Карта сайта Центра информационных коммуникацийНа главную Центра информационных коммуникаций - российского портала о медиабизнесе, прессе, ТВ, книгоиздании и индустрии МЕДИАНаписать письмо в Центр информационных коммуникаций

Главная / Пресса /

25.08.2008

Компании теряют огромные средства на кражах конфиденциальной информации - корпоративные средства защиты мало эффективны перед человеческой хитростью

Ц.И.К.: Главный канал утечки информации в компаниях – не дыры в системе безопасности, а электронная почта, пишет РБК daily. Все это тесно завязано на человеческий фактор. При желании «вынести» информацию за корпоративные границы, не обязательно пользоваться даже электронной почтой.

Текст:

Западные аналитики называют электронную почту главной угрозой информационной безопасности компаний. Сегодня практически все компании оснащены качественной и эффективной защитой корпоративной информации от внешней угрозы, будь то спам или хакерская атака. На нее не жалеют средств и людей.

На территории некоторых компаний работникам не разрешают пользоваться мобильными телефонами, но при этом смотрят сквозь пальцы на интернет–переписку с внешним миром.

При этом мало кто знает, что, возможно, еще большая опасность исходит от своих же сотрудников, а главный канал утечки конфиденциальных данных – не брешь в системе безопасности, а обычная электронная почта. Именно к таким выводам пришли аналитики компании Mimecast, недавно опубликовавшие отчет, согласно которому именно на электронную почту приходится около 65% информационного слива.

Около 94% опрошенных компаний полностью бессильны в борьбе с утечкой информации через электронную почту. И только 6% обладают необходимыми системами безопасности, которые могут ее предотвратить. При этом респонденты не скрывают, что в большинстве случаев такая утечка может привести к серьезным последствиям для интересов корпорации.

«Об инсайдерской, или внутренней, опасности заговорили всего пару лет назад, – рассказал генеральный директор компании SecurIT Алексей Раевский. – А уже в 2007 году, по оценкам западных ИТ-экспертов, она заняла первое место в списке компьютерных угроз, которые могут привести к утечке корпоративных данных. Впрочем, для многих эта проблема так и осталась неосвоенной. К примеру, в подавляющем большинстве организаций даже не прописаны расходы на защиту той же электронной почты от нецелевого ее использования сотрудниками. Смешно, но факт – на территории некоторых компаний работникам не разрешают пользоваться мобильными телефонами, но при этом смотрят сквозь пальцы на интернет–переписку с внешним миром. Хотя, казалось бы, ничего не мешает прописать внутренний регламент пользования служебной электронной техникой и корпоративными ресурсами. И таким образом сократить риск поделиться своей важной информацией с конкурентами».

Между тем, именно электронная почта привела к крупной утечке персональных данных сотрудников Департамента по делам потребителей штата Калифорния (США) в июне 2008 года. Документ, оказавшийся за пределами департамента, содержал имена, номера социального страхования, сведения о должностях и зарплатах работников. А в мае персональная информация 192 членов и сотрудников Агротехнического института Университета штата Огайо была по ошибке отправлена на почтовые ящики 680 студентов этого заведения.

Однако 32% опрошенных аналитиками Mimecast компаний вообще не считают электронную почту серьезной угрозой утечки данных, чтобы предпринимать какие-то меры предосторожности. В то же время 62% признались, что в состоянии определить слив корпоративной информации через e-mail, однако признались, что не смогут предотвратить повторение этого в будущем. «Цифры меня не удивляют – большинство сотрудников отсылают данные не по злому умыслу, а из-за беспечности или недостатка предусмотрительности. Так что полностью избежать каких-то ошибок просто невозможно», – заключает аналитик по безопасности Боб Тарзи.

Специальные программы, словари-фильтры, не говоря уже о дополнительном штате сотрудников, который следил бы за этой внутренней системой защиты, – все это может влететь в копеечку.

«Электронную почту проще всего проконтролировать технически, – прокомментировала ситуацию PR-менеджер компании InfoWatch Ольга Горшкова. – Из всех каналов это единственный, не требующий онлайнового анализа. Отправляемая и получаемая корреспонденция может несколько минут полежать в очереди, дожидаясь окончания проверок. Ни для http-трафика, ни для распечаток на прин­тере минутные задержки неприемлемы. Перехваченные данные проходят многоуровневую фильтрацию. В зависимости от результата анализа и настроек задержанные данные можно запретить к пересылке или поместить в карантин. Сведения же об этом перенаправляются на рабочее место офицера информационной безопасности».

Специальные программы, словари-фильтры, вычисляющие значимую информацию, не говоря уже о дополнительном штате сотрудников, который следил бы за этой внутренней системой защиты, – все это может влететь в копеечку и, вполне возможно, окажется совершенно бесполезным, считают эксперты. «Здесь мы сталкиваемся не с технической проблемой, а с человеческим фактором, – пояснил аналитик систем информационной безопасности компании «Информзащита» Михаил Савельев. – И методы борьбы с данной проблемой должны быть соответствующими. К примеру, если речь идет о некомпетентности сотрудников, их надо воспитывать и обучать. Однако электронная почта далеко не единственный канал, с помощью которого можно сбросить данные. Форумы, чаты, социальные сети могут играть роль такой же дыры. А ноутбуки, флэш-карты, CD и DVD-диски представляют, пожалуй, гораздо более серьезную опасность, чем электронные письма».

Если же говорить в целом об инсайдер­ской угрозе, то специалисты советуют компаниям предпринимать комплексные методы защиты. «Сюда должны относиться как административные и организационные меры, так и технологические, включающие установку специального программного обеспечения, – пояснил менеджер информационной безопасности «Рамблер Медиа» Иван Поплавский. – Сотрудники имеют право знать только то, что им необходимо для эффективной работы. Имеющие же доступ к важным данным должны быть предупреждены о том, что не имеют права их разглашать. Для защиты корпоративной информации необходимо использовать шифрование, регулярно устанавливать обновления безопасности, проводить регулярно аудит безопасности и другие меры. Впрочем, даже при этом гарантии сохранения данных в пределах фирмы или корпорации никто из специалистов не даст».

В начало

Обсудить на форуме Центра информационных коммуникаций