Инсайдеры стали опаснее вирусов и хакеров

Вирусы и хакеры давно считаются серьезной опасностью для информационной безопасности. Средств защиты от этих напастей выпущено немало. Здесь и специализированное программное обеспечение, и обучение пользователей, с целью повысить их компьютерную грамотность, что должно снизить риск проникновения на корпоративные компьютеры всяческой заразы. Но с некоторых пор появилась еще одна существенная угроза для безопасности, которая особенно опасна в условиях текущего экономического кризиса. Речь идет об инсайдерах.

Собственно, кто такие эти инсайдеры? Это люди, работающие в компании (или на нее, если речь идет о фрилансерах), которые могут распространять конфиденциальную информацию. В условиях кризиса инсайдеры особенно опасны, так как по всему миру идут массовые увольнения. Не исключено, что какой-нибудь обидевшийся на своего бывшего работодателя сотрудник решит раскрыть конфиденциальную информацию, или продать ее конкурентам.

Так, недавно компания Secure Computing провела опрос примерно сотни ИТ-директоров из Европы, в ходе которого получила достаточно интересные сведения:

- 80% директоров участвовавших в опросе полагают, что проблемы с инсайдерами являются самыми важными для них;

- 17% посчитали угрозу от хакеров приоритетной;

В прошлом году инсайдеры уже стали проблемой примерно для 37% компаний Великобритании. При этом Secure Computing отмечает, что далеко не всегда информация раскрывается умышленно. Часто речь идет о досадных ошибках персонала. Но руководству от этого не легче. Естественно, компании стараются принимать определенные меры, которые могли бы обезопасить их от столь неприятных сотрудников. К таким мерам относят усовершенствование организации работы с конфиденциальными данными, когда доступ к ним имеет только ограниченный персонал. При этом различные программные средства могут вести учет этого самого доступа, контролируя действия пользователей.

В целом, аналитики говорят, что технически компании могут обезопасить себя лишь отчасти. Главная проблема заключается в человеческом факторе. Все-таки, контроль не должен мешать сотрудникам работать. Они всегда имеют доступ к определенной информации, которую могут распространить. Поэтому главным является скорее работа с персоналом, в ходе которой нужно добиться от сотрудников честности в этом плане. Это самое сложное.

Если говорить про аутсорсинг, то здесь многие предприятия всегда обговаривают пункт договора, согласно которому  фрилансеры не имеют права передавать информацию сторонним источникам. В противном случае к ним можно будет предъявить юридические претензии.

Недавно исследовательская компания «Эрнст энд Янг» провела достаточно интересный опрос, в котором были задействованы респонденты из 50 стран мира. Хотя сейчас все компании уже столкнулись с последствиями экономического кризиса, сокращать свои расходы, связанные с ИТ-безопасностью они не намерены. 50% опрошенных даже готовы к тому, чтобы увеличить эти расходы. Они понимают, что в это непростое время им придется столкнуться с сокращениями штата, а значит, будет много недовольных сотрудников, которые таят в себе потенциальную угрозу. Правда, при этом 5% компаний отметили, что сократят и расходы на информационную безопасность. Но это не показатель.

Если говорить о проблемах, которые могут принести инсайдеры, то тут их несколько. По данным «Эрнст энд Янг» большинство руководителей считает, что данные «Буратино», сующие свой нос, куда не следует, скорее могут нанести компании репутационный ущерб, нежели финансовый.

Правда, я наткнулся на одно исследование (компания Perimetrix), в котором представлены данные, согласно которым раскрытие примерно 20% корпоративных секретов приводит в 60%-ах случаев к банкротству фирм.

«Эрнст энд Янг» тоже не отрицает возможные финансовые потери от действий инсайдеров. По опросу компании 72% респондентов полагают, что инсайдеры могут нанести финансовый ущерб компании. Но он ниже репутационного.

В принципе инсайдеры сегодня угрожают практически любой компании, но больше всего достается различным финансовым учреждениям. Так, в 2007 году произошел громкий скандал, связанный с банком LGT из Лихтенштейна. Сотрудник компании по имени Хайнрих Кибер продал базу данных банка спецслужбам Великобритании и Германии. С этой сделки Хайнрих выручил 6,5 миллионов долларов. А вот банк LGT и Лихтенштейн получили массу проблем. Оказалось, что в LGT держат свои сбережения многие немцы и англичане, уклоняющиеся от налогов. Им серьезно досталось, а банк в одночасье лишился большого количества ценных клиентов. Надо ли говорить, что пострадал после этого скандала и имидж Лихтенштейна. Основой экономики этой страны являются финансовые организации. Теперь их репутация серьезно подмочена.

Конечно, инсайдеры не скупятся продавать и техническую информацию, данные по различным ноу-хау, и многое другое. Есть случаи, когда они несколько мешают маркетингу компании. Так, американский производитель компьютеров и некоторых других гаджетов, компания Apple, уже несколько раз за последние пару лет сталкивалась с тем, что о ее новинке знала и пресса, и интернет-общественность еще до презентации. Это серьезно понижало эффект неожиданности, которым пользуются в Купертино при представлении новых продуктов. В этом году компания Стива Джобса даже потребовала закрыть один из самых популярных сайтов по инсайдам из мира Apple – ThinkSecret.com. Огромная корпорация сумела выйти победителем из суда. Учитывая, что владельцем сайта был студент.

Если говорить о способах передачи данных инсайдерами, то тут в дело вступает все, начиная от простой электронной почты, и заканчивая копированием данных на usb-флэш. Например, в компании Agilent Technologies, занимающейся производством измерительного оборудования инсайдер просто вынес корпоративный ноутбук, на котором присутствовала конфиденциальная информация о 51 тысячи человек, включая номера социального страхования и количество акций, которыми владели эти люди. Очевидно, что с такими утечками можно эффективно бороться технически.

Сложнее с халатностью некоторых сотрудников. За последние годы в прессу просачивалась масса информации о том, как люди выкидывали важные документы в мусорный ящик, выкладывали данные в сеть или просто теряли флэшку, на которой присутствовала база данных всех сотрудников с их личными данными. Халатность – это проблема, которую можно решить, работая с людьми, и совершенствуя техническую составляющую.

С целенаправленным воровством все гораздо сложнее. Особенно, если инициатором является главный системный администратор. Этот человек обычно управляет всей технической инфраструктурой компании. Именно он занимается обеспечением безопасности. Естественно, у администратора есть доступ ко всем данным. И это серьезная угроза.

Заключение

По данным Perimetrix наиболее подвержены утечкам конфиденциальной информации три отрасли: финансы, образование и медицина. Но другие сферы страдают от инсайдеров не намного меньше. Универсального способа борьбы против этих людей нет. Есть лишь рекомендации. Необходимо тщательно продумать ИТ-инфраструктуру компании, приобрести различные средства защиты, организовать работу сотрудников компании так, чтобы они не шли на подобные сомнительные ходы. Это самое сложное – работа с людьми. И если не уделять этому времени, то последствия могут оказаться плачевными…