На главную Поиск Контакты
АТМОСФЕРА ДЛЯ РОЖДЕНИЯ НОВЫХ ИДЕЙ

Рассылка
новости
публикации
УК рекомендует
анонс номера
 

Публикации
24.06.2008
просмотров: 4171
комментариев: 1

Как защититься от инсайдеров







Ни для кого не секрет, что информация сейчас занимает первое место в конкурентной борьбе и соответственно утечка информации за пределы компании может нанести непоправимый ущерб репутации и финансовому положению организации. В связи с этим сейчас ведутся активные споры насчет реализации политики информационной безопасности в компаниях, а также обсуждаются проблемы инсайдерства. Пока же ясно одно - для того, чтобы защищать информацию, нужно контролировать потоки ее передачи и способы использования.


Проблема защиты информации от инсайдерских угроз сейчас стоит очень остро. За последнее время обсуждение этого явления идет активнее, чем полемика по вопросам антивирусной защиты, хакерских атак или спама. Проходит огромное количество конференций, посвященных этой проблеме, эксперты в области информационной безопасности спорят, какой из способов защиты информации от инсайдеров надежнее - аппаратный или программный. Но все мнения сходятся в одном: для того, чтобы защищать коммерчески важную информацию, необходим контроль. Этот контроль может выражаться в ограничении прав доступа различных групп пользователей к документам и приложениям, а также в построении эффективной системы безопасности в компании. Некоторые эксперты отмечают, что в настоящее время одной из проблем при реализации стратегии информационной безопасности в компании является то, что далеко не всегда можно провести грань между тайной личной жизни сотрудника и его служебными обязанностями.

Что такое инсайдерство

Чаще всего под инсайдерами понимаются люди, которые знают ситуацию в компании непонаслышке, они не только ознакомлены с фактами и деятельностью организации, но и в курсе повседневной работы и отношений людей в определенной группе. Опредение инсайдера может носить как позитивный, так и нейтральный и даже негативный смысловой оттенок. Например, термин инсайдерство воспринимается негативно, т.к. под этим словом понимается нелегальный вынос коммерчески важной информации за пределы компании или раскрытие секретной информации с целью продажи, порчи репутации компании или это может произойти неумышленно из-за банальной халатности персонала.

Инсайдерство достаточно распронено на Западе и в США, не избежали подобной участи и российские компании. В то же время, согласно статистике, лишь каждая десятая компания внедряет систему защиты от утечек информации. И при этом не редкость те случаи, когда увольняясь, например, менеджер по продажам уносит с собой часть базы данных клиентов, а то и всю, к которой он имеел доступ. Тем же способом может быть вынесена и маркетинговая информация, аналитика и прочее. Впоследствии для компании это может грозить потерей постоянного клиента, финансовыми убытками или того хуже - ухудшением репутации, а и ногда и крахом компании. Конечно же, не каждый случай инсайдерства приводит к подобным результатам. Но как минимум вынесенная информация сыграет наруку той компании или ее представителю, у которого окажется. Ведь особо ценнятся сейлзы с собственной базой клиентов и маркетологи из конкурирующих компаний.

По результатам целого ряда исследований, примерно 66 процентов утечек конфиденциальной информации приходится на частные предприятия. Остальные 44 процента принадлежат государственному сектору. Для этих 66 процентов компаний информация и умение её использовать является важной частью конкурентоспособности. И именно по ней в первую очередь ударяет инсайдерство.

В качестве причин утечки информации из компании называют халатность сотрудников, кражу данных с целью продажи, саботаж, искажение информации, нарушение ее конфиденциальности. Сотрудники компании имеют доступ к информации, размещенной в корпоративной сети или в корпоративных базах данных. Соответственно при желании они могут воспользоваться этой информацией и переписать ее на любой носитель или переслать по электронной почте.

Особенно от инсайдерства страдают банковские и финансовые структуры, где объектами утечки информации могут быть персональные данные или данные о счетах, кредитные истории, информация о ситуациях, которые могут повлиять на стоимость ценных бумаг на фондовом рынке. Основываясь на данные исследований, можно утверждать, что каждая утечка персональных данных оборачивается миллионными убытками (в долларах). Помимо финансового ущерба, непоправимо ухудшается имидж и надежность к такой компании, под угрозой кражи персональных данных оказываются сотни тысяч людей. Например, известен случай в западной практике, когда на несколько дней по халатности сотрудников в интернете в общем доступе оказались персональные данные и номера кредитных карт клиентов крупного банка. Тогда эта история вызвала серию активных обсуждений по теме информационной безопасности, инсайдерства и защите персональных данных. Особенное влияние на ухудшение ситуации вокруг компании оказало то, что клиентов, чьи данные были опубликованы в общем доступе, никто не предупредил, они узнали о промахе сотрудников их банка из прессы. Это, конечно, вопрос в том числе управления. Но ведь этой ситуации можно было бы избежать, если бы использовалась система защиты программного обеспечения в корпоративной сети.

Можно привести массу примеров, когда умышленно секретная информация передавалась сторонним лицам. В США в 2006 году сотрудник крупной компании продал базу электронных адресов клиентов (92 миллиона) спамерам за 28 тысяч долларов. Действия инсайдера привели не только к финансовому ущербу, но и нанесли существенный вред имиджу компании, так как организация показала свою несостоятельность в вопросах защиты персональных данных своих клиентов. В России же одним из самых громких примеров инсайдерских действий можно назвать последний случай, когда в двадцатых числах марта 2008 года в интернете появился сайт www.radarix.com, на котором были размещены данные миллионов жителей России и Украины. При поиске по имени человека можно было узнать сведения о судимости, приводах человека в милицию, а также паспортные данные, адреса, телефоны, информацию из налоговых служб, номерные знаки автомобиля и многое другое. Это был первый случай размещения настолько крупной объединенной базы с персональными данными в интернете.

Участившиеся случаи инсайдерства в России и за рубежом доказывают, что теперь нужно беспокоиться не только о защите от угроз, исходящих извне, из интернета, но и защищать секретную информацию от недобросовестных сотрудников собственной компании. В зависимости от потребностей, способа организации работы в компании и/или корпоративной сети, можно выбрать программные или аппаратные средства защиты информации, а также применять особый режим политики безопасности организации.

Контроль за программным обесепечением как эффективный способ борьбы с инсайдерами

В современном мире вопрос информационной безопасности автоматически становится равен вопросу финансовой благополучия и сохранения репутации. Поскольку работа компаний так или иначе связана с персональными данными или с информацией, которая влияет на финансовую жизнь компании, защита данных клиентов и защита доступа к документам необходима не только как неотъемлемая часть безопасности компании, но и как дополнение к PR и маркетинговой политики компании. Ведь безопасность информации в компании позитивно влияет на имидж организации, а также является дополнительным конкурентным преимуществом, особенно в финансовой сфере, где клиенту важно чувствовать, что информация, которую он предоставляет банку (о собственности, доходах и пр.), не выйдет за пределы банка.

В первую очередь для борьбы с инсайдерством в компании необходимо наладить четкую систему контроля и аудита за использованием тех или иных документов в работе сотрудников. Для этого нужно использовать специальные настройки программного обеспечения для ограничения доступа группам пользователей к отдельным частям корпоративной сети и к документам. Для различных сотрудников компании дожны быть соизмеримые с их задачами стандарты политики безопасности. Так, в некоторых компаниях реализовано такое решение при работе с корпоративными приложениями: ограничен доступ к внутренним ресурсам и происходит ограничение функционала при работе с приложениями. Например, есть документы, которые пользователь может только просматривать, но не может изменять или печатать. Кроме того, может быть установлено ограничение на время работы с документом (например, не более 8 часов в день или 1 часа непрерывно), или ограничение на количество запусков приложения. Есть несколько подобных решений, которые могут помочь осуществить защиту информации от инсайдеров в рамках корпоративной сети.

В настоящее время существует широкий рынок аппаратных средств защиты информации в виде электронных ключей и смарт-карт. Эта защита сводится как к аутентификации пользователей, так и защите приложений и конкретных документов. Так же как и у софтверного способа защиты, у аппаратных решений есть преимущества и недостатки, есть ярые поклонники и противники. Среди преимуществ можно отметить надежность защиты, среди минусов - то, что человек вынужден иметь на руках физическое устройство, а любой сотрудник не застрахован от потери этого устройства, кражи или эмуляции. Софтверные решения позволяют снять с человека эту нагрузку. Кроме того, использование аппаратной защиты нецелесообразно при выпуске небольших партий программного обеспечения. Софтверный способ отличает также быстрота защиты и выпуска продуктов, а также простота использования. При этом не возникает проблем с логистикой, легко выпускать обновления или перезащищаться.

Говоря о софтверном способе защиты информации и документов от компании StarForce - можно выделить защиту приложений, предназначенных для корпоративного использования в локальных сетях компании, - StarForce Corporative. Этот продукт имеет ряд преимуществ, из которых особо можно выделить возможность ограничения периода использования и максимального количества одновременно запущенных защищенных приложений. Если даже пользователю удастся переписать данные на съемный носитель, он их не сможет посмотреть, использовать или дописать. Кроме того, использование этой защиты позволяет отслеживать действия каждого конкретного пользователя, работающего в программе, а также получать отчеты по всем операциям сотрудников компании при работе с приложениями и данными.

Защита электронных документов как дополнительное решение

Еще одним способом решения проблемы с инсайдерством является защита каждого секретного документа (в большинстве случаев это возможно, если документ уже закончен и не должен подвергаться изменениям, иначе остается только ограничение доступа). Осуществить это решение можно следующим образом. Во-первых, можно делать документы неотделимыми от программ их просмотра, которые в свою очередь привязываются к компьютеру. По этому пути идут, например, компании StarForce и Adobe. В этом случае программа просмотра активируется на конкретных компьютерах (например, в бухгалтерии), а документы защищаются таким образом, что их можно просмотреть только в программах, установленных именно для этих целей именно на этом компьютере. В случае с компанией StarForce речь идет о продукте для защиты электронных документов - StarForce Content. Это решение предназначено для защиты документов от несанкционированного открытия, копирования и распространения. С помощью этого решения можно ограничивать число рабочих мест, на которых можно просматривать защищенный файл. Кроме того, существует возможность защитить документ, который будет отправлен из организации по электронной почте или на каком-либо носителе. При этом открыть его и прочитать сможет только адресат, имея определенный серийный номер и специальную программу-просмотрщик. В этом продукте реализована система отчетов, в которой можно посмотреть, на каком компьютере, сколько раз и когда открывался документ.

Еще один популярный способ обеспечения защиты от инсайдеров - применение в работе методов поведенческого анализа, которые используются различными производителями. В этом случае на компьютеры сотрудников устанавливаются специальные программные модули, например, Safe'n'Sec (известное решение от компании S.N.Safe&Software), которые блокируют доступ к файлам любых программ, кроме разрешенных. В этом случае уже невозможно, например, приаттачить документ к электронному письму или запустить то или иное приложение без разрешения.

Конечно, нельзя забывать и о других опасностях выноса информации из компании: распечатки документов, фотоснимки, а также устный пересказ содержания документа в беседе. Но если с техническими способами передачи информации можно справиться с помощью опять же технических средств, то фактор вербального общения никак не изменить. Ставить ментальные блоки мы пока не научились... Поэтому проблему инсайдерства можно и нужно решать комплексными мерами, привлекая HR и маркетинговые службы, которые создают и поддерживают корпоративную культуру. Только комплексом компетенций может быть достигнут синергетический эффект безопасности и процветания компании.

Источник: Инфобизнес

Оценить статью
 
Сергей
18.08.2012, 00:38
Хороший сайт про инсайдеров insideinform.ru


 
Оставить комментарий
Имя:
Комментарий:

Последние статьи

Ваш логин

Пароль

Регистрация