Защита от инсайдеров - проблема нетехническая

Михаил Емелянников

  Лукавство, конечно. Точнее, почти лукавство. Проблема не только и не столько техническая, хотя технические аспекты в ней, безусловно, присутствуют, и без реализации технических мер защиты при ее решении никак не обойтись.

О чем речь?

  В последнее время тема противодействия инсайдерству, т. е. внутренним угрозам организации, исходящим от ее собственных работников, — наверное, одна из наиболее часто и активно обсуждаемых в российской прессе и на различного рода мероприятиях для специалистов — конференциях, выставках, семинарах и т. п. По популярности она затмила проблему защиты от внешних угроз, и хакеры уже не кажутся такими уж страшными по сравнению с персоналом собственного предприятия, действительно способным сделать практически все что угодно в информационной сети, не взламывая системы защиты, а лишь используя свои права и возможности.

  Периодически взрывающие прессу сообщения об очередной масштабной краже баз данных с последующим выбросом ее на «митинский радиорынок», безусловно, являются следствиями не взломов сети хакерами и скачивания через Интернет гигабайтов данных, а результатом несанкционированных действий администраторов сетей или этих самых баз, скачавших и продавших информацию ради собственной выгоды. И это лишь одно из возможных проявлений инсайдерской деятельности. Есть еще «убитые» файлы и записи, не подлежащие восстановлению вследствие ошибки, халатности или незнания, отправленные по электронной почте коммерческие секреты из-за случайного клика не на том файле приложения, который был нужен. Есть «упавшие» сети вследствие проникших в них вредоносных программ, которые были подхвачены на сомнительных сайтах глобальной сети или находились на загруженном пиратском диске с очередной популярной игрушкой.

  Но дело в том, что эта проблема существует уже давно, точнее, существовала всегда, и компьютеры к ней не имеют ровно никакого отношения — технология меняется, а проблема защиты от шпиона и дурака остается. Почему же именно сейчас столько разговоров на эту тему?

На мой взгляд, причин несколько.

  Одна их часть имеет отношение к состоянию российского рынка информационной безопасности. Средствами периметровой защиты — межсетевыми экранами, системами обнаружения и предупреждения вторжений, антивирусными и антиспамовыми продуктами и т. п., рынок насыщен, большинство организаций и предприятий, готовых тратить на них деньги, обладают такими системами. Средства защиты от инсайдеров — с целью контроля устройств ввода-вывода, анализа контента, управления идентификацией, доступом и цифровыми правами — для нашего рынка относительно новы и распространены значительно меньше. К тому же появились и отечественные разработки в некоторых из этих направлений. Рынок надо «греть», вот и публикаций стало значительно больше.

  Но есть и другая группа причин. Вступление в силу новых федеральных законов, в первую очередь о коммерческой тайне и персональных данных, с одной стороны, расширило возможности правовой охраны конфиденциальных сведений и защиты прав их обладателя, с другой — потребовало принятия более эффективных мер по контролю над доступом к чувствительной информации и ее использованием. И, похоже, государственное регулирование в этом направлении будет только усиливаться и также способствовать усилению внимания к теме контроля над правомерностью действий персонала.

Кто, зачем и почему?

  Под инсайдерами в статье будут подразумеваться штатные работники организации (предприятия), умышленно, случайно или ошибочно превышающие свои полномочия при работе с информацией, следствием чего является нарушение ее целостности, доступности и/или конфиденциальности, то есть работники, которые делают то, о чем писалось выше — крадут и «сливают» конфиденциальные сведения, несанкционированно модифицируют и уничтожают информацию, блокируют доступ к ней, запускают в сеть троянов и червей, выполняют иные аналогичные действия, подчас имеющие катастрофические последствия.

Сразу возникают вполне закономерные вопросы — зачем и почему они это делают?

  Основных причин всего четыре:

• корысть;

• ненависть (месть, злость);

• страх;

• некомпетентность.

  Главная причина — безусловно, корысть. Здесь уместно процитировать авторов книги «Безопасный аутсорсинг» Майкла Пауэра и Роланда Тропа, которые писали: «По мере роста ценности данных, накопленных предприятиями, у посторонних лиц возрастает интерес к их получению, присвоению и ненадлежащему использованию». Со справедливостью данного утверждения нельзя спорить, стоит лишь добавить, что источником информации для «посторонних лиц» чаще всего являются не каналы связи и не устройства несанкционированного съема информации, а работники предприятия-жертвы, у которого организуется хищение ценных данных. Под корыстью здесь понимается не только прямое получение денег за переданные сведения, но и любые другие выгоды, которые пытается извлечь из несанкционированного использования информации допущенный к ней сотрудник — повышение собственной значимости и авторитета, своей рыночной стоимости как специалиста, получение более высокой должности или высокооплачиваемой работы. Каналами утечки скрываемых сведений могут быть публикации в прессе решивших застолбить за собой первенство специалистов, выступление на конференциях и семинарах, депонирование рукописей, кандидатские и докторские диссертации, основанные на исследованиях, проводимых в организации — обладателе коммерческих секретов и т. п. Известная фраза советских времен «Болтун — находка для шпиона» как нельзя справедлива и для секретов производства или планов развития бизнеса.

  Ненависть или просто попытка доставить неприятности работодателю, руководителю, коллеге является также серьезным мотивом для злонамеренных действий с информацией. Увольняемый администратор уничтожил все файлы на сервере. Разругавшийся с партнером совладелец унес с собой всю информацию, к которой имел доступ. Обиженный отказом в повышении зарплаты бухгалтер слил не слишком украшающие организацию сведения в налоговую инспекцию. Сокращаемые работники подали коллективную жалобу в правоохранительные органы, в которой описали все, что знают и что не знают, но о чем догадываются. Знакомые ситуации? Все они результат действия инсайдеров.

  Страх может быть эффективным средством добывания информации даже в тех случаях, когда другие способы не дают желаемого результата. Несколько лет назад на Дальнем Востоке активно обсуждали арест одного из работников оператора сотовой связи, который под угрозой расправы с близкими передавал в ОПГ сведения о телефонных переговорах местных бизнесменов с китайскими партнерами. В зависимости от абонента и длительности этих разговоров рэкетиры определяли размер взимаемой с предпринимателей «дани».

  И, наконец, некомпетентность и халатность. Вторая после корысти (а может, и первая?) причина инцидентов с инсайдерами. Политика безопасности есть, но о ней не знают. Правила установили, а как их выполнять — не научили. Новый софт поставили, а о подготовке персонала забыли. Соблюдение мер по обеспечению безопасности никто не контролировал, и их перестали выполнять. По выявленным инцидентам никто никаких действий не предпринимал. Как результат — ошибочные действия конечных пользователей с самыми непредсказуемыми последствиями. Наверное, каждому знакома ситуация, когда безвозвратно удаленными оказываются весьма важные для деятельности файлы или записи в базе данных, а допустившая их потерю сотрудница ситуацию поясняет очень просто: «На экране появился какой-то вопрос. Какой — я не поняла, не по-русски было. Я нажала клавишу „Ввод“, и все куда-то пропало. И что мне теперь делать?» Вот это и есть последствия некомпетентности.

  Все перечисленные здесь ситуации никакого отношения к техническим проблемам не имеют. А из этого следует очень простой вывод: бороться с нетехнической проблемой только техническими средствами — бессмысленно.

Как и почему?

  Чтобы понять, как противодействовать инсайдерской угрозе после того, как мы установили, кто этот самый инсайдер и почему он нарушает систему безопасности, надо понять, как он это делает. Можно выделить следующие действия персонала, приводящие к нежелательным последствиям:

• получение доступа к информации, не требующейся для непосредственного выполнения обязанностей;

• преодоление существующей системы защиты;

• неправомерное обращение с доверенной информацией;

• неумение и/или нежелание делать правильно;

• ошибочные действия.

  Получение доступа к ненужной информации является следствием отсутствия в организации эффективной системы разграничения доступа и управления правами пользователей, когда значительная часть персонала получает возможность использовать корпоративные информационные системы и хранилища данных независимо от производственной необходимости. Очевидно, что создание такой предпосылки для неправомерных действий инсайдеров является результатом недостаточности усилий по защите информации со стороны ее обладателя. Все остальные ответы на вопрос «как?», может быть, за исключением ошибок, — уже результат сознательных действий недобросовестных работников.

  Тогда нужно задать следующий вопрос — а почему эти действия нарушителей системы безопасности оказываются результативными и вообще возможными?

  Первая, очевидная и самая, наверное, распространенная причина — в организации нет формально утвержденной политики (правил) безопасности или о существовании такой политики персонал не знает. Общая тенденция такова, что чем меньше организация (или информационная система), тем чаще функции обеспечения информационной безопасности в ней выполняют специалисты ИT-подразделения, которые если и понимают значимость защитных мер, объективно гораздо больше озабочены такими составляющими безопасности, как целостность и доступность информации, чем ее конфиденциальностью. Очевидно, что эффективная система защиты информационных ресурсов всегда является результатом компромисса между требованиями оперативности доступа к ресурсам и их безопасности — ни один замок открывание двери никак не упрощает и не ускоряет. Поэтому требования обеспечения безопасности часто не задаются вообще, а если и задаются, то чисто формально, «чтобы были», а не для того чтобы ими руководствоваться в повседневной жизни.

  Вторая причина успеха инсайдерских усилий кроется в том, что созданная система управления доступом к ресурсам неэффективна и не решает поставленных перед ней задач. Процедура предоставления доступа к сведениям документально либо не определена, либо не выполняется, владельцы «чувствительных» ресурсов и/или ответственные за их использование не назначены, их администрирование обезличено, каждый администратор может под коллективным аккаунтом получить доступ к системе. В результате фактически любой сотрудник предприятия просто по телефонному звонку может получить доступ к любому ресурсу, а часто целая группа использует одну и ту же пару «логин – пароль» для работы с тем или иным приложением и хранилищем документов.

  Третьей причиной, которую часто упускают из виду, может быть то, что работники организации просто не знают об ответственности за неправомерные действия с информацией, доступ к которой ограничен. А российское законодательство — уголовное, административное, трудовое, гражданское — определяет целый набор карательных механизмов, которые могут быть применены к нерадивому или «мотивированному» конкурентом пользователю системы — от 10 лет лишения свободы по ст. 183 Уголовного кодекса («Незаконное получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну») до увольнения с работы по ст. 81 Трудового кодекса («Разглашение охраняемой законом тайны /государственной, коммерческой, служебной и иной/, ставшей известной работнику в связи с исполнением им трудовых обязанностей, в том числе разглашение персональных данных другого работника»). Там, где защите информации уделяется серьезное внимание, подобные меры работают. В 2006 г. по признакам преступлений, предусмотренным ст. 183 УК, в России было возбуждено 188 уголовных дел, из них 138 — доведено до суда.

  Четвертая причина заключается в том, что персонал зачастую просто не обучен безопасной работе в информационных системах. Если какие-то требования или правила работники и прочитали, то они остались пустым звуком, поскольку никто не учил их правильно составлять свой пароль, чтобы его нельзя было подделать или угадать, ничего не рассказывалось о правилах «гигиены безопасности» — не оставлять компьютер включенным при выходе из комнаты, не записывать и никому не передавать логины и пароли, не оставлять без присмотра аппаратные средства аутентификации, самостоятельно не грузить с оптических дисков программное обеспечение или информационные материалы, не посещать сомнительных сайтов в Интернете и не открывать приложения к электронным письмам от неизвестных отправителей и т. д. Очень часто обучение работе в новой информационной системе, новом приложении, внедренных в деятельность предприятия, не предусматривает даже короткого раздела, касающегося мер безопасности. В странах с высоким уровнем информационных технологий повышение осведомленности персонала давно стало одной из популярных услуг на рынке информационной безопасности, у нас же убедить руководителя вложить средства в обучение конечных пользователей мерам безопасности обычно удается только после серьезного инцидента с печальными, а то и катастрофическими последствиями.

  И, наконец, пятая, последняя причина — отсутствие на предприятии контроля над действиями работников или его бессистемное и беспорядочное ведение. Общее правило заключается в том, что даже самые хорошие правила не будут выполняться, если их реализация систематически не контролируется. Если человек допускает умышленные нарушения корпоративной политики безопасности, но за ними не следует никакой реакции, появляется ощущение полной безнаказанности, а сами правила воспринимаются как абстрактные, не имеющие никакого отношения к практической деятельности. Их постепенно перестает выполнять (или даже не начинает, если правила вводятся впервые) весь персонал.

Что делать?

  После получения ответов на все предыдущие вопросы вполне резонно задать следующий: «И что же тогда делать?» Ответ опять-таки очевиден: четко сформулированным угрозам противопоставить простые и ясные меры противодействия.

  Для четырех рассматриваемых угроз — четыре «противоядия»:

• корысти — материальная заинтересованность;

• ненависти — корпоративная политика лояльности;

• страху — правовая помощь работодателя и государственных органов;

• некомпетентности — обучение персонала и повышение его осведомленности.

  Когда работнику невыгодно красть информацию, так как разовое вознаграждение за кражу существенно ниже доходов даже в среднесрочной перспективе, — скорее всего, похищать и продавать сведения он не станет.

  Когда в организации присутствует корпоративная культура поведения, осуществляется мониторинг микроклимата в коллективе, а при его ухудшении и возникновении конфликтов идет поиск меры воздействия, от проблем работника не отмахиваются, а пытаются их решить, когда все видят перспективы роста (карьерного, материального, профессионального), даже расставание с ценным специалистом проходит безболезненно, без хлопанья дверью и поливания помоями уходящих или остающихся.

  Когда работник знает, что в случае опасности он может обратиться за помощью в соответствующую службу работодателя (безопасности, кадровую, юридическую или др.) и его не оставят наедине с возникшими проблемами (иногда действительно очень серьезными), заставить его действовать под принуждением будет достаточно сложно.

  Когда персонал периодически обучается, ни одно нововведение не становится катастрофой из-за неумения работать на новом оборудовании, с новой программой или системой, ошибок и случайностей будет гораздо меньше. Избежать полностью их нельзя, важно, чтобы количество ошибок и их последствия не были критичными для организации.

Чем поддержать?

  Далее наступает очередь именно технических решений, которые должны поддержать описанные выше организационные. Поддержка должна осуществляться эффективной системой технических мер обеспечения информационной безопасности, а также регистрацией действий пользователей и контролем над соблюдением установленных правил.

  В свою очередь, технические меры должны обеспечивать реализацию трех групп защитных механизмов:

• управление аутентификацией, доступом и правами;

• блокирование недопустимых действий пользователей;

• резервирование защищаемой информации.

  Контроль должен максимально снизить возможность несанкционированных действий и в общем случае включает в себя контроль:

• следования установленным политикам;

• исполняемых программ;

• процедур;

• внешних связей пользователей;

• над электронными документами и электронными правами;

• над использованием внешних устройств ввода-вывода.

  Для успешной реализации технических мер защиты в организации должны быть утвержденные политики (правила) безопасности, определяющие, какие меры и как должны реализовываться, внедрены программно-аппаратные и аппаратные средства защиты информации, обеспечивающие заложенный в политиках функционал, гарантированы доведение установленных правил до персонала организации и обучение как технических специалистов правилам эксплуатации средств безопасности, так и конечных пользователей — правилам безопасной работы в информационных системах.

  Организация эффективного контроля над установленными правилами и действиями пользователей предполагает разработку специального регламента контроля, в котором будет четко установлено, кто конкретно (какое подразделение), что (какие средства и процедуры) и как контролирует. Ответ на вопрос «как?» подразумевает определение периодичности мониторинга, использование для его реализации специальных средств (программ), выполняющих контроль как в автоматическом, так и в ручном режимах, а также порядка принятия решений о проведении тех или иных контрольных мероприятий и их объектах.

  Какой бы хороший регламент ни был создан, далее необходимо получить согласие пользователей на контентный анализ электронной переписки (фактически ее перлюстрацию). По этому поводу написано очень много, но по твердому убеждению автора, анализ содержимого без согласия пользователей противоречит российскому законодательству.

  Следующий шаг — техническая реализация предусмотренных регламентом мер контроля (закупка, установка и запуск в эксплуатацию соответствующих средств). Затем организуются мониторинг результатов контроля, разбор выявленных инцидентов и нарушений, принятие мер по результатам разбора. Мониторинг без административного расследования, выявления и наказания виновных, реакции руководства на нарушения столь же бесполезен, как и принятие соответствующих правил без организации контроля их исполнения.

  В заключение хотелось бы еще раз подчеркнуть, что бороться с инсайдерской угрозой надо в первую очередь в «головах» персонала, подкрепляя соответствующие организационные меры техническими средствами, обеспечивающими проверку выполнения установленных правил и максимально быструю и адекватную реакцию на нарушения.