IT-безопасность: стоит ли рисковать корпорацией?
Шрифт:
— Проводятся ли в вашей компании профилактические аудиты для поддержания контроля над внешними подключениями?
— Обеспечивается ли достаточное обучение сотрудников, отвечающих за безопасность?
— Имеются ли процедуры по отключению соединений при прекращении работы сотрудников и подрядчиков?
— Существуют ли политики и процедуры для внешних подключений?
— Существуют ли политики и процедуры для установки брандмауэров?
— Существуют ли политики и процедуры для установки клиентских подключений (экстранет)?
— И что самое главное: отслеживается ли выполнение политик и процедур, связанных с подключениями?
Заключительные слова
Сегодня в насыщенной различными видами связи деловой среде
McConnell Drugs поверила в то, что JFC расставило все необходимые средства защиты — средства, которые защитили бы информацию как JFC, так и McConnell Drugs. Такое доверительное рукопожатие могло бы привести к уничтожению информации и репутации McConnell, a JFC могла бы завершить свой путь в суде. Сотрудники McConnell легко могли бы «скачать» плохой файл, содержащий «троянского коня», «червя» или вирус.
Если вы все еще не знаете, какой разрушительной может быть атака вируса, то вы счастливчик. Исследование CSI 2002 года показало, что 85 процентов респондентов обнаруживали вирусы. Это неудивительно, если принимать во внимание скорость, с какой новые его «штаммы» распространяются. Как говорится в «Обзоре направлений развития атак» ("Overview of Attack Trends"), опубликованном CERT, «программы-вирусы, подобные Code Red, распространяются самостоятельно до состояния глобального насыщения менее чем за 18 часов». А ущерб? Computer Economics [26] сообщила, что общий удар, нанесенный Code Red и его «двоюродным братом» Code Red II по американской экономике, оценивается в 2 миллиарда долларов.
26
Независимая исследовательская организация, предоставляющая аналитическую информацию руководителям в сфере ИТ и бизнеса. — Примеч. пер.
Внешние подключения представляют собой большую проблему и ими трудно управлять. Знаете ли вы, сколько модемных подключений имеется в вашей компании? Разрешено ли вашим инженерам устанавливать модемы в лаборатории, в которой хранится исходный код вашей программы? Если вы не можете ответить на эти вопросы, то вас может ожидать большой сюрприз.
К сожалению, даже компании с серьезными юридическими и моральными намерениями контролировать доступ часто оказываются одураченными. Аудит безопасности одной такой организации (большой больницы, где стремились закрыть доступ к конфиденциальным файлам пациентов) обнаружил в ней 75 неразрешенных модемов. Почти в каждом случае врач или администратор, обладающие достаточной пробивной силой, находили обходный путь вокруг политики, предусмотренной для внешних соединений. Для того чтобы быть полезными, политики безопасности должны быть применимы к каждому без исключений. Политики с правилами, которые легко «объехать», не стоят даже бумаги, на которой они написаны.
Защита вашей системы от атак требует большего, чем «честное слово и одно крыло». [27] Она требует обучения, решительности и сильного стремления к контролю над доступом к вашим системам. Анализируя контроль за доступом в вашей компании, убедитесь, что правила являются действительно правилами, а не общими директивами, которые сотрудники могут свободно игнорировать при малейшем ощущении их неудобства.
Глава 5
Обучение безопасности
27
"Coming on the wing and the prayer" — первая строка песни Д.Макью «Бомбардировщики». — Примеч. пер.
Всегда существовал большой разрыв между тем, что пишут о безопасности, и тем, что действительно
Вы быстро поднимаетесь по служебной лестнице. Причина этого кроется не в том, что вы приятели с генеральным директором. Вы действительно являетесь генератором блестящих идей, которые всегда помогают удерживать вашу компанию впереди конкурентов. Вы не зазнались. Но вы уверены в успехе, сильны и видите перспективу. Клиенты, желающие, чтобы их дела шли наилучшим образом, обращаются к вам, и ваши результаты можно оценить докторской степенью.
В последние месяцы ваши идеи лились рекой. Вы так были увлечены работой, что даже не задумывались о том, что все блестящие идеи по вашему бизнесу, планы и результаты разработок, стратегии победы в конкурентной борьбе хранятся в одном мощном персональном компьютере.
Сегодня утром ваш секретарь сообщила вам, что она подготовила материалы для доклада на совете директоров. Вы благодарите ее и думаете о том, как вам повезло получить себе в помощники эту отличную студентку летних курсов университета по управлению бизнесом. Вы закрываете сессию на вашем компьютере, забираете материалы для доклада и идете на совет директоров.
Но вы даже не предполагаете, что ваш любимый будущий мастер делового администрирования [28] тайком собирает все ваши блестящие идеи и секреты компании. Она — шпионка! Более того, она является подпольным экспертом по безопасности мирового класса и может выуживать информацию из ваших систем, не оставляя после себя ни малейшего следа своего посещения. У вас не будет ни одной улики в том, что она зашла прямо в «переднюю дверь» вашего компьютера и украла ваши идеи.
28
MBA = Master of Business Administration. — Примеч. пер.
Как и любой промышленный шпион, ваш секретарь продает информацию конкурентам. На этот раз деньги достанутся ей без большого труда. Ваши системные администраторы настроили системы так, что каждый может легко прочитать, изменить, уничтожить или украсть информацию в вашей сети. Они не позаботились об установке средств контроля за работой систем и обнаружения вторжения, поэтому никто не узнал о существовании бреши в безопасности. Вы думаете, что я рассказываю фильм недели? Не заблуждайтесь.
Вы, как и большинство людей, всегда считали вашу корпоративную сеть тихой гаванью для вашей информации. К сожалению, для поддержания тишины в этой гавани необходимо хорошее обучение, но немногие люди, отвечающие за безопасность, это обучение получают. Рассмотрим пример…
Компания InterMint Financial являлась хорошо известным гигантом Уолл-стрит, и ее интранет насчитывала более тысячи систем. Из-за больших размеров обязанности по обслуживанию этой мегасети были поделены между пятью сотрудниками: Хосе Гарсия, Дон Форбс, Кендзи Абэ, Смитой Кумар и Тией Фэрчайлд, К несчастью, только Хосе Гарсия был обучен настройке безопасности сети.
Хосе получил хорошее обучение по безопасности, когда «поднялся на борт». После обучения и приобретения некоторых практических навыков Хосе знал, что нужно делать для управления «кораблем» безопасности. Он настраивал свои системы, постоянно помня о безопасности, устанавливал средства контроля, использовал программы-детекторы вторжения, управлял применением защитных псевдонимов [29] и неусыпно следил за появлением новых угроз. Хосе занимал активную позицию по защите своей сети.
29
Security aliases — переменные адреса электронной почты. — Примеч. пер.