ЧЕЛОВЕЧЕСКИЙ ФАКТОР
Если ставить этот вопрос в аспекте безопасности конфиденциальной информации фирм или организаций, то, задав его среднестатистическому гражданину на улице, в ответ наверняка услышишь: “От хакеров*”. Гражданин имеет на это все основания: последние громкие процессы над наиболее отличившимися представителями сей своеобразной профессии, окружающий ее флер романтичности и загадочности и не в последнюю очередь многочисленные публикации по хакерской тематике превратили личность хакера - по сути, не более чем квалифицированного “гамма”-тестера работы своих коллег - в таинственно-грозную фигуру народного мстителя, эдакого Робин Гуда компьютерного века, карающую десницу невостребованного таланта, вечный кошмар для банкиров и хранителей военных секретов.
_____
* В обществе существует путаница понятий “хакер” и “кракер”. Все здесь сказанное относится к кракерам. - Прим. ред.
Конечно, никто не станет спорить с тем, что выискиваемые хакерами лазейки, дающие им возможность несанкционированного доступа в закрытые сети, представляют определенную опасность для конфиденциальности и надежности фирменной информации. Однако, как показывает опыт, вскрытие первичной системы охраны - это еще далеко не нанесение конкретного ущерба. Оказавшись в фирменной сети, новичок чувствует себя подобно вору, взломавшему дверь в хранилище и в растерянности стоящему перед километрами стеллажей с десятками и сотнями тысяч единиц хранения: как найти в этом океане данных единственно требуемые документы, каким образом просеять тонны инфопеска в поисках драгоценных крупинок действительно значимых сведений?
В большинстве таких случаев все ограничивается оставлением записи “Здесь был Ося” и принципиальным воровством облезлой меховой шапки, в то время как на соседней полке в невзрачной коробочке остаются лежать нетронутыми перехваченные резинкой тугие пачки вожделенных банкнот. Подлинную же, гораздо более серьезную опасность представляет нежелательное вторжение в святая святых фирменных кладовых злоумышленников, облеченных когда-то доверием, располагающих - или располагавших - всеми правами на доступ к данным и имеющих четкое представление о том, что где лежит и какую имеет ценность. Понятно, что речь идет о сотрудниках - либо нынешних, чем-то разобиженных на своего работодателя, либо бывших, расставшихся с ним не в самых лучших отношениях. В наше время изъятие пропуска при увольнении перестало быть гарантией безопасности фирменной информации: отдав свой пропуск, бывший работник преспокойно и беспрепятственно уносит с собой все сведения о структуре хранения данных, процедурах регистрации, иерархиях и паролях доступа. Еще хуже, если такой носитель ключевых знаний, обиженный на свою администрацию или просто перекупленный враждебной стороной, остается в числе сотрудников предприятия - тогда трудно переоценить степень угрозы, которую он представляет для своего работодателя.
Кроме того, новая техника не только изменила старые схемы сбора информации, она еще и существенно облегчила механизм переправки добытого. Вместо мучений с перетаскиванием 11 набитых папками чемоданов достаточно отправить невинный мэйл с прицепленными к нему документами - и за несколько секунд сверхсекретная документация нового устройства или проект контракта оказываются вне досягаемости сил секьюрити, и при этом никаких улик.**
_____
** Если нет корпоративной системы архивирования и мониторинга всей входящей и исходящей почты. - Прим. ред.
Согласно статистике, оглашенной на прошедшем в Карлсруе 4-м Немецком Internet-конгрессе, свыше 80% всех злонамеренных вторжений в фирменные сети - дело рук как бывших, так и нынешних сотрудников. Самое поразительное во всем этом, что только очень немногие компании учитывают данный фактор при формировании концепции защиты данных. К числу особо опасных лазеек эксперт по безопасности информации из фирмы Integralis Centaur Штефан Штробель (Stefan Strobel) причислил несанкционированное, без ведома технических служб, подключение модемов в помещениях офисов. В этом случае вообще не приходится говорить ни о какой защите информации. Слабым местом нередко являются и системы удаленного доступа к фирменной сети внешних сотрудников (например, коммивояжеров и т. д.), а также удаленного администрирования и сопровождения. Отдельного разговора заслуживает внутрислужебная дисциплина, лишающая недобросовестных работников возможности поиска и сбора критически важной информации.
По мнению Штробеля, предприятия все еще недооценивают опасность экономической преступности, проникающей через компьютерные сети. Тем временем, согласно последнему опросу, проведенному ФБР и американским Институтом компьютерной безопасности (Computer Security Institute), 61 компания из 521 принявшей в нем участие уже стала жертвой онлайновой утечки фирменных секретов. По оценкам, нанесенный ущерб составил 42 млн. долл.
И если с техническими ухищрениями хакеров можно бороться (с той или иной степенью успеха) техническими же средствами, то против нестойкого человеческого фактора единственно действенным остается метод, рекомендованный еще в прошлом веке нашим первым виртуальным соотечественником: “Бди!”. Впрочем, и здесь появились свои электронные вахтеры, но это уже другая тема.
