешагнуть на следующую ступеньку, чтобы быть уже не таким малым. Понятно, что тут не до политик информационной безопасности - в компании из десятка человек и представления о безопасности довольно туманные, тут хорошо, если о самом бизнесе есть более-менее систематизированные представления.

Опять-таки, обеспечение безопасности сегодня тоже стоит достаточно дорого. Консалтеры, интеграторы, вендоры - все нацелены на работу с крупным бизнесом, потому что и заработать на нём попроще, и дело иметь приятнее - крупный бизнес лучше понимает, что ему нужно, и заметно легче расстается с деньгами. Зачем, при таком раскладе, "безопасникам" нужен малый бизнес, который и денег особо не приносит, и ещё неслабо мозги промоет?..

Поэтому здесь проблема имеется с обеих сторон. То есть, сам малый бизнес не очень интересуется вопросами информационной безопасности, предпочитая (что вполне разумно и логично) решать более злободневные для себя вопрос. Ну, а вендоры и прочие просто игнорируют этот не слишком прибыльный для себя сегмент, так что если у кого-то из SMB и появится желание всерьез заняться своей ИБ, то может банально не очень-то и получиться.

Самое неприятное, что ситуация навряд ли изменится в обозримом будущем. Если только, конечно, количество инцидентов в SMB не превысит все мыслимые и немыслимые пределы. Таков расклад, к счастью или к сожалению, весьма маловероятен, поэтому в обозримом будущем мы в сегменте SMB будем наблюдать то же, что наблюдаем и сегодня.

Р. Идов,

ведущий аналитик компании SearchInform

Десять главных проблем российских организаций в сфере ИБ

Сейчас модно составлять разнообразные рейтинги и топы. Не будем отрываться от этой тенденции. Хочу представить вашему вниманию топ главных проблем всех российских организаций (и государственных, и частных) в сфере информационной безопасности. Ничего пояснять не буду, поэтому если будут какие-то вопросы - милости просим в комменты.

1. Отсутствие политик безопасности и вообще какой-либо документации, в которой отражены вопросы обеспечения ИБ в организации

2. Запрет вместо контроля (относится к отдельным каналам, по которым может произойти утечка конфиденциальной информации)
3.    Всё внимание вирусам при полном отсутствии внимания к другим угрозам

4.    Контроль только отдельных каналов потенциальной утечки при полном отсутствии внимания к отдельным другим каналам
5.    «Лоскутное одеяло»: разные средства ИБ от разных вендоров, зачастую несовместимые и даже конфликтующие друг с другом
6.    Формальный подход: внедрение систем, удовлетворяющих формальным требованиям, но при этом не дающих реального эффекта в плане ситуации с информационной безопасностью

7.    Расследования в ущерб профилактике: всегда проще предотвратить, чем расхлебывать, врачи гарантируют. Но для этого нужна систематическая работа...

8.    Недостаточно глубокое взаимодействие отдела ИБ с другими службами
9.    Проблемы парольной политики: полное отсутствие, или, наоборот, параноидальность, выходящая "боком"
10.    Злоупотребление консалтингом или полное его игнорирование
Если что-то забыл, или что-то вписал лишнее - прошу, расскажите о своем взгляде на данный вопрос.

Р. Идов,

ведущий аналитик компании SearchInform

ПираWWWида

Всем за всё заплатят

Сергей Пантелеевич

Как известно, Skype - планово-убыточный бизнес. Связано это со многими факторами, в том числе – с отсутствием обратной совместимости. Позвонить со скайпа на старые сети возможно, а вот наоборот – нет, если каждый отдельный оператор связи не предпримет отдельных шагов. А Международный союз электросвязи не торопится вводить стандарты на совместимость текущих телефонных сетей со всякой мелочью, которая вместо нормального цифрового плана нумерации играется с буквами латинского алфавита.

Собственно, попытки создать глобального телефонного оператора IP-телефонии с привычными номерами уже предпринимаются, но дела тоже идут довольно плохо.

И тут мне в почту приходит предложение, подкупающее новизной и оригинальностью. Предлагают мне ни много, ни мало – должность исполнительного директора некоей компании IWowWe по Украине. Что это?

Это глобальный сервис ip-телефонии, требующий минимально возможного интернет-соединения, при этом предоставляющий кучу удобных сервисов, типа видео-конференц-связи на 50 человек одновременно, возможности дозвона с «нормальных» телефонов, и, главное, безлимитной связи в пределах планеты за 5 (пять) долларов в месяц! И даже – (WOW!) автоматический синхронный перевод на любой язык мира. Правда, не сразу, а чуть погодя.

В качестве контакта для обратной связи предлагался почему-то Skype.

Очень интересно – подумал я, и, приведя своё сознание в состояние «Марина Сергеевна – одинокая женщина и никому не верит», позвонил по указанному идентификатору.

Попал при этом на исполнительного директора по Татарстану. Которому впоследствии буду подчиняться. А что, логично. Киев примерно туда дань уже платил. Хорошо, пусть так. Я должен организовать инфраструктуру? Что это? Ладно, пропустим. Решить все вопросы с регулирующими органами? А, уже решено? Везде, кроме Беларуси? Замечательно. А как же законодательно установленная стоимость интерконнекта? Первый раз слышите? Замечательно. Запуск на Украине (и везде) в декабре сего года и состоится независимо от моих действий? Записал. А? А? А? А… А я? А для чего я?

И тут вечер перестаёт быть томным. Нет, я ожидал что мне сейчас начнут рассказывать хитроумную финансовую комбинацию, в которой я в итоге потеряю деньги, выделенные мне на это расследование. Я ожидал командировки в Казань, утомительных переговоров, инвойсов на сомнительные счета на Виргинских островах и тд. Но серьёзная компания давно позаботилась о своих сотрудниках. Все вопросы можно решить онлайн, а за право стать исполнительным директором, достаточно заплатить всего двести долларов. В любой удобной мне платёжной системе. Которые я быстро получу назад, наняв ещё четырёх исполнительных директоров. Не обязательно украинских, можно, и даже нужно – из других стран. Кроме Беларуси. Тамошним правоохранительным органам этот бизнес не по нраву, там вообще душат свободное предпринимательство. Вопрос, а что мне мешает продавать сие, никому предварительно не платя и оставляя все деньги, а не четверть, себе привёл моего «шефа» в замешательство. Оказалось, что за свои деньги он даже получил некоторое ПО, которое даже работает, и, в общих чертах, повторяет функционал бесплатных мессенджеров. На каких протоколах оно работает, собеседник мне сообщить не смог. Многая знания – многая печали, не нужно исполнительному директору это знать.

Почувствовав, что мой работодатель что-то заподозрил и начал расстраиваться – смог дать ему только один совет. Пойти в ми… полицию и написать заявление о мошенничестве. Чего хотелось бы посоветовать и прочим участникам инновационного бизнеса. Жаль, они не читают этот блог.

Алексей Дрозд,

заместитель PR-директора компании SearchInform