Уроки великого информационного ограбления

Эрик Ландквист

ИТ-директорам стоит извлечь урок из самой грандиозной информационной кражи века. Наверное, главным вашим чувством после появления сообщения о состоявшемся в середине августа похищении номеров 130 млн. кредитных карт была радость, что это произошло не с вами и не с вашей компанией. Это вполне естественная реакция. Однако из данного происшествия нужно извлечь опыт, чтобы не стать жертвой очередного великого ограбления. Предлагаем 10 выводов из урока, преподнесенного Альбертом Гонзалесом, 28-летним жителем Майами, который руководил этим грандиозным хищением.

        1. Организуйте защиту передаваемых данных. Если данные тщательно зашифрованы, их кража практически бесполезна. Вместо того чтобы уделять все внимание развертыванию информационных систем и внедрению для них средств защиты паролем, подумайте о предохранении самих данных. Зашифрованную информацию можно быстро и безопасно передавать, а затем также быстро расшифровывать для обеспечения к ней оперативного доступа. Начинайте прямо сейчас.

        2. Ваша система защищена ровно настолько, насколько безопасно ее самое слабое звено. Вам следует постоянно проводить мониторинг возможностей внешнего доступа к ценным данным. О чем говорят ваши сетевые программы наблюдения (снифферы), когда вы проверяете вашу сеть с корпоративной парковки? Сколько информации о вашей системе торгового обслуживания можно получить из Интернета? Не стоит нанимать на работу перевоспитавшегося хакера, но для проверки надежности вашей защиты вам следует научиться думать, как хакер.

        3. Доступ сотрудников к информации нужно оценивать, проверять и контролировать. Вы, конечно, должны доверять сотрудникам, но лишь до определенной степени. Самым быстрым способом украсть корпоративные данные был и остается договор с недовольным сотрудником. Увы, но это — правда. Сосредоточьтесь не только на том, чтобы при увольнении работники возвращали свои бэджи, но и на том, чтобы они больше не могли получать доступ к компьютерной системе.

        4. Трудно победить толпу. Чем выше приз, тем больше хакеров объединяются для совершения кражи. Нужно в первую очередь думать о защите данных (см. выше пункт первый), или вы будете тратить все рабочее время на латание дыр в защите, в то время как хакеры будут тратить такое же время на поиск этих дыр.

        5. Кража данных — огромный и всемирный бизнес. Прошли времена гениальных хакеров-одиночек. Украденные данные продаются и покупаются на подпольном рынке, который развит почти так же, как и современная биржа. Не следует думать, что ваши данные не являются лакомым кусочком.

        6. Приведение систем в соответствие нормативным требованиям — это начало, а не конец пути. Одним из непредусмотренных последствий нормативных требований является то, что компании стараются избавиться от ответственности, выполняя лишь минимум из набора указаний регулирующих органов. Но соответствие нормативным требованиям не обеспечивает полной безопасности. Защита данных — это ваша ответственность перед клиентами, а нормативные требования — это самый минимальный набор мер по безопасности, предложенный госорганами.

        7. «Вычисления в облаках» не облегчают и не затрудняют кражу данных. Доступ к данным в облаках лишь требует изменений способа защиты. Но нужно четко понимать, какие меры безопасности предлагает и предусматривает в договоре ваш поставщик облачных услуг. В договор с поставщиком услуг должны быть заложены такие же меры, которые вы используете в вашей корпоративной сети.

        8. У вас есть союзники. Хотя ИТ-директора обычно не сообщают деталей о своей системе защиты, они охотно делятся советами и опытом, но не через общедоступные социальные сети. Познакомьтесь с другими ИТ-директорами, работающими в вашей отрасли, регионе и других областях. Очень полезны личные встречи на мероприятиях, особенно неформальные беседы в кулуарах.

        9. Технологии меняются, и вам нельзя отставать от перемен. Решения, непопулярные несколько лет назад (например, шифрование) совершенствуются и расширяются. На вашем предприятии или у вашего системного интегратора должна работать команда технарей, постоянно оценивающих новые технологии и методы. Вам нужно быть впереди основных тенденций в области ИТ, иначе вы можете лишиться всего.

        10. Ваша работа становится все труднее. Социальные сети великолепны, но потенциально они создают дыры в безопасности. Нужно составить четкие правила о том, какие данные, документы и точки доступа абсолютно недоступны для социальных сетей, в которых участвуют сотрудники вашей компании.

Источник: PC Week, 28 августа 2009