Внутренняя угроза
Киберпреступники в последние годы все активнее проникают в сферу цифровой безопасности. При этом в каждой организации есть кто-то, кто ненамеренно открывает им дверь.
По данным международного исследования компании PricewaterhouseCoopers, в котором приняли участие более 10 тыс. руководителей разного уровня и ИТ-директоров из 154 стран, в 2014 году было зафиксировано 117 339 инцидентов в день, связанных с нарушением ИБ, что на 48% больше, чем в 2013 году. Важно отметить, что это только официальные данные. Характерно, что исследование показало: во многих случаях именно сотрудники компаний стали причиной подобных инцидентов. В этой связи стоит обратить особое внимание на систему контроля над теми подразделениями компании, в которых сотрудники имеют доступ к важной корпоративной информации. К таким подразделениям можно отнести, к примеру, финансовый департамент или отдел по работе с клиентами, в котором находятся личные данные большого количества людей. Безусловно, корпоративные данные нуждаются в защите и необходим контроль всех лиц, имеющих к ним доступ.
Не менее важно проводить специальное обучение по вопросам безопасности среди сотрудников, поскольку частой причиной утечек информации является именно человеческий фактор. Однако не стоит забывать и о том, что утечка во многих случаях становится следствием намеренных действий. Так, в отчете ФБР за 2014 год опубликованы сведения, что многие настоящие или бывшие сотрудники компаний уничтожают корпоративные данные, присваивают информацию о клиентах или приобретают товары через личный кабинет пользователя в режиме удаленного доступа с целью навредить своему работодателю. ФБР также отмечает, что многие из уволенных сотрудников, еще будучи в штате компании, устанавливают на своем компьютере или мобильном устройстве протокол удаленного доступа к корпоративной информации. Другим исследованием, проведенным институтом Ponemon, выявлено, что 30% организаций не могут обеспечить защиту корпоративных данных, находящихся на мобильных устройствах сотрудников, а 74% респондентов считают, что существующий уровень не способен защитить мобильное устройство от внешних угроз.
Помимо рассмотренных выше, безусловно, существует еще один тип внешних угроз, когда утечка информации происходит по вине сторонних лиц, которые также имеют к ней доступ, например сервис-провайдеров или подрядных организаций. В этой связи разумным решением является ограничение и строгий контроль над доступом к корпоративным данным извне. Эта мера необходима совсем не потому, что подрядные организации заведомо ведут нечестную игру, а потому, что только сама компания, которой принадлежат данные, должна осуществлять надлежащий контроль над ними. По данным отчета компании Verizon за 2014 год, 88% инцидентов, связанных с утечкой информации, произошли из-за неправильного обращения с ней пользователей, имеющих привелигированный или особый доступ к информации. В том же отчете говорится, что 73% организаций не смогли корректно организовать права доступа сотрудников к важным данным.
Кто имеет привилегированный доступ к информации?
Словосочетание «привилегированный доступ к информации» часто подразумевает, что только высшее звено компании имеет доступ к данным с повышенной секретностью. Но это не совсем так, точнее, совсем не так. В докладе Gemalto «О внешних угрозах» среди имеющих особый доступ к информации упоминаются также системные администраторы, специалисты по информационной безопасности, администраторы баз данных, разработчики приложений и сотрудники центров обработки данных. При этом в исследовании Privileged User Abuse & The Insider Threat института Ponemon отмечается, что 49% организаций не имеют правил и политики в отношении доступа к корпоративным данным.
Таким образом, неудивительно, что сообщения о крупных утечках довольно часто появляются на первых полосах изданий. По данным индекса Breach Level Index (BLI), в 2014 году утечки чаще всего происходили в розничной торговле и в секторе финансовых услуг. Особенно можно выделить риски хищения информации при использовании технологий виртуализации. Виртуальными машинами (ВМ) владеет кто угодно, кроме самого бизнес-пользователя. Администраторы должны иметь все необходимые права для создания, настройки параметров и т. д., но запустить ВМ и получить к ней доступ должен иметь возможность только бизнес-пользователь.
Так, недавно российский социальный сервис знакомств Topface был подвергнут хакерской атаке. Согласно официальному комментарию представителя компании, пользователи получали доступ к своему аккаунту с помощью однократной регистрации. И хотя многие считают подобную схему идентификации надежной, тот факт, что она построена на многократном использовании одних и тех же учетных данных и паролей, говорит об обратном. Классическим решением для повышения безопасности удаленного доступа является использование динамических паролей, например одноразовых: когда при каждом входе в свой аккаунт пользователь вводит новый пароль, что существенно уменьшает риск. Случай с Topface произошел сразу после атаки на социальные сети Facebook и Instagram, ответственность за которую взяла на себя хакерская группировка Lizard Squad. Связаны ли эти инциденты между собой – до сих пор остается вопросом.
Организациям рекомендуется внедрить такую систему защиты данных, в которой механизм защиты «прикреплен» непосредственно к самим данным с использованием двухфакторной аутентификации и технологии шифрования с надежными ключами шифрования. Даже в случае хищения данных такая система защиты делает их бесполезными для мошенников.
Ущерб от утечки информации внутри компании может составить от 5 тыс. до 3 млн долларов США: сюда входят стоимость самих данных и технологических сервисов, разработка схемы противодействия, плата за юридические услуги, ущерб от потери прибыли и клиентов, а также покупка мониторинговых сервисов для сотрудников и клиентов, которые подверглись хакерским атакам. Что делать, чтобы избежать столь масштабных потерь? Как правило, большинство сотрудников, имеющих привилегированный доступ к информации, для входа в систему используют традиционную пару «имя пользователя и пароль». Такой вид аутентификации является неэффективным по объективным причинам: сотрудники часто выбирают очевидные пароли и хранят их на рабочем столе или передают коллегам.
Каждый домен, сервер и удаленное соединение имеют свой ID и пароль, который в результате образует тысячи паролей – они-то и являются целью для хакеров и шпионского ПО. При этом не существует специального механизма отслеживания каждого привилегированного сотрудника. По данным института Ponemon, 64% утечек корпоративной информации происходит по вине самих сотрудников, при этом 62% опрошенных считают процесс обмена корпоративными данными за пределами компании совершенно нормальным. Таким образом, компаниям необходимо проводить обучение своих сотрудников правилам информационной безопасности, чтобы уменьшить риск компрометации данных со стороны киберпреступников.
Возможные решения
Решения, основанные на многофакторной аутентификации, на сегодняшний день считаются одними из самых надежных. Пример такого решения – аутентификация смарт-карты или токена. Использование подобных устройств дает возможность разграничивать уровни доступа в зависимости от должности сотрудника и других факторов.
Аутентификация проходит очень быстро, что особенно важно для руководящего состава компании, который не желает тратить много времени на подобные процессы. Сотрудник может совершить вход в систему с любого рабочего места. В картах установлены процессор и программное обеспечение, которое не привязано к компьютеру сотрудника, что позволяет проверить его идентификационные данные. Пользователи подобного устройства надежно защищены от внешних угроз сети или устройства конечного пользователя. Встроенная система аутентификации смарт-карты устанавливает зашифрованный защищенный сеанс, и пользователю необходимо запомнить единственный пин-код. При этом нет необходимости менять всю схему работы.
По словам Марка Брауна, директора по ИБ Ernst & Young, 96% компаний не имеют надежной защиты от киберпреступников, в результате утечки информации происходят очень часто, однако эффективные системы защиты по-прежнему не устанавливаются. Смарт-карта – недорогое решение, которое могут себе позволить многие предприятия, при этом оно не требует сложного процесса установки и управления. Использование смарт-карты в качестве второго фактора аутентификации серьезно увеличивает безопасность системы. Комбинация смарт-карты, которая должна быть физически представлена в момент входа в систему, и пина, который должен быть введен пользовалем после считывания карты, представляет собой хороший пример того, что должен иметь пользователь, и того, что он должен знать. Отсутствие любой из этих составляющих, например смарт-карты (если она украдена или скопирована), не позволит злоумышленнику получить доступ.
Чтобы пройти авторизацию с помощью смарт-карты, администратору необходимо вставить ее в специальное считывающее устройство, которое в некоторых случаях может быть интегрировано в компьютер, и ввести уникальный пин-код, после чего карта разблокируется. Идентификационные данные о пользователе поступают на удаленный сервер или в операционную систему. При изъятии карты из считывающего устройства операция завершается.
Другим примером многофакторной аутентификации является система одноразовых паролей, которые по требованию создаются на мобильном устройстве или специальном токене. Стоит отметить, что на текущий момент существует множество токенов, включая контактные USB-устройства, которые в том числе обеспечивают надежный уровень безопасности в системе «мобильного офиса», защищая электронные документы и мобильные данные.
Для обеспечения безопасности корпоративной информации организации должны применять комплексный подход, который включает в себя разные методы и уровни защиты: шифрование данных, контроль за доступом к информации, систему управления ключами шифрования, установление надежной аутентификации. Важно также учитывать человеческий фактор, который может стать причиной утечки информации.
Контроль доступа к информации. Пять основных правил*
1. Перед тем как установить систему контроля доступа к информации, следует оценить потенциальный риск для организации и возможные проблемы.
2. Доступ не может быть открыт всем администраторам. Тщательно продумайте список лиц, кому он должен быть предоставлен.
3. Доступ к информации должен быть ограничен по времени.
4. Необходимо создать систему контроля и мониторинга доступа.
5. При внедрении новых технологий и изменений необходимо вносить поправки в систему контроля доступа к информации и в регламент прав администраторов и привилегированных пользователей.
*Источник: normanmarks.wordpress.com
Опубликовано 06.07.2015