Правда об ИТ-безопасности

Джон Олтсик

  С точки зрения неспециалиста все пробелы в защите данных означают, по существу, одно и то же: предположительно защищенная конфиденциальная информация оказывается раскрытой. На самом же деле дыры бывают самых разных форм и размеров.

  Для Bank of America к большой проблеме приведет потеря магнитных лент резервного копирования, тогда как в LexisNexis больше всего боятся взлома паролей. Для Fidelity Investments катастрофа — это потерянный лаптоп, а для CardSystems — вторжение хакера.

  Когда на карту поставлена конфиденциальность данных, беспокоиться действительно есть о чем. Номера кредитных карт клиентов могут быть созданы в безопасной базе данных, но очень скоро эти данные разбегаются, как тараканы, — по множеству приложений, лент резервного копирования, лаптопов сотрудников, вложений e-mail и т. п.

  Зайдите в комнату, полную ИТ-профессионалов, и спросите, где находятся их персональные данные — вам ответят взрывом хохота. Они этого просто не знают.

  Типичный коленный рефлекс заключается в том, что в проблемах безопасности винят отсутствие адекватных технологий защиты. Годами руководители предприятий не имели представления — или не задумывались — об управлении ИТ-рисками и защитой информации. В результате они недоинвестировали в эту сферу и остались незащищенными.

  Большинство специалистов по безопасности горячо возразит на это, что слабая защита — только часть проблемы. Те, кто указывает пальцем на технологию, игнорируют тот факт, что многие компании уделяют мало внимания информированию и контролю за соблюдением правил и процедур безопасности.

  Вот аналогия из реальной жизни. Я каждый день езжу на работу по 495-му шоссе в Массачусетсе. Существует ограничение скорости (105 км/час) и правила дорожного движения (обгонять слева, не пересекать сразу несколько полос и т. п.), тем не менее создается впечатление, что это никого не касается. Полиция не в состоянии вылавливать всех нарушителей, так что соблюдение правил остается на совести водителей. Некоторые следуют им, другие не знают, что нарушают правила, а большинство попросту их игнорирует.

  Точно так же обстоит дело с защитой конфиденциальных данных. В большинстве организаций тоже есть «правила дорожного движения», но мало где активно следят за их соблюдением.

  Недавно компания Enterprise Security Group, в которой я работаю, опросила 227 специалистов по безопасности из североамериканских организаций с 1000 и более сотрудников. Их просили оценить свое предприятие по ряду правил и процедур, связанных с безопасностью конфиденциальных данных. Более половины сказали, что в их организации удовлетворительно или плохо «классифицируют и отслеживают передвижение конфиденциальных данных» и «информируют или обучают сотрудников о правилах безопасности в отношении конфиденциальных данных».

  43% сказали, что в их организации удовлетворительно или плохо следят за выполнением правил безопасности в отношении конфиденциальных данных, и чуть более трети утверждают, что в их организации удовлетворительно или плохо «управляют доступом к приватным данным». Я мог бы продолжать и продолжать, но в целом картина ясна.

  Итак, приватные данные хранятся на устройствах по всему предприятию, и ИТ-подразделение не знает, где именно. Люди, имеющие доступ к этим данным, не проходят соответствующего обучения по защите данных, а служба безопасности не имеет адекватных инструментов для контроля за поведением пользователей или их принуждения к соблюдению правил. Так что же удивительного в том, что у нас проблемы?

  Обвинять секьюрити-персонал и ИТ-менеджеров — это просто отговорка. Руководители не вложили достаточно средств в безопасность или недостаточно интегрировали ее в корпоративную культуру. Разработчики не прошли обучение безопасному программированию. Отделы кадров и юридические отделы не в курсе уязвимостей технологии или ограничений средств защиты. У директоров по информационным технологиям ограничены бюджеты и нет четко поставленных задач. Виноваты все.

  Пора взглянуть фактам в лицо. Безопасность конфиденциальных данных — это большая, серьезная проблема, касающаяся каждого человека и каждой системы. Ее просто невозможно решить при помощи нынешних средств безопасности; нужны продуманные и скоординированные усилия всего предприятия.

  Когда речь идет о безопасности конфиденциальных и приватных данных, избитая присказка ИТ-индустрии о «людях, процессах и технологии» вполне актуальна. Каждая из трех этих областей ужасно расстроена и остро нуждается в исправлении.