Несовершенно секретно: как защитить бизнес от утечек информации

Российские компании в 2018 году сталкивались с утечками информации чаще, чем годом ранее. Хорошая новость в том, что все больше руководителей начинают понимать, что это серьезная проблема

Фото: Сергей Карпов / ТАСС

Две трети (66%) российских компаний в 2018 году столкнулись с утечками корпоративной информации. Такой вывод сделала компания SearchInform по итогам ежегодного исследования уровня информационной безопасности в компаниях России и некоторых регионов мира (Латинская Америка, Ближний Восток, Средняя Азия и т.п.). Авторы исследования отмечают, что вырос и уровень осведомленности отечественных компаний о негативных последствиях утечек для бизнеса — 30% из них увеличили бюджеты на информбезопасность.

По мнению руководителя отдела аналитики SearchInform Алексея Парфентьева, опасности, связанные с утечками данных, острее всего осознают ретейлеры и высокотехнологичные производственные компании. «Хорошего ретейлера от плохого отличают выработанные бизнес-процессы и репутация. И то, и другое подвержено информационному риску. Базы (условия работы с поставщиками, ценообразование, сроки отгрузки, отсрочек платежей и т.д.) — это самая большая ценность розничных компаний». Но даже самые большие базы могут уместиться на обычную флешку, и конкуренты порой этим пользуются. «Что касается репутации, то при нынешнем развитии соцсетей даже единичное негативное высказывание сотрудника или раскрытие внутреннего секрета способно нанести огромный ущерб компании. Если работодатель вовремя не увидел и не пресек, контроль над ситуацией можно упустить очень быстро», — говорит Парфентьев.

У высокотехнологичной компании уязвим другой важнейший актив — интеллектуальная собственность. Исходный код, чертежи, исследования и т. д. в цифровую эпоху чаще всего являются обычными файлами, которые можно унести на флешке, распечатать, загрузить в облако или переправить по электронной почте. «Уже сам по себе факт попадания этих технологий, даже без деталей, касающихся их работы, в чужие руки бьет по компании, потому что становятся известны стратегия развития, планы и так далее. А если непосредственные разработки утекут к конкуренту, то он может стартовать с заведомо более выгодных позиций, сэкономив на дорогих исследованиях», — поясняет Парфентьев.

Определенную опасность представляет и репутационный ущерб. «Конечно, в России репутация — вещь специфическая, — рассуждает бизнес-консультант по безопасности Cisco Systems Алексей Лукацкий. Если у крупной компании происходит утечка, меньше клиентов у нее от этого, скорее всего, не станет, особенно если ты — компания с госучастием, но сам по себе фон неприятный».

Отмеченный рост числа инцидентов, скорее всего, связан не только с развитием самих технологий взлома, но и с фактами публичной огласки. Украденная информация чаще всего попадает в интернет, после чего трудно отрицать факты утечек, считает Лука Сафонов, руководитель лаборатории практического анализа защищенности компании «Инфосистемы Джет». По его мнению, большинство компаний сегодня осознает эти риски. Можно потерять лояльность клиентов и партнеров, а порой утечка данных может грозить и вовсе закрытием бизнеса. Так, 11 февраля 2019 года американский провайдер электронной почты VFEmail подвергся атаке, в результате которой все данные, включая резервные копии, были удалены. Компания разом лишилась всего, что было наработано за 18 лет существования.

Под ударом часто оказываются и финансовые структуры. «Американское кредитное бюро Equifax в 2017 году столкнулось с крупным взломом. Там были интересные детали: злоумышленники залезли через необновленный веб-сервер, несколько месяцев сидели внутри сети и понемногу воровали данные. Всего им удалось украсть данные по более чем 140 млн клиентов, в основном из США и Канады. Расследование длилось долго, и компания серьезно пострадала, попав на большие штрафы и судебные иски», — рассказывает Алексей Лукацкий.

Малый бизнес, большие проблемы

Еще три-четыре года назад клиентами фирм, работающих в сфере информбезопасности, были преимущественно средние и крупные предприятия. Однако сейчас интерес к системам, которые позволяют предотвратить утечки конфиденциальных данных, появился и у малого бизнеса, отмечает Алексей Парфентьев. По его мнению, российские предприниматели начали осознавать: от размера бизнеса зависит выбор инструментов защиты, которые он может себе позволить, но не зависят сами проблемы, которые у него есть. «Риски у ретейлера с тремя с половиной сотрудниками в штате такие же, как у огромной ретейл-компании, потому что они используют в работе одни те же принципы, одни и те же бизнес-модели», — поясняет эксперт.

Парфентьев подчеркивает, что огромное количество инцидентов совершается из-за человеческого фактора, причем в основном речь не идет о злом умысле. Чаще всего утечка происходит по ошибке или невнимательности. Типичный инцидент — передача конфиденциальных данных на облачные системы хранения либо их пересылка через веб-почту. Как правило, это категорически запрещено. «Был случай в нашей практике, когда сотрудницу уволили за то, что она нарушила внутренние правила информбезопасности, просто сохранив данные в Dropbox. Свое увольнение она пыталась опротестовать в суде, доказывала, что не имела злого умысла и не передавала никому эти данные — ни конкурентам, ни прессе. Но, несмотря на это, суд встал на сторону работодателя», — говорит Парфентьев.

Фото: Сергей Коньков / ТАСС

Специалист считает, что желание компаний в России обезопасить себя от рисков обусловлено исключительно их собственным выбором. «Клиент видит репутационные и финансовые риски, а вовсе не руководствуется требованиями федерального законодательства», — уверен Парфентьев. Если в Евросоюзе в мае 2018 года был принят «Общий регламент по защите данных», по которому штрафы за разглашение персональных данных могут достигать €20 млн, или 4% от оборота компании, то российский федеральный закон 152-ФЗ «О персональных данных» предполагает штрафы размером лишь в десятки тысяч рублей. «Что даже для маленькой компании деньги небольшие, — говорит Парфентьев. — А цена на средства защиты таких данных может достигать нескольких миллионов. Компаниям проще когда-нибудь штраф заплатить и забыть об этом».

Такое положение вещей, по мнению эксперта, вряд ли изменится в ближайшее время. Принятый в 2017 году Закон «О безопасности критической информационной инфраструктуры РФ» приводит ряд требований, за неисполнение которых предусмотрена даже уголовная ответственность (закон относит к критической инфраструктуре информационные системы и телекоммуникационные сети госорганов, а также автоматизированные системы управления технологическими процессами в оборонной индустрии, здравоохранении, связи, на транспорте и т.п. — РБК). Но персональные данные граждан там не фигурируют — только интересы государства», — говорит Парфентьев.

По его словам, во многих из упомянутых отраслей — госсекторе, медицине, транспорте, а также, например, гостиничном деле — скапливается огромное количество критической для пользователей информации. Контроль регулятора при этом слаб, и ситуация с сохранностью персональных данных печальна. «Хостелы и отели — это, например, надежный поставщик сканов паспортов на черный рынок. Нас регулярно просят снять копию с паспорта, но, какова судьба этой копии, никто не знает. Как показывает история с Marriott, в зоне риска даже мастодонты гостиничного рынка, что уж говорить о небольших отелях, хостелах», — рассказывает эксперт.

Упомянутый инцидент показателен: 30 ноября 2018 года Marriott International сообщила о масштабной утечке данных своих гостей. «Компания незадолго до утечки купила сеть отелей Starwood, в системе которой, как оказалось, в течение нескольких лет сидели злоумышленники, которых никто не мог увидеть. В результате были похищены данные около 500 млн клиентов. Сегодня это одна из крупнейших утечек в истории. Компания пострадала как репутационно, так и финансово, потому что обещала своим клиентам — гражданам США, Великобритании и других стран — оплатить процедуру смены паспортов, а это стоит порядка $100 за каждый», — говорит Алексей Лукацкий.

Белые хакеры

Компании, занятые в сфере информационной безопасности, время от времени анализируют уровень защиты клиентов, проводя так называемые пентесты — атаки на их ИТ-инфраструктуру. Пентестеры, которых иначе называют белыми хакерами, не только ищут технические уязвимости, но и проверяют надежность сотрудников с помощью социотехнических тестов. Например, рассылают сотрудникам от лица компании-клиента письма о конкурсе с призами или раздаче подарков. «Мы разослали сотрудникам компании-клиента письма о раздаче остатков сувенирной продукции. У акции был свой сайт в фирменных цветах организации, на котором людям предлагали ввести логин и пароль, с помощью которых они входят в свои учетные записи на работе», — рассказывает Лука Сафонов. Число сотрудников, сдавших данные фишинговому сайту и потом приславших возмущенные письма, что он не работает, исчислялось десятками.

Такие атаки удобно проводить перед праздниками: Новый год, 23 февраля, 8 Марта, майские каникулы. «Во время «новогоднего конкурса» в большом холдинге на крючок попались и финансовый директор компании (мы получили доступ к документам), и несколько инженеров, у которых был удаленный доступ к критичным элементам инфраструктуры», — говорит Сафонов. При наличии у исполнителя нужного опыта затраты на такую атаку минимальны, а эффективность очень высока.

Белые хакеры зачастую играют на человеческом любопытстве или жадности: например, якобы по ошибке рассылают «зарплатную ведомость» по всем сотрудникам либо «ведомость» о премиях руководства, которую откроет практически любой. «Распространенный тип атаки — так называемое дорожное яблоко: разбросать по компании флеш-накопители (около кулера, принтера, в коридоре и т.д.). Люди находят флешки, вставляют их в компьютер, после чего злоумышленники или пентестеры (специалисты по оценке информационной защищенности предприятия. — РБК) получают доступ в корпоративную сеть», — поясняет Сафонов.

Что касается технических уязвимостей, то одной из стандартных остаются «мертвые» учетные записи работников. Порой даже крупные работодатели не заботятся о том, чтобы удалять учетные записи покинувших компанию сотрудников. Иногда кто-то из них на протяжении многих лет бесконтрольно пользуется доступом к корпоративным ресурсам. Не так давно белые хакеры из «Инфосистем Джет» получили доступ к серверу одного из клиентов, используя сохранившуюся учетную запись давно покинувшего компанию сотрудника. «Пикантность этому взлому придает то, что мы даже нашли предполагаемого хозяина и выяснили, что он сейчас либо в тюрьме сидит, либо стал священнослужителем. На всех его фотографиях, к которым мы получили доступ, священнослужители в каких-то СИЗО» — рассказывает Сафонов.

Опасная удаленка

Сегодня значительный процент компаний (в США — 63%) допускают удаленную работу или даже полностью перешли в безофисный формат. Это повышает удовлетворенность сотрудников и одновременно способствует уязвимости компаний, ведь сотрудники используют для работы и личных дел один и тот же компьютер. «Понятие «персональный компьютер» размылось, за рабочей машиной все чаще следят не специализированные сервисы и сисадмины, а лишь сам пользователь, который обычно не задумывается о безопасности: ну словил вирус — переставил систему», — поясняет Лука Сафонов.

Удаленка чаще всего подразумевает свободный график, и здесь скрывается еще одна опасность. «В корпорации, где все работают с 09:00 до 18:00, сисадмин может заметить подозрительную активность в нерабочее время и хотя бы послать охранника проверить, на месте ли сотрудник», — говорит Сафонов. При работе из дома взлом компьютера отследить трудно, ведь даже его IP-адрес тоже может меняться, если человек работает то из дома, то из кафе, то из коворгинга. А злоумышленники могут перехватить его данные, например через Wi-Fi.

По мнению Алексея Парфентьева, это главная проблема, которую и юридически, и технически решить пока невозможно: «Возьмем банки. Их кол-центры территориально могут располагаться где угодно, сотрудники могут даже работать из дома. Таким сотрудникам необходимо дать доступ к их основным рабочим инструментам — базам, клиентским данным. Но так как оборудование используется личное, никакие активные средства мониторинга в принципе не могут быть применены по закону, ведь в мониторинг неминуемо попадет и личная переписка». Решить проблему могло бы использование виртуальных рабочих мест, и эту практику сейчас вводят многие компании. Однако это решение требует дополнительных финансовых вложений в ИТ-средства, серверы и линии связи. К этому работодатель часто оказывается не готов, ведь, как правило, сам факт оформления сотрудника на фриланс говорит о желании сэкономить.

Переход на удаленку, по словам экспертов, открывает новую эпоху в охоте за чужими данными, ведь личные компьютеры взламывать гораздо легче, чем корпоративные. «Вычислить домашние адреса сотрудников и взломать их роутер и компьютеры, с которых что-то могли пересылать, — дешевле и эффективнее. Смартфон и вовсе проще даже не взламывать, а украсть. Пока вы проведете без связи полчаса или час, ваш телефон выпотрошат. Половину китайских смартфонов, на которых установлена разблокировка с помощью лица владельца, можно разблокировать с помощью его фото», — говорит Сафонов. К сожалению, тут руководители российских компаний не могут быть хорошим примером для подчиненных. В сентябре 2018 года PwC выяснила, что 81% членов советов директоров хранит на своих телефонах закрытую дорогостоящую информацию.

Автор: Мария Шакирова

https://pro.rbc.ru/news/5c668a7d9a79479 … =column_12