Почему российский ИТ-сектор ужесточит требования к информационной безопасности

Чаще всего злоумышленников интересуют клиентские данные: персональные данные клиентов, данные об их сделках и иная чувствительная информация, далее располагаются переписка, документы, данные о продуктах (например, исходные коды ПО). Такую информацию можно продать конкурентам. Иногда базы данных клиентов или сотрудников утекают в даркнет, где их находят спамеры и мошенники, действующие с использованием механизмов социальной инженерии.

К основным причинам утечки конфиденциальной информации в крупных компаниях, и, в частности, в ИТ-сфере, можно отнести две. Первая – работа хакерских групп, в том числе, с поддержкой правительств недружественных государств. Как правило, целевым образом хакеры стремятся взломать крупный бизнес. Базы таких компаний можно либо дорого продать, либо сделать из утечки инфоповод и серьезно подорвать репутацию жертвы. Вторая, наиболее распространенная причина утечек – это действия сотрудников организаций. Часто – действия не злонамеренные, обусловленные банальной невнимательностью – бездумно прошел по ссылке, не рассмотрел адрес в переписке и отправил конфиденциальные данные злоумышленнику вместо партнера.

Все чаще сотрудники работают удаленно с мобильных устройств – а ноутбук или телефон легко украсть или потерять. В ИТ-компаниях удаленно сейчас работают даже те сотрудники, которые имеют доступ к особо чувствительным данным клиентов – разработчики, юристы, клиентская поддержка.

Одна из самых частых причин потери информации – отправка писем с рабочих на личные ящики, чтобы поработать из дома, или копирование рабочих баз данных на личный обменник перед увольнением. Даже если у сотрудника не было злого умысла, стоит понимать, что домашние сети всегда защищены хуже, чем корпоративные, и хакеры могут легко получить к ним доступ.

В большинстве случаев сложно назвать действия умышленными с целью принести вред организации, хотя и процент злонамеренных действий также является значимым и черный рынок продажи информации вполне развит.

Арсенал средств, используемых для защиты от утечек информации, на мировом рынке довольно обширен. В качестве основных инструментов противодействия утечек стоит рассматривать:

1. системы класса DLP/DLD, цель которых выявлять попытки передачи информации на сторону с использованием всех возможных электонных каналов утечки (почта, файловые хранилища, мессенджеры и пр.);

2. системы класса IRM – которые позволяют маркировать конфиденциальные данные и передавать их строго в шифрованном виде;

3. cистемы архивации электронных почтовых сообщений;

4. системы управления мобильными девайсами (MDM) – решения, которые позволяют централизованно управлять мобильными телефонами, планшетами, ноутбуками, которые используются в рабочих целях.

Отдельно стоит отметить обеспечение сотрудниками средств безопасной передачи данных между собой и контрагентами – это так называемые комнаты данных, корпоративные системы обмена данными.

Также крупные компании внедряют системы обучения и повышения осведомленности по вопросам информационной безопасности – в большинстве случаев сотрудники просто могут не знать, что можно отправлять, а что нет и как обеспечить безопасную передачу данных.

Средства контроля (1,2,3) используются как правило сотрудниками отделов информационной безопасности. Средства безопасной передачи данных и обучения могут использовать любые сотрудники организации.

Западные компании активно внедряют эти инструменты. В частности, MDM у себя используют крупнейшие мировые гиганты вроде Microsoft или Apple, а компания NVIDIA недавно применяла этот инструмент для удаления «слитой» хакерами информации.

В России рынок технологий для защиты от утечек вполне сформирован, существуют как простые и дешевые решения для среднего бизнеса, так и сложные решения. При этом, до недавнего времени общая обеспокоенность защитой от утечек в российском ИТ бизнесе была ниже, чем в компания Запада. Прежде всего это обусловлено мнением о незначительности последствий для представителей бизнеса. Однако, тренд на внедрение современных средств защиты давно очевиден, и сегодня мы находимся практически на одном уровне с другими странами. Некоторые крупные ИТ-компании внедряют технические средства защиты по собственному желанию, некоторые по требованию законодательства о защите персональных данных или 187-ФЗ «О защите критической информационной инфраструктуры».

Этично ли это по отношению к сотрудникам? Да: во-первых, системы устанавливаются на оборудование, принадлежащее компании, которое должно использоваться строго в рабочих целях. С технической точки зрения, задача большинства указанных систем - выявлять и предупреждать попытки отправки конфиденциальной информации. Цели следить за всеми сотрудниками и их действиями нет, более того – это энергозатратно и требует много ресурсов.

В случае же расследования сложно инцидента безопасности, некоторые из средств DLP могут иметь возможность вести полную запись рабочего стола сотрудника, что может помочь в выявлении серьезных утечек.