Средства защиты от внутренних угроз. Мастер-класс "Информационная безопасность: защита от внутренних угроз"

СУЛАВКО А. Е., аспирант

Сибирская государственная автомобильно-дорожная академия,

ТЕХНОЛОГИИ ЗАЩИТЫ ОТ ВНУТРЕННИХ УГРОЗ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ *

Аннотация. Выявлены недостатки существующих средств защиты от внутренних угроз информационной безопасности . Описаны используемые в современных системах защиты подходы к распознаванию конфиденциальной информации в информационном потоке и их эффективность, а также основные требования таким системам. Обозначены возможные направления будущих исследований с целью повышения эффективности средств борьбы с внутренними угрозами.

Ключевые слова: информационная безопасность, внутренние угрозы, контентный анализ, контекстная фильтрация, защита от утечки конфиденциальной информации.

Введение. На сегодняшний день наибольшую угрозу информационной безопасности (далее ИБ) представляют внутренние злоумышленники. С каждым годом данная угроза все возрастает. Времена, когда руководители предприятий боялись атак хакеров и вирусов теперь в прошлом. Конечно, данный класс угроз по сей день несет в себе большую опасность, но более всего компании обеспокоены именно из-за потери, утечки корпоративной информации и персональных данных. Об этом говорят результаты практически любых исследований в области информационной безопасности, проводимых в рамках различных проектов (рисунки 1, 2).

Рисунок 1. Наиболее опасные угрозы ИБ по мнению респондентов

* Работа выполнена в рамках реализации программы «Научные и научно-педагогические кадры инновационной России на годы», контракт № П215 от 22.07.09г.

По результатам исследования «ИНСАЙДЕРСКИЕ УГРОЗЫ В РОССИИ ’09» (рисунок 1), проведенного аналитическим центром российской компании Perimetrix видно, что угрозы, исходящие изнутри компании, в сумме дают больший рейтинг опасности, чем угрозы, исходящие извне.

Рисунок 2. Соотношение опасности внутренних и внешних инцидентов ИБ

Такая ситуация наблюдается не только в России. По данным технических отчетов INFORMATION SECURITY BREACHES SURVEY 2006 и 2008, внутренние инциденты также превалируют над внешними. За последние годы существенно увеличилось опасение внутренних инцидентов представителями малого и среднего бизнеса (рисунок 2). Утечки терпят не только представители бизнеса, но и государственные учреждения по всему миру. Об этом свидетельствуют результаты глобального исследования InfoWatch (рисунок 3).

Рисунок 3. Распределение инцидентов по типу организации

Из представленных материалов видно, что сегодня вопрос о борьбе с внутренними угрозами стоит более остро, чем вопрос о борьбе с внешними. Следует отметить, что наиболее опасной угрозой на сегодня является утечка конфиденциальных данных (рисунок 1).

Средства и методы борьбы с внутренними угрозами. Чтобы эффективно бороться с внутренними угрозами, необходимо выявить недостатки существующих средств защиты в этой области. Можно выделить несколько типов систем обеспечения внутренней безопасности.

Системы мониторинга и аудита являются хорошим средством при расследовании инцидентов. Современные системы аудита позволяют регистрировать практически любые действия пользователей. Недостатком этих систем является отсутствие возможности предотвращения утечки, т. к. для этого нужна система реагирования на события и принятия решений, распознающая какая последовательность действий несет угрозу, а какая нет. Ведь если ответной реакции на нарушение не последует сразу, последствий инцидента не избежать.

Системы сильной аутентификации служат для защиты от несанкционированного доступа к данным. В их основе лежит двух- или трехфакторный процесс аутентификации, в результате которого пользователю может быть предоставлен доступ к запрашиваемым ресурсам. Такие средства могут защитить информацию от “непосвященного” сотрудника, но не от инсайдера , который и так имеет доступ к охраняемой информации.

Средства шифрования носителей. Данный класс программ защитит от утечки информации при потере носителя или ноутбука. Но, если инсайдер передаст носитель вместе с ключом, на котором зашифрована информация другой стороне, то такой метод защиты будет бесполезен.

Системы выявления и предотвращения утечек (Data Leakage Prevention , DLP). Данные системы также называют системами защиты конфиденциальных данных от внутренних угроз (далее, системы защиты от утечек). Эти системы контролируют каналы утечки данных в реальном времени. Существуют комплексные (покрывающие много каналов утечки) и точечные (покрывающие определенный канал утечки) решения. Данные системы используют проактивные технологии, благодаря чему, не только регистрируют факт нарушения ИБ, но и предотвращают саму утечку информации. Конечно, качество такого контроля напрямую зависит от способностей системы отличать конфиденциальную информацию от не конфиденциальной, т. е. от используемых алгоритмов контентной или контекстной фильтрации. Большинство современных систем защиты от утечек имеют функции шифрования носителей и файлов (такие системы также называют Information Protection and Control (IPC)). Они могут использовать защищенные хранилища данных, в частности криптоконтейнеры, которые при доступе к файлу учитывают не только ключ шифрования, но и различные факторы, такие как уровень доступа пользователя и т. д.

На сегодняшний день системы защиты от внутренних угроз - это единственное решение, позволяющее предотвратить утечки в реальном времени, контролируя действия пользователей и процессов производимые с файлами и способное распознавать конфиденциальную информацию в информационном потоке. Чтобы определить уязвимое место в защите, предоставляемой такой системой, необходимо более детально рассмотреть их основные функции и возможности, а также методы, используемые этими системами для осуществления контентной/контекстной фильтрации.

Все существующие методы распознавания конфиденциальной информации в совокупности основаны на синтезе нескольких принципиально различных подходов.

Поиск сигнатур. Наиболее простой метод контентной фильтрации - поиск в потоке данных некоторой последовательности символов. Иногда запрещенную последовательность символов называют «стоп-словом». Техника работает только на точные срабатывания и легко обходится простой заменой символов в анализируемом тексте.

Поиск регулярных выражений (метод масок). С помощью некоторого языка регулярных выражений определяется «маска», структура данных, которые относятся к конфиденциальным. Чаще всего данный метод используется для определения персональных данных (ИНН, номера счетов, документов и т. д.). Недостаток метода в наличие большого количества ложных срабатываний, также метод совершенно не применим к анализу неструктурированной информации.

Метод цифровых отпечатков. С эталонной информации снимается «отпечаток» при помощи хеш-функции. Далее отпечаток сравнивается с фрагментами анализируемой информации. Недостаток в том, что при использовании хеш-функции технология работает только на точные совпадения. Существуют алгоритмы, позволяющие незначительные изменения анализируемой информации по сравнению с эталонной (не более 20%-30%). Данные алгоритмы закрыты разработчиками систем защиты от утечек.

Системы защиты от внутренних угроз также характеризуются соответствием ряду дополнительных требований (критериев принадлежности к системам защиты от утечек). Основные требования к этому классу систем защиты были выдвинуты исследовательским агентством Forrester Research:

 многоканальность (способность осуществления мониторинга нескольких каналов утечки данных);

 унифицированный менеджмент (наличие унифицированных средств управления политикой ИБ, возможность анализа событий по всем каналам мониторинга с созданием подробных отчетов);

 активная защита (система должна не только обнаруживать, но и предотвращать нарушение ИБ);

 сочетание контентного и контекстного анализа (в данном случае к контекстному анализу помимо меток следует относить анализ активности пользователя и приложений).

Как видно, в представленные требования не входит проверка того, кто именно в определенный момент работает под текущей учетной записью.

На сегодняшний день существует достаточно много систем защиты от утечек и продуктов, близких по функциональности к ним. Основные характеристики и функции некоторых решений (было решено взять 10 наиболее популярных) представлены в таблице 1.

У систем защиты от утечек, представленных на рынке, отсутствует возможность идентификации пользователя по “типовому портрету работы в системе”. В существующие решения не позволяют установить, кто на самом деле находится за компьютером. Для этого необходимо прибегать к видеонаблюдению, что не всегда возможно на практике.

Первые системы защиты от утечек в основном использовали методы контентной фильтрации. Но их эффективность оказалась низкой, т. к. на практике такие методы дают достаточно большой процент ошибок первого и второго рода. По данным компании Gartner, в отчете Hype Cycle of Information Security за 2007 год, предельная надежность любых существующих методов контентной фильтрации составляет 80%, а за последние годы существенных изменений в сторону увеличения эффективности таких алгоритмов не произошло. Таким образом, максимальная вероятность правильного распознавания конфиденциальной информации с помощью алгоритмов контентной фильтрации в информационном потоке (документе, файле, трафике и т. д.) на сегодняшний день не превышает 0.8 . И эта вероятность может быть достигнута при использовании всех перечисленных подходов к анализу контента (регулярные выражения, сигнатуры, лингвистические методы и т. д.). Такой показатель является низким (гораздо ниже, чем заявляемые разработчиком характеристики) и не удовлетворяет требованиям информационной безопасности.

Таблица 1 – Основные функции систем защиты от внутренних угроз

название продукта	контентной фильтрации	контекстной фильтрации (подразуме- контейнер- ный анализ)		Шифрование	Критерии канальность, унифици- рованный менеджмент, активная защита,
Traffic Monitor +	сигнатуры, морфология			защищаемые контейнеры
	морфология, цифровые отпечатки		онтологии	контейнеры
	цифровые отпечатки
	сигнатуры, цифровые отпечатки			интегриро- шифрование
	сигнатуры, цифровые отпечатки			интегриро- шифрование
	сигнатуры, цифровые отпечатки			интегриро- шифрование
Инфосистемы СМАП и СКВТ Дозор Джет	сигнатуры, регулярные выражения

Системы защиты от утечек второго поколения используют контейнерный анализ. Этот подход подразумевает однозначное определение конфиденциальной информации в потоке по атрибуту файла (метке). Но, не смотря на кажущийся детерминизм , такая система будет принимать правильное решение при условии верной категоризации данных, произведенной ею предварительно при помощи существующих методов. Но все существующие методы категоризации (вероятностные, лингвистические и т. д.) также основаны на методах контентной фильтрации (контентного анализа), которые, как было упомянуто выше, далеки от совершенства. Необходимо предусматривать и разрабатывать процедуры расстановки меток на новые и входящие документы, а также систему противодействия переносу информации из помеченного контейнера в непомеченный и расстановки меток при создании файлов “с нуля”. Все это является очень сложной задачей, к тому же зависимой от задачи анализа контента. Как видно, концепция детерминистской фильтрации не может применяться отдельно от контентной, и от методов фильтрации контента не избавиться даже теоретически.

Новое поколение систем защиты от утечек (ИАС РСКД, информационно-аналитические системы режима секретности конфиденциальных данных) обещает избавиться от недостатков контентных и контекстных методов, используя каждый из них в том случае, где он наиболее эффективен. Но сочетание двух несовершенных и зависимых технологий не может произвести существенного улучшения.

Заключение. Резюмируя приведенную выше информацию, можно заключить, что, несмотря на большое количество имеющихся алгоритмов выявления конфиденциальной информации, все они не эффективны. Актуализация проблемы внутренних угроз вызвана незащищенностью от них организаций и отсутствием эффективного решения по борьбе с ними. Практически на всех предприятиях используются программные и/или аппаратные средства защиты, которые предназначены для борьбы с внешними угрозами (антивирусы, брандмауэры, IDS и т. д.) и достаточно эффективно с ними борются. Что касается средств защиты от внутренних угроз (системы защиты от утечек), то только очень незначительная часть компаний их использует (рисунок 4), хотя необходимость в этих средствах объективно существует. Рынок информационной безопасности еще не может предложить полноценного решения для эффективной защиты корпоративной информации, и существующие решения не дают достаточного уровня защиты, при этом их стоимость высока (приблизительно 100 – 500 тыс. $ стоит лицензия на 1000 компьютеров).

Рисунок 4. Самые популярные средства ИБ

Необходимо совершенствовать технологии контентной фильтрации, разрабатывая новые методы выявления конфиденциальной информации, концептуально меняя подходы к ее распознаванию. Целесообразно распознавать не только смысловое содержание текста, но и его авторство . Благодаря идентификации автора текста (при пересечении этим текстом периметра организации), набранного пользователем и содержащего конфиденциальную информацию, становится возможным выявить злоумышленника. Данный подход может быть реализован при использовании методов контентного анализа совместно с биометрическими методами идентификации пользователя по клавиатурному почерку. Учитывая не только статические характеристики текста (смысл), но и динамику ввода текста, становится возможным идентификация автора текста с высокой вероятностью.

«Защита от внутренних угроз на предприятиях связи»

Введение

1.Самые громкие инсайдерские инциденты в области телекоммуникаций

2.Внутренние нарушители

3.Законы в области защиты от внутренних угроз

3.1.Правовое и нормативное регулирование

3.2.Сертификация по международным стандартам

4.Статистические исследования

5.Методы предотвращения внутренних утечек

Заключение

Список использованной литературы

ВВЕДЕНИЕ

Актуальность темы обусловлена тем, что в связи с массовым характером предоставления услуг связи в базах данных телекоммуникационных компаний могут быть аккумулированы записи миллионов и десятков миллионов граждан. Именно они и нуждаются в наиболее серьезной защите. Как показала практика, в результате пренебрежения опасностью утечки бизнес рискует потратить сотни миллионов долларов на PR-кампании, судебные издержки и новые средства защиты персональной информации клиентов.

Специфика защиты информации в телекоммуникационных компаниях проявляется в характере тех данных, которые необходимо защищать. Вся информация хранится в базах данных, находящихся в IT-инфраструктуре оператора. Кража чревата сразу несколькими негативными последствиями. Во-первых, это может ударить по репутации компании, что проявляется в оттоке существующих клиентов и трудностях в привлечении новых. Во-вторых, фирма нарушает требования закона, что может привести к отзыву лицензии, судебным издержкам, дополнительному ущербу для имиджа.

Целью работы является изучение защиты от внутренних угроз на предприятиях связи.

Задачами работы являются:

Рассмотрение самых громких инсайдерских инцидентов в области телекоммуникаций;

Анализ внутренних нарушителей;

Изучение законов в области защиты от внутренних угроз: правовое и нормативное регулирование и сертификация по международным стандартам;

Изучение статистических исследований;

Рассмотрение методов предотвращения внутренних утечек.

Работа состоит из пяти глав.

В первой главе рассматриваются самые громкие инсайдерские инциденты в области телекоммуникаций, во второй главе рассматриваются внутренние нарушители, в третьей главе анализируются законодательная база в области защиты от внутренних угроз, в четвертой главе рассматриваются статистические исследования, в пятой главе приводятся методы предотвращения внутренних утечек.

В заключении содержатся выводы по проведенному исследованию.

1. Самые громкие инсайдерские инциденты в

области телекоммуникаций

Реальные инциденты являются наиболее наглядной иллюстрацией всей серьезности угрозы от инсайдеров. Пренебрежение этой опасностью в 2006 г. привело к крупному скандалу в США. Журналисты за $90 купили список входящих и исходящих вызовов бывшего кандидата в президенты США, генерала Уэсли Кларка, и американская общественность с удивлением обнаружила, что телефонные записи, во-первых, вообще не защищены законом, а, во-вторых, очень плохо защищены операторами мобильной связи.

В январе 2007г. информационные агентства сообщили об одной «неочевидной» утечке. В Интернете появилась база данных пользователей мобильной связи от «Корбина телеком»: фамилии, номера телефонов, гарантийные взносы почти 40 тыс. абонентов, в том числе нескольких топ-менеджеров компании. Комментарии «Корбины» в некоторой степени успокоили клиентов. Скорее всего, под видом новой базы, предлагалась информация 4-летней давности. Тогда программист-инсайдер действительно выложил в свободный доступ сведения об абонентах компании, и за это время информация почти полностью потеряла свою актуальность.

В десятку самых громких инсайдерских инцидентов вошла кража клиентской базы японского сотового оператора KDDI. Под угрозой раскрытия информации о крупной утечке данных инсайдеры требовали $90 тыс. у японской корпорации KDDI – второго по величине оператора сотовой связи в стране. Чтобы продемонстрировать обоснованность своих угроз, в мае 2006 г. шантажисты предъявили представителям KDDI компакт-диски и USB-флешки с приватными данными, подбросив их на проходную. Однако менеджмент компании проигнорировал требования преступников и обратился к правоохранительным органам. В течение двух недель полицейские контролировали переговоры шантажистов и KDDI, а потом арестовали подозреваемых. Расследование показало, что в руки шантажистов действительно попала база приватных сведений о 4 млн. клиентов KDDI. Каждая запись базы содержала имя, пол, дату рождения, телефоны, почтовые адреса каждого клиента. Все эти данные идеально подходят для осуществления кражи личности. Топ-менеджмент уверен, что один из служащих специально скопировал сведения и вынес их за пределы компании.

В целом, более 200 работников имели доступ к украденным данным.

Не менее громкий инцидент произошел ближе к России: утечка базы данных белорусского сотового оператора Velcom. Журналисты приобрели текстовый файл с информацией о номерах телефонов и ФИО 2 млн. его абонентов. При этом пресса отмечает, что базы данных Velcom регулярно становятся достоянием общественности: с 2002 г. вышло как минимум шесть вариантов, причем каждый раз информация дополнялась. Между тем базы данных МТС в белорусском Интернете по-прежнему отсутствуют. Столкнувшись с волной критики, Velcom заявила, что белорусские законы не защищают персональные данные граждан, а значит, никаких юридических претензий к Velcom быть не может. Оператор обвинил в утечке банк, которому была передана база данных клиентов «для возможности проверки работниками [банка] правильности указанных реквизитов при оплате услуг связи». После этого Velcom«рассматривает возможность предъявления иска о защите деловой репутации». К чему приведет разбирательство, покажет время, но пока инсайдеры слишком часто уходят от ответственности.

Октябрь 2006 г. Инсайдеры из индийского телекома AcmeTelePower украли результаты инновационных разработок и передали их фирме-конкуренту LamdaPrivateLimited. По оценкам Ernst & Young, прямые финансовые убытки Acme составили $116 млн. Любопытно, что интеллектуальная собственность «утекла» самым обычным способом – по электронной почте. После этого компания AcmeTelePower собирается вообще перенести свой бизнес из Индии в Австралию.

2. внутренние нарушители

Очень многие организации проводили исследования в сфере внутренних утечек. Наиболее крупные и известные - исследования Uncertainty of Data Breach Detection, проведенного Ponemon Institute ; исследования западных аналитиков: CSI/FBIComputerCrimeandSecuritySurvey. Таблица 1 иллюстрирует одно из таких исследований.

Табл. 1. Самые опасные угрозы ИБ по совокупному ущербу в долларах

Угрозы	Ущерб (в долларах)
Вирусы	$ 15 691 460
Неавторизованный доступ	$ 10 617 000
Кража ноутбуков	$ 6 642 560
Утечка информации	$ 6 034 000
Отказ в обслуживании	$ 2 992 010
Финансовое мошенничество	$ 2 556 900
Злоупотребление сетью или почтовыми инсайдерами	$ 1 849 810
Телеком-мошенничество	$ 1 262 410
Зомби-сети в организации	$ 923 700
Взлом системы извне	$ 758 000
Фишинг (от лица организации)	$ 647 510
Злоупотребление беспроводной сетью	$ 469 010
Злоупотребление интернет-пейджерами инсайдерами	$ 291 510
Злоупотребление публичными веб-приложениями	$ 269 500
Саботаж данных и сетей	$ 260 00

Можно добавить только, что в комментариях по объему ущерба аналитики FBIи Института компьютерной безопасности скептически относятся к тому, что респонденты смогли более или менее точно определить объем убытков в связи с утечкой персональных данных или коммерческих секретов. Такие инциденты имеют множество долгосрочных отрицательных последствий. Например, ухудшение общественного мнения, снижение репутации и сокращение клиентской базы. Все это происходит постепенно и занимает недели и месяцы. А для выявления убытков в виде недополученной вследствие утечки прибыли требуется как минимум год. Так что внутренняя структура финансовых потерь из-за угроз ИБ не поддается точному определению.

В целом защита информации в организациях включает в себя :

· совокупность компьютеров, связанных между собой в сеть;

· каналы связи, реализованные произвольными каналами передачи информации, через которые физически реализуется сеть логических связей;

· обмен конфиденциальной информацией внутри сети в строгом соответствии с допустимыми логическими связями

· интегрированная многоуровневая защита от несанкционированного доступа и внешнего воздействия

· жесткое централизованное задание структуры логических связей и разграничение доступа внутри сети

· независимость логической структуры сети от типов каналов передачи информации.

Большинство компаний уже давно построило защиту от внешних угроз, и теперь им требуется защитить тылы. Среди внутренних угроз можно выделить несколько наиболее распространенных способов нанесения ущерба:

· сохранение или обработка конфиденциальной информации в системе, не предназначенной для этого;

· попытки обойти или взломать систему безопасности или аудита без авторизации (кроме случаев тестирования системы безопасности или подобного исследования);

· другие нарушения правил и процедур внутренней безопасности сети.

Существует несколько путей утечки конфиденциальной информации:

o почтовый сервер (электронная почта);

o веб-сервер (открытые почтовые системы);

o принтер (печать документов);

o FDD, CD, USB drive (копирование на носители).

Прежде чем переходить к аналитическим выкладкам, необходимо ответить на вопрос, что же все-таки называется внутренней угрозой. Важность этого определения усиливается еще и тем, что саботаж - лишь часть внутренних угроз, следует различать саботажников и, например, инсайдеров, «сливающих» конфиденциальную информацию конкурентам.

Корпоративный саботаж - это вредительские по отношению к компании действия, совершенные инсайдерами в силу уязвленного самолюбия, желания отомстить, ярости и любых других эмоциональных причин. Заметим, что под емким термином «инсайдер» понимаются бывшие и нынешние сотрудники предприятия, а также служащие-контрактники.

Корпоративные диверсии всегда совершаются из эмоциональных, порой нерациональных побуждений. Саботажник никогда не руководствуется желанием заработать, не преследует финансовую выгоду. Этим, собственно, саботаж и отличается от других инсайдерских угроз.

Исследование Секретной службы США установило, что в 98% случаев диверсантом является мужчина.Однако эти мотивы представляют собой следствия более ранних событий, которые вывели служащего из равновесия (Табл. 2). По сведениям аналитиков, в большинстве случаев саботажу предшествует неприятный инцидент на работе или серия таких инцидентов.

Табл. 2 События, предшествующие саботажу

Источник СЕ RT

Многие саботажники на момент совершения диверсии являются уже бывшими сотрудниками компании-жертвы, сохранившими доступ к ее информационным ресурсам по каким-то причинам (вероятно, оплошности администратора). Заметим, это почти половина всех случаев.

Как показало исследование CERT, практически все корпоративные диверсанты являются специалистами, так или иначе связанными с информационными технологиями.

Табл. 3 Портрет типичного саботажника

Источник СЕ RT

Таким образом, из наиболее достоверных черт саботажника можно выделить всего две: это мужчина, сотрудник технического департамента. Девять из десяти диверсий совершаются людьми, так или иначе связанными с информационными технологиями. По мнению экспертов компании InfoWatch, разработчика систем защиты конфиденциальной информации от инсайдеров, причина такой профессиональной принадлежности кроется в психологических особенностях этих служащих. Подробнее разобраться в проблеме позволят два примера из жизни, наиболее ярко иллюстрирующие типичные черты характера IT-профессионалов.

«Я работал в средней по величине компании, занимающейся разработкой программного обеспечения. При доступе к основным серверам у меня были привилегии администратора. Только чтобы размять свой ум, я обдумывал, как можно использовать этот доступ злонамеренно, и разработал следующий план. Во-первых, взломать систему резервного копирования... Во-вторых, подождать год или дольше. В-третьих, стереть всю информацию на серверах, включая взломанное программное обеспечение для шифрования/дешифрования резервных данных. Таким образом, у предприятия останутся лишь зашифрованные резервные копии (без ключа). В-четвертых, предложить компании купить ключи, которые удалось получить еще на первом шаге. Если фирма откажется, то потеряет годы своей работы. Это, конечно, всего лишь гипотетический план. Я не пытался претворить его в жизнь, поэтому не знаю, сработал бы он или нет…», - Филиэс Купио (Filias Cupio). «Большинство специалистов по информационным технологиям, которых я знаю, даже еще начинающие ребята, сразу же при вступлении в должность первым делом устанавливают программу скрытого управления (rootkit) в корпоративную систему. Это рефлекс. Ребята не хотят никому навредить и не строят вредоносных планов, им просто нужен надежный доступ к системе, чтобы можно было спокойно работать из дома или колледжа», - Бен.

Глубокая психологическая подоплека акта саботажа часто приводит к тому, что рассерженный служащий угрожает начальству или сослуживцам.Иногда он даже делится своими мыслями с кем-то из коллег. Другими словами, информация о готовящейся диверсии есть не только у саботажника. Аналитики подсчитали, что в 31% случаев сведениями о планах диверсанта располагают другие люди. Из них 64% - коллеги, 21% - друзья, 14% - члены семьи, а еще 14% -сообщники.

В 47% случаев диверсанты совершают подготовительные действия (например крадут резервные копии конфиденциальных данных). В 27% - конструируют и проверяют механизм атаки (готовят логическую бомбу в корпоративной сети, дополнительные скрытые входы в систему и т. д). При этом в 37% случаев активность сотрудников можно заметить: из этого количества 67% подготовительных действий заметны в режиме online, 11% - offline, 22% - обоих сразу.

Следует также учесть, что подавляющее большинство атак производится саботажниками в нерабочее время и с помощью удаленного доступа к корпоративной сети.

3. Законы в области защиты от внутренних угроз

Правовое и нормативное регулирование

Специфика сектора телекоммуникаций (по сравнению с другими отраслями) проявляется и в вопросах нормативного регулирования. Во-первых, компании этой отрасли часто ориентированы на предоставление услуг физическим лицам, а потому аккумулируют в своей корпоративной сети огромные объемы персональных данных абонентов. Отсюда пристальное внимание руководства департаментов ИТ и ИБ к ФЗ «О персональных данных», который предъявляет целый ряд требований к безопасности приватных сведений граждан. Во-вторых, телеком не так давно обзавелся собственным стандартом под названием «Базовый уровень информационной безопасности операторов связи» . Он представляет собой минимальный набор рекомендаций, реализация которых должна гарантировать определенный уровень ИБ коммуникационных услуг, позволяя обеспечить баланс интересов операторов, пользователей и государства. Разработка этого норматива обусловлена развитием телекоммуникационной отрасли: операторы связи вынуждены объединять свои сети, чтобы предоставлять необходимый набор услуг, однако сами операторы не знают, с кем они имеют дело и кому они могут доверять, чтобы избежать угроз ИБ . Некоторые положения этого документа напрямую касаются внутренних рисков ИБ и проблем сохранения персональных данных. Например, оператору рекомендуется «обеспечивать конфиденциальность передаваемой и/или хранимой информации систем управления и автоматизированных систем расчета за услуги связи (биллинга), сведений об абонентах (персональных данных физических лиц) и оказываемых им услугах связи, ставших известными операторам связи в силу исполнения договоров об оказании услуг связи». От компаний требуют вести журналы регистрации событий ИБ и хранить их согласно срокам исковой давности (в России – 3 года). Более того, «для фильтрации потока первичных событий рекомендуется применять технические средства корреляции событий, оптимизирующие записи в журналах инцидентов по информационной безопасности». Нельзя обойти вниманием пункт, который гласит: «Оператору, допустившему утрату баз данных абонентов (клиентов) других (взаимодействующих) операторов, рекомендуется информировать последних об этом в кратчайшие сроки». Таким образом, российский сектор телекоммуникаций постепенно приближается к передовому опыту – в США и ЕС компании уже давно несут ответственность за утечку приватных данных и по закону обязаны поставить пострадавших в известность об утечке. Со временем такая норма должна появиться и в России.

Правда, утверждать, что нормативное регулирование играет определяющую роль в секторе телекоммуникаций, пока нельзя. Тем не менее руководству уже сегодня следовало бы задуматься о соответствии ИТ и ИБ существующим стандартам и законам на тот случай, если надзорные органы начнут наконец действовать. Кроме того, крупные телекоммуникационные компании, чьи акции котируются на биржах, обязаны удовлетворять требованиям фондовых рынков. В России, например, это необязательный Кодекс корпоративного поведения ФСФР (Федеральная служба по финансовым рынкам), в Британии – Объединенный кодекс корпоративного управления (полуобязательный), а в США – закон SOX (Sarbanes-Oxley Act of 2002). ФЗ «О персональных данных» и «Базовый уровень…» представляют непосредственный интерес для российских телекоммуникационных компаний.

ФЗ «О связи» (ст. 46, п. 1) возлагает на оператора такие функции ИБ, как защита сооружений связи, средств связи и передаваемой по ним информации от несанкционированного доступа; обеспечение безопасности функционирования внутренней инфраструктуры оператора связи.

Требования эти необходимо реализовывать в системе функционирования сети связи, контролировать их работоспособность, сопровождать эксплуатацию, готовить и представлять в вышестоящие инстанции статистическую отчетность. Однако из-за отсутствия координирующих нормативных положений единого подхода к обеспечению безопасности информации не существует. Нет общего подхода и к составу подразделений ИТ и ИБ. Это, как правило, зависит от объема выполняемых оператором задач, а функциональные обязанности между ИТ и ИБ распределяются исходя из предыдущего опыта руководителей этих подразделений.

Сертификация по международным стандартам

Самая известная в мире сертификация – по требованиям стандарта ISO 27001:2005. В России на сегодняшний день официально сертифицировали свои системы управления информационной безопасностью (СУИБ) шесть компаний; четыре из них работают в сфере ИТ. Стандарт ISO/IEC27001:2005, выпущенный British Standards Institute в 2005 г., основан на лучших мировых практиках. Он четко определяет ключевые процессы, которыми необходимо управлять менеджеру, отвечающему за обеспечение ИБ в организации. Согласно этому стандарту, заключительный этап подтверждения эффективности системы ИБ – проведение независимой проверки аккредитованным органом по сертификации. Положительное заключение такого органа свидетельствует об эффективном и корректном обеспечении процессов управления ИБ, о позитивном имидже фирмы, а для ее руководства служит убедительным аргументом, что в ИС предприятия используются современные средства обеспечения ИБ с максимальным уровнем эффективности. Сам процесс проверки внешним органом по сертификации повышает степень доверия руководства к ИБ-подразделениям, являясь показателем качества и профессионализма сотрудников этой службы.

Решение о внедрении СУИБ в организации должно приниматься на самом высоком уровне управления, в идеале – генеральным директором. Без поддержки руководства такие проекты нередко обречены на провал, в лучшем случае – на неэффективное функционирование в условиях неприятия процессов работниками фирмы.

1) В требованиях к политикам определена необходимость зафиксированной (утвержденной) внутренними процедурами предприятия связи политики безопасности, основанной на лучших практиках оценки и управления рисками, отвечающей нуждам деловой деятельности и соответствующей национальному законодательству. Политики безопасности должны быть опубликованы и доведены до сведения персонала оператора связи и внешних участников (клиентов, взаимодействующих операторов, других заинтересованных лиц).

2) В требованиях к функциональности описаны требования только к имеющимся сертифицированным техническим средствам, описываются процедуры журналирования событий.

3) В требованиях к взаимодействию описан порядок идентификации собственных клиентов и других операторов. В подразделе указывается на необходимость наличия круглосуточной службы реагирования на инциденты безопасности (или использования такой службы на правах аутсорсинга).

Существует также требование обеспечения конфиденциальности передаваемой и/или хранимой информации для систем управления и автоматизированных систем расчета за услуги связи (биллинга), сведений об абонентах (персональных данных физических лиц) и оказываемых им услугах связи. При этом оно должно соблюдаться и в том случае, если эта информация стала известна оператору связи в силу исполнения договоров об оказании услуг связи.

4. Статисти ческие исследования

Одной из самых масштабных и интересных работ в области защиты от внутренних угроз оказалось исследование 275 телекоммуникационных компаний, проведенное аналитическим центром InfoWatch. Согласно его результатам, инсайдерские риски превалируют над внешними угрозами в соотношении 6:4. Проанализируем структуру этих рисков и влияние на них различных факторов: используемых средств защиты информации, нормативного регулирования и др.

Список самых опасных внутренних угроз информационной безопасности (Табл. 4) возглавили нарушение конфиденциальности информации (85%) и искажение информации (64%). Обе эти угрозы можно обобщить понятием «утечка информации».

На третьей–четвертой позициях – мошенничество (49%) и саботаж (41%). Интересно, что в проводившемся общеотраслевом исследовании угроза саботажа почти на 15% опережает риск мошенничества. Видимо, в силу специфики предоставления услуг связи мошенничество признано одной из наиболее опасных угроз.

Табл. 4 Самые опасные угрозы ИБ

Административная работа с персоналом

По мнению экспертов компании InfoWatch, наилучшее средство предотвращения корпоративного саботажа - профилактические меры. Прежде всего компаниям нужно проверять рекомендации и места предыдущей работы нанимаемых служащих.Еще один чрезвычайно эффективный метод - регулярные тренинги или семинары, на которых до персонала доводится информация об угрозах IT-безопасности и саботаже как таковом. При таком подходе руководство делает ставку на тех сотрудников, которые взаимодействуют с саботажником в офисе, видят его нервозное поведение, получают угрозы в свой адрес и т. п. О подобных инцидентах следует тут же извещать уполномоченных лиц.

Следующий метод предполагает использование принципа минимальных привилегий и четкого разделения функций. Административных полномочий у обычных офисных служащих быть не должно. Также понятно, что сотрудник, отвечающий за резервные копии, не должен иметь возможности удалить данные в оригинальном источнике. Вдобавок в обязанности этого работника следует вменить информирование начальства в случае, если на резервные копии покусится какой-то другой служащий. Вообще, проблема защиты резервных копий может быть решена созданием их дубликатов. В связи с тем, что в компании, как правило, не так много по-настоящему критических данных, создание нескольких резервных копий представляется целесообразным.

Чрезвычайно важен момент эффективного управления паролями и учетными записями.

Лучшей профилактической мерой можно назвать мониторинг, причем не только пассивный (журналы событий), но и активный (защита ценной информации). В этом случае нанести реальный ущерб компании сможет только топ-менеджер, поскольку у остальных работников, имеющих доступ к цифровым активам фирмы, просто не будет прав на удаление ценной информации. На рынке уже есть специализированные решения для защиты данных от внутренних угроз, в том числе и от корпоративного саботажа.

InfoWatch Enterprise Solution

Решение InfoWatch Enterprise Solution (IES) поставляется российской компанией InfoWatch, разработчиком систем защиты от инсайдеров. Оно позволяет обеспечить всесторонний контроль над всеми путями утечки конфиденциальных сведений: почтовым каналом и веб-трафиком, коммуникационными ресурсами рабочих станций и т. д. На сегодняшний день IES уже используется правительственными (Минэкономразвития, Таможенная служба), телекоммуникационными (ВымпелКом), финансовыми (Внешторгбанк) и топливно-энергетическими компаниями (ГидроОГК, Транснефть).

Архитектуру IES можно разделить на две части: мониторы, контролирующие сетевой трафик, и мониторы, контролирующие операции пользователя на уровне рабочих станций. Первые устанавливаются в корпоративной сети в качестве шлюзов и фильтруют электронные сообщения и веб-трафик, а вторые развертываются на персональных компьютерах и ноутбуках и отслеживают операции на уровне операционной системы. Сетевые мониторы IWM и IMM также могут быть реализованы в виде аппаратного устройства – InfoWatch Security Appliance. Таким образом, заказчику предлагается на выбор либо программное, либо аппаратное исполнение фильтров почты и веб-трафика. Преимущества такого подхода лучше всего проявляются при защите сложной вычислительной сети, охватывающей территориально распределенные филиалы.

К мониторам уровня рабочей станции относятся Info-Watch Net Monitor (INM) и InfoWatch Device Monitor (IDM). Модуль INM отслеживает операции с файлами (чтение, изменение, копирование, печать и др.), контролирует работу пользователя в Microsoft Office и Adobe Acrobat и тщательно протоколирует все действия с конфиденциальными документами.

Вся эта функциональность логично дополнена возможностями модуля IDM, который контролирует обращение к сменным накопителям, приводам, портам (COM, LPT, USB, FireWire), беспроводным сетям (Wi-Fi, Bluetooth, IrDA) и т. д.

Вдобавок, компоненты INM и IDM в состоянии работать на ноутбуках, при этом администратор безопасности имеет возможность задать специальные политики, действующие на период автономной работы сотрудника. Во время следующего подключения к корпоративной сети мониторы сразу же уведомят офицера безопасности, если пользователь попытался нарушить установленные правила во время удаленной работы.

Все мониторы, входящие в состав IES, способны блокировать утечку в режиме реального времени и сразу же оповещать об инциденте офицера безопасности. Управление решением осуществляется через центральную консоль, которая позволяет настраивать корпоративные политики. Также предусмотрено автоматизированное рабочее место офицера безопасности, с помощью которого специальный служащий может быстро и адекватно реагировать на инциденты. Таким образом, комплексное решение IES адресует все аспекты защиты конфиденциальной информации от инсайдеров.

Lumigent Entegra и LogExplorer

Продукты компании Lumigent Entegra и Log Explorer служат для пассивной защиты информации, хранящейся в базах данных. Они позволяют осуществлять аудит баз данных и восстанавливать информацию в них.

Продукт Entegra следит за действиями пользователей при работе с базами данных и осуществляет аудит самих баз. Он позволяет определить, кто, когда и как просматривал или изменял записи в базе данных, а также изменял, структуру или права пользователей для доступа к ней. Стоит заметить, что продукт не в состоянии предотвратить какое-либо вредоносное воздействие, он лишь может отправить информацию об этой операции для записи в журнал. Log Explorer ведет избыточный журнал всех произведенных с базой данных транзакций, что позволяет в случае каких-либо проблем произвести анализ и аудит совершенных операций и восстановить потерянные или измененные записи без использования резервной копии. Однако речь о восстановлении на самом деле не идет, Log Explorer позволяет осуществлять откат транзакций. Таким образом, этот модуль не в состоянии предотвратить утечку, но может снизить риски искажения записей.

PC Acme

Продукт PC Activity Monitor (Acme) позволяет осуществлять пассивный мониторинг операций пользователя на уровне рабочей станции. Решение состоит из двух частей: средства централизованного управления и многочисленные агенты, внедряемые в рабочие станции по всей организации. С помощью первой компоненты продукта можно централизованно распределить агенты по всей корпоративной сети, а потом управлять ими. Агенты представляют собой программные модули, которые очень глубоко внедряются в Windows 2000 или Windows XP. Разработчики сообщают, что агенты располагаются в ядре операционной системы, и пользователю практически нереально нелегально удалить их оттуда или отключить. Сами агенты тщательно протоколируют все действия пользователей: запуск приложений, нажатие клавиш и т. д. Можно сказать, что журнал событий, получающийся на выходе, по степени своей детализации напоминает результаты неусыпного видеонаблюдения за экраном компьютера. Однако получаемый журнал, естественно, представлен в текстовом виде. Центральная консоль управления позволяет собирать запротоколированные данные на один единственный компьютер и анализировать их там. Однако на этом этапе могут возникнуть сложности. Во-первых, офицеру безопасности приходится вручную анализировать сотни тысяч записей о тех или иных системных событиях, чтобы выделить те, которые являются нарушением политики ИТ-безопасности, привели к утечке и т. п. Но даже если офицеру безопасности удастся обнаружить факт утечки, то он все равно уже не сможет ее предотвратить. Таким образом, программа PC Acme подходит для пассивного мониторинга всех действий пользователя на уровне рабочей станции.

Proofpoint Messaging Security

Аппаратное решение компании Proofpoint позволяет обеспечить полный контроль над электронной почтой. С помощью этого устройства можно проверить сообщения на вирусы и спам, предотвратить нецелевое использование почтовых ресурсов и утечку конфиденциальной информации в электронных письмах. Защита от утечки конфиденциальных данных построена на базе механизма контентной фильтрации. Если в передаваемом сообщении находится конфиденциальная информация, то продукт способен заблокировать утечку. Решение Proofpoint является классическим примером продукта, предназначенного для защиты одного конкретного канала передачи данных – электронной почты. Такой продукт может быть использован в тех случаях, когда основной функциональностью является фильтрация спама и выявление вирусов, а предотвращение утечек - всего лишь приятное дополнение.

Как ловят инсайдеров

Пример победы над инсайдерами продемонстрировала в середине февраля 2006 г. российская компания LETA IT-company. Благодаря грамотному подходу к внутренней ИТ-безопасности, фирме удалось обезвредить инсайдера, уличенного в злоупотреблении служебным положением. Как показали результаты внутреннего расследования, один из менеджеров по работе с клиентами пытался проводить контракты на поставку программного обеспечения не через своего законного работодателя, а через им же созданную подставную компанию. Злоупотребление было оперативно и заблаговременно выявлено с помощью InfoWatch Mail Monitor.

ЗАКЛЮЧЕНИЕ

Таким образом, в США и ЕС компании уже давно несут ответственность за утечку приватных данных и по закону обязаны поставить пострадавших в известность об утечке. Надеемся, что со временем такая норма появится и в России. Уже можно отметить положительные тенденции. Число организаций, защитивших себя от утечек, непрерывно растет и еще будет увеличиваться.

Организации начинают хорошо осознавать опасность роста угроз, связанных с собственным персоналом, хотя мало предпринимают необходимых мер для защиты. В списки своих приоритетных задач не все включили обучение и повышение квалификации сотрудников в сфере ИБ, регулярную оценку работы своих поставщиков IT-услуг с целью контроля за соблюдением ими политики ИБ, полагаясь исключительно на доверие. Лишь немногие рассматривают сегодня ИБ как одну из приоритетных задач руководства.

По мере развития бизнес-моделей организаций в направлении децентрализации некоторые функции делегируются внешним подрядчикам, следовательно, все труднее становится контролировать защищенность своей информации и оценивать уровень рисков. Компании могут делегировать выполнение работы, но не должны делегировать ответственность за безопасность.

Недостаточное внимание со стороны высшего руководства, нерегулярное проведение оценки рисков, а также недостаток либо полное отсутствие инвестиций в работы по снижению рисков, связанных с человеческим фактором (некорректное поведение сотрудников, оплошность, нарушение установленных правил или стандартов). Основное внимание по-прежнему уделяется лишь таким внешним угрозам, как вирусы, а серьезность внутренних угроз недооценивается: есть готовность покупать технологические средства (межсетевые экраны, антивирусную защиту и т. п.), но нет желания решать кадровые проблемы безопасности.

Многие инциденты с участием сотрудников остаются не выявленными. По мнению авторов исследований, телекоммуникационные компании могут и должны изменить свой взгляд на ИБ только как на статью расходов на ведение бизнеса: относиться к ней как к одному из способов повышения конкурентоспособности и сохранения стоимостного потенциала компании.

Ряд крупных компаний подпадают под требования различных нормативных актов, которые обязывают защищать приватные сведения. В целом ожидается, что спрос на решения по защите от инсайдеров и утечек будет стабильно расти как минимум в течение ближайших пяти лет.

Список ИСПОЛЬЗОВАННОЙ литературы

1. InfoWatch. Новости. Как непросто определить утечку – Корбина телеком. 2007 г.

2. Сбиба В.Ю, Курбатов В.А. Руководство по защите от внутренних угроз информационной безопасности. СПб: Питер, 2008.

3. “КНС ИНФОТЕКС” http://home.tula.net/insider/001b.htm.

4. Зенкин, Д. Инсайдеры в 75 раз опаснее хакеров. С-News. Аналитика. http://www.cnews.ru/reviews/index.shtml?2008/10/22/324142.

5. Доля, А. CitCity. Инсайдеры наступают. http://citcity.ru/14874/

6. InfoWatch: Внутренние угрозы: перед лицом общей опасности. http://www.infowatch.ru/threats?chapter=147151398&id=153017335

7. Доля, А. Саботаж в корпоративной среде. http://www.directum-journal.ru/card.aspx?ContentID=1717301.

8. Базовый уровень информационной безопасности операторов связи. [В Интернете] http://www.ccin.ru/treb_baz_u.doc.

9. Доля А. Безопасность телекомов. http://citcity.ru/15562

10. Доля А.В. Внутренние угрозы ИБ в телекоммуникациях. 2007 г. http://www.iks-navigator.ru/vision/456848.html.

11. Костров, Д.В. Информационная безопасность в рекомендациях, требованиях, стандартах. 2008 г.

http://www.iks-navigator.ru/vision/2390062.html.

12. Вестник связи: Защита от инсайдеров в телекоммуникационных компаниях.

http://www.vestnik-sviazy.ru/t/e107_plugins/content/content.php?content.39.

13. Чужой среди своих: протокол заседания круглого стола. Вестник связи. - №7. 2006 r. http://www.vestnik-sviazy.ru/t/e107_plugins/content/content.php?content.59.

Ни для кого не секрет, что в среднем 82 % угроз информационным ресурсам компаний исходят от действий собственных сотрудников, совершаемых ими либо по неосторожности, либо предумышленно. По прогнозам экспертов, опасность внутренних угроз имеет тенденцию к росту и является по-прежнему одной из самых злободневных проблем. В условиях жесткой конкурентной обстановки особенно актуальной является задача по сохранению конфиденциальности данных. Ошибочно отправленное электронное письмо, сообщение ICQ или выводимые на печать документы могут содержать конфиденциальные сведения, не предназначенные для посторонних лиц. Коммерческая или служебная тайна, персональные данные клиентов, партнеров или сотрудников, а также иные виды защищаемой информации могут попасть в руки к третьим лицам и нанести бизнесу непоправимый ущерб. Необходимо своевременно принять меры для предотвращения рисков, связанных с утечкой конфиденциальной информации.

Вашему бизнесу могут угрожать различные риски, в том числе:

Финансовые риски
Результатом утечки конфиденциальных данных может быть ситуация, когда коммерческая тайна становится известной третьим лицам. В случае попадания такой информации в руки конкурентов существует высокая вероятность финансовых потерь, нередко приводящих к банкротству компании.
Правовые риски
Бесконтрольный выход конфиденциального документа за пределы корпоративной сети может стать предметом пристального внимания со стороны регулирующих органов. Судебные иски и штрафные санкции за нарушение норм законодательства, регулирующих защиту персональных данных и иных видов конфиденциальной информации, не является редким явлением.
Репутационные риски
Утечка конфиденциальных данных может получить широкую огласку в СМИ и привести к разрушению имиджа компании в глазах ее клиентов и партнеров, став причиной серьезного финансового ущерба.

Для обеспечения защиты от утечек конфиденциальной информации в любой компании должна быть предусмотрена DLP-система.

DLP-системы (от англ. Data Loss Prevention) — программные или программно-аппаратные средства, предназначенные для защиты от утечек по сетевым и локальным каналам. Передаваемые данные анализируются на предмет их конфиденциальности и распределяются по определенным категориям (общедоступная информация, персональные данные, коммерческая тайна, интеллектуальная собственность и др.). Если в информационном потоке детектируются данные конфиденциального характера, DLP-система выполняет одно из следующих действий: разрешает их передачу, блокирует или отправляет на дополнительную проверку специалисту по безопасности в неоднозначных случаях. DLP-системы охватывают широкий комплекс коммуникационных каналов, позволяя отслеживать электронную почту, службы мгновенных сообщений и иной интернет-трафик, принтеры, Bluetooth-устройства, USB-устройства и другие внешние носители.

Существующие DLP-системы различаются набором функциональных возможностей. Во-первых, DLP-системы могут быть активными (обнаруживают и блокируют утечку данных) и пассивными (обнаруживают утечку данных и высылают оповещение об инциденте). В настоящее время акцентируется внимание на активных DLP-системах, основная задача которых — предотвращение утечки данных в режиме реального времени, а не выявление ее постфактум. Для таких DLP-систем можно при желании настроить режим мониторинга, позволяющий не вмешиваться в бизнес-процессы и направлять сообщение об инциденте специалисту по безопасности. Во-вторых, DLP-системы могут решать ряд дополнительных задач, связанных с контролем действий сотрудников, их рабочего времени и использования корпоративных ресурсов.

Весомый плюс DLP-систем заключается в том, что они позволяют сохранять непрерывность бизнес-процессов, практически не влияя на работу конечных пользователей. Благодаря всем вышеперечисленным возможностям DLP-системы в настоящий момент — одно из самых востребованных решений для обеспечения информационной безопасности бизнеса.

Правильное внедрение и настройка DLP-системы — отдельный сложный вопрос. Здесь невозможно обойтись без грамотного консалтинга. Высококвалифицированные специалисты компании «Инфозащита» помогут с выбором решения, соответствующего специфике Вашего предприятия.

Современный рынок DLP — один из самых быстрорастущих, что ярко демонстрирует высокий спрос на подобные системы защиты. Разработчики DLP-решений постоянно развивают и совершенствуют новые эффективные технологии для борьбы с утечками данных.

Компания «Инфозащита» готова предложить Вам широкий выбор передовых решений ведущих разработчиков для защиты от внутренних угроз.

Очень многие организации проводили исследования в сфере внутренних утечек. Наиболее крупные и известные - исследования Uncertainty of Data Breach Detection, проведенного Ponemon Institute ; исследования западных аналитиков: CSI/FBI Computer Crime and Security Survey . Таблица 1 иллюстрирует одно из таких исследований.

Табл. 1. Самые опасные угрозы ИБ по совокупному ущербу в долларах

Угрозы	Ущерб (в долларах)


Кража ноутбуков
Утечка информации
Отказ в обслуживании
Финансовое мошенничество
Злоупотребление сетью или почтовыми инсайдерами
Телеком-мошенничество
Зомби-сети в организации
Взлом системы извне
Фишинг (от лица организации)
Злоупотребление беспроводной сетью
Злоупотребление интернет-пейджерами инсайдерами
Злоупотребление публичными веб-приложениями
Саботаж данных и сетей

Можно добавить только, что в комментариях по объему ущерба аналитики FBI и Института компьютерной безопасности скептически относятся к тому, что респонденты смогли более или менее точно определить объем убытков в связи с утечкой персональных данных или коммерческих секретов. Такие инциденты имеют множество долгосрочных отрицательных последствий. Например, ухудшение общественного мнения, снижение репутации и сокращение клиентской базы. Все это происходит постепенно и занимает недели и месяцы. А для выявления убытков в виде недополученной вследствие утечки прибыли требуется как минимум год. Так что внутренняя структура финансовых потерь из-за угроз ИБ не поддается точному определению.

В целом защита информации в организациях включает в себя :

· совокупность компьютеров, связанных между собой в сеть;

· обмен конфиденциальной информацией внутри сети в строгом соответствии с допустимыми логическими связями

· интегрированная многоуровневая защита от несанкционированного доступа и внешнего воздействия

· жесткое централизованное задание структуры логических связей и разграничение доступа внутри сети

· независимость логической структуры сети от типов каналов передачи информации.

· сохранение или обработка конфиденциальной информации в системе, не предназначенной для этого;

· другие нарушения правил и процедур внутренней безопасности сети.

Существует несколько путей утечки конфиденциальной информации:

o почтовый сервер (электронная почта);

o веб-сервер (открытые почтовые системы);

o принтер (печать документов);

o FDD, CD, USB drive (копирование на носители).

Прежде чем переходить к аналитическим выкладкам, необходимо ответить на вопрос, что же все-таки называется внутренней угрозой. Важность этого определения усиливается еще и тем, что саботаж -- лишь часть внутренних угроз, следует различать саботажников и, например, инсайдеров, «сливающих» конфиденциальную информацию конкурентам.

Корпоративный саботаж -- это вредительские по отношению к компании действия, совершенные инсайдерами в силу уязвленного самолюбия, желания отомстить, ярости и любых других эмоциональных причин. Заметим, что под емким термином «инсайдер» понимаются бывшие и нынешние сотрудники предприятия, а также служащие-контрактники.

Исследование Секретной службы США установило, что в 98% случаев диверсантом является мужчина. Однако эти мотивы представляют собой следствия более ранних событий, которые вывели служащего из равновесия (Табл. 2). По сведениям аналитиков, в большинстве случаев саботажу предшествует неприятный инцидент на работе или серия таких инцидентов.

Табл. 2 События, предшествующие саботажу

Источник СЕRT

Табл. 3 Портрет типичного саботажника

Источник СЕRT

«Я работал в средней по величине компании, занимающейся разработкой программного обеспечения. При доступе к основным серверам у меня были привилегии администратора. Только чтобы размять свой ум, я обдумывал, как можно использовать этот доступ злонамеренно, и разработал следующий план. Во-первых, взломать систему резервного копирования... Во-вторых, подождать год или дольше. В-третьих, стереть всю информацию на серверах, включая взломанное программное обеспечение для шифрования/дешифрования резервных данных. Таким образом, у предприятия останутся лишь зашифрованные резервные копии (без ключа). В-четвертых, предложить компании купить ключи, которые удалось получить еще на первом шаге. Если фирма откажется, то потеряет годы своей работы. Это, конечно, всего лишь гипотетический план. Я не пытался претворить его в жизнь, поэтому не знаю, сработал бы он или нет…», -- Филиэс Купио (Filias Cupio). «Большинство специалистов по информационным технологиям, которых я знаю, даже еще начинающие ребята, сразу же при вступлении в должность первым делом устанавливают программу скрытого управления (rootkit) в корпоративную систему. Это рефлекс. Ребята не хотят никому навредить и не строят вредоносных планов, им просто нужен надежный доступ к системе, чтобы можно было спокойно работать из дома или колледжа», -- Бен.

Глубокая психологическая подоплека акта саботажа часто приводит к тому, что рассерженный служащий угрожает начальству или сослуживцам. Иногда он даже делится своими мыслями с кем-то из коллег. Другими словами, информация о готовящейся диверсии есть не только у саботажника. Аналитики подсчитали, что в 31% случаев сведениями о планах диверсанта располагают другие люди. Из них 64% -- коллеги, 21% -- друзья, 14% -- члены семьи, а еще 14% --сообщники.

В 47% случаев диверсанты совершают подготовительные действия (например крадут резервные копии конфиденциальных данных). В 27% -- конструируют и проверяют механизм атаки (готовят логическую бомбу в корпоративной сети, дополнительные скрытые входы в систему и т. д). При этом в 37% случаев активность сотрудников можно заметить: из этого количества 67% подготовительных действий заметны в режиме online, 11% -- offline, 22% -- обоих сразу.