Стратегия безопасности для Web 2.0

За последние годы Web 2.0 изменил порядок доступа людей к данным и обмена ими. Сейчас практически невозможно найти государственное или частное предприятие, которое не использовало бы функции Web 2.0 при решении разнообразных задач и организации процессов.

Хотя имеются различные определения, в общем виде под Web 2.0 понимается интерактивное и расширенное использование компьютинга. Такие инструменты ускоряют совместное использование информации и коллективную работу за счет более гладкого объединения компьютеров и данных.

Сайты социальных сетей, блоги, вики, сайты для коллективного просмотра видео, хостовые сервисы, веб- и композитные приложения, “народная классификация” (folksonomy) — вот лишь некоторые примеры возможностей Web 2.0. Облачные вычисления также включают функции Web 2.0, распределяя данные между различными устройствами и объединяя их вновь. Например, сервисы резервного копирования и организации коллективного доступа, такие как Dropbox и Apple Mobile Me, предоставляют возможности для хранения и извлечения данных с использованием различных устройств, включая настольные ПК, ноутбуки и смартфоны. А Google Apps и Salesforce.com обладают такими функциями, которые отсутствуют в традиционных компьютерных средах.

Несмотря на все преимущества Web 2.0, при использовании этой технологии приходится нести издержки, не зависящие от стоимости систем и ПО. Издержки эти связаны с серьезными проблемами при обеспечении безопасности. С одной стороны, ИТ-подразделения должны контролировать сложное переплетение взаимосвязанных серверов (иногда обслуживающих несколько организаций или подразделений) и пытаться понять, какими путями движутся потоки данных. С другой, практически нет способа внедрить стандарты или использовать набор согласованных друг с другом приложений для защиты серверов и организаций. Наконец, совершенно очевидно, что применяемые для Web 2.0 языки программирования, такие как AJAX, позволяют легко создавать эксплойты.

“С точки зрения безопасности Web 2.0 представляет собой большую банку с червями, — говорит генеральный директор консалтинговой компании по вопросам безопасности Safelight Security Advisors Роб Чейни. — Это по определению открытая и имеющая массу подключений среда. Системы и сервисы работают постоянно и всегда доступны. Вместо того чтобы держать людей подальше от нее, вы хотите, чтобы они приходили и получали доступ к данным. Это полная противоположность традиционной системе безопасности предприятия, которая нацелена на создание закрытой и защищенной среды”.

В последние годы атакам с использованием вредоносного кода подвергались Yahoo! Mail, Gmail, MySpace и Facebook. Абсолютная открытость нынешних вычислительных сред не имеет прецедентов. Сотрудники компаний, их клиенты и бизнес-партнеры используют самые разнообразные устройства, включая смартфоны и другие мобильные средства связи, получая с их помощью интеллектуальную собственность, информацию по кредитным картам, персональные данные, медицинские записи и т. д.

Ключом к успеху является согласование требований безопасности с потребностями бизнеса. Хотя ни одна организация не похожа на другую, отключение доступа к социальным сетям, блогам и вики, ограничение использования разнообразных иных интерактивных сервисов и возможностей, вероятно, окажется контрпродуктивным. “Без многих инструментов сегодняшнего Web 2.0 организация окажется в невыгодном положении”, — поясняет исполнительный директор по практике обеспечения безопасности консалтинговой фирмы Accenture Билл Фелпс.

Согласно компании Gartner, сегодня организации в среднем направляют на обеспечение защиты 3,4% своих ИТ-бюджетов. Ожидается, что в течение 2010 г. эта цифра увеличится до 5,1%, и дальше легче не станет. Поскольку бизнес и данные переплетаются все теснее, а приложения и сервисы Web 2.0, включая вычислительные облака, социальные медиа-, веб-приложения и мобильные устройства, распространяются все шире, риски резко возрастают.

“Все больше внимания уделяется защите сети и всех пересылаемых по ней данных, — констатирует Гари Лавленд, руководитель подразделения консалтинговой компании PricewaterhouseCoopers. — Сегодня стало так трудно обеспечивать безопасность из-за того, что все сложнее установить, где находятся ваши данные и кто имеет к ним доступ. Данные мигрируют, как никогда прежде”.

Прокладывание курса в новом мире

Бесспорно, ориентироваться в вопросах безопасности Web 2.0 сегодня непросто. Нет какого-то единого подхода или общего для всех решения, позволяющего распутать клубок проблем, с которыми сталкиваются предприятия. Поэтому организациям важно разработать целостную стратегию, обзавестись необходимыми инструментами и политиками. Большое значение имеет снижение риска вторжения. Фелпс из Accenture сказал: “Web 2.0 открывает колоссальные возможности, которые бизнес не может упускать, но одновременно требует более надежной защиты, поскольку вызывает резкий всплеск разнообразных угроз и рисков”.

Важно разработать стратегию нейтрализации рисков, связанных с Web 2.0. Одной из проблем, с которыми приходится сталкиваться организациям, является защита данных. Фелпс говорит: “Сегодня имеющая массу входов и выходов вычислительная среда значительно расширяет возможности для кражи данных, что очень привлекает желающих взламывать системы”.

Суть проблемы заключается в том, что граница между работой и личной жизнью стала нечеткой. Когда работники посещают социальные сети, они могут не сознавать, что их сообщения содержат конфиденциальную корпоративную информацию. “Они могут просто не думать об этом, когда посылают свои сообщения, — отмечает Фелпс. — Более того, если у кого-то из членов группы нет необходимых настроек защиты личных сведений, эта информация может оказаться доступной для других”.

Защищенная облачная среда

Защита данных — главная забота банка Huntington National Bank. Эта региональная финансовая организация, имеющая свыше шестисот филиалов и 1300 банкоматов в шести штатах Среднего Запада, хранит непрерывно растущий объем данных в облаке. Для начала она попыталась использовать Salesforce.com в защищенной облачной среде.

“Раньше каждый департамент использовал свои инструменты для поддержки отношений с клиентом, и было трудно наладить управление и обмен данными”, — вспоминает Марк Эдсон, менеджер инфраструктуры в подразделении Enterprise Desktop and Directory Services. Такой бессистемный подход создавал проблемы как для бизнеса, так и для безопасности. “Когда клиенты звонят по вопросу, требующему участия нескольких департаментов, нужно быстро и в защищенном режиме передать данные о нём. Кроме того, мы должны соблюдать требования регуляторов”.

Одна из первоочередных задач Huntington Bank заключалась в том, чтобы избежать передачи паролей провайдеру хостовых сервисов. Поэтому Эдсон приступил к разработке системы однократной аутентификации, которая не требовала регистрации пользователей на сайте провайдера. Для этого необходимо было создать “песочницу” и присвоить пользователям такие имена, которые не потребовали бы от них запоминать еще какие-то регистрационные сведения.

Huntington Bank решил использовать Novell Access Manager, а для авторизации и аутентификации при обмене данными между защищенными доменами применить язык Security Assertion Markup Language (SAML) 2.0. Через три месяца банк получил готовое решение.

Сегодня пользователи регистрируются на внутренней веб-странице банка. Система производит предварительную аутентификацию перед входом в облако. Access Manager и банковский каталог LDAP (Lightweight Directory Access Protocol) генерируют случайную строку длиной не менее 132 разрядов, служащую подтверждением доступа. Публичный и частный ключи пересылаются в Saleforce.com, после чего сотрудник получает доступ.

Создание такой системы потребовало от ИТ-подразделения банка написания нового драйвера, чтобы связать систему управления кадрами и службу каталогов банка с Saleforce.com. “Используемые для аутентификации сведения никогда не пересылаются в облако, — добавляет Эдсон. — Провайдер облака не видит пароль и не хранит его у себя”.

Следовательно, Salesforce.com никак не может получить доступ к каким-либо данным. Более того, система допускает выделение и отзыв ресурсов в реальном времени, переход из одного департамента в другой и изменение имени. Когда сотрудник вносит изменения через систему управления кадрами, та автоматически обновляет каталог LDAP и Access Manager.

“Мы очень серьезно относимся к своим обязанностям хранителя, связанным с защитой данных о пользователях, — говорит Эдсон. — Не желая упускать возможности, которые предоставляет Web 2.0, мы сознаем при этом, что должны обеспечить максимально достижимую безопасность”.

Схемы защиты

Одна из причин, по которой так трудно обеспечить безопасность в Web 2.0, заключается в том, что обычно речь идет о множестве различных приложений и сервисов. Ни одна группа разработчиков или специалистов по безопасности не в силах учесть всё происходящее на предприятии. В результате, говорит Чейни из Safelight, появляется необходимость ограничивать функции приложений и добавлять средства безопасности по мере того, как разработчики создают и вводят в строй новые системы.

Важно также проводить полный цикл тестирования, прежде чем приступать к использованию нового приложения. “Необходимо убедиться в надежности кода, дизайна и архитектуры, а также провести проверку на предмет уязвимостей”, — добавил он.

Цель, по словам Чейна, заключается в том, чтобы определить, какими данными, размещенными в различных системах, в том числе и тех, к которым имеют доступ другие организации, клиенты, бизнес-партнеры и т. д., можно воспользоваться с помощью приложений Web 2.0. Кроме того, важно установить степень секретности данных, определить, кто может иметь к ним доступ и что произойдёт, если данные попадут не в те руки.

Некоммерческая организация Community Options for Families and Youth (COFY), которая помогает семьям и детям, ставшим жертвами насилия или преступления, испытывает острую необходимость в защите данных. Более того, использование облака для хранения документов многократно увеличивает риски.

По закону COFY обязана документировать любые разговоры и прочие контакты со своими клиентами и обеспечивать конфиденциальность информации согласно требованиям закона о защите информации о состоянии здоровья пациентов (Health Insurance Portability and Accountability Act, HIPAA). Инспекторы должны получать и просматривать данные, поступившие из разных мест.

“В прошлом мы шли на риск, пересылая защищенные паролем документы по электронной почте и организуя коллективный доступ к ним с помощью зашифрованных флэш-карт, — вспоминает Рик Квайсенбери, специалист по коррекции поведения, обслуживающий ИТ-системы данной организации. — Это было неэффективно и небезопасно”.

Организации требовался размещенный в облаке файл-сервер, который накапливал бы файлы, поступающие с устройств офлайнового хранения, чтобы все её тридцать с лишним сотрудников могли легко получить доступ к данным. В результате COFY обратилась к провайдеру облачных сервисов Egnyte.

За счет хранения копий данных в облаке и на локальном устройстве сотрудники теперь получают немедленный доступ к данным независимо от того, находятся ли они в офисе или за его пределами. Данные — а это более пятисот новых документов ежемесячно — зашифрованы и защищены паролем.

Система также позволяет докторам создавать, редактировать и сохранять документы непосредственно на сервере, а не на своем ПК или Mac-компьютере. При внесении изменений сразу генерируются уведомления и рассылаются соответствующим сотрудникам по электронной почте или в виде текстовых файлов. Кроме того, работники носят с собой зашифрованные флэш-карты, с помощью которых могут получить защищенный доступ к файлам, когда не имеют возможности подключиться к Интернету.

“Система позволила нам сэкономить деньги и весьма облегчила обеспечение безопасности”, — говорит Квайсенбери.

Всеобъемлющая стратегия

Многие организации подобно Huntington National Bank и COFY сознают ценность управления идентификацией, аутентификации, шифрования и других средств контроля доступа. Однако эти методы представляют собой только часть всесторонней стратегии защиты при использовании Web 2.0, говорит Лавленд из PricewaterhouseCoopers.

Другое важнейшее соображение связано с необходимостью предотвращения потери данных (data loss prevention, DLP), для чего отслеживаются потоки конфиденциальных документов и данных. С помощью мониторинга и ограничения функций конечных точек это позволяет видеть, кто получает доступ к данным и куда они могут поступать.

Для контроля потоков документов, аудио-, видеофайлов и других видов интеллектуальной собственности организации используют также ПО для сбора электронных доказательств (e-discovery) и управления цифровыми правами (digital rights management, DRM). В некоторых случаях эти приложения работают в облаках. Но благодаря созданию контрольного следа и регистрации всех вносимых изменений технология позволяет также отслеживать потоки данных, направляемых в социальные сети и обрабатываемых с помощью других инструментов Web 2.0.

Например, в Roke Manner Research, ведущем центре технических исследований и разработок Великобритании, управление секретной информацией (включая документы и данные клиентов, работающих в области обороны) является острой необходимостью. “Хищение данных может повредить репутации компании и повлечь за собой потерю дальнейших заказов”, — поясняет Роб Мэттьюс, сотрудник службы ИТ-безопасности. Он серьезно подходит к обеспечению защиты систем своей компании, в которой насчитывается 430 работников и 1200 ПК.

В 2005 г. Мэттьюс начал подыскивать решение для защиты конечных точек и выбрал Safend Protector. Это решение обеспечивает безопасность всех физических и локальных портов (включая USB, Firewire, PCMCIA), беспроводных конечных точек (Wi-Fi, Bluetooth, IrDA) и переносных устройств хранения (смартфоны, iPod и флэш-карты).

Система использует также мониторинг конечных точек и идентификацию устройств для блокирования программ, считывающих нажатия клавиш, и другого вредоносного кода. “Функции мониторинга и рассылки тревожных сообщений уже доказали свою полезность при идентификации тех участков, где у нас могут возникнуть проблемы”, — говорит он.

Политика имеет значение

Защита не сводится к использованию инструментов и технологий. Как подчеркивает Лавленд из PricewaterhouseCoopers: “В определенный момент она начинает зависеть от политики. Важно целенаправленно разработать правила и обучить персонал, разъяснив ему опасность нарушения защиты. В особенности это касается социальных медиа, где даже небольшая ошибка может иметь тяжелые последствия”. Он рекомендует создать комиссию аудиторов и поручить ей формулирование вопросов и проблем.

Фелпс из Accenture говорит, что в дополнение к системам безопасности и ПО организациям следует тщательно разработать политику в отношении социальных медиа. Причём эта политика должна отражать потребности различных подразделений и акционеров. Все правила и руководства оформляются в письменном виде. Нужно предоставить сотрудникам возможность легко с ними ознакомиться. И, что не менее важно, их надлежит регулярно обновлять с учетом всех изменений в бизнес-среде.

Разумеется, легче сказать, что нужно создать работоспособные политики, чем сделать это. Особенно при столкновении противоречивых интересов. “Политики должны быть реалистичными и практичными, — поясняет Фелпс и приводит такой пример. — Правило, запрещающее работникам сообщать что-либо о компании, нереалистично и непродуктивно. Вы хотите, чтобы они освещали дела компании в позитивном свете и писали правильные вещи. Нужно учитывать общую картину”.

Организации, которые обзавелись необходимым набором инструментов и политик, приобретают такие возможности представления информации, о которых руководители бизнес-подразделений и ИТ-служб еще несколько лет назад не могли и мечтать. Но чтобы полностью использовать потенциал Web 2.0, важно использовать проактивный подход к проблеме безопасности.

“Вам следует использовать средства управления, но это должны быть тщательно подобранные средства, — делает вывод Лавленд из PricewaterhouseCoopers. — Мы вступили в новую эпоху, которая ставит перед нами множество проблем. И следует признать, что нет простого и единственного способа их решения”.