IT-безопасность: стоит ли рисковать корпорацией?
Шрифт:
STAT: Sat Mar 15 10:01:36, 7 pkts, 487 bytes [DATA LIMIT]
DATA: HELO nolimits.incog.com
MAIL From:<msha@osmosys>
RCPT To:<!mac@osmosys>
DATA
Received: by nolimits.incog.com (SM 1–8.6/SMI-SVR4)
Alid KAA04 500; Sat, 15 Mar 2003 10:01:35 -0800
Date: Sat, 15 Mar 2003 10:01:35 -0800
From: msha@osmosys (MichelleShavers)
Message-Id: <[email protected]>
To: lmac@nolimits
Subject: NEW STRATEGIC DIRECTION
X-Sun-Charset: US-ASCII
Late yesterday, I received the preliminary report from Vendor В regarding customer perceptions of the new support structure. THE CUSTOMERS ARE VERY UNHAPPY! Over 89 % reported STRONG dissatisfaction with the new bug x distribution system. Of those, fully 53 % are considering Macron's new third-party support program. If we don't implement a new approach quickly, we can anticipate a strong drop in customer support contracts. At tomorrow's executive staff meeting, I will propose the following changes to head off that problem…
Рисунок 10.12 [54]
Мы
Мишель почувствовала затруднения, когда ее почту (вероятнее всего) кто-то читал у нее под носом. В других более тяжелых случаях это обходится корпорациям в миллиарды долларов потерянных доходов ежегодно. Угроза в этих случаях исходит от «червей», «троянских коней», атак по типу «отказа от обслуживания», искажения внешнего вида веб-страниц и т. д. Электронная почта представляет собой одну из самых распространенных и менее всего обсуждаемых областей, в которой сегодня таится риск для делового мира.
54
В сообщении содержится важная информация о продвижении продукта компании на рынке. — Примеч. пер.
Для защиты тайны своей переписки Мишель должна была сделать следующее.
Использовать шифрование!
Современные пакеты программ шифрования легко устанавливаются и поддерживаются и действительно прозрачны для пользователя. К сожалению, многие помнят о старых громоздких пакетах таких программ и не знакомы с их более простыми современными версиями.
Если в системе электронной почты вашей компании еще не используется шифрование, то немедленно его установите. Если вы не уверены в том, какой продукт, обеспечивающий шифрование, использовать, или вас смущают экспортные соглашения, то обратитесь за советом к консультанту по вопросам безопасности.
Убедить компанию в необходимости шифрования
Применение шифрования похоже на наклеивание на дверь стикера, предупреждающего, что ваш дом находится под электронным наблюдением. Если вы остаетесь единственным в вашем квартале с таким стикером, то потенциальные воры начнут размышлять, что у вас имеется такого ценного для принятия дополнительных мер охраны. Если же на всех домах в вашем квартале будут иметься такие же стикеры, то будет трудно сказать, у кого действительно можно поживиться.
Когда все начнут использовать шифрование, то любому, кто занимается выискиванием информации, будет трудно определить, что действительно представляет интерес, а что — нет. На это и должны направляться наши усилия.
Предусмотреть в бюджете средства на шифрование
В прошлом некоторые директору по информационным технологиям действительно запрещали своим служащим шифровать электронную почту, предназначенную для внутреннего пользования. Если у вас все еще придерживаются такой устаревшей политики, то немедленно ее аннулируйте! Затем разработайте новые политики и запишите шифрование в цели ваших менеджеров.
Отслеживать возникновение других угроз электронной почте
Как ни печально сообщать, но возможность чтения вашей почты другими людьми является не единственным риском, которому вы подвергаетесь как пользователь электронных средств информации. Вы можете подвергнуться «спаму», [55] угрозам заражения вирусами, реальному заражению вирусами, «червями», «троянскими
55
Spam — рассылка большого количества сообщений посредством электронной почты, имеющая целью разрекламировать товары или услуги и все, что нуждается в рекламе. — Примеч. пер.
Семьдесят шесть миллиардов «спам»-сообщений будет разослано по электронной почте по всему миру в 2003 году (eMarketer, 2002 год). При таких цифрах необходимо иметь программное обеспечение, предназначенное для борьбы с этой проблемой. Если фильтрация «спама» у вас еще не используется, то руководству необходимо включить в бюджет на безопасность расходы на программы-фильтры «спама» или на службу фильтрации «спама».
«Спам» вреден, по меньшей мере, своей назойливостью, но вредоносные программы являются разрушительными и означают причинение ущерба. Убытки от эпидемий вредоносных программ в 2001 году составили 13,2 миллиарда долларов. Компаниям необходимо создавать многоуровневую систему обороны для защиты от этих злобных атак. Это означает защиту в каждой точке входа. Серверы, персональные компьютеры и другие устройства также должны иметь защиту (например, защиту от вирусов, брандмауэр, детектор вторжения и средство предотвращения вторжения). Атаки вредоносных программ становятся более изощренными и будут причинять больший ущерб. Защита от них является одной из приоритетных задач каждой компании.
Заключительные слова
Ежедневно миллионы предпринимателей вкладывают свои надежды и мечты в почтовые послания, которые затем отправляют в плавание по Интернету. Если они делают это, не применяя шифрования, то, следовательно, забывают о всякой осторожности.
Применение технологий шифрования для ваших деловых сообщений по электронной почте является одной из самых легких и самых важных мер предосторожности для сохранения в тайне ваших секретных планов.
Наконец, не дайте себя застать врасплох, не обеспечив несколько уровней защиты от угроз. Электронная почта предоставляет противнику легкий способ засылки вирусов, «червей», «троянских коней» в вашу компанию. Для вредоносных программ существует много различных способов входа в вашу корпоративную сеть, и вам нужно оценивать вашу способность по предотвращению и защите как от известных угроз, так и от неизвестных.
Глава 11
Оглядываясь назад: что будет дальше?
Хотя в их стране главное внимание сосредоточено на безопасности, в действительности американские предприниматели не вкладывают средства в устранение «дыр» в системах своей защиты. Похоже, они ждут «событий большого эмоционального значения» — например, утраты информации кредитных карточек клиентов для получения повода к вложению таких средств. Проблема состоит в том, что они могут получить этот повод слишком поздно.
Некоторые изменения происходят так быстро, что трудно определить, как обеспечивать безопасность в таких условиях. Именно такая проблема возникает перед организациями, когда они начинают осваивать современные технологии и выяснять, какие уязвимые места в них имеются.
Руководство компании Costa Corp, в которой я проводила свой первый аудит по контракту, было вынуждено проводить его из-за произошедшего у них взлома, в результате которого была украдена и опубликована важная финансовая информация. Аудит безопасности, проведенный несколькими годами раньше, показал, что в системах не заделывались «дыры», они были уязвимы для атак и нуждались в защите и контроле. Тем не менее руководство никогда не выполняло рекомендаций аудита по устранению этих нарушений.