Как сделать так, чтобы обеспечение информационной безопасности не стало проблемой для непрерывности бизнес-процессов?

Хочу обсудить сегодня в нашем блоге не совсем пятничную тему: как сделать так, чтобы обеспечение информационной безопасности не стало проблемой для непрерывности бизнес-процессов?
Почему вообще возникло такое желание? Буквально каждый день приходится видеть безопасников, которые возводят свою работу в ранг едва ли не самого важного дела во всём мире. Но к сожалению, для рядового бизнеса есть вещи, как то ни странно, более важные. Собственно, об этом и будет пост.
В ряде случаев, безусловно, приоритетом является именно защита конфиденциальной информации, которая не должна попасть за пределы организации, ни при каком раскладе. Какого рода информация должна охраняться подобным образом, зависит уже от специфики деятельности самой организации. Для компаний, вкладывающих деньги в инновационные решения, подобным образом имеет смысл защищать ещё не прошедшие патентную экспертизу технологии и изобретения; для большинства других компаний сюда входят данные по намечающимся крупным сделкам и прочие подобные вещи.
Впрочем, доступ к подобной стратегически важной информации в норме имеет ограниченный круг лиц, включающий в себя, в основном, топ-менеджмент организации. Для всей остальной информации могут быть использованы менее строгие защитные меры, поскольку в данном случае приоритетом становится уже не недопущение утечек, а непрерывность бизнес-процессов. Таким образом, можно сформулировать первый принцип обеспечения защиты информации в интересах организации: степень защиты должна соответствовать степени критичности данной информации для дальнейшего существования и развития компании.
Каким образом можно определить степень важности конкретного вида информации? К сожалению, отработанных сценариев и процедур в настоящее время не существует, ведь для каждой организации существует своя специфика. Лучшие результаты, пожалуй, может дать достаточно простой мысленный эксперимент: попробуйте себе представить, что тот или иной документ оказался в руках у злоумышленников, или у конкурентов вашей компании, или был просто опубликован в интернете. Насколько серьезными будут последствия – настолько и важен этот документ (и, с большой долей вероятности, все подобные ему документы) для вашей компании. Если же никаких долгосрочных последствий подобного сценария развития событий вы себе представить не можете, то вряд ли имеет смысл тратить деньги на защиту этого документа.
Конечно, неприятно думать, что ты - всего лишь обслуживающий персонал. Но по факту для бизнеса ИБ именно таковой службой и является. Помнить об этом не очень приятно, но очень полезно.

В честь первой пятницы в месяце: обсудим... киллеров

В честь первой пятницы в месяце - традиционный пятничный пост в нашем корпоративном блоге.
На сей раз мы поговорим... о киллерах. Не удивляйтесь такой необычной теме, просто все большее число наших сограждан (да и не только их) подыскивает в Сети киллеров для своих супругов, начальников, друзей... Оставим в стороне вопрос о том, что их побуждает это делать - наверное, им и правда нужны такие, кхм, услуги, раз они оказываются востребованными. Лучше посмотрим на то, что происходит, когда кто-то, скажем, у себя на страничке в социальной сети делится своим сакраментальным "замочу козла".
Волгоградский областной суд вынес приговор 28-летней жительнице города Фролово Любови Дмитриенко, которая признана виновной организации приготовления к совершению убийства по найму. Ей назначено наказание в виде 4,5 лет колонии общего режима.
Из-за длительных неприязненных отношений со своим супругом, с которым к тому моменту в районном суде шел бракоразводный процесс, Дмитриенко решила устранить мужчину и стала подыскивать исполнителей убийства. О своих намерениях она рассказала в социальной сети своему виртуальному знакомому, которым, по счастливой случайности, оказался близкий друг потерпевшего, зарегистрированный под вымышленным именем. О готовящемся преступлении мужчина сразу же сообщил в правоохранительные органы. В роли киллера выступил полицейский, которому женщина передала ключи от подъездной двери и квартиры, а также 100 тыс. руб. в качестве оплаты за совершение преступления. После получения доказательств Дмитриенко была задержана.
Отсюда
Вот такая интересная ситуация. Из заметки совсем непонятно, всерьез ли женщина искала киллера, когда "друг" об этом узнал, или он сам помог ей пройти непростой путь от "хочу" до "сделаю". Но именно это самое интересное. Ведь когда некто Брейвик оставляет в Сети многостраничный теоретический труд о превосходстве арийской норвежской расы над семитской в данном случае, арабской, то никто не предает этому значения. А когда кто-то пишет другу в соцсети "муж достал, убью гада", то благодаря пристальному влиянию правоохранительных органов мы получаем очередного опасного преступника в колонии. Хотя не факт, что человек довел бы желание до реальных действий, если бы ему в этом не помогли.
Вспоминается квантовая механика, где наблюдатель одним фактом своего наблюдения меняет наблюдаемую картину. Здесь, конечно, всё проще, и без активных действий "наблюдателя" (действующего, вероятно, из лучших побуждений) ничего не произойдет. Поэтому весь вопрос в том, нужно ли наблюдателю вмешиваться в действия "подозреваемого", пока тот ничего не совершил? С одной стороны, это может предотвратить преступление. С другой - его же спровоцировать.
Прямая аналогия - безопасник, узнавший с помощью DLP-системы о готовящейся возможно утечке информации и сотрудник, который еще не знает, будет ли он передавать закрытую информацию кому-то, или удержится от этого. Если безопасник вмешается - компания уволит сотрудника, который в противном случае, возможно, остался бы верен своим моральным принципам и самой компании. Не вмешается - может произойти утечка, а не мне вам объяснять, чем это чревато.
Вот такая дилемма. В такой ситуации может оказаться каждый. Потому что жизнь подкидывает выбор буквально ежедневно. Какой путь выберете вы, чем предпочтете рискнуть?