Ожидание конца света? (Навеяно мыслями о Windows XP)

В этом году (и довольно скоро) заканчивается срок поддержки Windows XP. Microsoft не устает повсюду пугать пользователей тысячами неприятностей, которые они получат, если не установят себе более современную "Винду" (естественно, Windows 8). В чем заключаются задачи корпорации, активно "впаривающей" пользователям не самый удачный из своих продуктов, понять, в общем-то, несложно. Интереснее другое - насколько мрачные прогнозы экспертов Microsoft соответствуют действительности?

Microsoft вчера снова посеяла панику в рядах пользователей Windows XP, говоря им, что после 8 апреля 2014, шанс заразиться вредоносным программным обеспечением их PC, может превысить 66%. Эти данные озвучены Tim Rains, директором Microsoft’s Trustworthy Computing group, сразу после выпуска Security Intelligence Report.

Отсюда

На всё тех же "Компьютерных вестях" находится другая, не менее любопытная переводная статья от всё той же Microsoft. Очень рекомендую ознакомиться, потому что там есть действительно интересная информация не только рекламно-маркетингового характера. Как вам, например, такая диаграмма?

Уровень заражений (количество вылеченных компьютеров на 1000 зараженных) операционных систем и пакетов обновлений за четвертый квартал 2012 года по данным Microsoft Security Intelligence Report, часть 14

Что самое интересное, в статье не ограничиваются самими системами, но сравнивают и Internet Explorer'ы (8-й и 10-й, хотя моя практика показывает, что, говоря об XP в России и СНГ, актуальнее будет брать всё-таки 6-й).

Лично я считаю, что статистика в данном случае - это скорее отражение общей криворукости пользователей. Количество вредоносов для WinXP пропорционально времени жизни этой ОС, которое, мягко говоря, несколько больше, чем у Win8. И что по мере перехода народа на "семёрку" и "восьмерку" острота проблемы начнет снижаться - это как сейчас сидеть под Win95. Не каждый вредонос сегодня под ней запустится!

Но в одном, конечно, с Microsoft можно согласиться. Лучше всё-таки обновить систему. Правда, следуя логике максимальной безопасности, новой ОС должна стать Linux или MacOS... Но Microsoft вам об этом не скажет, конечно же.

С какими угрозами ежедневно сталкивается бизнес?

С какими угрозами ежедневно сталкивается бизнес?  О классификации мы недавно с вами говорили, теперь поговорим о самих угрозах более предметно.

Несанкционированный доступ – это, пожалуй, самая понятная из угроз. Ежедневно сводки отраслевых порталов по ИТ и ИБ пополняются хотя бы одним-двумя сообщениями о «злобных хакерах», укравших номера кредитных карт, исходные коды какого-либо известного программного продукта, секретных чертежей новой подводной лодки… Конечно, не у каждой организации есть такие данные, которые способны заинтересовать профессионалов, занимающихся взломом защищенных сетей ради получения какой-то выгоды. Тем не менее, наверняка у каждой коммерческой компании найдутся конкуренты, которые совсем не будут против узнать, что лежит в её корпоративной сети. Кроме того, абсолютно любая организация не защищена от энтузиастов, которые взламывают корпоративные сети не из корыстных побуждений, а исключительно из любопытства и для саморазвития.

Потеря данных – угроза, в общем-то, тоже достаточно понятная. Кто сам не терял ни разу никаких нужных файлов из-за сбойных носителей информации? В корпоративном масштабе такая потеря чревата гораздо более серьезными неприятностями, чем бессонная ночь в попытке восстановить невовремя пропавший отчет. К сожалению, до сих пор это не редкость, особенно для государственных организаций. Автор сам сталкивался со случаями, когда государственные организации, потеряв из-за вышедшего из строя носителя информации данные о некоторой сдававшейся юридическими лицами отчетности, были вынуждены просить у организаций повторно предоставить документы для восстановления базы данных.

Утечка конфиденциальной информации стала осознаваться как распространённая угроза сравнительно недавно. Во многом, конечно, свою роль сыграло распространение информационных технологий, в частности, широкополосного интернета и носителей информации с высокой ёмкостью, благодаря которым даже достаточно большие объёмы данных можно вынести за пределы организации в течение считанных минут. От утечек информации в последнее время страдают практически все организации, потому что у каждой из них есть информация, которую ни в коем случае не стоит показывать конкурентам, журналистам или, в отдельных случаях, налоговым органам. В связи с увеличением количества электронных услуг и усилением роли персональных данных в последнее время значительно участились утечки именно этого сорта информации. Достаточно часто утечка происходит не потому, что сотрудников подкупают конкуренты, а просто из-за банальной невнимательности работника, отправившего электронное письмо не на тот адрес, или из-за обиды на начальство, которому работники мстят, обнародуя закрытые корпоративные данные. Последним особенно часто грешит ИТ-персонал, имеющий во многих организациях практически неограниченный доступ к информации.

С угрозами, исходящими от вредоносных программ, также в той или иной степени сталкивалась наверняка практически каждая организация. В то же время, специалисты в области антивирусной защиты сегодня говорят о том, что в последнее время риск кражи информации вредоносным ПО значительно превосходит риск порчи последним компонентов информационной системы организации, потому что вредоносное ПО, бывшее на заре своего существования способом самоутверждения системных программистов, писавших его скорее для своего развлечения, стремительно коммерциализируется. И сегодня подавляющее большинство вредоносных программ либо рассылает спам, либо ворует данные с компьютера пользователя, либо каким-то другим способом приносит доход своему создателю. Тем не менее, большое количество «червей» в корпоративной сети может заметно замедлить передачу данных в ней, что сразу же скажется и на скорости работы организации в целом. В отдельных случаях это может вызвать даже остановку критичных для организации бизнес-процессов.

Противоправные действия сотрудников, к сожалению, являются наиболее распространенной угрозой для всех организаций, но вместе с тем, что весьма прискорбно, мало кто задумывается о защите от них. Здесь, конечно, уже уместно говорить об отраслевой специфике подобного рода угроз: для предприятий реального сектора экономики, например, актуальной угрозой является подделка накладных, в то время как для финансового сектора опаснее «подыгрывание» сотрудников потенциальным заемщикам с плохой кредитной историей и другими «отягчающими обстоятельствами». К сожалению, практика показывает, что даже при соблюдении условий самого тщательного отбора персонала надёжно защититься от этой угрозы достаточно сложно.

Пост о цикличности истории

Мне иногда нравится размышлять о неких асбтракциях, строении мира и Вселенной. Что поделать, физический факультет даёт о себе знать. И потому научно-популярные работы того же Мичио Каку (в частности, его книга "Физика невозможного") нет-нет да и всколыхнут воображение.
Многие учения высказываются в пользу того, что мы "движемся по кругу". Различные перерождения, "как аукнется, так и откликнется", и т.д. Я же склонен думать, что это всё-таки не круг, а спираль. Ну да ладно. Такие рассуждения не совсем уместны в блоге, касающемся информационной безопасности.
Тем не менее, сказанное выше является подводкой к любопытной параллели.
Знаете ли вы, кто такой Лео Таксиль? Поступки этого неординарного человека, на мой взгляд, хорошо бы вписались между инсайдерством и конкурентной разведкой.
Лео Таксиль - пожалуй, один из величайших, если не самый великий из мистификаторов в истории человечества. Суть его деятельности заключалась в многолетнем кропотливом создании мифа об "Обществе палладистов", масонской организации, которая поклонялась дьяволу и приносила в жертву "неверных". Делалось это всё в лоне католической церкви - а к вере Лео Таксиль обратился после многих лет воинствующего безбожия. Но "разоблачение масонов" оказалось не более чем подрывной деятельностью... Подробнее можно почитать здесь.
В современном же мире мы имеем схожее поведения. Этакого "волка в овечьей шкуре".
Естественно, в сфере борьбы с пиратством, где до сих пор не найдено ни одного достаточно эффективного с точки зрения правообладателей решения.
Владелец форума UploaderTalk закрыл сайт и опубликовал неожиданное откровение. Он признался, что в течение 12 месяцев работал на антипиратские корпорации и собирал сведения обо всех пользователях, которые раздавали нелицензионные файлы, о пиратских хостингах и компаниях, которые способствуют распространению нелицензионных файлов. Собственно, для этого и был основан UploaderTalk.
С Хабра
Собственно, дело тут даже не в том, что владелец создал такого "троянского коня", а в том, что он потратил очень много времени на то, чтобы втереться  в доверие к "злостным пиратам" и собрать их достаточно внушительное комьюнити у себя на сайте.
Мне кажется, что в обоих случаях этими людьми двигало примитивное желание наживы. По крайней мере, во втором точно. И я думаю, что мы еще не раз услышим в наше время о не менее "изобретательных"  применениях этого "замечательного" приёма...
А какие техники инсайдерства и конкурентной разведки из прошлого помните вы?

Мобильная безопасность при работе с почтой

Корпоративная почта – это те данные, которые часто содержат в себе достаточно много такой информации, которую не слишком хотелось бы показывать посторонним людям. Когда с почтой работают только из корпоративной сети, особых проблем не возникает. В то же время, часто с корпоративной почтой работают с мобильных устройств, и в связи с этим возникает немало сложностей.

Думаю, что рассказывать о важности сохранения конфиденциальности деловой переписки вряд ли стоит: каждый, кто её ведет, понимает, что обнародование некоторых писем может привести к не самым приятным последствиям. В корпоративной сети организации с обеспечением безопасности почтовой переписки проблем, как правило, не возникает. Системные администраторы следят за тем, чтобы на серверах и на компьютерах сотрудников не было троянов, способных похитить почту, а использование только корпоративного почтового сервера позволяет проконтролировать практически весь путь почтовой корреспонденции от отправителя до адресата.

Когда почта принимается и отправляется со смартфона, всё заметно усложняется. Дело в том, что защитить мобильный телефон теми же средствами, которые защищают корпоративную сеть в целом, довольно затруднительно. Остается и проблема, присущая всем портативным устройствам – она связана с сохранностью данных при их краже или потери. Нет принципиальной разницы, получит злоумышленник доступ к аккаунту корпоративной почты в результате перехвата логина и пароля или просто посмотрев её на найденном возле офиса телефоне.

Разные компании решают проблему по-разному. Наиболее распространенным и наиболее дешевым вариантом является использование корпоративной почты только на работе и полный отказ от работы с ней через мобильные устройства. К сожалению, такой вариант можно признать приемлемым только для весьма ограниченного количества компаний, которые могут позволить себе отказаться от оперативного реагирования на рабочую почту своими сотрудниками, в особенности относящихся к руководящему звену. К сожалению, такая возможность есть далеко не у всех, поскольку современная бизнес-среда, особенно для компаний, которые работают с клиентами и партнерами в разных часовых поясах, требует постоянного присутствия многих руководителей онлайн.

Поэтому всё-таки большая часть компаний старается так или иначе обеспечивать приемлемую оперативность отклика на приходящие на корпоративный почтовый ящик сообщения. И для этого существует несколько решений, степень защищенности которых соответствует их стоимости.

Самое дешевое – это использование корпоративной подписки на сервисы интернет-провайдера, обслуживающего компанию, или использование аналогичных решений от ведущих игроков на рынке бесплатных решений для почты (например, Google). В этом случае конечный пользователь почты просто настраивает почтовую программу на своём смартфоне таким образом, чтобы она могла работать с данным почтовым сервисом, а затем полностью полагается на возможности провайдера почтового сервиса по защите своего трафика. В ряде случаев компании предпочитают не связываться со сторонними почтовыми сервисами, а использовать для этого собственный почтовый сервер. Во втором случае затраты на поддержку работы с корпоративной почтой для средних и небольших организаций могут быть даже больше, чем при использовании сторонних сервисов, но при этом можно польностью контролировать всю работу пользователей с почтой.

К сожалению, этот подход не решает проблемы, связанной с кражей и утерей портативных устройств. Кроме того, не все почтовые программы, предлагаемые на современных смартфонов, поддерживают работу по защищенному каналу передачи данных. Поэтому другим вариантом является использование Web-почты или специально разработанных для организации программ для той операционной системы, которая является стандартом для корпоративных смартфонов. И тот, и другой метод достаточно эффективны только в том случае, если пользователь не ленится каждый раз самостоятельно набирать логин и пароль, а не сохраняет их в телефоне. Зато браузер, созданный известным разработчиком, или сделанная специально по заказу компании программа позволяют быть уверенными в отсутствии «бэкдоров» и уязвимостей, которые могут быть в почтовых приложениях малоизвестных разработчиков, предлагаемых в онлайновых магазинах приложений для мобильных платформ.

Вполне понятно, что создание заказной программы, соответствующей нуждам компании, будет стоить гораздо больше, чем покупка готовой на Android Market или App Store. Поэтому более часто используются Web-решения на базе корпоративных порталов, которые позволяют организовать единообразную работу с корпоративной почтой и из офиса, и с мобильных устройств, и даже из дома. Портальные решения позволяют интегрировать почту с другими сервисами, например, с CRM и с системой управления задачами, которые также могут быть необходимыми при работе с почтой со смартфона.

Впрочем, использовани подобных сервисов требует от компании уделять достаточное количество внимания смартфонам сотрудников, поскольку обычно специальные приложения и корпоративные Web-порталы требуют первоначальной настройки телефона или его браузера. Также существует проблема вредоносного программного обеспечения для мобильных платформ, которое пока что, конечно, не так рапространено, как в случае с Windows на настольных ПК и ноутбуках, однако эксперты полагают, что оно может представлять собой довольно заметную угрозу.

Как показывает практика, наиболее распространенными мобильными платформами на территории России и стран СНГ являются Apple iOS и Google Android. В то же время, стандартом корпоративных мобильных смартфон на западе является куда менее распространенная на постсоветском пространстве BlackBerry. Причины сравнительно малой распространенности этой платформы у нас заключаются как раз в её защищенности: в большинстве стран (Россия, Беларусь и др.) обращение к серверам BlackBerry в других странах запрещено законодательством, а использование собственных серверов из-за низкой популярности платформы нерентабельно для мобильных операторов. Именно поэтому использование фирменных сервисов Blackberry, сделавших эту платформу популярной во всём мире, затруднена, и стоимость её в той же России становится слишком высокой. Поэтому позоволить себе самую защищенную в мире мобильную платформу для работы с корпоративной почтой могут себе только очень богатые компании, которые действительно нуждаются в очень высокой степени защищенности своих данных.

Высокая стоимость использования Blackberry как корпоративной мобильной платформы обуславливается не только использованием дорогого трафика для «общения» с зарубежными серверами, но и приобретением для каждого из работников аппарата с соответствующей платформой, которые стоят отнюдь не дешево. Поэтому ряд компаний предпочитает идти на компромиссы, приобретая Blackberry только для руководящих сотрудников, а для остальных ограничивая доступ к почте с устройств, работающих за пределами корпоративной сети.

Нужно сказать, что даже использование специально разработанных портальных решений или родных приложений для мобильных платформ, равно как и переход на Blackberry, вовсе не гарантируют безопасности корпоративной почты при работе с нею через мобильные устройства. Зачастую проблемой является непонимание сотрудниками компании элементарных основ информационной безопасности, которое присутствует на всех уровнях, начиная с рядовых сотрудников, и заканчивая высшим руководством. Поэтому при любом выборе решения необходимо не забывать об инструктаже и тренингах в области информационной безопасности для сотрудников всех рангов. Это позволит избежать не только проблем при работе с корпоративной почтой с мобильных устройств, но и множества неприятных инцидентов, связанных с утечкой или утерей данных в офисе.

Очевидно, что идеальным вариантом в свете обеспечения мобильной безопасности при работе с почтой является использование Blackberry, однако этот вариант доступен не для всех и не во всех странах. Поэтому наиболее доступным и сбалансированным решение может стать использование Web-почты на корпоративном портале, тщательно контролируемое и сопровождаемое корпоративными системными администраторами. Наихудшим решением можно признать запрет на работу с корпоративной почтой за пределами офиса, однако в том случае, когда средств мало, а защищенность данных важнее оперативности общения, и этот подход может обеспечить выполнение необходимых требований.

Новые робингуды

В тему сотрудников, не совсем чистых на руку, нашлась достаточно интересная и, я бы сказал, симптоматичная для современного бизнеса новость, мимо которой просто нельзя пройти:
За полгода 27-летний сотрудник чебоксарского подразделения компании «Вымпелком» сумел перевести со счетов мобильных мошенников свыше 500 000 рублей, пишет «Коммерсантъ». Теперь он обвиняется в 146 эпизодах кражи денег, сопряжённых с неправомерным доступом к охраняемой законом компьютерной информации.
Отсюда
В общем-то, всё довольно банально, если бы дело не отдавало некоторой робингудовщиной. Да и лозунги наподобие "грабь награбленное" у нашего народа уже просто, можно сказать, в крови. Именно этот аспект заурядного преступления и хочется обсудить.
Как то ни печально, но зачастую у нас считается что "благородной разбойник" имеет право, пусть хотя бы моральное и в законодательстве не закрепленное, забирать у других то, что нажито, по его мнению, не совсем честным способом. Конечно, английские корни легенды про Робина Гуда как бы намекают, что дело так обстоит не только у нас, что подтверждают личности вроде Ассанжа и Сноудена. Но всё-таки как-то по моим наблюдениям именно на постсоветском пространстве тяга к "благородному разбою" особенно сильна.
В практике служб ИБ, с которыми мы работаем, неоднократно встречались такие типажи, которые подделывали накладные якобы из-за того, что начальство отказало в повышении зарплаты, заставив их "крутиться", или которые продавали корпоративные данные потому что босс кровопиец капиталист, и поэтому нанести ему ущерб представителю рабочего класса вроде как дело не зазорное, а благородное. Пример из нерабочей жизни - знакомый владелец SMS-биллинга, присвоивший деньги заблокированного SMS-провайдера, занимавшегося мошенничеством и на этом пойманного. Продолжать список можно бесконечно...
По моим наблюдениям, таких вещей становится всё больше. Статистики у меня, к сожалению, нет, но по субъективным ощущениям всё именно так. Что настораживает: если человек чувствует за собой моральное право что-то сделать, то закон его вряд ли остановит. Скорее он будет стараться спрятаться от закона, совершая такие действия. Уж не поэтому ли неуклонно растет статистика утечек информации?..
Но самое интересное, лично я не знаю, что делать с новыми робингудами. Может, просто пора запретить читать детям сказки про Робина Гуда и смотреть фильмы про благородных преступников?..

Ликбез: классификация угроз

Говоря об угрозах информационной безопасности, мы обычно имеем в виду какой-то достаточно ограниченный спектр угроз, с которым приходилось сталкиваться на практике данной конкретной организации. Именно поэтому важно знать, какими угрозы могут быть в принципе и на какие классы их можно поделить.

Классифицируя угрозы по компонентам информационной системы, на которые они направлены, обычно выделяют следующие подклассы: угрозы, направленные на данные; на аппаратуру; на программное обеспечение; на каналы связи; на ИТ-персонал компании. Несмотря на кажущуюся сомнительность включения ИТ-персонала в данную структуру угроз, данный подход позволяет создать исчерпывающую структуру классификации угроз по их объекту.

По природе источника угрозы выделяют искусственные и естественные угрозы. Данная классификация нуждается в дополнительных пояснениях. Под естественными понимаются угрозы, существование которых заложено в самой информационной системе организации. Например, это различные угрозы, связанные с уязвимостями в программном обеспечении или возможными сбоями аппаратуры. Под искусственными угрозами, соответственно, понимают все те угрозы, которые не подпадают под данный критерий. В первую очередь, конечно же, в списке искусственных угроз стоят различные виды атак. Также к естественным угрозам относят различные форс-мажоры (чрезвычайные происшествия, стихийные бедствия и т.д.).

По расположению источника угрозы принято выделять внутренние и внешние угрозы. Источники внешних угроз расположены за пределами защищаемой информационной системы, в то время как источники внутренних угроз расположены в ней самой. Приведем примеры. К внешним относятся атаки на корпоративные сервера, попытки незаконного проникновения в корпоративную локальную сеть, вредоносное и шпионское программного обеспечение. Нередко сюда же относят и спам, который является одним из главных источников вредоносных приложений, проникающих во внутреннюю сеть организации. Что касается внутренних угроз, то к ним относятся угрозы уничтожения или утечки информации из-за преднамеренных действий сотрудников или из-за их халатности.

По характеру реализации угрозы принято различать случайные и преднамеренные угрозы, а также активные и пассивные угрозы. Случайные угрозы, как правило, относятся к естественным, хотя в ряде случаев к ним добавляются и различные действия сотрудников. Все преднамеренные угрозы по своей природе искусственны и связаны с действием как внутренних, так и внешних злоумышленников. Что касается разделения угроз на пассивные и активные, то здесь всё просто: активные угрозы вносят изменения в информационную систему организации, а пассивные этим свойством не обладают. То есть, можно говорить о разрушающем характере активных угроз для ИС. В то же время, необходимо понимать, что с точки зрения функционирования всей организации, а не только её ИС, зачастую пассивные угрозы также могут носить разрушающий характер. К примеру, утечка конфиденциальной информации может не представлять угрозы для информационной системы организации, однако при этом нанести непоправимый удар по самому бизнесу.

По способу доступа к компонентам информационной системы выделяют угрозы, использующие стандартный доступ, и угрозы, использующие нестандартный доступ. Частным случаем второго вида угроз является угроза использования недекларированных возможностей информационной системы (наиболее характерный пример – так называемые «бэкдоры»). При использовании стандартного доступа часто злоумышленниками применяются приемы так называемой социальной инженерии либо технические средства для незаконного получения реквизитов, необходимых для доступа к корпоративной ИС (логин, пароль).

Нарушаемое в результате реализации угрозы требование к информационной системе организации – сравнительно редко употребляемый критерий классификации угроз, однако в ряде случаев о нем полезно помнить так же, как и о других возможных критериях. Основными требованиями в данном случае являются доступность, целостность, конфиденциальность; соответственно, именно по нарушению данных требований проводится классификация по данному критерию.

По характеру ущерба от реализации угрозы можно провести классификацию по следующим видам ущерба: моральный, материальный, физический. Более подробная классификация может включать в себя механизм нанесения ущерба в результате реализации угрозы, к примеру, можно выделить моральный и материальный ущерб, наносимый в результате репутационных потерь от утечек информации; ущерб от уничтожения информации; физический ущерб в результате неправильной работы управляемых системой производственных агрегатов и т.д. Стоит отметить, что по данному критерию возможно попадание угрозы сразу в несколько категорий, поскольку значительная часть угроз наносит ущерб сразу различными способами.

Трудности социализации

Речь, как несложно догадаться по заголовку, пойдет о социальных сетях. Да-да, о них, родимых, без них сегодня никуда. Но сегодня я хочу поговорить не столько о том, что они являются вселенским злом для рабочего класса офисного планктона, отнимая у него возможность восемь часов не разгибаясь вкалывать "на дядю", сколько о социальных сетях как о платформах для интеграции остального Web'а.
Посмотрите, сегодня у каждого уважающего себя западного сайта обязательно есть возможность залогиниться через Фейсбук, Твиттер, ЛинкедИн... У российских сайтов аналогично, только с "Одноклассниками" и "Вконтакте". Идея одного логина для многих сайтов, честно признаться, не очень нова - есть такая штука как OpenID, которую ольдскульные ЖЖисты должны сильно любить и уважать. Но количество блогеров не сравнить с количеством школоты пользователей социальных сетей, где, как известно, контент нужно не генерировать, а только потреблять. Поэтому логин через социальные сети сегодня намного актуальнее, чем OpenID.
Но это и является серьезной проблемой, потому что сайты, которые позволяют логиниться через соцсети, потом нередко используют возможности соцсетей для саморекламы. Они прописываются как приложения, генерирующие  тонны спама для имевших неосторожность залогиниться черех соцсеть пользователей. Автор этих строк сам сталкивался с этой проблемой, которая особенно актуальна для крупнейшей в мире социальной сети - то есть, конечно, Фейсбука.
Есть, конечно, рецепты, позволяющие решить проблему достаточно радикальным образом. Здесь, например, предлагают отключить напрочь приложения как таковые, чтобы познать дзен избавиться хотя бы от части спама. К сожалению, этот подход, как бы хорош он ни был, не всегда удобен, потому что заводить на каждом встречном-поперечном сайте свои логин-пароль не всегда хочется.
Конечно, есть такая проблема, что с кражей аккаунта от соцсети можно лишиться еще множества других учетных записей, которые с ним связаны. Поэтому лично я не пользуюсь логином через соцсети для тех сайтов, где учетные записи для меня действительно важны (например, в своем блоге).
Какая мораль из всего этого? К сожалению, у большинства социальных сетей (в особенности, конечно, это касается Фейсбука) не очень продуманная модель взаимодействия с внешними сайтами. Что и вызывает, к сожалению, необходимости искать какие-то неприятные решения и идти на компромиссы между безопасностью и удобством.

Как сделать так, чтобы обеспечение информационной безопасности не стало проблемой для непрерывности бизнес-процессов?

Хочу обсудить сегодня в нашем блоге не совсем пятничную тему: как сделать так, чтобы обеспечение информационной безопасности не стало проблемой для непрерывности бизнес-процессов?
Почему вообще возникло такое желание? Буквально каждый день приходится видеть безопасников, которые возводят свою работу в ранг едва ли не самого важного дела во всём мире. Но к сожалению, для рядового бизнеса есть вещи, как то ни странно, более важные. Собственно, об этом и будет пост.
В ряде случаев, безусловно, приоритетом является именно защита конфиденциальной информации, которая не должна попасть за пределы организации, ни при каком раскладе. Какого рода информация должна охраняться подобным образом, зависит уже от специфики деятельности самой организации. Для компаний, вкладывающих деньги в инновационные решения, подобным образом имеет смысл защищать ещё не прошедшие патентную экспертизу технологии и изобретения; для большинства других компаний сюда входят данные по намечающимся крупным сделкам и прочие подобные вещи.
Впрочем, доступ к подобной стратегически важной информации в норме имеет ограниченный круг лиц, включающий в себя, в основном, топ-менеджмент организации. Для всей остальной информации могут быть использованы менее строгие защитные меры, поскольку в данном случае приоритетом становится уже не недопущение утечек, а непрерывность бизнес-процессов. Таким образом, можно сформулировать первый принцип обеспечения защиты информации в интересах организации: степень защиты должна соответствовать степени критичности данной информации для дальнейшего существования и развития компании.
Каким образом можно определить степень важности конкретного вида информации? К сожалению, отработанных сценариев и процедур в настоящее время не существует, ведь для каждой организации существует своя специфика. Лучшие результаты, пожалуй, может дать достаточно простой мысленный эксперимент: попробуйте себе представить, что тот или иной документ оказался в руках у злоумышленников, или у конкурентов вашей компании, или был просто опубликован в интернете. Насколько серьезными будут последствия – настолько и важен этот документ (и, с большой долей вероятности, все подобные ему документы) для вашей компании. Если же никаких долгосрочных последствий подобного сценария развития событий вы себе представить не можете, то вряд ли имеет смысл тратить деньги на защиту этого документа.
Конечно, неприятно думать, что ты - всего лишь обслуживающий персонал. Но по факту для бизнеса ИБ именно таковой службой и является. Помнить об этом не очень приятно, но очень полезно.

Культура информационного эксгибиционизма

Можно долго говорить о том, почему социальные сети и смартфоны-планшеты стали столь популярными, но факт остается фактом: сегодня человек без аккаунта в социальной сети (хотя бы одной) и без личного смартфонопланшета смотрится, если только он не живет в глухой провинции и не кушает каждый день водку в обнимку со своим медведем, поигрывая на балалайке, белой вороной.

То есть, современное общество пусть мягко и достаточно ненавязчиво, но всё-таки принуждает человека, претендующего на то, чтобы быть его частью, пользоваться всем этим - социальными сетями, мобильными устройствами... Некоторые возводят это в абсолют: они "чекинятся" в Foursquare, доступны круглые сутки по "Скайпу", в любую свободную минуту пишут твиты... Другие заходят раз в неделю на "Одноклассники", но и они исправно загружают фотографии с отпуска в Турции, чтобы "всё как у людей" и "пусть видят".

То есть, современное общество насаждает своего рода культуру информационного эксгибиционизма. Если ты не рассказываешь о себе, то ты, как минимум, выглядишь странно. Причем тенденция такова, что эта "странность" всё больше и больше не на руку тому, кто ведет себя подобным образом. К примеру, уже приходилось встречать сообщения о компаниях (пока американских, но наши, не сомневаюсь, тоже подтянутся), отказывавших соискателям в рабочем месте из-за отсутствия у них аккаунта на Фейсбуке.

Смартфоны нового поколения позволяют сидеть в социальных сетях круглые сутки - и не случайно они вытеснили старые не столь социально-ориентированные Symbian-смартфоны и прочие подобные устройства. Нет, я не говорю, что дело именно в том, что с них было неудобно сидеть в соцсетях - но не удивлюсь, если молодежь отказывалась в пользу "айфонов" именно из-за этого.

Я бы не стал говорить, что за всем этим стоит какая-то организация вроде того же АНБ специально насаждает моду на соцсети и смартфоны. На самом деле, АНБ - такой же продукт эпохи, как и эти явления. Соцсети, мне кажется, и без её активного участия уже достаточно популярны по всему миру.

Но самый интересный вопрос - это до какой степени дойдет эта мода на информационный эксгибиционизм, и что будет дальше? Делитесь, пожалуйста, своими мнениями по этим вопросам в комментариях.

Ну зачем они так?..

Пожалуй, эта новость достойна того, чтобы её процитировать сразу, что называется, с места в карьер, не отвлекаясь на долгие вступительные пассажи:

Всего 74% российских компаний применяют антивирусные решения для защиты от вредоносного ПО. Как показало исследование, проведенное "Лабораторией Касперского" совместно с аналитической компанией B2B International, антивирусная защита — наиболее распространенная мера для обеспечения информационной безопасности ИТ-инфраструктуры в корпоративном секторе. Вместе с тем, 26% компаний по-прежнему не используют этот вид базовой защиты. Для сравнения, в прошлом году этот показатель составлял 30%, рассказали CNews в "Лаборатории Касперского".

http://www.itsec.ru/newstext.php?news_id=95985

Я, конечно, догадывался, что в России еще есть немало компаний, которые вообще не обращают внимание на информационную безопасность, но, конечно же, и представить себе не мог, насколько, в самом-то деле, широка и глубока эта проблема. Хотя статистика по DLP выглядит еще хуже (по нашим оценкам, сегодня DLP'шками пользуются активно где-то в 15% российских компаний, и ещё в 20% их внедряют), но это объяснимо: и продукт сам по себе сложнее в эксплуатации, и внедрение приличных денег стоит, и далеко не везде внедрение DLP-системы даст ожидаемый положительный эффект.

Но то DLP. Антивирусы же существуют на рынке в три раза дольше, и можно найти массу бесплатных решений. Мне сложно даже представить всю глубину безразличия к безопасности своих данных того, кто в наше время не пользуется антивирусом. Даже если у них там не интернета (ха-ха), всё равно, есть ведь "флэшки" или, может, в таких случаях актуальнее вспомнить дискеты...

Вообще же вся эта история навевает очень грустные мысли об уровне культуры информационно безопасности в нашей стране. Несмотря на то, что мы с этой проблемой по возможности боремся и написанием статей, и проведением бесплатных семинаров в десятках городов, добиться глобальных изменений в менталитете руководителей очень и очень сложно. Впрочем, куда нам, если это не под силу даже двадцати годам существования в беспощадных условиях рынка?..

А вы лично знакомы с компаниями, где нет антивируса? Там правда всё так плохо, как я думаю?

Почему становятся инсайдерами?

Как показывает опыт, даже самые лояльные, на первый взгляд, сотрудники могут оказаться инсайдерами, в отдельных случаях даже отдельные представители высшего руководящего звена организации могут быть заинтересованы в утечках информации из неё. Основными причинами инсайдерской деятельности, как правило, являются следующие:

• Материальная заинтересованность (инсайдеру платят за получаемую от него информацию);
• Желание отомстить руководству организации за реальные или вымышленные обиды;
• Чувство собственной значимости, которое инсайдер получает в результате обнародования закрытой корпоративной информации;
• Желание подставить кого-либо из коллег, обвинив его в инсайдерской деятельности.

Если вы подозреваете в инсайдерской деятельности кого-либо из своих сотрудников, то понимание мотивации его действий может дать ключ к тому, какие данные его больше всего интересуют, и, следовательно, какие нужно защищать в первую очередь.

К примеру, если инсайдер заинтересован в получении вознаграждения за своё черное дело, то ему будут интересны те сведения, за которые готовы заплатить конкуренты: технологические ноу-хау, данные о клиентах, планы по расширению присутствия на рынке… 

Если же инсайдер хочет отомстить кому-то, то он, скорее всего, будет искать «компромат» и обнародовать сведения о рабочих трудностях, имеющихся у любой компании. 

«Компромат», кстати, не так сложно найти – достаточно внимательно изучить лежащую на сервере папку «Фото с корпоратива», чтобы отомстить практически любому сотруднику вплоть до высшего руководства.

Резюме: инсайдером может быть практически каждый, даже тот, кого вы будете подозревать в самую последнюю очередь. Значит, нужно бдить, и проверять всех. То есть, как ни крути, без DLP в наше время просто не выживешь...