Головна  /  Складання  /  Витік конфіденційної інформації освіти. Витоки інформації: економічні ефекти

Витік конфіденційної інформації освіти. Витоки інформації: економічні ефекти

Складання
17.11.2023

Тічка інформації є серйозною небезпекою для багатьох підприємств. Вона може статися внаслідок наміру третіх осіб або з необережності співробітників. Умисна організація витоку відбувається з двома цілями: першою стає нанесення шкоди державі, суспільству чи конкретному підприємству, ця мета характерна проявів кібертероризму; Другою метою є отримання переваги у конкурентній боротьбі.

Ненавмисний витік відбувається найчастіше через необережність співробітників організації, але також може призвести до серйозних несприятливих наслідків. p align="justify"> Створення системи захисту інформаційних активів від втрати в компаніях всіх типів має здійснюватися на професійному рівні, з використанням сучасних технічних засобів. Для цього необхідно мати уявлення про канали витоку та способи блокування цих каналів, а також про вимоги до сучасних систем безпеки.

Принципи проектування систем захисту

Існують певні принципи, на яких має ґрунтуватися комплексна система заходів щодо захисту конфіденційної інформації від витоків:

  • безперервність роботи системи у просторі та часі. Засоби захисту, що використовуються, повинні контролювати весь і матеріальний, і інформаційний периметр цілодобово, не допускаючи виникнення тих чи інших розривів або зниження рівня контролю;
  • багатозональність захисту. Інформація повинна ранжуватися за рівнем значущості, і її захисту повинні застосовуватися різні за рівнем впливу методи;
  • розміщення пріоритетів. Не вся інформація однаково важлива, тому найсерйозніші заходи захисту повинні застосовуватися для відомостей, що мають найвищу цінність;
  • інтеграція. Усі компоненти системи повинні взаємодіяти між собою та керуватися з єдиного центру. Якщо компанія холдингова або має кілька філій, необхідно налаштувати управління інформаційними системами головної компанії;
  • дублювання. Всі найважливіші блоки та системи зв'язку повинні бути продубльовані, щоб у разі прориву або знищення однієї з ланок захисту йому на зміну прийшов контрольний.

Побудова систем такого рівня не завжди потрібна невеликим торговим фірмам, але для великих компаній, що особливо співпрацюють з державним замовником, вона є необхідною.

Адміністративно-організаційні заходи

За їх дотримання повинен нести відповідальність керівник компанії, а також один із його заступників, у віданні якого знаходиться служба безпеки. Майже 70% від загального ступеня безпеки відомостей залежить саме від адміністративно-технічних заходів, тому що в діяльності служб комерційного шпигунства використання випадків підкупу співробітників зустрічається набагато частіше, ніж використання спеціальних технічних засобів розкрадання відомостей, які потребують високої кваліфікації та розкриття інформації третім особам, безпосередньо не що беруть участь у конкурентній боротьбі.

Розробка документації

Усі нормативно-правові акти організації, присвячені захисту комерційної таємниці та інших відомостей, повинні відповідати найсуворішим вимогам до аналогічних документів, необхідних для отримання ліцензії. Це пов'язано не тільки з тим, що вони найбільш опрацьовані, а й з тим, що якісна підготовка цього документації дасть у майбутньому можливість захисту позиції компанії в суді при виникненні спорів про витік інформації.

Робота з персоналом

Персонал є найслабшою ланкою у будь-якій системі захисту від витоків. Це призводить до необхідності приділяти роботі з ним максимальну увагу. Для компаній, що працюють з державною таємницею, передбачено систему оформлення допусків. Іншим організаціям необхідно вживати заходів для забезпечення обмеження можливості роботи з конфіденційними даними. Необхідно скласти перелік відомостей, що становлять комерційну таємницю, і оформити його як додаток до трудового договору. p align="justify"> При роботі з інформацією, що міститься в базі даних, повинні бути розроблені системи допуску.

Необхідно обмежити всі можливості копіювання та доступ до зовнішньої електронної пошти. Усі співробітники мають бути ознайомлені з інструкціями про порядок роботи з відомостями, що містять комерційну таємницю, та підтвердити це розписами у журналах. Це дозволить за потреби притягнути їх до відповідальності.

Пропускний режим, що існує на об'єкті, має припускати не лише фіксацію даних усіх відвідувачів, а й співпрацю лише з охоронними підприємствами, які також відповідають усім вимогам безпеки. Ситуація, коли співробітник ЧОПу чергує в нічний час на об'єкті, в якому співробітники для зручності системного адміністратора записують свої паролі і залишають їх на робочому столі, може бути такою ж небезпечною, як робота хакера-професіонала або закладені в приміщенні технічні засоби перехоплення.

Робота з контрагентами

Досить часто винуватцями витоків інформації стають не співробітники, а контрагенти компанії. Це численні консалтингові та аудиторські компанії, фірми, які постачають послуги з розробки та обслуговування інформаційних систем. Як досить цікавий, хоч і спірний приклад можна навести українську ситуацію, де було заборонено роботу низки дочірніх компаній 1С через підозри в можливості розкрадання її співробітниками конфіденційної бухгалтерської інформації. Ту ж небезпеку є поширені сьогодні хмарні CRM-системи, які пропонують послуги хмарного зберігання інформації. За мінімального рівня їхньої відповідальності за збереження довірених їм відомостей ніхто не зможе гарантувати, що вся база телефонних дзвінків клієнтів, записана в системі при її інтеграції з IP-телефонією, не стане миттєво здобиччю конкурентів. Цей ризик має оцінюватись як дуже серйозний. При виборі серверних або хмарних програм слід вибирати перші. За даними Microsoft, кількість кібератак на хмарні ресурси цього року зросла на 300%.

Так само обережно необхідно ставитися до всіх контрагентів, які вимагають передачі їм даних, що становлять комерційну таємницю. У всіх договорах мають бути передбачені умови, що вводять відповідальність за її розголошення. Досить часто акти оцінки власності та акцій, аудиторських перевірок, консалтингових досліджень перепродаються конкуруючим організаціям.

Планувальні та технічні рішення

При плануванні архітектури приміщення, в якому проводяться переговори або знаходиться інформація, що захищається, повинні дотримуватися всіх вимог ГОСТу за способами захисту. Приміщення переговорних повинні бути здатні пройти необхідну атестацію, застосовувати всі сучасні способи екранування, звукопоглинаючі матеріали, використовуватися генератори перешкод.

Технічні засоби та системи запобігання витоку

Для захисту інформації від витоку чи розкрадання необхідно застосовувати широкий спектр заходів апаратно-технічного характеру. Сучасні технічні засоби поділяються на чотири групи:

  • інженерні;
  • апаратні;
  • програмні;
  • криптографічні.

Інженерні

Ця категорія засобів захисту застосовується у рамках реалізації планувально-архітектурних рішень. Вони являють собою пристрої, що фізично блокують можливість проникнення сторонніх осіб до об'єктів, що охороняються, системи відеоспостереження, сигналізації, електронні замки та інші аналогічні технічні пристрої.

Апаратні

До них відносяться вимірювальні прилади, аналізатори, технічні пристрої, що дозволяють визначати місця знаходження заставних приладів, все, що дозволяє виявити діючі канали витоку інформації, оцінити ефективність їх роботи, виявити значні характеристики та роль ситуації з можливою або втратою відомостей. Серед них є індикатори поля, радіочастотометри, нелінійні локатори, апаратура для перевірки аналогових телефонних ліній. Для виявлення диктофонів використовуються детектори, які виявляють побічні електромагнітні випромінювання, за тим самим принципом працюють детектори відеокамер.

Програмні

Це найбільш значуща група, оскільки за її допомогою можна уникнути проникнення в інформаційні мережі сторонніх осіб, блокувати атаки хакерів, запобігти перехопленню інформації. Серед них слід зазначити спеціальні програми, які забезпечують системний захист інформації. Це DLP-системи та SIEM-системи, які найчастіше застосовуються для створення механізмів комплексної інформаційної безпеки. DLP (Data Leak Prevention, системи запобігання витоку даних) забезпечують повний захист від втрати конфіденційної інформації. Сьогодні вони налаштовуються в основному на роботу з погрозами всередині периметра, тобто вихідними від користувачів корпоративної мережі, а не хакерів. Системи застосовують широкий набір прийомів виявлення точок втрати або перетворення інформації та здатні блокувати будь-яке несанкціоноване проникнення або передачу даних, автоматично перевіряючи всі канали їх надсилання. Вони аналізують трафік пошти користувача, вміст локальних папок, повідомлення в месенджерах та при виявленні спроби переправити дані блокують її.

(Security Information and Event Management) управляють інформаційними потоками та подіями в мережі, при цьому під подією розуміється будь-яка ситуація, яка може вплинути на мережу та її безпеку. За її виникнення система самостійно пропонує рішення про усунення загрози.

Програмні технічні засоби можуть вирішувати окремі проблеми, а можуть забезпечувати комплексну безпеку комп'ютерних мереж.

Криптографічні

Комплексне застосування всього діапазону методів захисту може бути надлишковим, тому для організації систем захисту інформації у конкретній компанії потрібно створювати власний проект, який виявиться оптимальним із ресурсної точки зору.

Сьогодні ми поговоримо про витік та засоби захисту конфіденційної інформації.

Термін конфіденційна інформація означає довірча, що не підлягає розголосу, секретна. Розголошення її може кваліфікуватися як кримінальний злочин. Будь-яка особа, яка має доступ до такої інформації, не має права розголошувати її іншим особам без згоди правовласника.

Конфіденційна інформація та закон

Указ президента РФ № 188 від 06.03.1997 р. визначає відомості, що мають конфіденційний характер. До них відносяться:

  1. Відомості, що стосуються комерції.
  2. Відомості, пов'язані стосовно службової діяльності.
  3. Лікарська, адвокатська, особиста (листування, телефонні розмови тощо) таємниця.
  4. Таємниця слідства, судочинства, відомості про засуджених.
  5. Персональні дані громадян, відомості про їхнє особисте життя.

Комерційна таємниця - це інформація, що дає можливість її власнику отримати конкурентну перевагу, вигоду від надання послуг або продажу товарів. Інсайдерська інформація про компанію (зміна керівництва тощо) здатна вплинути на вартість акцій.

Службова таємниця – інформація, яка є в органах держуправління, документи мають гриф «Для службового користування» та не підлягають розголошенню третім особам.

До професійної таємниці належить таємниця слідства, адвокатська, судочинства, нотаріальна тощо.

Будь-які персональні дані (П.І.Б., місце роботи, адреса, і.т.д.), відомості про приватне життя громадянина.

Витік такої інформації може наступити у таких випадках:

  1. Неефективне зберігання та доступ до конфіденційної інформації, погана система захисту.
  2. Постійна зміна кадрів, помилки персоналу, важкий психологічний клімат у колективі.
  3. Погане навчання персоналу ефективним способам захисту.
  4. Невміння керівництва організації контролювати роботу працівників із закритою інформацією.
  5. Безконтрольна можливість проникнення у приміщення, де зберігається інформація, сторонніх осіб.

Шляхи витоку інформації

Вони можуть бути організаційні та технічні.

Організаційні канали:

  1. Надходження на роботу в організацію з метою отримання закритої інформації.
  2. Отримання інформації від партнерів, клієнтів з використанням методів обману, введення в оману.
  3. Кримінальний доступ для отримання інформації (крадіжка документів, викрадення жорсткого диска з інформацією).

Технічні канали:

  1. Копіювання оригінального документа закритої інформації або його електронної версії.
  2. Запис конфіденційної розмови на електронні носії (диктофон, смартфон та інші пристрої для запису).
  3. Усна передача змісту документа обмеженого доступу третім особам, які мають права доступу до нього.
  4. Кримінальне отримання інформації за допомогою радіозакладок, потайних мікрофонів і відеокамер.

Заходи захисту інформації

Система захисту закритої інформації передбачає:

  1. Попередження несанкціонованого доступу до неї.
  2. Перекриття каналів витоку.
  3. Регламентація роботи з конфіденційною інформацією.

Служба безпеки підприємства має організовувати практичну реалізацію системи захисту інформації, навчання персоналу, контроль за дотриманням нормативних вимог.

Організаційні методи

  1. Розробка системи обробки конфіденційних даних.
  2. Доведення до персоналу фірми положення про відповідальність за розголошення конфіденційних документів, їхнє копіювання або фальсифікацію.
  3. Складання списку документів обмеженого доступу, розмежування персоналу щодо допуску до наявної інформації.
  4. Відбір персоналу обробки конфіденційних матеріалів, інструктування співробітників.

Технічні методи

  1. Використання криптографічних засобів при електронному листуванні, ведення телефонних розмов щодо захищених ліній зв'язку.
  2. Перевіряє приміщення, де ведуться переговори, на відсутність радіозакладок, мікрофонів, відеокамер.
  3. Доступ персоналу до захищених приміщень за допомогою ідентифікуючих засобів, коду, пароля.
  4. Використання на комп'ютерах та інших електронних пристроях програмно-апаратних методів захисту.

Політика компанії в галузі інформаційної безпеки включає:

  1. Призначення відповідальної особи за безпеку у створенні.
  2. Контролює використання програмно-апаратних засобів захисту.
  3. Відповідальність начальників відділів та служб за забезпечення захисту інформації.
  4. Введення пропускного режиму для працівників та відвідувачів.
  5. Складання списку допуску осіб до конфіденційних відомостей.

Організація інформаційної безпеки

Комп'ютери, що працюють у локальній мережі, сервери, маршрутизатори повинні бути надійно захищені від несанкціонованого знімання інформації. Для цього:

  1. За роботу кожного комп'ютера призначається відповідальний співробітник.
  2. Системний блок опечатується працівником IT служби.
  3. Встановлення будь-яких програм здійснюється фахівцями IT служби.
  4. Паролі повинні генеруватися працівниками IT служби та видаватися під розпис.
  5. Забороняється використання сторонніх джерел інформації, всіх носіях інформації виробляється маркування.
  6. Для підготовки важливих документів використовувати лише один комп'ютер. На ньому ведеться журнал обліку користувачів.
  7. Програмно-апаратне забезпечення має бути сертифіковано.
  8. Захист носіїв інформації (зовнішні диски) від несанкціонованого доступу.

Система роботи з конфіденційною інформацією гарантує інформаційну безпеку організації, що дозволяє зберігати від витоків важливі відомості. Це сприяє стійкому функціонуванню підприємства тривалий час.

Нині інформація для організацій одна із джерел добробуту. Майже вся інформація, пов'язана з діяльністю організації, є конфіденційною. У зв'язку з цим виникає потреба захисту такої інформації, але не рідко керівники досить безтурботно ставляться до збереження конфіденційності інформації та результатом є її витік. Вжиття заходів щодо охорони конфіденційності інформації – це комплекс заходів, спрямованих на забезпечення інформаційної безпеки.

Недотримання заходів щодо охорони комерційної таємниці або неправильна політика безпеки інформації веде до появи загрози інформаційних ресурсів. Під загрозою інформаційних ресурсів передбачається сукупність впливів факторів зовнішнього та внутрішнього середовища організації, спрямованих на незаконне чи зловмисне перешкоджання чи утруднення її функціонування відповідно до статутних, довгострокових та короткострокових цілей та завдань, а також на відчуження результатів її діяльності.

Кожна загроза, незалежно від її змісту, призводить до порушення конфіденційності інформації, порушення режиму такої інформації, тобто завдає певної шкоди власнику комерційної таємниці. Захист конфіденційної інформації та вжиття заходів щодо усунення загроз вживається для того, щоб усунути загрозу взагалі або хоча б знизити можливу шкоду від таких дій.

Одним із значних видів небезпеки інформаційним ресурсам є витік конфіденційної інформації. Витік конфіденційної інформації є вихід інформації за межі організації або кола осіб, яким вона була відома. Витік інформації може здійснюватися різними технічними каналами. Під каналом витоку інформації прийнято розуміти певний шлях від джерела конфіденційної інформації до певної особи, яка хоче заволодіти такою інформацією. Для утворення каналу витоку інформації необхідні певні просторові, енергетичні та часові умови, а також наявність на стороні зловмисника відповідної апаратури прийому, обробки та фіксації інформації.

Основними каналами витоку інформації є співробітники організації, документи (наприклад, звіти) та технічні канали витоку інформації.

Крім того, витік може відбуватися в процесі спільних робіт з іншими фірмами (наприклад, створення спільних підприємств), консультації фахівців з боку, які отримують доступ до документації та виробничої діяльності фірми, фіктивних запитів щодо можливості укладання угод з організацією та ін.

Під технічними каналами витоку конфіденційної інформації маються на увазі візуально-оптичні канали; акустичні канали; електромагнітні канали; мережі персональних комп'ютерів; телефонні, стільникові та пейджингові канали зв'язку.

В даний час одним із основних шляхів передачі великої кількості конфіденційної інформації є телефонні переговори. Тому, як приклад, розглянемо технічні методи захисту конфіденційної інформації, що передається по телефонних лініях.

Для прослуховування телефонних розмов застосовують всілякі пристрої, що прослуховують, мікрофони, вбудовані в телефонну трубку, мікрофонний підсилювач, електронний комутатор та інші технічні засоби.

Існують активні та пасивні методи та засоби захисту телефонного апарату від витоку інформації по електроакустичному каналу та від перехоплення електронними пристроями. До найпоширеніших пасивних методів захисту відносяться:

Обмеження небезпечних сигналів;

Фільтрування небезпечних сигналів;

Вимкнення джерел небезпечних сигналів.

Найбільш ефективним методом захисту є відключення телефонних апаратів від лінії під час конфіденційних розмов у приміщенні, де вони встановлені. Найпростіший спосіб реалізації цього методу полягає в установці в корпусі телефонного апарату або телефонної лінії спеціального вимикача, при покладеній трубці телефону, що відключає телефонний апарат від лінії або вручну, або автоматично.

Активні методи захисту від витоку інформації по електроакустичному каналу зводяться до застосування низькочастотного маскуючого шумового сигналу. Для захисту інформації від перехоплення електронними пристроями існує ще один метод (метод високочастотної широкосмугової маскирующей перешкоди), який полягає в подачі в телефонну лінію при покладеній трубці, що трубки маскує високочастотного широкосмугового шумового сигналу.

Прослуховування телефонних розмов можливе завдяки електронним пристроям перехоплення мовної інформації, що підключаються до телефонних ліній одним із трьох способів: послідовно (у розрив одного з проводів), паралельно (одночасно до двох проводів) та з використанням індукційного датчика (безконтактне підключення). У перших двох підключень живлення електронних пристроїв перехоплення здійснюється від телефонної лінії, при останньому - від автономного джерела струму. Активізація радіопередаючого пристрою відбувається лише на час телефонної розмови, при цьому може здійснюватися запис отримуваної мовної інформації. Також можливе прослуховування через підключення другого телефону в сусідній кімнаті.

Існує кілька активних методів захисту телефонних розмов, які здійснюють придушення електронних пристроїв перехоплення інформації.

Метод високочастотної маскуючої перешкоди полягає в подачі в лінію під час телефонної розмови широкосмугового маскуючого перешкодового сигналу, частота якого підбирається так, щоб після проходження мікрофонного підсилювача диктофона його рівень виявився достатнім для придушення мовного сигналу, але при цьому не погіршувалося якість телефонних. Ефективність перешкодного сигналу збільшується зі зниженням його частоти, тобто. Чим нижче його частота, тим більше впливає він на корисний (мовленнєвий) сигнал.

Метод «обнулення» полягає в тому, що в момент телефонної розмови до лінії подається постійна напруга, яка зі зворотною полярністю відповідає напрузі в лінії при піднятій трубці. Даний метод застосовується для виведення з ладу електронних пристроїв перехоплення мовної інформації з контактним підключенням до телефонної лінії, що використовують її для живлення. До таких пристроїв можна віднести паралельні телефонні апарати та телефонні радіозакладки.

Компенсаційний метод полягає в тому, що при передачі мовного повідомлення на стороні, що приймає, за допомогою спеціального генератора в телефонну лінію і на один із входів двоканального адаптивного фільтра подається маскувальна перешкода, на інший вхід фільтра надходить адаптивна суміш корисного (мовного) і того ж перешкодного сигналів . Далі адаптивний фільтр виділяє корисний сигнал шляхом компенсації шумової складової та посилає його на телефон або записуючий пристрій. Цей метод є високоефективним для придушення всіх відомих засобів несанкціонованого знімання інформації з телефонної лінії та широко використовується для маскування, а також приховування мовних повідомлень, що передаються абонентом.

Метод «випалювання» полягає у подачі до телефонної лінії високовольтних імпульсів напругою. Телефон у разі використання цього методу від лінії відключається. Імпульси подаються до телефонної лінії двічі. Один раз при розімкнутій телефонній лінії (для "випалювання" паралельно підключених до неї електронних пристроїв), а другий - при закороченій (для "випалювання" послідовно підключених пристроїв). Телефон у разі використання цього методу від лінії відключається.

В даний час для захисту телефонних ліній використовуються не тільки прості пристрої, що реалізують один із методів захисту, але й складні, які забезпечують комплексний захист ліній шляхом комбінації декількох методів, що включають захист інформації від витоку електроакустичного каналу.

Захист інформації від витоку акустичним каналом – це комплекс заходів, що виключають або зменшують можливість виходу конфіденційної інформації за межі контрольованої зони за рахунок акустичних полів.


ВИСНОВОК

Отже, ми розглянули в лекції поняття «комерційна таємниця» та «режим комерційної таємниці», а також основні положення Федерального закону РФ «Про комерційну таємницю». Крім цього, у лекції розкрито питання пов'язані з каналами витоку конфіденційної інформації та методами її захисту.

ЛІТЕРАТУРА

1. Степанов А.Г., Шерстньова О.О. Захист комерційної таємниці. - М.: Видавництво "Альфа-Прес", 2006. - 180 с.

Аналітична стаття Веніаміна Левцова, Директора з розвитку напряму інформаційної безпеки, LETA IT-company.

Не минає тижня, щоб у стрічках новин не згадувалося про черговий зафіксований витік конфіденційних даних. Це породжує підвищений інтерес бізнес-спільноти та IT-фахівців до систем захисту від подібних дій зловмисників. А від підрозділів, які відповідають за забезпечення інформаційної безпеки, все активніше вимагають побудови системи відстеження та блокування несанкціонованих витоків інформації.

Проте керівники бізнесу, а часом і співробітники технічних служб, не мають чіткого уявлення, що являють собою рішення щодо протидії витокам інформації. Мета цієї статті – допомогти розібратися, що розуміється під системою захисту від витоків, розповісти про суміжні системи, визначити, які завдання мають вирішувати системи боротьби з витоками та які механізми при цьому використовуються.

I. Що таке DLP системи?

Вікіпедія ( http://ua.wikipedia.org) дає таке визначення системи захисту від витоків:

Запобігання витоку (англ. Data Leak Prevention, DLP) - технології запобігання витоку конфіденційної інформації з інформаційної системи зовні, а також технічні пристрої (програмні або програмно-апаратні) для такого запобігання витоку. DLP-системи будуються на аналізі потоків даних, що перетинають периметр інформаційної системи, що захищається. При детектуванні в цьому потоці конфіденційної інформації спрацьовує активний компонент системи, і передача повідомлення (пакету, потоку, сесії) блокується.

Зазначимо, що на практиці велика кількість компаній часом роками використовує такі системи. тільки в режимі стеження (аудиту), а не блокування.

Важливим доповненням до визначення є також те, що DLP-система повинна охоплювати всі основні каналивитоку конфіденційної інформації. Саме такої позиції дотримується сьогодні більшість експертів у цій галузі. Крім того, DLP-система має бути чутливоюпо відношенню до змісту (контенту), що перевіряється, і забезпечувати автоматизованиймеханізм відстеження порушень заданих правил, тобто без залучення значної кількості співробітників-контролерів. З урахуванням сказаного автор пропонує таке визначення системи захисту від витоків даних:
автоматизований засіб, що дозволяє розпізнавати та/або блокувати переміщення конфіденційних даних за межі інформаційної системи, що захищається, по всіх каналах, що використовуються в повсякденній роботі.

Отже, основне завдання технічної системи захисту від витоків:

  • одержати опис конфіденційних даних;
  • після чого вміти розпізнавати їх у потоці, що виходить із внутрішнього інформаційного поля організації зовні;
  • реагувати на виявлені спроби Саме цей функціонал складає ядро ​​будь-якого DLP-рішення.

ІІ. Близькі або суміжні системи захисту

Перш ніж продовжити розгляд систем протидії витокам, оцінимо близькі до них або суміжні за функціоналом. Системи захисту конфіденційної інформації від витоку технічних каналівслужать виявлення різного роду жучків, «закладок», пристроїв прослуховування тощо. буд. У цих систем схожі назви, але цьому подібність закінчується - завдання вони вирішують різні. Мабуть, єдиний загальний елемент схем упровадження таких систем та DLP-рішень лежить в управлінській площині. В обох випадках необхідно визначити перелік відомостей конфіденційного характеру та сформувати процес віднесення інформації до цього розряду.

Існує клас систем стеження за діями співробітників, До можливостей яких часом відносять і виявлення каналів витоку конфіденційної інформації. Зазвичай функціонал таких систем включає тотальне журналування всіх дій користувача, у тому числі відкриття ним сторінок в Інтернеті, роботу з документами, надсилання документів на друк, клавіатурні натискання тощо.

Безумовно, використання подібних систем може принести певну користь у боротьбі з витоком даних. Але, по-перше, шукати у величезному обсязі ліг доведеться силами окремої групи спеціально навчених «наглядачів». По-друге, це все ж таки постконтроль порушень-блокувати самий витік такий продукт не зможе.

Системи управління правами(Rights Management Services) – дозволяють обмежити кількість користувачів та безліч дозволених операцій для документа. Контроль виконується за рахунок централізованого управління правами, шифрування та спеціальних plug-in"oB до додатків, що працюють з документами.

Ймовірно, системи поділу прав є найбільш потужним конкурентом DLP, дозволяючи запобігти багато відомих сценаріїв витоку інформації. Поділ прав насамперед захищає не зміст документа, яке «контейнер». Так що якщо у користувача немає прав на роботу з документом, він просто не зможе його відкрити. Крім того, такі системи зазвичай дозволяють обмежувати і ряд інших операцій з документом, що захищається, його друк, зняття екранної копії, копіювання його фрагментів через Clipboard, відправку по каналах електронної пошти і т. д. Разом з тим, є чимало ситуацій, коли системи управління правами не дозволяють перекрити поширені сценарії витоків. Посудіть самі...

  1. Документ у його фінальній редакції був віднесений до конфіденційних, він підпадає під захист системи управління правами. Але на серверах і комп'ютерах співробітників продовжують зберігатися його чернетки та попередні версії.Вони можуть бути дуже схожі на остаточний варіант, але їх передача зовні не обмежена.
  2. Користувач, не авторизований на відправку документа електронною поштою, відкриває його та стенографує зміств інший, незахищений документ. Жодних обмежень на переміщення поза створеним ним документом система не підтримує.
  3. У більшості випадків чутлива для бізнесу інформація міститься у записах баз даних.Автор невідомо про те, як можна здійснити контроль доступу до таких даних засобами систем управління правами.

Існуючі на ринку системи моніторингу та архівування поштових повідомленьдуже близькі за своєю ідеологією до DLP-рішень. Як правило, вони дозволяють встановлювати деякі обмеження на контекст (розмір, тип, місцезнаходження файлу) і зміст інформації, що залишає інформаційну систему, що захищається. Причому основний акцент робиться на доступності та продуктивності поштового архіву. А ось механізми визначення ключових слів для розпізнавання конфіденційних документів не відрізняються гнучкістю та зручністю. Крім того, зазвичай відсутні механізми контролю витоків з кінцевих пристроїв.

Є також клас рішень з контролю операцій із зовнішніми пристроями,найпоширенішим прикладом яких є знімний USB-накопичувач. Такі системи нечутливі до змісту. Пристрій може бути заблокований взагалі, можуть блокуватись спроби запису на нього файлів певного обсягу або заданого формату. Проте визначити дії в залежності від змісту неможливо.

ІІІ. Від захисту інформації до управління ризиками

На щастя, залишилися в минулому часи, коли турбота про захист інформації була одним з пунктів у довгому списку завдань IT-служби. аргументом на користь застосування системи протидії витокам конфіденційної інформації є вимога закону. Саме поява відповідних нормативних актів у США, Японії та Західній Європі стала напевно головним каталізатором виникнення DLP як класу рішень. Можна анітрохи не сумніватися, що й у нас інтерес до них негайно зріс би, якби у Росії імперативні правові норми, які однозначно зобов'язують компанії забезпечити наявність технічних засобів захисту від інсайдерів. Але поки що основними мотивами для ініціації процесу залишаються чи бажання відреагувати на фактвже трапився витоку, або намір знизити ймовірність настанняЯк бачите, цілком природно ми перейшли до розмови в термінах управління ризиками.

Дійсно, перший крок процесу, що веде до впровадження DLP-системи, - віднесення проблеми витоків інформації до галузі ризик-менеджменту.

Практично для будь-якої організації зараз існує чимало даних, наслідки несанкціонованого витоку яких може завдати їй відчутних збитків. Наперед оцінити розмір цієї шкоди майже неможливо. Але в більшості випадків для того, щоб усвідомити небезпеку, яка походить від витоків інформації, достатньо уявити навіть загальні наслідки: зниження довіри та відтік клієнтів, проблеми в конкурентній боротьбі, витрати на PR, витік програмного коду, технологій, ноу-хау та багато іншого. База позичальників середнього за розмірами банку, який витратив чимало коштів на створення іміджу «надійного», потрапляє на «Окрайку». Цікаво, у вас виникне бажання відкрити у цьому банку депозит? Внутрішня аналітика інвестиційного фонду потрапляє до конкурента або клієнтів фонду (іноді невідомо, що може мати серйозніші наслідки). Тепер конкурент краще розуміє вашу стратегію, а у клієнта постають неприємні питання. Як думаєте, скільки потенційно може втратити цей фонд у такій ситуації? Велика мережа супермаркетів вимагає отримання унікальних умов поставки товару. Зрозуміло, спеціальні ціни надаються за умов конфіденційності. І ось вони потрапляють до конкурента, який працює з тим самим постачальником на набагато менш привабливих умовах. Як думаєте, збережуться вам спеціальні ціни? Чи не погіршаться стосунки з постачальником після цього?

Продовжувати можна дуже довго, але не викликає сумніву, що для будь-якої організації існує безліч ситуацій, пов'язаних із витоком інформації, збитки від яких дуже чутливі для бізнесу. Існує 4 класичні підходи до управління ризиками: прийняття, виняток, передача, зниження. Розглянемо проблему через призму цих підходів.

■ Прийняття.Припускаємо, що є певна ймовірність настання події - витоку інформації. Оцінюємо збитки, готуємо перелік заходів на випадок настання, але не виробляємо інвестицій у впровадження рішення щодо боротьби з витоками. Цей підхід навряд чи може бути застосований - втрати бізнесу можуть поставити під питання саме його існування.

■ Виняток.У нашому випадку практично неможливо. Навіть використання сучасної DLP-системи не врятує від низки нетипових сценаріїв. Наприклад, майже неможливо захиститись від переписування тексту секретного документа на папір або від телефону з вбудованою камерою в руках інсайдера. Драконівські санкції щодо персоналу, який допустив витік, також не гарантують виключення ризику.

■ Передача.Важко уявити, як можна транслювати ризик витоку інформації на зовнішню організацію. Наскільки відомо автору, такі ризики не страхуються. Важко також уявити, що IT-аутсорсер зможе взяти на себе частину відшкодування наслідків. Можна передати DLP-систему на аутсорсинг лише в її технічній експлуатації, але як передати весь обсяг ризиків - не цілком зрозуміло.

■ Зниження.Вживаються заходи щодо суттєвого зниження ймовірності настання небажаної події. Власне, обсяг необхідних витрат пов'язані з досягненням прийнятного рівня ризику. Саме цей підхід веде нас до запровадження DLP-системи. Насправді боротьба з інсайдерами - далеко не єдина область, де можна лише знизити ризик, зробити його більш керованим. Уявіть, що ви сідаєте за кермо свого автомобіля. Він справний, пройшов регулярне ТО, гума – за сезоном. Ваші документи в порядку, ви тверезі, пристебнуті ременем, знаєте маршрут і нікуди не поспішайте, у вас повна КАСКО. Отже, ви зробили все, що від вас залежить, щоб знизити ризик виникнення перешкод вашому руху до мети. Але хто сказав, що за поворотом на вас не чекає втомлений водій вантажівки, що вилетіла на зустрічну? Вас не чекає цвях у колії дороги, якою ви рухатиметеся? До речі, чи не минув термін служби вогнегасника у вашому багажнику? Отже, ризики зберігаються. Але в переважній більшості випадків за таких умов ви благополучно доїдете до пункту призначення.

Отже, вжиття заходів допоможе суттєво знизити ризик, зробити керовану реакцію на настання негативних наслідків. Але повністю виключити можливість витоку інформації практично неможливо.

IV. Основні шляхи витоку інформації

Можна виділити 3 основних сценарії, що призводять до виведення інформації за межі інформаційного середовища компанії: мережевий, локальний та у зв'язку зі втратою носія.


Розглянемо ці сценарії докладніше.

Мережевийсценарій передбачає відправку інформації за «периметр» контрольованого інформаційного поля засобами електронної пошти, через системи передачі миттєвих повідомлень (ICQ, MSN, AOL), за допомогою веб-пошти (mail.ru, gmail.com), через використання ftp-з'єднання шляхом друку документа на принтері. Для виявлення конфіденційної інформації, що передається мережевими засобами, потрібні механізми перехоплення поштового та інтернет-трафіку, а також контроль за мережевими принт-серверами.

Локальнийшлях виведення інформації включає застосування зовнішніх USB-накопичувачів і жорстких жорстких дисків, запис на CD/DVD і локальний друк.
Очевидно, єдиним способом відстеження таких дій є встановлення на комп'ютері користувача програми-агента, здатної відстежувати потенційно небезпечні дії і реагувати на них відповідно до централізовано керованих політиків.

Незаконне заволодіння носієм(переносним комп'ютером, смартфоном) насправді є найпоширенішим випадком, коли конфіденційна інформація стає доступною третім особам. Ноутбуки губляться і крадуть – майже кожна компанія стикається з цим ризиком, і звести його до нуля неможливо. Практично єдиний дієвий спосіб боротьби у разі - шифрування всього диска чи окремих файлів.

В даний час серед експертів немає єдиної точки зору щодо того, чи відносити шифрування переносних пристроїв до типового функціоналу систем боротьби з витоком даних. На думку автора, оскільки цей сценарій витоку є досить поширеним, повноцінне рішення має передбачати і криптографічний захист. До речі, виробники багатьох існуючих DLP систем (McAfee, Symantec, InfoWatch) вже включають у свої пакети засоби шифрування кінцевих пристроїв.

У рамках цієї статті не хотілося б зупинятися на описі конкретних випадків витоків даних, які стали оприлюдненими, та обговорювати, які з каналів
витоків використовуються найчастіше. Як джерело предметної та найбільш актуальної інформації з цього приводу можна порекомендувати розділи «Аналітка» та «Новини про загрози» сайту компанії InfoWatch ( www. infowatch.ru), піонера та лідера російського ринку DLP-рішень, а також сайт утвореної в 2007 році компанії Perimetrix ( www. perimetrix.ru).

На цих сайтах можна знайти безліч прикладів, які переконують у серйозності небезпеки, яку несуть у собі витікання конфіденційної інформації.

V. Методи розпізнавання інформації, що захищається

Ядром будь-якого DLP-рішення є механізм, що дозволяє розпізнавати в інформації, що залишає систему, конфіденційні фрагменти. Розглянемо 6 основних механізмів, які використовуються для цього в DLP-продуктах.

Ручна розмітка змісту

Цей підхід називають ще контекстним та морфологічним. Визначення конфіденційної інформації здійснюється на основі виділення в ній безлічі значущих, що визначають зміст слів, які також називають ключовими.

Для кожного зі слів визначається деякий вага, і кожне слово співвідноситься з деякою предметною категорією. Наприклад, до категорії «Бухгалтерський звіт» можуть потрапити загальні бухгалтерські терміни та якісь слова, специфічні для бізнесу даної компанії. Крім того, для кожної категорії зазвичай визначається і свій поріг чутливості. Система на «бойовому чергуванні» шукає у вихідних документах ці виділені, ключові, слова. Оскільки у кожного ключового слова є деяка вага і категорія (слово може входити і в кілька категорій, у кожну - зі своєю вагою), не важко порахувати сумарну вагу виявлених у документі ключових слів для кожної категорії. У результаті документ може бути автоматично визнаний конфіденційним за тими категоріями, для яких було перевищено поріг чутливості. Ефективність роботи описаного механізму може бути істотно підвищена за рахунок підключення зовнішнього програмного забезпечення, що дозволяє відстежувати не тільки задані ключові слова, але й словоформи.

Плюси

  • Можна забезпечити дуже тонке налаштування на окремі документи, в результаті відловлюватимуться навіть їх фрагменти.
  • Можливий контроль над над створюваними документами, якщо вони містять виділені раніше ключові терміни.

Мінуси

  • Підготовка гарного, тонкого налаштування передбачає ручну роботу кваліфікованого спеціаліста. Це може забрати чимало часу.
  • Такого фахівця буде залучено до роботи з конфіденційною інформацією.
  • На практиці важко здійснити швидкий пілотний запуск системи.
  • Відносно високий рівень хибних спрацьовувань.

Використання контексту зберігання інформації

Відстежуються параметри, які стосуються не змісту, а файлу з конфіденційною інформацією. Контролюватися можуть формат (причому не розширення файлу, а, по його сигнатурі), розташування, розмір тощо. буд. Таким чином, можна задавати правила, що перешкоджають переміщенню файлів, наприклад, певного формату, зовні.

Плюси

  • Простота реалізації та налаштування.


Мінуси

  • Хоча подібні технології контролю реалізовані практично у всіх DLP-системах, вони можуть бути використані лише як основні методи, що доповнюють, засновані на аналізі змісту.

Використання міток та програми-агента

Цей метод ґрунтується на описаному вище підході, але суттєво його розширює. Спочатку необхідно позначити документ, вручну або шляхом розміщення його в певну папку в мережі. Після цього система почне сприймати його як конфіденційний. Технічно для здійснення такого механізму потрібна наявність на робочому місці спеціальної

Програми-агента, яка, власне, і могла б розпізнаватидокумент як конфіденційний, «навішувати» ознаку конфіденційності на все похідні документиі блокуватиокремі дії користувача із зазначеними документами.

Плюси

  • Простота розгортання та можливість «швидкого старту» реального проекту.
  • Контроль операцій, коли комп'ютер поза мережею.

Мінуси

  • Немає контролю за чернетками.
  • Не закривається сценарій стенографування документа.

Регулярні вирази

За допомогою деякої мови регулярних виразів визначається «маска», структура даних, які відносяться до конфіденційних. Насправді існує чимало випадків, коли визначення об'єктів стеження їх формат виявляється ефективним і надійним. Як приклад можна навести номери кредитних карток, паспортні дані, реєстраційні номери автомобілів, активаційні коди програмного забезпечення тощо.

Плюси

  • Мінімальний час аналізу даних, що перевіряються.
  • Висока надійність виявлення.

Мінуси

  • Розробка та налагодження регулярного вираження потребує залучення кваліфікованого спеціаліста.
  • Може бути застосовано лише до вузького класу даних.

Статистичні методи

Використання статистичних, ймовірнісних методів у DLP-системах цікавить деяких ситуаціях. Наприклад, при аналізі великих обсягів неструктурованих даних або під час аналізу неявної подібності. Можна припустити, що ці методи все активніше застосовуватимуться на практиці, але як додаткові.

Плюси

  • Унікальна ефективність у деяких випадках, наприклад, для протидії примітивним оборотним замінам символів.

Мінуси

  • Застосовується лише до невеликого класу сценаріїв.
  • Непрозорий алгоритм роботи.
  • Потенційно високий рівень хибних спрацьовувань.

Зняття «цифрових відбитків»

Цей метод ґрунтується на побудові деякого ідентифікатора вихідного тексту. Як правило, реалізується наступний автоматичний алгоритм:

  1. З документа, зміст якого вважається конфіденційним, виділяється текстовий зміст.
  2. Текст розбивається на фрагменти.
  3. Для кожного такого фрагмента система створює якийсь ідентифікатор, щось на кшталт «хеша», «відбитка» - як це називається документацією багатьох виробників.
  4. Конфіденційний документ подається в системі набором таких відбитків.

Для порівняння тексту з безліччю конфіденційних документів для нього «на льоту» за аналогічним алгоритмом будується аналогічний набір «відбитків». Якщо обидва множини відбитків демонструють деяку схожість, система діагностує спробу витоку. Зазвичай, реалізується алгоритм «оцифровки» в такий спосіб, що з «відбиткам», створюваним системою, відновити вихідний документ неможливо.

Плюси

  • Процес визначення конфіденційного документа повністю автоматизований, не потрібно залучення консультанта до розмітки тексту.
  • Швидке налаштування системи на нові документи.
  • Відстеження чернеток та фрагментів документа.
  • Здійснення контролю витоків записів із баз даних.
  • Мінімальний час затримки під час аналізу вихідних документів.
  • Низький рівень хибних спрацьовувань.

Мінуси

  • Зберігання цифрових відбитків вимагає додаткових ресурсів.
  • Розмір фрагмента, що надійно розпізнається, зазвичай становить від половини сторінки тексту.




Слід зазначити, що це DLP-системы підтримують кілька механізмів ідентифікації, доповнюють одне одного різних сценаріях.

V. Як працює DLP-система

Розглянемо схематично, як функціонує DLP-система, що протидіє мережному та локальному сценаріям витоку інформації.

Стрижневий функціонал DLP-системи можна умовно поділити на три блоки:

  • налаштуваннясистеми на дані, визначені як конфіденційні;
  • розпізнаваннядій, вкладених у переміщення конфіденційних даних;
  • формування доказової базидля розслідування інцидентів

Налаштування системи на дані

Насамперед необхідно визначити дані, переміщення яких контролюватиметься системою, «подати» їх системі з використанням будь-яких методів, описаних у попередньому розділі та визначити реакцію системи на виявлені інциденти. Важливі також параметри реакції на інцидент. Чи передбачає вона блокування будь-якої операції: відправки електронного листа, створення екранної копії документа, що захищається, запису даних на USB-накопичувач. Незалежно від блокування практично завжди в журналі системи проводиться запис максимально докладної предметної інформації про інцидент. Необхідно описати правила інформування про інцидент

  • співробітника підрозділу, який відповідає за забезпечення інформаційної безпеки;
  • особи, яка є власником інформації;
  • підозрюваного у спробі організації витоку.

Це лише основні налаштування базового функціоналу практично будь-якої DLP системи.

Розпізнавання підозрілих дій користувачів

У разі протидії витокам із використанням мережного сценарію, DLP-система здійснює перехоплення (блокування) або дзеркалювання (тільки аудит) відправлення, проводить аналіз змісту відправки відповідно до механізмів контролю. Потім у разі виявлення підозрілого змісту відбувається інформування відповідального співробітника, а деталі інциденту вносяться до журналу системи.

А сама відправка може бути припинена, якщо схема підключення DLP-модуля дозволяє це зробити. Слід зазначити, що більшість DLP-систем передбачає здійснення «досилки» затриманих раніше повідомлень. Призначений співробітник оцінює, наскільки адекватним був вердикт системи і якщо тривога виявляється помилковою, вручну віддає команду провести відправку затриманого повідомлення.

Подібним чином поводиться і DLP-система, яка контролює операції з даними на комп'ютері користувача. Локальний агент

  • відстежує факт звернення до конфіденційної інформації (може використовуватися механізм міток);
  • блокує всі заборонені дії (print screen, друк, формування відправки через комунікаційні канали тощо);
  • блокує звернення до файлу через програми, які не внесені до числа дозволених для роботи з цим файлом;
  • формує «цифрові відбитки» відкритого документа та перешкоджає відправленню конфіденційного змісту, «набитого» в інший файл;
  • формує журнал подій, який за чергового сеансу зв'язку передається в консолідовану базу інцидентів.

Важливо розуміти, що за наявності локального агента з базою міток та «цифрових відбитків» вердикт приймається на робочій станції. Таким чином вдається в онлайн-режимі оперативно блокувати заборонені дії без втрат часу на звернення до мережевого сховища (у тому числі коли ноутбук знаходиться поза мережею - в дорозі). Отже, мережеві механізми перехоплення оперують із вже сформованими пакетами, тоді як агентське рішення відстежує самі дії кінцевої робочої станції. Слід зазначити, більшість DLP-рішень використовує комбінований підхід: і мережевий перехоплення відправлення, і локальний агент.

VI. Основні гравці ринку

Подані нижче оцінки переваг окремих продуктів складені, виходячи з досвіду роботи над реальними проектами. Всі ціни наводяться лише як загальні орієнтири і є зразковими. Вони передбачають повну вартість проекту, включаючи інтеграційні та аналітичні роботи. Специфіка проектів щодо впровадження систем протидії витокам така, що реальна оцінка їхньої вартості може бути підготовлена ​​лише за результатами дослідження конкретної ситуації у замовника.

InfoWatch

В даний час лідируючі позиції на російському ринку зберігає компанія InfoWatch, яка доклала чималих зусиль для популяризації ідей боротьби з інсайдерами. Як основний механізм розпізнавання конфіденційної інформації в продуктах цієї компанії використовується аналіз змісту (на базі унікального лінгвістичного «движка») та формальних атрибутів відправлення. Детальне опрацювання «тонкої» лінгвістичної розмітки дозволяє досягти високої якості розпізнавання, але треба відзначити, що цей процес вимагає часу та передбачає надання професійного сервісу.

Рішення InfoWatch надає розвинуті засоби контролю мережевих сценаріїв витоку з використанням корпоративної пошти та веб-з'єднання. У зв'язку з цим можна згадати появу у складі рішення універсального прозорого проксі-сервера, що здійснює фільтрацію даних. Застосування цього підходу поряд з використанням окремих перехоплювачів дозволяє вибрати найбільш оптимальну для замовника схему роботи рішення.

Інша важлива тенденція - включення засобів шифрування до рішення щодо захисту від витоків - також не залишилася поза увагою вендора. У лінійці вже з'явився продукт InfoWatch CryptoStorage, покликаний вирішувати це завдання. До складу InfoWatch Traffic Monitor входить власне сховище тіньових копій перехоплених даних. При цьому дані зберігаються у структурованому вигляді із зазначенням категорії та зі збереженням можливості повнотекстового пошуку. Це дозволяє проводити ретроспективний аналіз даних та полегшує розслідування віддалених за часом інцидентів.

До явних переваг рішення на базі продуктів InfoWatch можна також віднести інтерфейс російською мовою, наявність ліцензії російських контролюючих органів на низку версій, солідний досвід із впровадження, накопичений самою компанією та її партнерами, і, звичайно ж, близькість команди розробників. Складно назвати середню фіксовану ціну проекту на базі InfoWatch, оскільки його реалізація включає не лише постачання програмного забезпечення, а й апаратне оснащення, а також роботи консультанта з підготовки бази контентного аналізу. У середньому використання всіх компонентів InfoWatch Traffic Monitor у мережі на 1000 робочих місць може становити від $300 тис. до $500 тис.

Websense

Компанія Websense, світовий лідер рішень з веб-фільтрації, придбала у 2007 році фірму PortAuthority Technologies, що дозволило їй зайняти провідні позиції на ринку систем для запобігання витоку конфіденційних даних. Лінійка продуктів Websense Data Security Suite (DSS), що з'явилася на російському ринку в другій половині 2007 року, включає декілька модулів, які можуть придбати окремо. Основним механізмом розпізнавання конфіденційної інформації у продуктах Websense DSS є «цифровий відбиток», реалізований у запатентованій технології PreciseID.

Підтримуються інші методи ідентифікації: правила, словники, статистичний аналіз. Технологія стійка до операцій вставки-копіювання та часткової зміни вмісту документа, не залежить від мови документа та підтримує російськомовні кодування. За досвідом роботи з цією технологією можна сказати, що вона дійсно показує найвищу якість розпізнавання та близький до нульового рівень хибних спрацьовувань, зберігаючи ефективність навіть за певної зміни змісту. При цьому налаштування системи на документ, що знову підключається, займає хвилини. Важливою та затребуваною є можливість протидіяти витокам змісту реляційних баз даних, також реалізована у технології PreciseID.

Рішення надає широкі можливості щодо контролю даних окремих полів, їх комбінацій, дозволяє задавати порогові значення кількості записів, що пересилаються, відстежувати відправку цієї інформації в тілі, темі або у вкладеннях листа і багато іншого. Рішення Websense DSS контролює всі основні канали передачі даних, включаючи вихідну та внутрішню електронну пошту, вихідний веб-трафік, ftp, програми обміну миттєвими повідомленнями, мережевий друк. Необхідно відзначити також реалізовану в модулі Websense Data Discover можливість контролю даних на кінцевих станціях та мережевих сховищах.

Цей механізм дозволяє здійснювати регулярні перевірки щодо виявлення конфіденційних документів, їх фрагментів і «чернеток», використовуючи можливості технології PreciseID. Щодо захисту від локальних сценаріїв витоків, нині використовується інтеграція з рішеннями інших виробників. Але вже до кінця цього року компанія планує випуск власного агента Websense DSS, функціональність якого перекриватиме практично всі сценарії витоків із кінцевої робочої станції. Витрати на проект впровадження рішення щодо захисту від витоків на базі лінійки Websense DSS у мережі на 1000 робочих місць можуть у середньому становити $100–150 тис. за вартості ліцензій на повний набір модулів близько $70 тис. продовження ліцензій.

McAfee

Рішення для захисту від витоку McAfee Host DLP з'явилося на російському ринку в кінці 2007 року. Воно базується на застосуванні програми-агента, яка керується з єдиної консолі McAfee ePolicy Orchestrator, встановлюється на комп'ютер та контролює операції користувача з конфіденційною інформацією. В даний час в лінійку McAfee Data Protection поряд з DLP-функціональністю включені також широкі можливості по шифруванню даних і контролю зовнішніх пристроїв. Відповідно, McAfee Data Protection може успішно використовуватися і для вирішення завдання з контролю політик використання зовнішніх пристроїв, наприклад USB-накопичувачів.

За досвідом використання цього продукту можна сказати, що він забезпечує надійний захист через механізми тэгування (по суті, встановлення міток) документів та зняття «цифрових відбитків». Продукт демонструє дивовижну чутливість, реагуючи навіть на невеликі фрагменти документів, що захищаються - аж до декількох рядків. Поряд з можливостями моніторингу та блокування відправлення інформації через корпоративну поштову систему, http, ftp, системи передачі миттєвих повідомлень, продукт дозволяє блокувати такі операції, як копіювання фрагментів документа, що захищається через clipboard і зняття екранної копії.

Важливо, що агент продовжує виконувати свої захисні функції навіть коли ноутбук з даними знаходиться поза мережею підприємства – відключити процес непідготовленого користувача не під силу. Якщо замовник вибирає продукти McAfee для побудови повноцінного захисту від внутрішніх загроз, і від зовнішніх (віруси, мережеві атаки і т. д.), це відкриває йому додаткові можливості. Зокрема, спрощується керування системою інформаційної безпеки, з'являються додаткові сценарії контролю, мінімізуються загальні витрати тощо.

Завдяки використанню системи управління McAfee ePolicy Orchestrator (однієї з найкращих в антивірусній індустрії) та вдалої реалізації програми-агента це рішення підійде для компаній з розподіленою інфраструктурою та великим парком переносних комп'ютерів. А з огляду на демократичну політику ліцензування, продукт влаштує і невеликі підприємства з парком від 50-ти комп'ютерів. Оцінна вартість впровадження найбільш повного рішення McAfee Total Protection for Data (TDA), що включає McAfee DLP, McAfee Endpoint Encryption та McAfee Device Control на 1000 користувачів може становити $100-130 тис.

VII. З чого почати?

Цей матеріал не зміг охопити дуже багато цікавих питань використання систем протидії витокам інформації. Як підійти до вибору системи DLP? Як побудувати техніко-економічне обґрунтування її використання? Що може бути включене в пілотне використання DLP-системи і на які питання слід при цьому звернути увагу? Як вплітаються роботи із впровадження DLP-системи у загальну схему управління інформаційною безпекою? Які особливості проектів щодо впровадження таких систем?

Автор сподівається продовжити виклад цих тем у наступних публікаціях, а на завершення хотілося б відповісти на запитання: «То з чого ж почати?» Практика показує, що повноцінне впровадження системи протидії витокам інформації на базі одного з DLP-продуктів можливе лише за активної участі спеціалізованого системного інтегратора. І перше, з чого, мабуть, варто розпочати, – звернутися до консультанта. Це може бути IT-компанія, яка має солідний досвід впровадження систем протидії витокам інформації. Спільно вам доведеться пройти три початкові етапи.

Перше – обговорити з групою експертів консультанта поточну ситуацію та мету впровадження DLP-системи на підприємстві.

Друге – взяти участь у «живій» демонстрації запропонованих до впровадження DLP-систем. У рамках показу варто спробувати системи, як то кажуть, «на смак» і спільно з експертами вибрати одну з них для пілотного розгортання.

І, нарешті, третє - узгодити з консультантом параметри пілотного запуску системи, зафіксувати очікування від його реалізації і провести розгортання. інформації.

Веніамін Левцов
Директор з розвитку напряму ІБ
LETA IT-company

Журнал "IT Manager", серпень 2008 року

Не секрет, що сьогодні інформація відіграє значно більшу роль у житті будь-якої компанії чи державної організації, ніж кілька десятків років тому. Хто володіє інформацією, той володіє світом, а хто володіє чужою інформацією, той краще підготовлений до конкурентної боротьби, ніж його суперники. Чим загрожує сьогодні витік конфіденційної інформації для тих, хто їх допускає?

Впровадження нових інформаційних технологій ставить сучасні компанії у залежність від інформаційної системи, а перехід на електронні носії інформації призводить до необхідності приділяти пильну увагу питанню інформаційної безпеки. Будь-яке втручання у роботу інформаційної системи: крадіжка, знищення чи несанкціонований доступом до даних може призвести до значних збитків компанії, котрий іноді її повної ліквідації, особливо якщо ці дані стосуються її комерційних таємниць чи ноу-хау.

Стурбованість внутрішніми загрозами інформаційної безпеки є обґрунтованою. Держструктури та представники бізнес-сектору ставлять на перше місце виток інформації далеко не випадково, оскільки негативні наслідки цього інциденту очевидні: прямі фінансові збитки, удар по репутації, втрата клієнтів. Порівняння індексів стурбованості внутрішніми та зовнішніми загрозами ІБ показує, що саме інсайдерські ризики переважають у списку найнебезпечніших загроз. Більше того, найбільший рейтинг небезпеки посідає витік конфіденційної інформації.

За даними порталу інформаційної безпеки Content Security ступінь небезпеки внутрішніх та зовнішніх загроз такий:

  • розголошення (зайва балакучість співробітників) - 32%;
  • несанкціонований доступ шляхом підкупу та схиляння до співпраці з боку конкурентів та злочинних угруповань – 24%;
  • відсутність у фірмі належного контролю та жорстких умов забезпечення інформаційної безпеки – 14%;
  • традиційний обмін виробничим досвідом - 12%;
  • безконтрольне використання інформаційних систем - 10%;
  • наявність передумов виникнення серед співробітників конфліктних ситуацій, пов'язаних із відсутністю високої трудової дисципліни, психологічною несумісністю, випадковим підбором кадрів, слабкою роботою кадрів зі згуртування колективу – 8%.

Найбільш актуальними і значущими, хоч як це сумно, виявляються загрози, джерелом яких виступають користувачі системи та її обслуговуючий персонал, тобто співробітники компаній. Така тенденція підтверджується не лише різними дослідженнями найбільших аудиторських компаній, а й наголошується у щорічних доповідях МВС Росії, присвячених правопорушенням у сфері інформаційної безпеки.

Як приклад можна навести «витік» клієнтської бази в компанію-конкурент разом із співробітниками. За неофіційною інформацією, з такою проблемою зіткнулася філія комерційного банку ВАТ «Уралсіб» у Воронежі, коли наприкінці 2009 року низка співробітників «Уралсибу» перейшла працювати у Воронезьку філію Банку «Поволзька», забравши з собою клієнтську базу попереднього роботодавця. І клієнти «Уралсибу» з настирливою регулярністю почали одержувати пропозиції від нового банку. Це може призвести до відтоку клієнтів, можливих судових позовів і, звичайно ж, удару по репутації банку. В «Уралсібі» та банку «Поволзький» цю інформацію не коментують.

Не можна сказати, що проблема витоків інформації з'явилася зовсім недавно — такі речі, як промисловий шпигунство, переманювання цінних фахівців разом з їхніми напрацюваннями та знаннями та інші подібні дії вже давно відомі. В інформаційну епоху зросла їхня актуальність та значимість, оскільки сьогоднішні прийоми обробки та зберігання інформації відкривають воістину безмежні можливості для того, хто хоче цю інформацію незаконно отримати. Адже якщо раніше потрібно було виносити в буквальному сенсі цілі шафи паперових документів, то сьогодні все це можна передати електронною поштою або записати на невелику флешку, що міститься в кишені. І обсяги інформації, яку сьогодні можна «злити», лише збільшують значущість загрози витоків конфіденційних даних.

Для того щоб говорити предметно про можливі наслідки витоків інформації, потрібно насамперед подивитися на те, яка інформація може взагалі «витікати» з компанії. Сьогодні, як показує практика, співробітники як випадково, так і цілеспрямовано передають за межі рідної організації найчастіше такі відомості:

  • Документи, що характеризують фінансовий стан та плани організації (фінансові звіти, різна бухгалтерська документація, бізнес-плани, договори тощо);
  • Персональні дані клієнтів та співробітників організації;
  • Технологічні та конструкторські розробки, ноу-хау компанії тощо;
  • внутрішні документи (службові записки, аудіозаписи нарад, презентації «тільки для співробітників» тощо);
  • Технічні відомості, необхідні для несанкціонованого доступу до мережі організації третіх осіб (логіни та паролі, відомості про засоби захисту тощо);

Як бачите, інтереси інсайдерів — співробітників, які незаконно розповсюджують закриту інформацію, до якої вони мають доступ, —; досить широкі. Багато в чому те, яка інформація цікавить конкретного інсайдера, залежить від того, навіщо він у майбутньому збирається цю інформацію застосувати. Тобто, наприклад, як правило, інсайдери, «куплені» конкурентами, більше цікавляться бізнес-планами, клієнтами та ноу-хау, тоді як співробітники, які бажають помститися начальству, яке, на їхню думку, несправедливо з ними обійшлося, більше. схильні оприлюднити документи, які можуть характеризувати в непривабливому світлі це начальство чи саму компанію (наприклад, скарги клієнтів, записи з нарад, написані з помилками листи на адресу співробітників тощо).

Як саме страждає компанія від витоків інформації у фінансовому аспекті, і чи будь-яка витік несе за собою грошові наслідки? Само собою, витоку інформації, в результаті яких, наприклад, конкуренти отримують доступ до новітніх розробок компанії, несуть дуже важкі наслідки для неї, оскільки в результаті таких витоків усі кошти, витрачені на R&D (Research & Development) виявляються фактично подарованими конкурентам. Виток фінансової документації, особливо в ті моменти, коли компанія знаходиться, скажімо так, не в кращій формі, також цілком передбачувано можуть нести за собою дуже важкі наслідки, аж до банкрутства.

На перший погляд може здатися, що деякі витоки цілком нешкідливі, наприклад, ті ж витоку персональних даних. Але, як показує практика, саме вони стають найчастішою причиною збитків компаній через витікання інформації. Збитки компанія отримує внаслідок судових позовів, які пред'являються постраждалими через виток фізичними особами, чиї персональні дані зазнали компрометації, а також штрафів регулюючих органів, що займаються захистом персональних даних на державному рівні. У Росії поки що проблема штрафів не така актуальна, як у західних країнах, де навіть найбільші компанії стають героями новин про штрафи за витік персональних даних клієнтів або співробітників. Але вже через півроку ситуація в Росії має радикально змінитися у зв'язку з набуттям чинності закону «Про персональні дані».

Аналогічним чином призводять до збитків та витоку внутрішніх даних, наприклад, тих самих службових записок та презентацій. До прямих збитків у вигляді штрафів чи компенсацій вони, звісно, ​​не ведуть, але можуть серйозно нашкодити репутації компанії, яка допустила подібних витоків. А зіпсована репутація автоматично означає втрачену вигоду, оскільки низка потенційних клієнтів або партнерів можуть змінити свої переваги у виборі між декількома конкуруючими компаніями, і причиною подібних змін може бути як інформація, що стала публічною в результаті витоку, так і сам факт такого витоку конфіденційних даних.

Таким чином, можна говорити про те, що будь-який витік інформаціїнесе у собі ті чи інші негативні економічні наслідки для компанії. З цією думкою згодні й представники індустрії інформаційної безпеки, які говорять про те, що невинних витоків даних не буває — будь-яка з них завдає шкоди бізнесу, якщо не зараз, то в майбутньому. Іноді досить важко передбачити, де і коли вистрілять ті документи, які інсайдери винесли з вашого офісу сьогодні, вважає Лев Матвєєв, генеральний директор компанії SearchInform. — Буває, що минає кілька місяців, або навіть кілька років, перш ніж інформація зробить своє чорне справа, попавшись, наприклад, на очі журналістам чи конкурентам. Саме тому дуже важливо захищати дані комплексно, а не ділити їх на більш важливі та менш важливі. Інформація, не призначена для публіки, має залишатися закритою. Отже її слід захистити від можливих витоків».

Як можна оцінити можливу шкоду від витоку конфіденційних даних? Для початку необхідно звіритися зі списком можливих джерел шкоди:

  • Втрачена вигода в результаті зіпсованого іміджу;
  • Штрафи з боку регуляторів;
  • Компенсації за судовими позовами;
  • Зниження котирувань акцій (для акціонерних компаній) внаслідок потрапляння на ринок інсайдерської інформації;
  • Прямі збитки: вартість розробки технологічних рішень, вартість програних у результаті витоків цих тендерів тощо.

Кожен витік інформації «ставить галочку» навпроти як мінімум одного з перерахованих вище пунктів, найсерйозніші ж витоку здатні «піднести» компанії весь цей список. Відповідно, загальна сума збитків від кожного конкретного витоку інформації складається з «ціни» кожного джерела шкоди.

Звичайно, не для всіх перерахованих пунктів підрахувати можливу вартість збитків досить просто. Якщо, наприклад, штрафи з боку регуляторів або вартість технологічних розробок підрахувати не так вже й складно, то передбачити, як поведеться ринок цінних паперів у відповідь на оприлюднені інсайдерами документи, або скільки клієнтів відвернуть від компанії в результаті репутації, що погіршилася, практично неможливо. Тому у своїх оцінках краще не дотримуватись оптимістичної позиції «все обійдеться», а закладати у «бюджет» витоку максимально можливу суму збитків. На жаль, достовірних досліджень, які б показували середню вартість витоку інформації в Росії, поки немає, проте можна орієнтуватися на дані для інших країн, які навряд чи істотно відрізнятимуться від даних для Росії.

Так, згідно з дослідженнями Ponemon Institute, середня вартість витоку інформації для фірм у Великій Британії в 2008 р. склала 1,7 млн ​​фунтів, тобто майже 80 мільйонів російських рублів. Ще одна цифра: у середньому збитки при втраті службового ноутбука становлять майже 50 тис. доларів – такі дані були отримані після опитування представників 29 організацій, які пережили 138 окремих випадків втрати ноубтуків їхніми постійними чи тимчасовими співробітниками, пише Руформатор із посиланням на PCWorld. Така сума отримана за допомогою обліку семи різних факторів: ціни самого ноутбука, визначення втрачених даних, експертизи та розслідування обставин втрати, повідомлення про витік даних та дій щодо пом'якшення наслідків інциденту, втрати інтелектуальної власності, втрати продуктивності, а також інших юридичних та нормативних витрат.

Експерти також підрахували, що швидше компанія реагує на втрату комп'ютера, тим менші втрати вона зазнає. Якщо втрату ноутбука вдалося виявити того ж дня, то витрати можуть становити в середньому лише 8 950 доларів. За тиждень вони можуть досягти вже 115 849 доларів.

Шифрування даних призводить до істотного зниження фінансових втрат під час втрати комп'ютера. Так, якщо інформація на жорсткому диску ноутбука була зашифрована, втрата коштує 37 443 доларів, якщо ні, — то 56 165 доларів.

Нарешті, фінансові втрати безпосередньо залежать від того, яку посаду в компанії обіймає людина, яка втратила комп'ютер або втратила його в результаті крадіжки. Найбільшу цінність має ноутбук не вищої посадової особи компанії, а директора чи менеджера. Втрата ноутбука топ-менеджером коштує в середньому 28 449 доларів, але якщо його втратили директор або менеджер, сума зростає до 60 781 доларів і 61 040 доларів відповідно.

Це свідчить про високий рівень ризику для корпоративних мереж, тому що доступ до сайтів для дорослих, пошук роботи на підозрілих ресурсах та інші види нецільового використання робочих ноутбуків можуть призвести до серйозних витоків інформації, а іноді і до проникнення шкідливого програмного забезпечення в мережу організації.

Навіщо оцінювати можливу шкоду від витоків інформації? Насамперед, щоб зрозуміти, яку ціну насправді має конфіденційна інформація, якою володіє організація, а також оцінити вигоду від впровадження засобів захисту від витоків інформації (наприклад, DLP-систем — від англійського Data Leak Prevention, запобігання витоку даних). Вигода, звичайно, є, коли вартість можливих витоків хоча б у 2 рази перевищує вартість впровадження подібної системи. Як показує практика, для переважної більшості компаній використання DLP-системи справді доцільне.