Уничтожение данных: скрытая угроза растет

Денис Зенкин

  Не так давно мировая ИТ-общественность была взбудоражена весьма серьезной утечкой информации, которая произошла в английском Оксфорде. Местный ИТ-специалист Эндрю Чепмен (Andrew Chapman) купил на аукционе eBay компьютер, содержавший конфиденциальные банковские записи более 1 млн клиентов American Express, NatWest и Royal Bank of Scotland. Такая база стоит на черном рынке миллионы долларов, однако компьютер был продан с аукциона по цене всего лишь в 35 фунтов стерлингов.

  На самом деле подобные истории не редкость. Практика показывает, что в подавляющем большинстве случаев компании забывают уничтожить информацию перед перепродажей компьютерного оборудования. Однако в случае с Чепменом информация даже не была удалена из файловой системы компьютера. Чтобы получить доступ к данным, специалисту не требовалось никаких специальных программ – сведения были поданы ему "на блюдечке с настоящей голубой каемочкой".

  Впрочем, такой сценарий развития событий является скорее исключением, чем правилом. Чаще всего информацию с носителей все-таки удаляют, однако делают это совершенно неправильно. Любой человек, который хотя бы немного знаком с компьютером, прекрасно знает, что обычное удаление данных из файловой системы – всего лишь очистка заголовков, а не полное обнуление ячеек диска. Это означает, что ликвидированную таким образом информацию можно легко восстановить, используя специализированное ПО.

  Отдельно подчеркнем, что существует огромное количество программ для восстановления данных, многие из которых являются бесплатными и обладают простым интерфейсом. Другими словами, при наличии должного желания восстановить удаленную информацию сможет практически любой человек.

  Несмотря на это, проблема утилизации информации практически игнорируется современными компаниями. Осенью прошлого года специалисты из университета Гламорган (University of Glamorgan) даже провели специальное исследование, посвященное информации на перепродаваемых компьютерах. Они купили 350 бывших в употреблении жестких дисков и попытались восстановить с них максимальное количество информации.

  Реальные примеры утечек через различные аукционы:

• American Express, NatWest и Royal Bank of Scotland. В августе 2008 года ИТ-специалист из Оксфорда Эндрю Чепмен приобрел компьютер с банковской базой данных на аукционе eBay. Потратив всего 35 фунтов стерлингов, Чепмен получил доступ к миллионам строго секретных записей.

• Штат Оклахома. В мае 2008 года житель Оклахома-Сити Джо Силл (Joe Sill) приобрел на государственном аукционе 50 компьютеров для последующего апгрейда и перепродажи. Включив один из них, Джо обнаружил на нем приватную информацию (номера социального страхования) пяти тысяч жителей штата.

• МВД Британии. В феврале 2008 года в фирму по ремонту компьютеров принесли неработающий ноутбук, который был куплен на аукционе eBay. Сняв клавиатуру устройства, специалисты обнаружили под ней оптический носитель с надписью Home Office Confidential ("МВД, конфиденциально") и сообщили о нем в правоохранительные органы.

• NHS Trust. В сентябре 2007 года национальная британская система здравоохранения призналась, что продавала списанные компьютеры на аукционе eBay. На некоторых дисках этих компьютеров содержались секретные данные, которые можно было восстановить.

• Idaho Power. Компания Idaho Power продавала носители на аукционе eBay через посредника, который должен был обеспечить уничтожение информации. Весной 2006 года специалисты Idaho Power провели "контрольную закупку" и очень удивились наличию секретных сведений на нескольких купленных дисках.

  Результаты работы повергли исследователей в настоящий шок. Они сумели обнаружить огромное количество секретных данных – информацию о заработных платах, финансовые сведения, данные о банковских аккаунтах и транзакциях, а также медицинские сведения. На многих носителях были найдены порнографические материалы, хранение которых разрешено далеко не во всех странах мира.

  В общей сложности 37% проанализированных дисков содержали персональные данные различной степени секретности. Показатель на самом деле критический, ведь далеко не все приобретенные носители использовались в корпоративной среде.

  Из результатов этого исследования легко придумать бизнес-кейс для мошенников и аферистов. Им достаточно скупать подержанные диски на аукционах, восстанавливать на них информацию и шантажировать ее владельцев возможным разглашением. Учитывая современные цены на диски и огромное количество неудаленной информации, вариант практически беспроигрышный. Если, конечно, уметь заметать свои следы и не бояться быть обнаруженным.

  Кроме утечек с цифровых носителей, серьезные опасения вызывают и так называемые "бумажные" утечки, в рамках которых компрометируется информация, напечатанная на бумажных документах. Практически каждую неделю мировые СМИ сообщают об очередном мусорном контейнере, заполненном кипами ненужных документов со строго секретной информацией. Банальная идея уничтожить бумагу в шредере, к сожалению, приходит в головы далеко не всех руководителей.

  Способы удаления данных на диске, конечно, несколько сложнее, однако их нельзя назвать неподъемными для большинства компаний. Самый простой способ утилизации информации – физическое уничтожение носителей – сравнительно накладен и требует привлечения специальных партнеров. Однако только так можно удалить информацию со 100% точностью.

  Программные способы удаления, к сожалению, такой гарантии не предоставляют. Некоторые специализированные компании готовы восстановить данные даже в том случае, если содержимое носителя несколько раз было перезаписано. Гарантий восстановления, правда, тоже никаких нет, однако сам факт существования такой возможности имеет место быть.

  "Мне кажется, компаниям не стоит играть с огнем, - считает руководитель аналитического центра Perimetrix Владимир Ульянов. – Старые носители, которые сегодня стоят копейки, проще расплавить, чем экспериментировать с программным удалением информации. Зачастую расходы на перепродажу старых носителей оказываются больше, чем стоимость этих самых носителей".

  Однако главная проблема заключается даже не в способах утилизации данных, а в ее организации. Как бы не уничтожались данные, если они уничтожаются – это уже хорошо. Многие компании просто закрывают глаза на эту проблему, фокусируясь на более важных, по их мнению, задачах.

  Вряд ли российские компании продают старое компьютерное оборудование на аукционах. Скорее всего, оно отдается бедным филиалам или оседает в квартирах у администраторов. В обоих случаях информация может оказаться у людей, не обладающих правами для доступа к ней.

  По мнению экспертов компании Perimetrix, главная задача защиты данных на последнем этапе их жизненного цикла – обеспечить функционирование бизнес-процессов утилизации носителей. Пока компании не придут к пониманию этого тезиса, компьютеры с миллионами банковских записей будут продаваться с аукционов eBay.