Как принять решение о внедрении DLP?

Внедрение DLP-системы - дело сложное и ответственное. И ко всему прочему, не очень дешевое. Так что подходить к нему нужно максимально взвешенно. Давайте поговорим немного о том, как именно это можно сделать.
В теории все, как и обычно, довольно-таки просто. Для принятия решения о необходимости установки DLP-системы следует сделать три «шага»:
1.    Оценить вероятность наступления события (Палка стреляет раз в год, а сколько раз в год в компании происходят утечки информации?)
2.    Оценить возможный ущерб (Сколько нам это будет стоить?)
3.    Сопоставить полученную цифру со стоимостью внедрения системы.
И действительно, логично и, вроде, не так уж сложно. Но только не для того, кто ни разу этим не занимался:(
Практика показывает, что если полученная цифра возможного ущерба хотя бы равна стоимости внедрения, то внедрять стоит. Но чаще всего стоимость утечки информации в несколько раз превышает затраты на внедрение DLP. Средняя стоимость утечки информации в мире составляет $5 млн - так говорит нам Ponemone Institute. И эта цифра, к сожалению, год за годом лишь увеличивается.
Впрочем, стоимость утечки - величина переменная, и по сути, может быть принята как удвоенная-утроенная-учетверная стоимость самой информации. Основная сложность заключается в реализации первых двух «шагов». Для оценки первого стоит брать качественную оценку рисков, второй же предполагает количественную.
Впрочем, о подробностях мы поговорим позже, следите за обновлениями.

В защиту VoIP

В последнее время всё больше компаний внедряют у себя IP-телефонию. ИБ-служба тоже не должна оставаться в стороне от этого процесса, поскольку он непосредственно затрагивает её сферу компетенции. Почему?

Во-первых, традиционная телефония гораздо хуже защищена от прослушивания: для подобной защиты необходимо использовать специальное оборудование (скремблеры), которое стоит денег, и которое, ко всему прочему, нужно и устанавливать, и обслуживать. Даже в случае применения GSM или CDMA-телефонов вероятность прослушивания заметно выше, чем при использовании Skype или другого защищенного VoIP-решения. С учетом того, что прослушка телефонов конкурентов является одним из излюбленных методов промышленного шпионажа, применение более дешевой и более защищенной IP-телефонии выглядит привлекательно для очень большого числа компаний.

Во-вторых, от второго бича современных войн между компаниями, DDoS-атак, защитить инфраструктуру IP-телефонии заметно проще и дешевле, чем традиционной.

В-третьих, число вредоносных программ, которые пользователь гипотетически может получить через VoIP, в тысячи раз  меньше того количества вирусов, которое «предлагает» электронная почта. То же самое справедливо и для других подобных угроз, например, для фишинга. А количество писем, которые будут слать сотрудники, при качественном внедрении VoIP станет заметно меньше. 

Поэтому если вас спрашивают, всеми руками голосуйте за внедрение IP-телефонии в вашей компании. Не верьте тем, кто говорит, что она якобы опасна.

Аккуратнее надо, товарищи!

Пока мы тут с вами обсуждаем разные аспекты обеспечения ИБ, в Белоруссии эту проблему решают старыми дедовскими методами. С вполне закономерными, на мой взгляд, результатами. Впрочем, дадим слово новостям, прежде чем перейти к обсуждению.
В суде Первомайского района Минска 28 апреля началось рассмотрение уголовного дела в отношении бывшего директора кондитерской фабрики "Слодыч" Татьяны Селих.
Председательствует на процессе судья Сергей Бондаренко. Селих находится в клетке. От фото- и видеокамер она не прячется, ведет себя спокойно.
Дело расследовалось в управлении Следственного комитета по Минску. Установлено, что директор фабрики распорядилась приобрести за счет предприятия у коммерческой фирмы специальное подслушивающее и звукозаписывающее оборудование и установить его в служебных помещениях. При этом вся информация о разговорах сотрудников аккумулировалась на компьютере руководителя, что является нарушением тайны телефонных и иных переговоров.
Отсюда
Вообще, конечно, если бы от меня что-то зависело, я бы её не сажал. Потому что директор, который задумывается об ИБ - это уже само по себе ценно. Просто у этого директора отсутствовало понимание того, как именно должна реализоваться ИБ на предприятии. Впрочем, не знаю, как там в Белоруссии с инфобезом - у них есть там распиаренный Парк высоких технологий и туча компаний в нем, но вроде бы они все пишут свой софт, а не занимаются ИБ. Или, может, директор пожадничала, решила не нанимать профессионалов - в Белоруссии вроде бы небогато живут конторы, может, просто денег на них не было.
В общем, несмотря на ошибку с выбором средств (причем фатальную) посыл директора был правильным. Только надо было использовать для этого DLP-систему - у нас в Белоруссии есть представительство, так что проблем с приобретением бы не возникло. Так что, надеюсь, когда директор отсидит свой условный срок, на новом месте работы она на такие грабли не наступит.

Инсайдерам на заметку

Сегодня новостной полу-спамчик в почтовом ящике принес интересную новость, мимо которой просто невозможно пройти мимо. Поэтому я решил поделиться ею с многоуважаемым ИБ-сообществом в нашем блоге.
Компания MSC Software Corporation объявила о решении коллегии присяжных в Окружном суде США Восточного федерального судебного округа штата Мичиган. Суд признал, что компания Altair Engineering умышленно и злонамеренно завладела коммерческими секретами корпорации MSC Software с целью использовании их в своем программном продукте MotionSolve. Коллегия присяжных присудила в пользу компании MSC Software 26,1 миллионов долларов США за неправомерное завладение коммерческими секретами и нарушение соглашений о конфиденциальности компанией Altair Engineering и двумя бывшими сотрудниками компании MSC Software, в настоящее время занимающими руководящие должности в компании Altair. Коллегия присяжных также установила, что двое бывших сотрудников компании MSC Software нарушали пункты трудового договора с компанией MSC, запрещающие им принимать предложения о трудоустройстве со стороны компаний-конкурентов, и что компания Altair неправомерно препятствовала соблюдению этих пунктов трудового договора компании MSC с указанными лицами, и присудила дополнительную компенсацию в пользу компании MSC в размере 425 000 долларов США.
В общем, как говорится, не убавить, не прибавить. Всё тайное рано или поздно становится явным, особенно если вы переманиваете сотрудников у ближайшего конкурента. В отрасли обычно все всё знают друг про друга до определенной степени, и поэтому то небольшое тактическое преимущество, которым вы пользуетесь, когда нанимаете работников, владеющих секретами конкурента, довольно быстро оказывается не столь уж важным, потому что вместо него вы получаете кучу проблем и штраф впридачу.
Ну, а работникам стоит задуматься, имеет ли смысл переходить пусть даже и на более высокую зарплату, если всё равно через какое-то время их новый работодатель получит за свои действия по голове? Думаете, что после такого вы будете по-прежнему ему нужны?
В общем, как говорится, лучше учиться на чужих ошибках, потому что свои в данном случае будут слишком уж дорогостоящими.

ИБ-консалтер. Муки выбора

Выбор консалтинговой компании является чрезвычайно важным и ответственным моментом, который влияет не дальнейшую, без преувеличения, судьбу всей информационной системы организации. Поэтому отнестись к этому вопросу необходимо максимально ответственно.

Конечно, лучше всего выбирать консалтера, с которым уже работали какие-то ваши знакомые, и который имеет хорошие рекомендации от них. К сожалению, это тоже далеко не всегда возможно, поэтому нужно постараться, что называется, выбрать из всех зол наименьшее.

Главное, что нужно учитывать при выборе консультанта – это степень ответственности, которую готова взять на себя эта компания при обеспечении информационной безопасности вашей организации. Безусловно, не лишним также будет наличие у консалтинговой компании различных сертификатов, подтверждающих качество её услуг. Впрочем, нужно помнить, что не все сертификаты одинаково полезны, и ориентироваться, конечно же, не на их количество, а на их весомость и значимость.

Хорошая консалтинговая компания охотно идет на переговоры безо всякой предоплаты и детально разъясняет, что и как она будет для вас делать. Плохая же, наоборот, старается скрыться за общими фразами, которые звучат достаточно умно и громоздко, но на проверку оказываются лишенными глубокого смысла. Если консалтинговая компания хочет получить от вас предоплату еще до того, как ознакомится детально с проектом, над которым она будет работать, ‑ бегите от неё как можно дальше, потому что она не поможет вам улучшить ситуацию с информационной безопасностью в вашей организации.

Ликбез по VPN - 2

В прошлом посте я рассказал еще не все о VPN, что хотел. Поэтому продолжим. Сейчас я хотел бы поговорить о двух вещах: о VPN в корпоративной среде и о мобильном VPN.
VPN для организаций
К примеру, сегодня многие компании используют VPN-соединения для организации единой корпоративной сети между находящимися на значительном географическом удалении друг от друга офисами. Такая сеть позволяет сотрудникам, находящихся в разных городах и даже разных странах, пользоваться общими сетевыми ресурсами так, как если бы эти работники находились в соседних кабинетах. VPN упрощает администрирование единой корпоративной сети и позволяет компании пользоваться услугами меньшего количества системных администраторов, чем в случае разделенных сетей в каждом офисе.
Впрочем, настоящей находкой VPN является в тех случаях, когда необходимо организовать стабильное соединение с каким-то удалённым технологическим оборудованием. В тех случаях, когда прокладывать отдельный кабель слишком сложно и накладно, а подключать напрямую через беспроводное интернет-подключение нельзя по соображениям безопасности, VPN становится единственным выходом из ситуации. Классические примеры подобного использования виртуальной частной сети – подключение охранной сигнализации удалённых объектов, управление промышленной автоматикой, для контроля транспортных средств.
Уровень надежности VPN настолько высок, что эта технология применяется и там, где жизненно необходимы высокая защищенность и бесперебойная работа сети. VPN давно применяется в банковской сфере, в частности, при подключении банкоматов и платёжных терминалов, которые значительно удалены от банковских учреждений.
Помимо экономии на оплате труда администраторов сети, VPN даёт использующим его организациям и ряд других преимуществ. VPN можно очень легко и быстро масштабировать, как подключая к сети новых пользователей, так и исключения из неё уже подключенных. Изменить конфигурацию единой VPN-сети тоже гораздо проще и быстрее, чем конфигурацию нескольких локальных физических сетей. Помимо этого, VPN предоставляет возможность осуществлять контроль событий и действий пользователей, что позволит обеспечить выполнение удаленно подключающимися сотрудниками выполнение корпоративной политики информационной безопасности и получить необходимую информацию для расследования инцидентов, связанных с её нарушениями.
Мобильный VPN
В те времена, когда мобильная связь была способна обеспечить только низкоскоростную передачу данных, мало кто всерьёз задумывался об использовании VPN через мобильное подключение к интернету. Сегодня, когда на смену «старичкам» GPRS и EDGE пришла связь стандарта 3G, мобильный интернет становится одним из самых удобных средств организации виртуальных частных сетей для любых организаций.
Посудите сами: если раньше для того, чтобы подключиться к корпоративной сети, работнику нужно было иметь, как минимум, телефонную розетку, то сейчас эта розетка всегда с ним. И работать он может там, где ему удобно – не только дома, но и на даче или на рыбалке, не только в гостинице, но и в поезде. Сегодня, когда важно быть первым и удовлетворять потребности партнеров и заказчиков максимально оперативно, VPN через мобильный интернет может оказать немалое влияние на успех той компании, бизнес которой построен на прямых продажах.
Мобильный интернет позволяет использовать технологии VPN и соответствующие проверенные решения, разработанные для использования в локальных сетях, там, где до сих пор можно было применять только существенно более дорогие специализированные технологии. Это и уже упоминавшийся выше контроль транспортных средств, и «последняя миля» для организации связи с находящимся в труднодоступных местах оборудованием, и десятки других возможностей применения.
Нельзя и недооценивать усиливающиеся тенденции оптимизации организационных расходов с помощью перевода сотрудников, присутствие которых в офисе не носит необходимого характера, на режим удалённой работы. Впрочем, слишком увлекаться этим тож не стоит.
Резюме
Как видите, VPN - это очень полезная технология. И отделы ИБ должны быть "за" её внедрение по изложенным выше причинам. Впрочем, это моё ИМХО - своими соображениями можете поделиться в комментариях, подискутируем.

Ликбез по VPN

Намедни столкнулся с тем, что кое-кто из знакомых ИБ-шников не очень представляет себе, что такое VPN и зачем об вообще нужен. Поэтому позволю себе провести краткий ликбез, посвященный этой технологии. Сразу скажу, что каждому из нас присущ определённый консерватизм, однако не стоит сразу отвергать предложения, которые вам делают люди, предлагающие попробовать новую технологию – наверняка уже через очень короткое время вы привыкните к ней настолько, что будете спрашивать себя, как жили до того, как познакомились с ней. Применительно к VPN это верно на все 200%.

Аббревиатура VPN расшифровывается как Virtual Private Network, что на русский язык можно перевести как виртуальная частная сеть. Так обычно называют сеть, которая работает физически в рамках какой-то другой сети, предоставляя своим пользователям ровно те же возможности, которые имеют те, кто подключен к настоящей локальной офисной или домашней сети. То есть, VPN отличается от обычной локальной сети тем, что существует не в виде какого-либо сетевого оборудования и объединённых с его помощью компьютеров, а исключительно в виртуальном виде.

Существуют разные виртуальные частные сети, но сегодня в роле «базы» для них удобнее всего использовать Глобальную сеть – интернет. Тогда возникает вопрос: каким образом можно внутри огромной сети, вход в которую доступен каждому, выделить небольшую сеть, которая будет защищена от посторонних глаз, и в которой можно будет работать с важными документами, не опасаясь утечек информации и вредоносных программ? Ответ прост: Для того, чтобы сохранить сеть в виде именно частной сети, то есть сделать её недоступной для внешнего мира, используется шифрование. Именно оно позволяет выделить отдельный канал, по которому можно передавать даже не защищённую специальным образом информацию (например, незапароленные архивы).

Это всё замечательно, можете сказать вы. Но зачем кому-либо может понадобиться организовывать свою собственную локальную сеть в интернете? Ведь там и так есть всё, что нужно, чтобы обмениваться файлами, писать текстовые сообщения, даже разговаривать друг с другом, как по обычному телефону. Неужели всего этого недостаточно для работы и отдыха любому человеку?

Чтобы объяснить, в чем состоит основная ценность VPN, смоделируем простую и, к сожалению, не такую уж редкую ситуацию. Представьте, что вы поехали в командировку с рабочим ноутбуком, и перед важной встречей неожиданно обнаружили, что вы забыли захватить с собой один из совершенно необходимых вам по работе файлов. Вы точно знаете, что этот файл есть у вас в офисе на файл-сервере, но через интернет к нему «достучаться» нельзя. Что же остаётся в таком случае? Приходится звонить сослуживцам, отрывая их от собственных важных дел, и подолгу объяснять им, какой именно файл вам нужен, просить поторопиться с его поисками, потому что у вас срывается важная встреча, и надеяться, что капризный сервер электронной почты не подведёт, и вы успеете получить файл вовремя. И, конечно, по законам Мерфи обязательно оказывается, что или почтовый сервер отключился в самый неподходящий момент, или коллега прислал не тот файл, или почта не успела дойти до начала момента встречи. И в итоге вы, вместо того чтобы оперировать заранее подготовленными данными и графиками, пытаетесь на пальцах изложить суть своего предложения.

Совсем другое дело, когда у вас есть VPN-подключение к офисной сети, и вы сами можете скачать нужный файл с сервера. Вам не нужно тратить время на объяснения вашим сослуживцам, как именно найти интересующий вас файл, и вы больше не переживаете по поводу того, не подведёт ли электронная почта при его доставке. Время нужно только на установление подключения и на передачу файла с сервера на ваш компьютер. И, самое важное, вы больше не зависите от расторопности коллег и настроения почтового сервера.

На самом деле, доступом к файлам возможности VPN далеко не ограничиваются. С помощью этой технологии вы сможете читать почту со своего корпоративного ящика, получать информацию из корпоративных баз данных, просматривать такие корпоративные ресурсы, как планировщик задач, календарь встреч, и т.д. И командировка – не единственный случай, когда вам пригодится VPN. Он будет чрезвычайно полезен и тогда, когда вы заболели и хотите пару дней отлежаться дома с горячим чаем и ноутбуком под пледом, или когда в конце отпуска вам нужно экстренно готовиться к погружению в первый же день в работу, и во всех прочих случаях, когда вам нужен доступ к корпоративным ресурсам в тот момент, когда вы находитесь вне офиса.

Служба ИБ и конфликты в коллективе

К сожалению, неотъемлемым свойством всех конфликтов является желание каждой из сторон навредить друг другу, что, понятное дело, не идет на пользу общему делу – работе. Также враждующие стороны могут стараться «выжить» друг друга из компании, в результате чего та теряет ценных специалистов. А, как известно, «кадры решают всё».

Уже исходя из одного этого мониторинг конфликтов между сотрудниками с целью их урегулирования в мирном русле представляется немаловажной задачей. Отдел информационной безопасности может отслеживать конфликты, передавая информацию руководителю подразделения, в котором работают конфликтующие сотрудники, чтобы тот постарался найти соломоново решение, которое исчерпало бы конфликт.

Но, к сожалению, наиболее часто конфликты возникают не по горизонтали, а по вертикали. Поскольку руководитель отвечает за постановку и приемку задач, распределение ресурсов в команде и многие другие важные вопросы, то у подчиненного куда больше шансов вступить конфликт именно с ним, а не с кем-нибудь из своих «горизонтальных» коллег. В зависимости от типа руководителя, такие конфликты могут решаться как путем обсуждения, так и авторитарным «задавливанием» подчиненного, что по понятным причинам способствует не разрешению конфликта, а его переходу в «подпольное» состояние. Именно такие ситуации наиболее опасны, поскольку побуждают сотрудника искать способ отомстить всей компании, которую олицетворяет для него непосредственный начальник.

Подобная ситуация способствует «злокачественному перерождению» лояльного сотрудника в злонамеренного инсайдера, который распространяет закрытые корпоративные данные с целью нанесения ущерба компании. Такой сотрудник так же смертельно опасен  для компании, как злокачественная опухоль – для организма, ведь давно известно, что для банкротства компании в пяти из десяти случаев достаточно утечки всего 20% её корпоративных секретов.

Сотрудники, которые чаще всего включаются в подобную «партизанскую» борьбу с начальством – это, согласно проведенным в России компанией SearchInform исследованиям, ИТ-специалисты. На их долю приходится без малого четверть всех утечек данных, специально организованных работниками. При этом из этих утечек около 70% приходятся на тот момент, когда работник уже увольняется или уволился из компании. Среди других «специалистов» по утечкам информации – менеджеры по продажам, офис-менеджеры, линейные руководители среднего звена. Впрочем, это не значит, что отдел информационной безопасности должен выпускать из своего поля зрения других сотрудников – любой из них при соответствующих условиях может стать злонамеренным инсайдером.

Что ж, опасность «вертикальных» конфликтов для сотрудников и для самой компании очевидна, остается самая малость – понять, как их выявлять и что делать с выявленным конфликтом.

К счастью, выявление в данном случае – дело сравнительно простое. Вертикальный конфликт обычно находит свое отражение в электронной переписке между сотрудником и руководителем, их общении по Skype или ICQ, и потому если в компании внедрена нормальная DLP-система, контролирующая информационные потоки внутри и вовне организации, то выявить с её помощью конфликт сравнительно несложно. Для этого достаточно настроить её на специальные «стоп-слова», часто встречающиеся в конфликтных письмах, и тщательно отфильтровывать результаты, которые она обнаруживает в переписке. Также «вертикальные» конфликты могут быть отражены в выносящихся работнику замечаниях, выговорах и так далее.

Когда конфликт обнаружен, необходимо поставить в известность высшее руководство компании, которое будет в данном случае «третейским судьей», который сможет охладить пыл руководителя и подчиненного. В любом случае, такого подчиненного стоит поставить на особый контроль отдела информационной безопасности, поскольку вероятность организации им утечки информации заметно выше, чем в среднем по коллективу.

Таким образом, как видите, безопаснику действительно стоит знать о конфликтах, происходящих в трудовом коллективе, особенно когда эти конфликты имеют структуру «начальник-подчиненный». Вдумчивая и внимательная работа специалиста по информационной безопасности с такими конфликтами позволит избежать неприятных последствий для компании и предупредит возможные утечки конфиденциальной информации.

Вектор развития DLP

DLP-системы продолжают развиваться и видоизменяться. Давайте немного подумаем над тем, каков основной вектор их развития и как это всё может повлиять на ИБ-рынок.

Конечно, в первую очередь вендоры стараются решить самые болезненные для заказчиков проблемы: например, для западных DLP-систем такой является качественная поддержка распознавания конфиденциальных данных в русскоязычных документов, а для подавляющего большинства DLP-решений – работа с большими объёмами данных и внедрение без существенного изменения корпоративной сетевой инфраструктуры у заказчика. Не буду здесь ничего говорить про наше решение, только замечу, что это для нас уже давным-давно пройденный этап:)

Стоит отметить, что в полном соответствии с законами рынка главным вектором развития DLP-систем сегодня всё-таки является обеспечение максимально высокой защищенности клиентских организаций. Достигается это, в первую очередь, переходом производителей от предложения «заплаточных» систем, закрывающих отдельные бреши в информационной безопасности организации, к комплексным интегрированным продуктам, обеспечивающим не только обнаружение передачи конфиденциальной информации или её блокировку, но также и защищенное хранение ценных для организации данных. Пока что такие комплексные решения есть далеко не у всех вендоров, но тот факт, что они очень востребованы рынком, заставляет производителей решений для защиты от утечек информации пересматривать свои планы по развитию продуктов. И здесь "Контур", опять-таки, на высоте.

Важную роль на развитие DLP-систем будет оказывать и отраслевая специфика – вполне можно ожидать появление специальных версий известных систем, адаптированных специально для банковской сферы, для госучреждений и т.д., соответствующих запросам самих организаций и требованиям регуляторов. На мой взгляд, следующие год-два пройдут именно под флагом такого рода кастомизации для большинства вендоров.