1. Контроль та захист інформації від внутрішніх загроз

1.1 Інформація та ризик

Від 70 до 80% втрат від злочинів у сфері ІТ доводиться на атаки зсередини. При цьому топ - менеджери компаній дуже часто недооцінюють збиток, що може бути нанесений бізнесу їхніми власними співробітниками.

Для того, щоб побудувати ефективну систему інформаційної безпеки, необхідні три речі: чітке розуміння того, що має потребу в захисті, поінформованість про відповідні загрози й здатність їх запобігти.

Якщо раніше зловмисники атакували більшою мірою малі й середні погано захищені компанії, то тепер у полі їхньої уваги великі організації, що володіють величезними інформаційними базами. Дрібних грабіжників змінили професіонали, чия мета - інформація. Вони використовують уразливості іншого роду - не проломи в технологіях, а слабкі місця в бізнес-процесах.

Дотепер системи ІТ-безпеки були схожі на глухі кріпосні стіни з пильно охоронюваними входами. Але в нинішніх умовах такий захист недостатній - ворог перемінив тактику. Для того, щоб залишатися захищеною, компанія повинна бути прозорою - так, щоб жоден процес не залишався за рамками моніторингу й контролю.

Корпоративні скандали й масові витоки інформації приводять до впровадження нових законодавчих норм і правил, і керівництво компаній змушене стежити за відповідністю численним національним і міжнародним правовим актам. Тенденція простежується дуже чітко - якщо компанія не вживає необхідних дій для забезпечення безпеки інформації своїх замовників, то результатом може стати втрата довіри, підрив репутації, зниження вартості акцій, штрафи, і, можливо, кримінальна відповідальність для відповідальних керівних осіб.

Організації, що виконують всі дії для того, щоб відповідати нормам, мають вагому перевагу перед інвесторами. Інформаційна безпека вийшла за рамки процесу керування ризиками, тепер вона має статус фундаментального елементу ведення бізнесу.

Кількість внутрішніх атак у компаніях різних сфер бізнесу на сьогоднішній день перевищує кількість зовнішніх. Причому ріст кількості внутрішніх атак за останній рік більш ніж дворазовий: з 14% від загальної кількості порушень інформаційної безпеки торік до 35% у нинішньому.

Найпоширеніші із внутрішніх загроз - неавторизований доступ у систему (сервер, персональний комп'ютер або базу даних), неавторизований пошук або перегляд конфіденційних даних і спроби обійти або зламати систему безпеки або аудиту. Крім того, це несанкціоновані маніпуляції з інформацією - зміна або знищення даних, а також збереження або обробка конфіденційної інформації в системі, не призначеної для цього.

Внутрішні атаки на інформаційні системи приносять величезний збиток, і не тільки фінансовий - витік конфіденційних даних це серйозний удар по репутації компанії. Технічно витік може відбутися по декількох каналах: через поштовий сервер - за допомогою електронної пошти, через прокси-сервер - при використанні відкритих поштових систем, через принтер - при фізичному друку документів, і через мобільні накопичувачі різного роду - дискети, CD-диски, переносні пристрої із флеш-пам'яттю та вбудованим жорстким диском.

Загрозам з боку власного персоналу не можна запобігти повністю, але ними можна управляти й звести до мінімуму. При створенні повномасштабної системи інформаційної безпеки варто враховувати всі можливі способи здійснення внутрішніх атак і шляхи витоку інформації. Необхідні системи захисту, що дозволяють контролювати інформацію, що проходить через кожний вузол мережі, і блокувати всі спроби несанкціонованого доступу до конфіденційних даних.

Захист кожної окремо взятої робочої станції й інформаційної системи в цілому повинна будуватися на двох принципах: перший - відключення сервісів, надлишкових для користувача, і другий - постійний моніторинг ситуації в активних сервісах. Дотримання балансу між цими принципами - постійний компроміс, але тільки так можна створити прозору й гнучку систему безпеки, що однаково ефективно захищає від зовнішніх і внутрішніх погроз.