Основные тренды российского рынка DLP-систем в следующем году от SearchInform

В силу специфичности рынка средств обеспечения информационной безопасности, экономические потрясения не вызывают на нем резкого спада. В связи с кризисом уменьшится покупательская способность работников многих компаний. В такой ситуации многие из них захотят передать важнейшую информацию о деятельности предприятия конкурентам. Торговля корпоративными секретами станет обыкновенным явлением, и учредителям предприятий придется защищаться от «предательства работников». Этой защитой и станут DLP-системы. Эксперты SearchInform прогнозируют, что за следующий год рынок DLP в России вырастет на 50-60% в сравнении с 2013 годом.

Важной особенностью следующего года станет уже проявляющееся на рынке сегодня недоверие со стороны отечественного бизнеса к разработкам из Европы и Америки. За счет этого доля российских разработчиков на нем будет расти на 20-50% быстрее, чем в 2014 году. В целом же, согласно исследованиям, проведенным компанией во время своего традиционного ежегодного осеннего Road Show, более 70% российских компаний предпочли бы DLP-систему от отечественного разработчика.

Эксперты SearchInform уверены: кризисные явления в экономике не повлекут за собой рост спроса на дешевые системы. По-прежнему актуальными и востребованными будут полноценные DLP-решения, поддерживающие охват максимального количества каналов передачи данных, и дающие возможность оперативно реагировать на возникающие угрозы.

Исследования также показывают, что на DLP-системы всё больше обращают внимание предприятия сегмента SMB. По данным SearchInform, не менее 35% субъектов малого и среднего бизнеса так или иначе выражали желание приобретения лицензий DLP. Это значительный процент рынка, и потому те вендоры, которые способны предоставить максимально гибкую и масштабируемую систему, которая будет по карману этому сегменту, смогут нарастить свою долю на рынке за счет него. В то же время, возможно, под влиянием экономического спада этот сегмент рынка окажется не столь интересным.

Говоря о технологических трендах, нельзя не отметить, что сегодня российские компании-клиенты делают ставку на безопасность «облака» и «Вайбера». И первая, и вторая сферы стали зонами повышенного внимания, поскольку через них проходит масса корпоративной информации. И именно через эти 2 канала осуществляется утечка информации. Именно по этой причине 43% компаний готовы внедрить системы для контроля информации на мобильных устройствах и в облаках. К концу 2015 года количество таких компаний приблизится к 80%. Вместе с ростом спроса будут повышаться и требования к качеству и функциональности. Это значит, что компании, предлагающих DLP-решения и отказывающаяся усовершенствовать функциональность в сфере борьбы с утечками через «облака» и мобильные устройства, рискуют стать аутсайдерами рынка.

DLP и звук

В современных DLP-системах достаточно пристальное внимание уделяют звуку. Собирают его отовсюду: пишут звонки в скайпе, линке, вайбере. Можно и просто микрофон записывать без привязки к какому-либо приложению. Но возникает один вопрос: насколько это всё законно и оправданно?
Статьей 23 Конституции Российской Федерации закреплено право каждого на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени. Также ей устанавливается право на тайну переписки, телефонных переговоров,  почтовых, телеграфных и иных сообщений. Ограничение этого права допускается только на основании судебного решения.
Часть 1 статьи 24 Конституции допускает сбор, хранение, использование и распространение информации о частной жизни лица с его согласия.
Из статьи 7 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных  данных» следует, что операторы и иные лица, получившие доступ к персональным данным,  могут раскрывать третьим лицам  и   распространять персональные данные только с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
Статья 138 Уголовного кодекса Российской Федерации устанавливает ответственность за нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений граждан.
Как отмечается в работах ряда юристов, согласие лица на ознакомление с адресованным им или ему отправлением, содержанием осуществляемых им телефонных и иных переговоров исключает уголовную ответственность по ст. 138 УК (см., например, Комментарий к Уголовному кодексу Российской Федерации/Отв. ред. В.М. Лебедев. М.: Юрайт-Издат, 2004; Комментарий к Уголовному кодексу Российской Федерации под ред. проф. Л.Л. Кругликова, М.: 2005).
Это мнение подтверждается материалами судебной практики по вопросам применения ст. 138 УК. В качестве примера можно привести Приговор 1-211/2014 (10.06.2014, Тайшетский городской суд (Иркутская область)); Приговор 1-325/2014 (09.06.2014, Советский районный суд г. Уфы (Республика Башкортостан)); Приговор 1-705/2012 (28.12.2012, Дзержинский районный суд г. Новосибирска (Новосибирская область)).
Учитывая вышесказанное, применение DLP-системы с поддержкой записи звука для обеспечения информационной безопасностью компании и контроля за деятельностью ее сотрудников не будет нарушать норм законодательства при условии получения согласия сотрудников на запись, обработку и хранение нанимателем информации о ведущихся ими телефонных и иных переговорах, иных разговорах. Согласие предпочтительно закреплять письменно.
Исходя из закрепленных трудовым законодательством обязанностей работник обязан не использовать имущество нанимателя в своих личных целях, не допускать разглашения служебной и коммерческой тайны, на рабочем месте в рабочее время трудиться.
Эти обязанности следует закреплять в локальных нормативных правовых актах организации, трудовых договорах с работником.
Наниматель не только вправе, но и вынужден контролировать своих работников на предмет соблюдения ими режима информационной безопасности в компании ввиду целого ряда требований законодательства.
Сегодня можно выделить пять основных направлений обеспечения информационной безопасности, относительно которых российским законодательством на компании в зависимости от специфики их деятельности возложены определенные обязанности:
- защита персональных данных;
- защита банковской тайны;
- защита информации, содержащейся в государственных информационных системах;
- защита информации в АСУ на критически важных объекта и объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей среды;
- защита коммерческой тайны.
Для выполнения названных обязанностей компании наделяются радом прав. Например, частью 4 статьи 10 Федерального закона «О коммерческой тайне» предусмотрено право обладателя  информации,  составляющей  коммерческую  тайну,  применять при необходимости средства и  методы  технической  защиты конфиденциальности   этой   информации,  другие  не  противоречащие законодательству Российской Федерации меры.
Установление в компании режима коммерческой тайны также может рассматриваться как дополнительное подтверждение обоснованности и правомерности использования DLP c поддержкой перехвата звука в деятельности компаний.
В заключение можно еще раз перечислить перечень минимальных условий, соблюдение которых рекомендуется для избегания конфликта с законом при применении DLP с записью звука:
- установление в компании режима коммерческой тайны;
- четкое закрепление в локальных нормативных правовых актах, трудовых договорах с работником его основных трудовых обязанностей (соблюдать трудовую дисциплину, правила внутреннего трудового распорядка, не использовать имущество нанимателя в личных целях, не допускать разглашения служебной и коммерческой тайны);
- предупреждение работников под роспись об осуществлении нанимателем в целях обеспечения информационной безопасности компании контроля за деятельностью работников на рабочем месте, в том числе и с использованием технических средств, позволяющих записывать разговоры;
- получение письменного согласия сотрудников на запись, обработку и хранение нанимателем информации о ведущихся ими телефонных и иных переговорах, иных разговорах.
А что скажете вы?

Подрастающее поколение торговцев данными

На популяном у российских стартаперов ресурсе "Цукерберг позвонит" нашлась интересная статья на тему монетизации проектов, которой, конечно же, озабочены все на этом сайте. Идея статьи предельно простая: проект должен просто собирать данные пользователя и продавать их - по идее, рекламным сетям.
Идея, что и говорить, витает в воздухе. Если вы регулярно читаете это блог, то должны знать, что на Западе отлично себя чувствуют сервисы, которые торгуют, к примеру, информацией о времени и месте нахождения автомобилей с теми или иными номерными знаками. Почему бы, черт подери, не сделать что-то похожее и в России? Тем более, что вроде как и Роскомнадзор не против?
Но заглядывая немного вперед, хочу предостеречь автора статьи Ивана Колыхалова от поспешных выводов и решений. Если сегодня такой бизнес легален, не значит, что так будет уже буквально завтра. Посмотрите, с какой скоростью развиваются события в сфере обработки данных: еще вчера мы спокойно хранили персональные данные в любом надежном месте, а уже завтра к таким местам предъявляются всё новые и новые требования. За то время, пока  построится бизнес-империя а-ля AdSense или Директ, нормы обработки персональных данных успеют поменяться еще не раз и не два.
Но дело даже не в этом. Проблема в том, насколько сами пользователи будут хорошо относиться к сайтам, живущим за счет торговли их данными? В своей статье Иван пишет, что пользователи не любят неинтересную им рекламу. Кто же спорит. Но еще меньше они любят, когда кто-то продает или покупает их, причем в открытую. Вспомните, сколько скандалов было на том же Фейсбуке при изменении их политики конфиденциальности.
Впрочем, конечно, вряд ли мой пост дойдет по адресу. Я же хочу обратить внимание ИБ сообщества на новый тренд со стороны интернет-бизнесменов и предостеречь от работы с такими сервисами.

А что, если и они тоже?..

Под Новый год приятно вспомнить о Сноудене. Потому что в сотый раз писать о том, что происходит вокруг, как-то грустно – давайте-ка лучше мы с вами немного пофантазируем. Не отвлекаясь, впрочем, от ИБ.

Кратенько напомню, о чем вообще речь. 29-летний  сисадмин Эдвард Сноудена, ранее работавший в техническом отделе ЦРУ, рассказал о том, как американское правительство с молчаливого согласия корпораций Microsoft, Google, Facebook и других, мониторит онлайн-жизнь едва ли не половины земного шара. Естественно, Ларри Пейдж говорит, что Google удовлетворяет запросы спецслужб только в рамках закона и не участвует ни в каких правительственных программах, Цукерберг повторяет его чуть ли не дословно. Как и все остальные, собственно. Но это было уже довольно давно, это просто, так скажем, вводная к нашему дальнейшему разговору.

Разговор же о том, что мир с тех пор поменялся, и люди стали меньше верить корпоративной чепухе. Зачем ходить далеко – буквально вчера в топе Яндекс-Новостей была статья о том, как избавиться от рекламной слежки Google. Это ли не маленькая победа, завоевание Эдварда Сноудена?

Сегодня мир уже понял, что заявления от корпораций в духе знаменитого «Ваша конфиденциальность – наша безопасность» являются скорее не декларацией намерений, а сарказмом. Если только не… Посмотрите, сколько ведущих руководителей сказали, что если правительство занимается шпионажем, то делает это без ведома корпораций. А вдруг они не врут? Нам ведь даже Голливуд всегда показывает, что спецоперации проводятся профессионалами с такой тщательностью, что по их окончанию просто «отвисает челюсть». Ну так почему бы не поверить в «подвиг разведчика»?

Поняли, к чему я клоню? Если руководство таких корпораций не сотрудничает со спецслужбами, не факт, что этого не делают сотрудники. Некоторые из работников таких корпораций могут и вовсе быть агентами тех самых спецслужб и выполнять вполне государственную миссию. Конспирологический бред? Ну, скажем, от шампанского под Новый год фантазия разыгралась, видим вследствие профессиональной деформации инсайдера под ёлкой. Хотя пусть в меня кинет камнем тот, кто скажет, что в его компании нет никого с прошлым в «органах». Думаете, у них иначе?..

Имидж бизнеса и социальные сети: ликбез для ИБ-специалиста

Любая мало-мальски стабильная компания большое значение придает собственному имиджу. Заметим, что имидж в большинстве случаев - именно то, что работает ей на «руку», то есть, грубо говоря, создает ее авторитетность. Преуспевающие предприятия с незапятнанной репутацией даже при малейшем снижении вотума доверия все равно не останутся «за бортом», так как их клиентская база настолько велика, что кто-то да останется. Чтобы этого не случилось (ведь на самом деле потерять доверие клиентов – это первый шаг к краху бизнеса), компании придают особое значение созданию определенной репутации и, само собой, сохранению ее таковой.

Сегодня через судебные инстанции проходят немало исковых заявлений, предметом которых является нанесение ущерба деловой репутации компании. Заметим, что в таких делах чаще всего фигурируют баснословные материальные компенсации за причиненные неудобства. Чем крупнее бренд и громче его имя, тем пристальнее внимание к сохранению деловой репутации компании. Способность бренда годами удерживать свой безупречный имидж является залогом его долговечности в своей сфере деятельности. Вспомнить хоть Sony.

Обратите внимание, в большинстве случаев угроза репутации исходит не извне, как предполагалось бы, а изнутри самой компании. Хотя столкновения взглядов и позиций конкурентов нельзя исключать из этой статистики. Если в вопросе с конкурентным преимуществом все понятно, то вот с угрозами, исходящими от самих сотрудников, вопрос имеет двоякое значение. Иногда посредством сотрудников происходит утечка информации, на первый взгляд, не представляющая реальной угрозы репутации и имиджу компании. Но на самом деле именно такой риск более опасен для компании, чем «черный пиар» со стороны конкурентов. Да и взыскать с собственных сотрудников за причиненный ущерб, порой, бывает проблематичнее, чем с противников по бизнесу.

Пример из нашего рейтинга выдающихся утечек 2014 года: наиболее наглядным случаем можно назвать утечку информации, произошедшую у такого маститого представителя сферы фастфуда, как McDonalds, которая на своем корпоративном ресурсе выложила для сотрудников советы о том, что не стоит чрезмерно употреблять гамбургеры, колу и картошку фри, так как эти продукты не полезны для организма. «Чистосердечное признание» мирового гиганта фастфуда вызвало целую волну упреков и исков, адресованных компании. Еще можно вспомнить историю про инструкцию по использованию туалета на заводе КАМАЗ: http://www.business-gazeta.ru/article/119701/.

Еще десять лет назад сложно было себе представить, что весь мир с охотой пристрастится к интерактивному общению. Когда на смену онлайн-чатам пришли социальные интерфейсы, то для многих людей это стало отличным способом повысить свою социальную активность. Конечно же, нельзя всех людей в Интернете «причесать под одну гребенку». В зависимости от возраста, рода занятий и статуса в реальном обществе, различной будет и активность в социальных сетях. Так, молодежь гораздо легче общается в сети, чем, скажем, лица преклонного возраста. А трудоспособное население делится на тех, кто использует соцсети ради удовольствия, и тех, кто видит в них некий механизм взаимодействия с общественностью. Да и сами социальные сети можно условно разделить на «возрастные» группы. Например, Вконтакте посещает более молодая аудитория, а вот Facebook и LinkedIn – люди постарше и посолиднее.

Стоит сказать, что сегодня многие компании используют социальные сети для поддержания своего «доброго имени». Аналитики предрекают, что за очень короткое время значение соцсетей в бизнес-среде увеличится в разы. И в выигрыше останутся те компании, которым удастся удержать лидирующие позиции в этой коммуникационной среде.

Как бренд использует соцсети? Во-первых, это имиджевые аккаунты, являющиеся ничем иным, как контролируемыми маркетинговыми стратегиями. Во-вторых, социальная активность сотрудников компании. Если в первом случае риск потери репутации минимален, то во втором – может быть нанесен непоправимый ущерб. Иногда публикации информации, порочащей репутацию компании, в сети появляются случайно, так сказать, без злого умысла. Иногда компрометирующая информация специально публикуется в Сети через «стены» аккаунта, блоги, форумы, комментарии. Эти сообщения могут представлять значительную угрозу репутации компании, так как у них обычно достаточно большой круг читателей.

Таков риск при публичной огласке. Но можно ли считать опасной компрометирующую информацию, переданную посредством личного сообщения? Даже такой, с первого взгляда, безобидный способ «черного пиара» может представлять угрозу. Заметим, что самые популярные сегодня социальные сети предлагают и такой (личный) способ обмена сообщениями.

Что движет сотрудниками, которые решаются порочить «доброе имя» своего «кормильца»? Все мы люди, все мы «человеки», и первое, что заставляет нас так действовать – затаенная на руководство личная обида недооцененного сотрудника или отместка за дисциплинарные взыскания. Иногда причиной всему может оказаться банальное недопонимание, как здесь: http://www.business-gazeta.ru/article/119701/.. На эмоциях сотрудник берется намеренно «плевать в колодец, из которого пьет». Более обиженными в данном случае являются бывшие сотрудники. У такой категории людей гораздо больше предпосылок начать «антирекламную» деятельность по отношению к своей бывшей работе. В такие моменты вспоминается исключительно только плохое за время службы, выносится на поверхность все «грязное белье», которое, пока человек работал в компании, относилось к сведениям персональной информационной ответственности. На таких «экс» редко находится управа.

Все вы знаете, что уволенный сотрудник может уйти от вас, затаив обиду. Причём своей обидой он будет жаждать поделиться с максимальным количеством людей. Сегодня это проще всего сделать в Интернете, написав «правдивый» негативный отзыв о звере-работодателе. Как ни крути, а сплошные плюсы:

1.      Такие отзывы анонимны.

2.      Наш менталитет таков, что люди охотнее поверят в отрицательный отзыв.

3.      Если компания начнёт опровергать отзыв, снова-таки, люди интерпретируют это как «оправдываешься – значит, виноват».

В практике одного из наших друзей-клиентов тоже однажды случился подобный инцидент. В сети появился негативный отзыв на компанию. Из отзыва было понятно, что это не вброс от конкурентов, а действия кого-то из бывших сотрудников. Ради интереса решили выяснить, кто же это был.

В самом отзыве описывались события от лица одного из инженеров техподдержки. Отзыв был подписан ФИО инженера. Любопытно, что сам этот инженер точно был лоялен к компании, о которой был отзыв. Очевидно, что кто-то подставлял человека. Причём из бывших «своих», т.к. описывались события, про которые могло знать лишь несколько человек. Это сузило круг подозреваемых.

Первым делом проверили все исходящие сообщения сперва по адресу площадки (через httpsniffer), а затем и по содержимому сообщения. Результатов, естественно, не было.

Стало ясно, что это кто-то из бывших. Тогда выяснили у руководителя подразделения, с кем из сотрудников за последнее время были хоть какие-то конфликты. Набралось 2 человека. Их-то мы и проверили.

Пару слов о проверке. Изначальное сообщение якобы от лица инженера. Сразу привлекало к себе внимание большим количеством ошибок, как в орфографии, так и в пунктуации. Мы взяли на вооружение о том, что на эмоциях человек писал так, как он пишет всегда, а значит в повседневной переписке у него будут встречаться такие же ошибки.

Начали искать «признаки». Их набралось 9 штук. Вот некоторые: название городов человек писал так: Г. Москва, а не г. Москва. Большая буква «Г». Причём названия не склонялись. То есть писал «фирма находится в Г. Москва», вместо «фирма находится в Москве». Затем слово «вообщем». Из личного опыта могу сказать, что приучившись писать это слово неправильно, люди продолжают совершать ошибки, даже если их регулярно поправлять.

Наковыряв достаточно «признаков», безопасники подняли архив перехваченной DLP-системой информации и поискали в ней неформальные переписки по двум «подозреваемым». Неформальные, значит, нерабочие. Важно понимать, что в отчётах\заявках и т.п. человек говорит не повседневными фразами.

В итоге получилось полное совпадение по одному «бывшему».

Многие компании запрещают своим сотрудникам пользоваться социальными сетями на рабочем месте, и в чем-то они правы: на работе нужно работать, а не болтаться в онлайне. Но компания не может быть абсолютно уверена в том, что дома конкретный сотрудник не предпримет аналогичные действия. Работодатель не может запретить сотруднику иметь личное пространство, как и не может вмешиваться в его личную деятельность (не запрещать же работникам идти в конце трудового дня домой, пользоваться персональными устройствами портативной электроники или проверять сообщения при входе-выходе из офиса). Нужно искать другие рычаги контроля ситуации.

Как же компании уберечь собственный положительный имидж? Прежде всего, требуется регулярный Интернет-мониторинг информации по ключевым фразам о бренде: начать можно с названия и типичных для анти-репутации слов «ворует», «обманывает», «недобросовестный» и тому подобное. Заметим, что службы информационной безопасности могут составить собственный список «негативных» тэгов, исходя из спецификации предприятия.

Не обязательно пользоваться дорогими профессиональными сервисами и агентствами по управлению репутацией. С поиском уведомлений о новых упоминаниях вашей компании прекрасно справится бесплатный Google Alerts.

Когда в результате мониторинга были выявлены такие угрозы, далее переходим к «ответным» действиям. Это нужно не всегда, но если нужно, то не стоит останавливаться на полумерах. Если информация, ударяющая по репутации, появилась в Интернете случайно, то можно провести с виновником разъяснительную беседу, выяснив, что стало причиной этих действий. Не забывайте, что даже нерадивые сотрудники имеют право на второй шанс, так что время исправиться с установленным испытательным сроком может быть предложено, как альтернативное наказание. К неподдающимся исправлению сотрудникам-рецидивистам применяются более суровые санкции, вплоть до понижения в должности или увольнения.  

Агентская DLP: взгляд на проблему изнутри

Ни для кого не секрет, что DLP-системы работают на перехваченном ими трафике. А значит, именно перехват – это основа основ такой системы, поэтому поговорим о нем подробнее. Различают четыре наиболее распространенных способа перехвата трафика:

1. Использование «отражающего» (зеркалируемого) свитча;

2. Посредством интегрирования отдельного софта в корпоративные приложения (как в случае с электронными почтовыми сервисами MS Exchange, Lync или Lotus);

3. Использование электронных приложений на конечных точках(агентов);

4. Перехват информации «в разрыв».

Перехват «в разрыв» применяется редко, так как требует привлечения мощных аппаратных ресурсов, так как весь трафик перенаправляется на отдельный сервер, что может сильно повлиять на непрерывность бизнеса. 

Рассмотрим вкратце различия между первым и третьим способами перехвата. Используя приложения-агенты, служба информационной безопасности может осуществлять тотальный контроль всех коммуникационных каналов. Это очень удобно, если в организации используется большое количество портативной электроники, то есть планшетных компьютеров, ноутбуков, нетбуков. Опять же, использование агентов уместно в том случае, когда нет возможности применить другие технологии перехвата, тот же зеркалируемый.

Из этого следует, что агенты могут стать для службы безопасности основным софтом. Наша практика говорит, что идеальный вариант ‑ установить агентов на всю технику, а уже затем определять индивидуальные настройки, связанные с персонализацией рабочего места.

Кстати говоря, «Контур информационной безопасности SearchInform» имеет еще несколько интересных «фишек». Так, можно осуществлять контроль электронных устройств категории смарт (телефонов, планшетов). В частности, КИБ не просто контролирует доступ к iPad или iPhone, но и осуществляет полноценный мониторинг устройства. DLP-система может отслеживать активность пользователя http и в IM-клиентах, в приложении Skype и даже в почтовом ящике Gmail.

Агентский перехват трафика имеет еще одно существенное преимущество перед другими способами информационного контроля – он мониторит абсолютно все каналы связи, даже закодированные. Поэтому агенты так легко перехватывают Skype-коннект. И все же у данной технологии перехвата есть один, хотя и незначительный, но все же минус. Агент КИБ – это все же программа. Хотя она не оказывает существенной нагрузки на железо и сеть, незаметна пользователю, но она все равно требует установки. Сегодня приложения-агенты у служб информационной безопасности компаний пользуются большой популярностью. 

Теперь давайте подведем некоторые итоги всего того, что было написано выше.

1.       Плюсы сетевого перехвата:

a.       Незаметен для пользователя

b.      В теории, не зависит от операционки (http и в Африке http)

c.       Не даёт нагрузку на конечную точку

2.       Минусы сетевого перехвата:

a.       Малое количество подконтрольных каналов (точнее, 5: AD, http, IM, FTP, почта)

b.      Бессилие перед шифрованным трафиком (решается перехватом через интеграцию: интеграция с почтовыми серверами – с почтой, с прокси – https…)

3.       Плюсы агентского перехвата:

a.       Гораздо больший охват по каналам

b.      Работа с шифрованным трафиком

4.       Минусы агентского перехвата:

a.       Зависимость от операционки (под каждую нужно писать свой агент)

b.      Присутствие на конечной точке (а, значит, в теории агент может быть обнаружен).

Надеюсь, этот пост будет полезен всем, кто решает, что именно каким способом контролировать.