В конце июня американский исследовательский центр ITRC (Identity Theft Resource Center) опубликовал сведения об утечках информации за первую половину нынешнего года. По данным ITRC, за этот период на территории США случились 336 публичных утечек информации, а общее количество пострадавших достигло отметки 17 млн человек.

Частота, с которой происходят утечки информации, растет невероятно быстро: только за последние три годаона увеличилась практически в четыре раза (рис. 1). С каждым годом утечки информации становятся все более значимой проблемой безопасности, а борьба с ними - idee fixe специалистов в этой области. Однако, чтобы эффективно справляться с утечками, необходимо прежде всего знать, каким образом они происходят и какие инструменты существуют для борьбы с ними.

Рис. 1. Количество публичных утечек информации,
зафиксированных на территории США
(источник: ITRC, Perimetrix, 2008)

В качестве исходных данных для изучения проблемы был выбран отчет компании Perimetrix, опубликованный по итогам I квартала нынешнего года. В рамках подготовки отчета специалисты Perimetrix собрали и проанализировали информацию о сотне различных инцидентов, которые произошли в разных уголках земного шара. Полученной статистике вполне можно доверять, поскольку все рассмотренные инциденты имели место в реальных организациях.

На рис. 2 представлено распределение утечек по основным типам их причин. Легко заметить, что на четыре основных типа утечек пришлось подавляющее большинство (84%) инцидентов, причем почти половина этой доли (40%) приходится на самую популярную угрозу - кражу носителя. В этой статье мы постараемся рассмотреть специфику каждой из обозначенных угроз, а также дать рекомендации по снижению их опасности.

Рис. 2. Распределение утечек по основным типам угроз
(источник: Perimetrix, 2008)

Кража носителя (40%)

Кража носителя наиболее распространенный тип инцидентов, которые происходят в результате кражи или потери различных цифровых носителей конфиденциальной информации. Большинство таких утечек случается из-за кражи ноутбуков, однако возможны и другие варианты (рис. 3). «В нашей практике встречались инциденты, причиной которых являлась кража флэшек, резервных магнитных лент, жестких дисков и даже устаревших дискет», - рассказывает директор по развитию компании Perimetrix Алексей Доля.

Рис. 3. Часто пропадающие носители информации
(источник: Perimetrix, 2008)

С точки зрения безопасности не важно, какой именно носитель похищен. Конечно, прочитать данные с ленты сложнее, чем вставить флэшку в USB-порт, однако злоумышленник, скорее всего, сможет решить эту проблему - было бы желание. Ущерб от утечки мало зависит от типа используемого носителя, однако защищать требуется каждый из них.

Сегодня существует несколько способов минимизировать риски подобных утечек. Самый элементарный из них - ограничение использования мобильных носителей - неэффективен с точки зрения бизнеса. К тому же он не позволяет избежать утечек, связанных с кражами офисного оборудования.

Второй способ предполагает контроль движения конфиденциальной информации и тоже не защищает от «офисных» утечек. Полноценную защиту дает лишь обязательное шифрование всех секретных сведений, причем не только на мобильных носителях, но и в местах стационарного хранения. Отдельно подчеркнем, что все остальные способы защиты (например, разнообразные пароли и биометрия) без шифрования малоэффективны.

По данным Perimetrix, большинство носителей пропадают из офисных помещений, а не из домов тех или иных сотрудников (рис. 4). Таким образом, организациям имеет смысл усилить физическую безопасность офисов, не забывая при этом о шифровании информации.

Рис. 4. Место пропажи оборудования
(источник: Perimetrix, 2008)

Обилие утечек из офисов еще раз показывает, что шифровать надо не только ноутбуки и прочие мобильные устройства, но и другие стационарные носители конфиденциальной информации. Конечно, незаметно украсть лэптоп значительно проще, чем вынести какой-нибудь сервер, однако такой риск тоже вероятен.

Почти треть (29%) зарегистрированных инцидентов связана с утечками на транспорте: кражами из грузовиков, угоном автомобилей с ноутбуками и другими подобными случаями. Эксперты Perimetrix отмечают, что «транспортные» утечки специфичны - в большинстве случаев услуги по перевозке накопителей осуществляют сторонние организации, которые крайне трудно проконтролировать. Впрочем, то же самое шифрование позволяет минимизировать риски и «транспортных» утечек.

Хакерская атака (15%)

В эту обширную группу инцидентов попадают все утечки, которые произошли вследствие внешнего вторжения. Для вторжения может использоваться любая технология атаки, будь то установка вредоносного ПО, взлом уязвимостей, SQL-инъекции и т.д. Главное отличие хакерской атаки от всех остальных типов - она происходит с участием внешних лиц, которые предпринимают какие-то активные действия. Отметим, что доступ к конфиденциальным сведениям совсем не обязательно является основной целью атаки. Но если он был каким-то образом получен - значит утечка произошла.

Наверное, полностью защититься от хакерской угрозы сегодня не может ни одна организация. Мы рассматриваем данный термин в самом широком смысле, а значит, единого средства защиты не существует в принципе.

В целом доля «внешних», или «хакерских», утечек оказалась меньше, чем ожидалось изначально. Большинство компаний, разрабатывающих решения по безопасности, постоянно говорят о том, что хакеры становятся все более профессиональными и стремятся получить доступ к информации, а не отформатировать жесткий диск пользователя. По мнению аналитиков Perimetrix, эта угроза несколько преувеличена, хотя она, безусловно, имеет место быть. Возможно, не слишком высокая доля хакерских вторжений отчасти объясняется еще и тем, что сами вторжения стали незаметнее.

Справедливости ради отметим, что наиболее масштабные инциденты (например, знаменитая утечка TJX) зачастую происходят именно вследствие внешних вторжений. Однако утечки миллионного масштаба происходят редко и делать какие-либо выводы из единичных случаев неверно.

Инсайд (15%)

К данной категории относятся инциденты, причиной которых стали действия сотрудников, имевших легальный доступ к конфиденциальной информации. Все зарегистрированные инсайдерские инциденты разделились на две примерно равные части:

• сотрудник не имел доступа к сведениям, однако сумел обойти системы безопасности;
• инсайдер имел доступ к информации и вынес ее за пределы организации.

Отличным примером инсайдера первого типа является бывший сотрудник Societe Generale Жером Кервьель, имя которого не сходит с заголовков газет вот уже несколько месяцев подряд. Напомним, что 31-летний трейдер разорил банк на 5 млрд евро, торгуя фьючерсами на европейские фондовые индексы. Даже далекому от банковской сферы человеку очевидно, что у рядового трейдера не могло быть прав на открытие биржевых позиций объемом в 50 млрд евро, однако Кервьель умудрился это сделать.

Вскоре после освобождения из тюрьмы
Жером Кервьель устроился на работу
в компанию LCA, которая специализируется
на… информационной безопасности

39-летний Дуайт МакФерсон
работал агентом пресвитерианского
госпиталя в Бруклине (Нью-Йорк).
Инсайдер занимался торговлей персональной
информацией с 2006 года, и на его компьютере
было найдено 50 тыс. секретных записей.
За один номер социального страхования
МакФерсон просил всего 75 центов

Впрочем, наибольшую опасность несут инсайдеры второго типа, имеющие легальный доступ к конфиденциальным сведениям. Несмотря на отсутствие точных данных, аналитики Perimetrix убеждены, что большая часть инцидентов такого рода остается за пределами общественного внимания. Более того, о таких инсайдерах часто не знают даже их собственные работодатели.

Веб-утечка (14%)

В данную категорию попадают все утечки, связанные с публикацией конфиденциальных сведений в общедоступных местах. В большинстве случаев таким местом является Глобальная сеть (отсюда название - веб-утечка), однако встречаются и аналогичные утечки в интранете. Бывают и весьма экзотические вариации на ту же тему - например ошибочная рассылка паролей для доступа партнерам.

Подавляющее большинство веб-утечек происходит из-за ошибок или неосведомленности персонала. С неосведомленностью можно бороться путем обучения, однако полностью избежать ошибок не может никто. Задача абсолютной защиты от веб-утечек весьма сложна - она предполагает классификацию всех секретных сведений и контроль их размещения на веб-серверах либо хостах корпоративной сети и требует внедрения специальных систем защиты.

Независимо от конкретного типа веб-утечки ее ключевой характеристикой остается длительность публикации приватных данных в Глобальной или корпоративной сети. Очевидно, что чем дольше хранятся эти данные, тем выше риск их компрометации. На рис. 5 приведено распределение зафиксированных веб-утечек в зависимости от их длительности.

Рис. 5. Длительность веб-утечек
(источник: Perimetrix, 2008)

Результаты анализа показали, что только четверть (23%) веб-утечек обнаруживается в течение месяца или быстрее. А более половины (58%) инцидентов длится более года. С учетом развития поисковых технологий такие результаты вызывают весьма серьезные опасения, поскольку для компрометации сведений в Интернете достаточно нескольких часов.

Огромное количество утечек, которые длятся длительное время, означает, что большинство компаний не проводят регулярный мониторинг информации, хранящейся на их веб-ресурсах. Действительно, если бы подобный мониторинг проводился хотя бы раз в год, утечки обнаруживались бы быстрее. Как правило, веб-утечки всплывают абсолютно случайно, благодаря внимательности рядовых посетителей сайта, сумевших обнаружить приватную информацию.

Бумажная утечка (9%)

Данная категория сумела набрать существенную долю в общем объеме инцидентов. По определению бумажной утечкой является любая утечка, которая произошла в результате печати конфиденциальных сведений на бумажных носителях.

В отличие от всех остальных инцидентов, «бумажные» имеют менее значительные последствия по крайне банальной причине - бумага теоретически не может вместить в себя много конфиденциальной информации. Аналитический центр Perimetrix не зафиксировал ни одной бумажной утечки, в результате которой пострадало бы более 10 тыс. человек. Вместе с тем контролировать подобные инциденты все-таки необходимо, поскольку даже небольшая утечка может иметь серьезные материальные последствия.

Основной способ борьбы с бумажными инцидентами заключается в контроле печатающейся информации - практика показывает, что в большинстве случаев достаточно хранить конфиденциальные сведения в электронном виде. Если же печать необходима - требуется обеспечить безопасность документов во время перевозки или пересылки. Большинство зафиксированных инцидентов произошли именно таким образом: конфиденциальные бумаги попросту терялись в пути.

Первый квартал 2008 года вскрыл еще одну интересную проблему, касающуюся именно бумажных утечек. Ее причиной стал, как ни странно, ипотечный кризис в США, который поставил на грань разорения тысячи различных организаций. Оказалось, что компании-банкроты часто выбрасывают в мусор бумаги, которые в более благополучные времена требовались для ведения бизнеса. Аналитический центр Perimetrix зафиксировал сразу три инцидента такого рода.

Главная трудность здесь заключается в том, что за утечку никто не отвечает, поскольку допустившая ее компания обанкротилась и прекратила свою деятельность. Как бороться с подобной угрозой, до сих пор не слишком понятно.

Другое (7%)

Оставшиеся 7% утечек имели самые разнообразные и зачастую весьма экзотические причины. В качестве примера можно привести утечку в банке HSBC, которая произошла из-за того, что одно из отделений забыло закрыться на выходные. В данную категорию попадают инциденты, точную причину которых установить не удалось, а также утечки, о которых стало известно постфактум, после использования персональных сведений в незаконных целях.

Заключение: такие разные утечки

Утечки бывают очень разными. В данной статье они разделены на пять основных групп в зависимости от причины возникновения. Однако в рамках одной причины может существовать множество различных аспектов. Защититься от всех угроз разом, скорее всего, не получится - эта задача требует непрерывных инвестиций в информационную безопасность и огромного желания со стороны руководства.

Второй концептуальной сложностью защиты является отсутствие единых комплексных систем, которые смогли бы обеспечить защиту для всех возможных вариантов утечки. Большинство решений, которые принадлежат к современному классу DLP, способны обеспечить лишь защиту от инсайда и некоторых типов веб-утечек, причем с довольно низкой вероятностью. Как следствие, заказчикам приходится приобретать дополнительные продукты для шифрования, что весьма неудобно, невыгодно и, прямо скажем, неестественно.

Array ( => Y => Y => Y => Y => presscenter => 23 => Array () => Array ( => Otype => linked_products => linked_service => linked_solutions) => /press-center/article/#ELEMENT_ID#/ => - => - => - => => 1 => N => 1 => 1 => d.m.Y => A => 3600 => Y => => Array ( => 1) => => 1 => Страница => => => 1 => 1 => 4761 => => /press-center/article/ => N => => => => => => /press-center/article/ => ACTIVE_FROM => DESC => ID => DESC [~DISPLAY_DATE] => Y [~DISPLAY_NAME] => Y [~DISPLAY_PICTURE] => Y [~DISPLAY_PREVIEW_TEXT] => Y [~IBLOCK_TYPE] => presscenter [~IBLOCK_ID] => 23 [~FIELD_CODE] => Array ( => =>) [~PROPERTY_CODE] => Array ( => Otype => linked_products => linked_service => linked_solutions) [~DETAIL_URL] => /press-center/article/#ELEMENT_ID#/ [~META_KEYWORDS] => - [~META_DESCRIPTION] => - [~BROWSER_TITLE] => - [~DISPLAY_PANEL] => [~SET_TITLE] => Y [~SET_STATUS_404] => N [~INCLUDE_IBLOCK_INTO_CHAIN] => Y [~ADD_SECTIONS_CHAIN] => Y [~ACTIVE_DATE_FORMAT] => d.m.Y [~CACHE_TYPE] => A [~CACHE_TIME] => 3600 [~CACHE_GROUPS] => Y [~USE_PERMISSIONS] => N [~GROUP_PERMISSIONS] => [~DISPLAY_TOP_PAGER] => N [~DISPLAY_BOTTOM_PAGER] => Y [~PAGER_TITLE] => Страница [~PAGER_SHOW_ALWAYS] => N [~PAGER_TEMPLATE] => [~PAGER_SHOW_ALL] => Y [~CHECK_DATES] => Y [~ELEMENT_ID] => 4761 [~ELEMENT_CODE] => [~IBLOCK_URL] => /press-center/article/ [~USE_SHARE] => N [~SHARE_HIDE] => [~SHARE_TEMPLATE] => [~SHARE_HANDLERS] => [~SHARE_SHORTEN_URL_LOGIN] => [~SHARE_SHORTEN_URL_KEY] => [~SEF_FOLDER] => /press-center/article/ [~SORT_BY1] => ACTIVE_FROM [~SORT_ORDER1] => DESC [~SORT_BY2] => ID [~SORT_ORDER2] => DESC =>)

Современные технологии защиты от утечки конфиденциальной информации

На сегодняшний день автоматизированные системы (АС) являются основой обеспечения практически любых бизнес-процессов, как в коммерческих, так и в государственных организациях. Вместе с тем повсеместное использование АС для хранения, обработки и передачи информации приводит к обострению проблем, связанных с их защитой. Подтверждением этому служит тот факт, что за последние несколько лет, как в России, так и в ведущих зарубежных странах имеет место тенденция увеличения числа информационных атак, приводящих к значительным финансовым и материальным потерям. Так, по данным Министерства Внутренних Дел РФ количество компьютерных преступлений, связанных с несанкционированным доступом к конфиденциальной информации увеличилось с шестиста в 2000-м году до семи тысяч в 2003-м .

При этом, как отмечают многие исследовательские центры, более 80% всех инцидентов, связанных с нарушением информационной безопасности вызваны внутренними угрозами, источниками которых являются легальные пользователи системы. Считается, что одной из наиболее опасных угроз является утечка хранящейся и обрабатываемой внутри АС конфиденциальной информации. Как правило, источниками таких угроз являются недобросовестные или ущемлённые в том или ином аспекте сотрудники компаний, которые своими действиями стремятся нанести организации финансовый или материальный ущерб. Всё это заставляет более пристально рассмотреть как возможные каналы утечки конфиденциальной информации, так и дать возможность читателю ознакомиться со спектром технических решений, позволяющих предотвратить утечку данных.

Модель нарушителя, которая используется в этой статье, предполагает, что в качестве потенциальных злоумышленников могут выступать сотрудники компании, которые для выполнения своих функциональных обязанностей имеют легальный доступ к конфиденциальной информации. Целью такого рода нарушителей является передача информации за пределы АС с целью её последующего несанкционированного использования – продажи, опубликования её в открытом доступе и т.д. В этом случае можно выделить следующие возможные каналы утечки конфиденциальной информации (рис. 1):

несанкционированное копирование конфиденциальной информации на внешние носители и вынос её за пределы контролируемой территории предприятия. Примерами таких носителей являются флоппи-диски, компакт-диски CD-ROM, Flash-диски и др.;

вывод на печать конфиденциальной информации и вынос распечатанных документов за пределы контролируемой территории. Необходимо отметить, что в данном случае могут использоваться как локальные принтеры, которые непосредственно подключены к компьютеру злоумышленника, так и удалённые, взаимодействие с которыми осуществляется по сети;

несанкционированная передача конфиденциальной информации по сети на внешние серверы, расположенные вне контролируемой территории предприятия. Так, например, злоумышленник может передать конфиденциальную информацию на внешние почтовые или файловые серверы сети Интернет, а затем загрузить её оттуда, находясь в дома или в любом другом месте. Для передачи информации нарушитель может использовать протоколы SMTP, HTTP, FTP или любой другой протокол в зависимости от настроек фильтрации исходящих пакетов данных, применяемых в АС. При этом с целью маскирования своих действий нарушитель может предварительно зашифровать отправляемую информацию или передать её под видом стандартных графических или видео-файлов при помощи методов стеганографии ;

хищение носителей, содержащих конфиденциальную информацию – жёстких дисков, магнитных лент, компакт-дисков CD-ROM и др.

Рис. 1. Каналы утечки конфиденциальной информации

Считается, что в основе любой системы защиты от атак, связанных с утечкой конфиденциальной информации, должны лежать организационные меры обеспечения безопасности. В рамках этих мер на предприятии должны быть разработаны и внедрены организационно-распорядительные документы, определяющие список конфиденциальных информационных ресурсов, возможные угрозы, которые с ними связаны, а также перечень тех мероприятий, которые должны быть реализованы для противодействия указанным угрозам. Примерами таких организационных документов могут являться концепция и политика информационной безопасности, должностные инструкции сотрудников компании и др. В дополнении к организационным средствам защиты должны применяться и технические решения, предназначенные для блокирования перечисленных выше каналов утечки конфиденциальной информации. Ниже приводится описание различных способов защиты информации с учётом их преимуществ и недостатков.

Изолированная автоматизированная система для работы с конфиденциальной информацией

Сущность одного из первых способов, который начал применяться для защиты от утечки конфиденциальной информации, состоит в создании выделенной автономной АС, состоящей из средств вычислительной техники, необходимых для работы с конфиденциальной информацией (рис. 2). При этом такая АС полностью изолируется от любых внешних систем, что даёт возможность исключить возможную утечку информации по сети.

Рис. 2. Выделенная изолированная АС, предназначенная
для обработки конфиденциальной информации

АС этого типа оснащаются системами контроля доступа, а также системами видеонаблюдения. Доступ в помещения, в которых находится АС, осуществляется по специальным пропускам, при этом обычно производится личный досмотр сотрудников с целью контроля электронных и бумажных носителей информации. Для блокирования возможности утечки информации путём её копирования на внешние носители, из компьютеров АС, как правило, удаляются все устройства, при помощи которых можно записать информацию на такие носители. Кроме того, опечатываются все системные блоки и порты компьютеров для исключения возможности несанкционированного подключения новых устройств. При необходимости передать информацию за пределы выделенного помещения данная процедура проводится одним или несколькими сотрудниками по строго оговоренному регламенту при помощи соответствующего оборудования. В этом случае для работы с открытой информацией, а также для доступа к Интернет-ресурсам используется отдельная система, которая физически никак не связана с АС, обрабатывающей конфиденциальную информацию.

Как правило, описанный подход применяется в государственных структурах для защиты секретной информации. Он позволяет обеспечить защиту от всех вышеперечисленных каналов утечки конфиденциальной информации. Однако на практике во многих коммерческих организациях большинство сотрудников должно одновременно иметь доступ к конфиденциальной и открытой информации, а также работать с Интернет-ресурсами. В такой ситуации создание изолированной среды обработки конфиденциальной информации потребовало бы создание двух эквивалентных АС, одна из которых предназначалась только для обработки конфиденциальной информации, а другая – для работы с открытыми данными и ресурсами Интернет. Такой подход, как правило, невозможно реализовать из-за его очевидной избыточности и высокой стоимости.

Системы активного мониторинга рабочих станций пользователей

Системы активного мониторинга представляют собой специализированные программные комплексы, предназначенные для выявления несанкционированных действий пользователей, связанных, в частности, с попыткой передачи конфиденциальной информации за пределы контролируемой территории предприятия. Системы мониторинга состоят из следующих компонентов (рис. 3):

модули-датчики, устанавливаемые на рабочие станции пользователей и обеспечивающие сбор информации о событиях, регистрируемых на этих станциях;

модуль анализа данных, собранных датчиками, с целью выявления несанкционированных действий пользователей, связанных с утечкой конфиденциальной информации;

модуль реагирования на выявленные несанкционированные действия пользователей;

модуль хранения результатов работы системы;

модуль централизованного управления компонентами системы мониторинга.

Датчики систем мониторинга устанавливаются на те рабочие станции, на которых пользователи работают с конфиденциальной информацией. На основе настроек, заданных администратором безопасности, датчики системы позволяют контролировать доступ приложений пользователей к конфиденциальной информации, а также накладывать ограничения на те действия, которые пользователь может выполнить с этой информацией. Так, например, системы активного мониторинга позволяют запретить запись конфиденциальной информации на внешние носители, заблокировать передачу информации на внешние сетевые адреса, а также вывод данных на печать.

Рис. 3. Типовая архитектура систем активного мониторинга рабочих станций пользователей

Примерами коммерческих программных продуктов, которые могут быть отнесены к классу систем активного мониторинга, являются - система управления политикой безопасности «Урядник» (www.rnt.ru), система разграничения доступа «DeviceLock» (www.devicelock.ru) и система мониторинга «InfoWatch» (www.infowatch.ru).

Преимуществом использования систем мониторинга является возможность создания виртуальной изолированной среды обработки конфиденциальной информации без физического выделения отдельной АС для работы с данными ограниченного доступа. Кроме того, системы этого типа позволяют программно ограничить вывод информации на внешние носители, что избавляет от необходимости физического удаления из компьютеров устройств записи информации, а также опечатывания портов и системных блоков. Однако, применение систем активного мониторинга влечёт за собой установку дополнительного ПО на каждую рабочую станцию, что потенциально может привести к увеличению сложности администрирования АС, а также к возможным конфликтам в работе программ системы.

Выделенный сегмент терминального доступа к конфиденциальной информации

Ещё один способ защиты от утечки конфиденциальной информации заключается в организации доступа к конфиденциальной информации АС через промежуточные терминальные серверы. При такой схеме доступа пользователь сначала подключается к терминальному серверу, на котором установлены все приложения, необходимые для работы с конфиденциальной информацией. После этого пользователь в терминальной сессии запускает эти приложения и начинает работать с ними так, как будто они установлены на его рабочей станции (рис. 4).

Рис. 4. Схема установки терминального сервера доступа к конфиденциальным данным

В процессе работы в терминальной сессии пользователю отсылается только графическое изображение рабочей области экрана, в то время как вся конфиденциальная информация, с которой он работает, сохраняется лишь на терминальном сервере. Один такой терминальный сервер, в зависимости от аппаратной и программной конфигурации, может одновременно обслуживать сотни пользователей. Примерами терминальных серверов являются продукты Microsoft Terminal Services (www.microsoft.com) и Citrix MetaFrame (www.citrix.com).

Практическое использование технического решения на основе терминального сервера позволяет обеспечить защиту от несанкционированного копирования конфиденциальной информации на внешние носители за счёт того, что вся информация хранится не на рабочих станциях, а на терминальном сервере. Аналогичным образом обеспечивается защита и от несанкционированного вывода документов на печать. Распечатать документ пользователь может только при помощи принтера, установленного в сегменте терминального доступа. При этом все документы, выводимые на этот принтер, могут регистрироваться в установленном порядке.

Использование терминального сервера позволяет также обеспечить защиту от несанкционированной передачи конфиденциальной информации по сети на внешние серверы вне пределов контролируемой территории предприятия. Достигается это путём фильтрации всех пакетов данных, направленных вовне сегмента терминального доступа, за исключением тех пакетов, которые обеспечивают передачу графического изображения рабочей области экрана на станции пользователей. Такая фильтрация может быть реализована при помощи межсетевого экрана, установленного в точке сопряжения сегмента терминального доступа с остальной частью АС. В этом случае все попытки установить соединения с терминального сервера на узлы сети Интернет будут заблокированы. При этом сама рабочая станция может иметь беспрепятственный доступ к Интернет-ресурсам. Для обмена информацией между пользователями, работающими в терминальных сессиях, может использоваться выделенный файловый сервер, расположенный в терминальном сегменте доступа.

Средства контентного анализа исходящих пакетов данных

Средства контентного анализа обеспечивают возможность обработки сетевого трафика, отправляемого за пределы контролируемой территории с целью выявления возможной утечки конфиденциальной информации. Используются они, как правило, для анализа исходящего почтового и web-трафика, отправляемого в сеть Интернет. Примерами средств контентного анализа этого типа являются системы «Дозор-Джет» (www.jetinfo.ru), «Mail Sweeper» (www.infosec.ru) и «InfoWatch Web Monitor» (www.infowatch.com).
Такие средства защиты устанавливаются в разрыв канала связи между сетью Интернет и АС предприятия, таким образом, чтобы через них проходили все исходящие пакеты данных (рис. 5).

Рис. 5. Схема установки средств контентного анализа в АС

В процессе анализа исходящих сообщений последние разбиваются на служебные поля, которые обрабатываются по критериям, заданным администратором безопасности. Так, например, средства контентного анализа позволяют блокировать пакеты данных, которые содержат такие ключевые слова, как – «секретно», «конфиденциально» и др. Эти средства также предоставляют возможность фильтровать сообщения, которые направляются на внешние адреса, не входящие в систему корпоративного электронного документооборота.

Преимуществом систем защиты данного типа является возможность мониторинга и накладывания ограничений, как на входящий, так и исходящий поток трафика. Однако, эти системы не позволяют гарантировать стопроцентное выявление сообщений, содержащих конфиденциальную информацию. В частности, если нарушитель перед отправкой сообщения зашифрует его или замаскирует под видом графического или музыкального файла при помощи методов стеганографии, то средства контентного анализа в этом случае окажутся практически бессильными.

Средства криптографической защиты конфиденциальной информации

Для защиты от утечки информации могут использоваться и криптографические средства, обеспечивающие шифрование конфиденциальных данных, хранящихся на жёстких дисках или других носителях. При этом ключ, необходимый для декодирования зашифрованной информации, должен храниться отдельно от данных. Как правило, он располагается на внешнем отчуждаемом носителе, таком как дискета, ключ Touch Memory или USB-носитель. В случае, если нарушителю и удастся украсть носитель с конфиденциальной информацией, он не сможет её расшифровать, не имея соответствующего ключа.

Рассмотренный вариант криптографической защиты не позволяет заблокировать другие каналы утечки конфиденциальной информации, особенно если они совершаются пользователем после того, как он получил доступ к данным. С учётом этого недостатка компанией Microsoft была разработана технология управления правами доступа RMS (Windows Rights Management Services) на основе операционной системы Windows Server 2003. Согласно этой технологии вся конфиденциальная информация хранится и передаётся в зашифрованном виде, а её дешифрование возможно только на тех компьютерах и теми пользователями, которые имеют на это права. Вместе с конфиденциальными данными также передаётся специальный XML-файл, содержащий категории пользователей, которым разрешён доступ к информации, а также список тех действий, которые эти пользователи могут выполнять. Так, например, при помощи такого XML-файла, можно запретить пользователю копировать конфиденциальную информацию на внешние носители или выводить её на печать. В этом случае, даже если пользователь скопирует информацию на внешний носитель, она останется в зашифрованном виде и он не сможет получить к ней доступ на другом компьютере. Кроме того, собственник информации может определить временной период, в течение которого пользователь сможет иметь доступ к информации. По истечении этого периода доступ пользователя автоматически блокируется. Управление криптографическими ключами, при помощи которых возможна расшифровка конфиденциальных данных, осуществляется RMS-серверами, установленными в АС.

Необходимо отметить, что для использования технологии RMS на рабочих станциях АС должно быть установлено клиентское ПО с интегрированной поддержкой этой технологии. Так, например, компания Microsoft встроила функции RMS в собственные клиентские программные продукты – Microsoft Office 2003 и Internet Explorer. Технология RMS является открытой и может быть интегрирована в любые программные продукты на основе набора инструментальных средств разработки RMS SDK.

Ниже приводится обобщённый алгоритм использования технология RMS для формирования конфиденциальной информации пользователем «А» и последующего получения к ней доступа пользователем «Б» (рис. 6):

На первом этапе пользователь «А» загружает с RMS-сервера открытый ключ, который в последствии будет использоваться для шифрования конфиденциальной информации.

Далее пользователь «А» формирует документ с конфиденциальной информацией при помощи одного из приложений, поддерживающих функции RMS (например, при помощи Microsoft Word 2003). После этого пользователь составляет список субъектов, имеющих права доступа к документу, а также операции, которые они могут выполнять. Эта служебная информация записывается приложением в XML-файл, составленный на основе расширенного языка разметки прав доступа – eXtensible rights Markup Language (XrML).

На третьем этапе приложение пользователя «А» зашифровывает документ с конфиденциальной информацией при помощи случайным образом сгенерированного симметричного сеансового ключа, который в свою очередь зашифровывается на основе открытого ключа RMS-сервера. С учётом свойств асимметричной криптографии расшифровать этот документ сможет только RMS-сервер, поскольку только он располагает соответствующим секретным ключом. Зашифрованный сеансовый ключ также добавляется к XML-файлу, связанному с документом.

Пользователь отправляет получателю «Б» зашифрованный документ вместе с XML-файлом, содержащим служебную информацию.

После получения документа пользователь «Б» открывает его при помощи приложения с функциями RMS.

Поскольку адресат «Б» не обладает ключом, необходимым для его расшифровки, приложение отправляет запрос к RMS-серверу, в который включается XML-файл и сертификат открытого ключа пользователя «Б».

Получив запрос, RMS-сервер проверяет права доступа пользователя «Б» к документу в соответствии с информацией, содержащейся в XML-файле. Если пользователю доступ разрешён, то тогда RMS-сервер извлекает из XML-файла зашифрованный сеансовый ключ, дешифрует его на основе своего секретного ключа и заново зашифровывает ключ на основе открытого ключа пользователя «Б». Использование открытого ключа пользователя позволяет гарантировать, что только он сможет расшифровать ключ.

На восьмом этапе RMS-сервер отправляет пользователю «Б» новый XML-файл, содержащий зашифрованный сеансовый ключ, полученный на предыдущем шаге.

На последнем этапе приложение пользователя «Б» расшифровывает сеансовый ключ на основе своего закрытого ключа и использует его для открытия документа с конфиденциальной информацией. При этом приложение ограничивает возможные действия пользователя только теми операциями, которые перечислены в XML-файле, сформированном пользователем «А».

Рис. 6. Схема взаимодействия узлов на основе технологии RMS

В настоящее время технология RMS является одним из наиболее перспективных способов защиты конфиденциальной информации. В качестве недостатка этой технологии необходимо отметить тот факт, что она может быть реализована лишь в рамках платформы Microsoft Windows и только на основе тех приложений, в которых используются функции RMS SDK.

Заключение

В настоящее время одной из наиболее актуальных проблем в области информационной безопасности является проблема защиты от утечки конфиденциальной информации. Технические варианты решения данной проблемы, рассмотренные в статье, могут быть сгруппированы в два типа. Первый тип предполагает изменение топологии защищаемой АС путём создания изолированной системы обработки конфиденциальной информации, либо выделения в составе АС сегмента терминального доступа к конфиденциальным данным. Второй вариант технических решений заключается в применении различных средств защиты АС, включая средства активного мониторинга, контентного анализа, а также средства криптографической защиты информации. Результаты анализа этих двух типов технических решений показали, что каждое из них характеризуется своими недостатками и преимуществами. Выбор конкретного средства защиты зависит от множества факторов, включая особенности топологии защищаемой АС, тип прикладного и общесистемного ПО, установленного в системе, количество пользователей, работающих с конфиденциальной информацией и многих других. При этом необходимо подчеркнуть, что наибольшая эффективность может быть получена при комплексном подходе, предусматривающим применение как организационных, так и технических мер защиты информационных ресурсов от утечки.

Список литературы

1. Официальная статистика компьютерных преступлений, совершенных в Российской Федерации по данным ГИЦ МВД России, 2004 (http://www.cyberpol.ru/statcrime.shtml).
2. Technical Overview of Windows Rights Management Services for Windows Server 2003. Microsoft Corporation. November 2003. (http://www.microsoft.com/windowsserver2003/ technologies/rightsmgmt/default.mspx).
3. В.Г. Грибунин, И.Н. Оков, И.В. Туринцев, Цифровая стеганография, М: Солон-Пресс, 2002 г.
4. В.А. Сердюк, А.Е. Шарков, Защита информационных систем от угроз «пятой колонны» //PCWeek, №34, 2003.

Защита от утечки информации – решение ЗАО «ДиалогНаука»

Построение любой системы защиты начинается с изучения потенциальных рисков и создания модели угроз. Только в этом случае можно говорить о действительно успешном решении задачи обеспечения безопасности. Защита от утечек конфиденциальной информации не является исключением из этого правила. В качестве угроз здесь выступают каналы, по которым данные могут несанкционированно покидать пределы информационной системы организации.

На сегодняшний день существует целый набор потенциально опасных каналов, через которые могут происходить утечки конфиденциальной информации из корпоративной сети. Некоторые из них очевидны – мобильные устройства и накопители, стационарные ПК и серверы, Интернет и электронная почта. Другие же каналы утечек часто выпадают из внимания и остаются не защищенными. Среди них можно отметить бумажные документы, архивные копии данных и пр.

Степень угрозы у каждого из возможных каналов разная. Некоторые из них относятся к числу наиболее распространенных и нуждаются в обязательном контроле практически во всех организациях. Другие же, для многих компаний, представляют собой угрозу скорее теоретическую, нежели практическую. При этом ситуация не статична, она постоянно изменяется. Появляются новые потенциально опасные каналы утечки информации, изменяется популярность старых.

Актуальную информацию о распространении каналов можно почерпнуть из результатов исследований утечек конфиденциальной информации. В нашей стране подобные отчеты представляют компании, специализирующиеся на разработке DLP-систем: InfoWatch и SecurIT . Стоит оговориться, что в них фигурируют данные, собранные по всему миру, а не только в России. Впрочем, в этом нет абсолютно ничего удивительного. В нашей стране публикуется крайне малая часть инцидентов, поэтому о качественной статистике говорить не приходится.

Компьютеры

Одним из основных каналов утечки всегда были компьютеры, на которых хранится конфиденциальная информация. Это могут быть как серверы (например, сервер баз данных, почтовый сервер и пр.) и рабочие станции корпоративной сети, так и ноутбуки пользователей. Первые постоянно находятся в помещениях организации и не могут выноситься наружу сотрудниками. Вторые используются для выездной работы и могут свободно покидать территорию офиса. Таким образом, ноутбук, который используется вместо ПК на рабочем месте, тоже может считаться стационарным компьютером в плане обеспечения безопасности.

Рисунок 1: Распределение утечек по каналам в 2010 году (по данным отчета InfoWatch)

Зачем нужно это разделение? Дело в том, что для стационарных и мобильных компьютеров модели угроз несколько различаются. Для обоих указанных типов существует общий набор способов утечки конфиденциальной информации. Например, несанкционированная печать документов, копирование данных на съемные накопители, последствия действий вредоносных программ (например, программ-шпионов) и пр.

Применительно к мобильным компьютерам добавляется еще одна угроза – риск случайно утери или физической кражи ноутбука с конфиденциальной информацией. В случае стационарного ПК вероятность такого события стремится к нулю (случаи обкрадывания офисов с выносом компьютерного оборудования достаточно редки). Ноутбуки же теряются, судя по сообщениям в прессе, достаточно регулярно. Таким образом, если для стационарных компьютеров необходима лишь DLP-система, контролирующая все основные каналы утечки данных, то для мобильных дополнительно требуется шифрование конфиденциальной информации.

Мы не зря упомянули, что компьютеры долгое время были основным каналом утечки конфиденциальной информации. По данным InfoWatch в 2010 году на них пришлось 37% всех утечек. В 2011 году ситуация изменилась достаточно сильно. Доля компьютеров в утечках сократилась до 20,5%, то есть снизилась более чем в 1,5 раза. SecurIT приводит другие цифры –22,5% в 2010 и 14,5% в 2011 годах. Однако общая тенденция к снижению доли компьютеров налицо. Впрочем, и оставшихся цифр более чем достаточно, чтобы относиться к данному каналу со всей серьезностью.

Рисунок 2: Распределение утечек по каналам в 2011 году (по данным отчета InfoWatch)

Также можно отметить тот факт, что доля утечек, приходящаяся на мобильные компьютеры, постепенно снижается (по данным InfoWatch в 2010 году их доля сократилась примерно на 1,5%, а в 2011 – на 2,4%). По всей видимости, многочисленные публикации в прессе не прошли даром, а потому к ноутбукам стали относиться более серьезно, применяя шифрование.

Другой причиной, заставляющей говорить о компьютерах как об основном канале утечек конфиденциальной информации, является следующий факт. Согласно исследованиям, они занимают просто огромную долю среди умышленных утечек данных. По данным InfoWatch, в 2010 году на них приходилось 53% (39% на стационарные компьютеры и сервера и 14% на ноутбуки), а в 2011 – 21,2% (15,4% на стационарные и 5,8% на мобильные компьютеры) всех подобных инцидентов. Между тем, именно умышленные утечки представляют собой наиболее серьезную угрозу и приводят к самым неприятным последствиям.

Интернет

Сегодня Интернет активно используется во многих бизнес-процессах. Но, при этом, он представляет собой и достаточно серьезный канал для утечки конфиденциальной информации. По данным SecurIT на глобальную сеть в 2010 году приходилось около 35%, а в 2011 – уже 43,9% всех инцидентов, связанных с компрометацией данных (включая хакерские действия, подавляющее большинство которых осуществляется с использованием Интернета). InfoWatch приводит другие данные – 23% в 2010 и 19,8% в 2011. Видно, что эти цифры, в целом, перекликаются с показателями утечек через компьютеры. Именно поэтому Интернет и компьютерное оборудование на сегодняшний день и являются основными каналами утечки информации.

Рисунок 3: Распределение утечек по каналам в 2010 году (по данным отчета SecurIT)

При этом сеть Интернет можно считать несколько меньшей угрозой информационной безопасности, потому что большая часть утечек через глобальную сеть относится к категории случайных. Речь идет о неосторожных обращениях с конфиденциальной информацией (в основном, с персональными данными), которая публикуется в открытом доступе на сайте или социальных сетях, отправляется по электронной почте или передается в ходе частных бесед по ICQ и Skype. С другой стороны, в последние годы наблюдается стойкая тенденция роста количества утечек данных через Интернет. Поэтому недооценивать данный канал все-таки нельзя.

Говоря об Интернете, нужно понимать, что он представляет собой целый набор каналов утечки конфиденциальной информации. К сожалению, в отчетах его редко разбивают на части (поэтому мы и написали о нем как об одном канале). Тем не менее, некоторые данные найти можно. Достаточно долго самым значительным интернет-каналом утечки является электронная почта. Так, например, в 2010 году по SecurIT на нее приходилось 17,8% всех утечек информации. Но уже в 2011 их доля снизилась всего до 2,8%. Впрочем, InfoWatch приводит несколько иные цифры. По данным этой компании в 2010 году на электронную почту пришлось 7%, а в 2011 – 6,2% от общего количества инцидентов, связанных с нарушением конфиденциальности данных. При этом большая их часть приходится на случайные утечки.

Контролировать электронную почту, безусловно, нужно. Однако, здесь надо учитывать один очень важный момент. Сегодня сотрудники в компаниях могут использовать как корпоративный почтовый сервер, так и бесплатные веб-сервисы в Интернете. И оба этих варианта опасны с точки зрения информационной безопасности. Поэтому необходимо, чтобы внедряемая DLP-система имела возможности по контролю как корпоративной почты, так и веб-сервисов.

Рисунок 4: Распределение утечек по каналам в 2011 году (по данным отчета SecurIT)

Следующим потенциально опасным интернет-каналом утечки конфиденциальной информации являются всевозможные системы общения, в основном, IM-клиенты и Skype. Ситуация усугубляется тем, что количество первых постоянно увеличивается. Если раньше были распространены буквально два-три основных клиента (ICQ, QIP и пр.), то сегодня многие веб-сервисы обзаводятся собственными программами для быстрого общения. Контроль Skype, который стал популярен в последнее время, тоже осложнен из-за передачи данных по зашифрованному каналу связи. Впрочем, последние версии современных DLP-решений успешно справляются с контролем практически всего спектра программ для обмена быстрыми сообщениями.

Еще одним немаловажным интернет-каналом утечек являются различные веб-сервисы. Особенно актуальны в этом плане столь популярные сегодня социальные сети. Обладая развитыми средствами общения, которые включают в себя обмен сообщениям и публикацию файлов, и огромным количеством пользователей, потенциально они являются одной из наиболее опасных с точки зрения информационной безопасности веб-сервисов. Однако нельзя забывать и о боле традиционных средствах обмена информацией. К ним относятся форумы, доски объявлений и блоги. Несмотря на меньшее распространение, они также могут стать каналом утечки конфиденциальной информации.

Внедрять контроль над использованием перечисленных выше веб-сервисов необходимо не только для обнаружения и предотвращения попыток передач конфиденциальной информации, но и для выявления нелояльно настроенных сотрудников. Наиболее яркий пример – поиск работников, активно использующих HR-сайты: просматривающих вакансии, отправляющих резюме и пр. Подобные действия позволяют предположить возможный переход таких сотрудников в конкурирующие организации.

Отдельного упоминания заслуживают всевозможные хакерские атаки. В отчете SecurIT они выделены в отдельную графу. И, как оказалось, в этом есть свой смысл. В 2010 году на них приходилось всего 6,2% инцидентов, связанных с утечками конфиденциальной информации. А уже в 2011 году эта доля выросла более чем 4(!) раза – до 25,8%. Это свидетельствует о том, что злоумышленники все чаще и чаще используются для похищения данных всевозможное вредоносное ПО, посредством которого и реализуются хакерские атаки на компьютеры с конфиденциальными данными. Причем защита от них относительна проста. Установка, настройка и своевременное обновление антивируса, обновление операционных систем, использование файрвола, фильтрация нежелательных сайтов могут многократно снизить риск успешных хакерских атак на сеть организации.

Съемные накопители

Если почитать прессу, то может показаться, что съемные накопители являются чуть ли не главным источником всех проблем. Журналисты любят рассказывать про потерянные или украденные "флешки" и мобильные диски с конфиденциальной информацией. Однако, на самом деле, съемные накопители становятся причиной инцидентов относительно редко. По данным InfoWatch в 2010 с ними было связано всего 8% утечек данных. Цифра в отчете SecurIT несколько больше – 12,6%. В 2011 доля съемных накопителей уменьшилась. По данным SecurIT на них пришлось всего 6,3%, а по данным InfoWatch – 6,2% от общего количества инцидентов, связанных с утечками конфиденциальных данных.

Рисунок 5: Распределение умышленных утечек по каналам в 2011 году (по данным отчета InfoWatch)

Объясняется это достаточно просто. Несмотря на то, что всевозможные USB-накопители получили широкое распространение, они не так часто используются для переноса и, уж тем более, хранения конфиденциальных данных. Кроме того, этот канал относительно легко контролируется. Достаточно ввести обязательное шифрование данных на корпоративных "флешках", чтобы обезопасить их в случае утери накопителя.

Бумажные документы

Говоря об информационной безопасности и защите от утечек конфиденциальных данных, часто забывают о таком канале, как бумажные документы. Между тем, недооценивать его ни в коем случае нельзя. Согласно исследованиям, инцидентов, связанных с распечатанной на бумаге информацией, происходит достаточно много. По данным SecurIT в 2010 году их доля в общем количестве составляла 12,7%. InfoWatch предоставила еще более пессимистичную цифру – 20%. Правда, в 2011 году ситуация несколько улучшилась. SecurIT в своем отчете привела цифру в 7,4%, а InfoWatch – 19,1%. Тем не менее, видно, что бумажные документы сплошь и рядом оказываются более опасными, нежели съемные накопители и электронная почта.

Ситуацию усугубляет два факта. Во-первых, в большинстве организаций контроль заканчивается на печати документа. После этого его перемещение по офису и утилизация никак не отслеживается и полностью остается на совести сотрудников. Во-вторых, на сегодняшний день контроль за бумажными документами возможен только с помощью организационных мер (серьезно говорить о внедрении в офисе режима секретности по примеру организаций, работающих с документами, представляющих государственную тайну, мы не будем). Трудовая же дисциплина во многих компаниях остается достаточно низкой. В результате чего документы с конфиденциальной информацией отправляются не в шредер, а просто в мусорную корзину. Откуда они попадают в мульду и могут быть найдены злоумышленниками.

В российских реалиях, со стремлением к тотальной экономии, актуальна и другая модель угроз, связанных с бумажными носителями. Речь идет о черновиках – забракованных или уже ненужных листах, чистых с одной стороны. Чаще всего они используются для печати каких-либо внутренних документов. При этом возникает риск того, что конфиденциальные данные попадут в руки сотрудников, которые не должны иметь к ним доступ.

Примечательно распределение утечек конфиденциальной информации, связанных с бумажными документами, по умышленным и случайным инцидентам. Дело в том, что практически все они относятся ко второй категории. Более того, именно бумажные документы являются основным каналом случайной утечки информации и уверенно удерживают первое место. По данным InfoWatch их доля в общем числе достигает 30%! В то время как среди умышленных утечек они делят третье место с Интернетом со значением в 9%.

Другие каналы утечки

Помимо основных, перечисленных выше, существует немало других каналов утечки конфиденциальной информации. Они значительно менее распространены, но, тем не менее, забывать о них нельзя. Тем более, что многие из этих каналов используются злоумышленниками для целенаправленной добычи определенной информации. То есть такие утечки, несмотря на их малый процент в общей доле, способны нанести ощутимый ущерб любой организации.

Рисунок 6: Распределение случайных утечек по каналам в 2011 году (по данным отчета InfoWatch)

В первую очередь к таким каналам относятся архивные накопители, предназначенные для хранения копий конфиденциальной информации, включая всевозможные базы данных. Во многих компаниях информация на них записывается в открытом виде. Поэтому, при утере или краже такого накопителя данные легко становятся добычей злоумышленников. Это видно и по отчетам. Так, согласно данным InfoWatch, в 2010 на резервные накопители пришлось всего 2% инцидентов, связанных с утечками конфиденциальной информации. А уже в 2011 году их доля выросла до 8,5%.

Другим каналом утечки конфиденциальных данных является некорректная утилизация компьютерного оборудования и носителей. Во многих организациях списанные компьютеры продаются или передаются в некоммерческие учреждения. И, при этом, бывают случаи, когда ПК отдаются в том виде, в каком они есть, без удаления всей информации. Но, даже если жесткий диск компьютера и будет отформатирован, вернуть данные к жизни не составит никакого труда. Перед утилизацией носитель должен быть подвергнут специальной процедуре очистки, которая сделает восстановление информации невозможным.

Помимо этого существует еще несколько каналов утечки конфиденциальной информации, включая мошеннические действия в отношении сотрудников компании, фишинг и пр.

Выводы

В 2010 году наибольшее распространение получило два канала утечки конфиденциальной информации – это кража компьютеров, включая рабочие станции сети, сервера и ноутбуки, и Интернет, включая электронную почту, IM-клиентов, социальные сети и пр. На первый приходится от 22,5% до 37% всех инцидентов, а на второй – от 23% до 35% (по данным разных исследований). Причем компьютеры превалируют в умышленных (их доля в умышленных утечеках доходит до 53%), а Интернет – в случайных утечках данных (их доля составляет 33%).

В 2011 году ситуация изменилась. Доля компьютеров, в том числе и мобильных, постепенно снижается. В противовес этому увеличивается количество инцидентов, связанных с использованием Интернета. Особенно опасны в плане безопасности оказываются всевозможные веб-сервисы и хакерские атаки (количество последних выросло в 2011 году очень и очень значительно). В соответствии с этими данными и рекомендуется строить защиту от нарушений конфиденциальности информации.

В целом, оба канала могут полностью контролируются с помощью современных DLP-систем. Особое внимание рекомендуется уделить компьютерам. Точнее, политике использования съемных накопителей и принтеров в организации. Вполне возможно, что многим сотрудникам не нужно что-то копировать на "флешки". И запретив им это делать, можно существенно повысить безопасность компании. Отдельно нужно рассматривать мобильные компьютеры. Если они используются в разъездах лучше дополнять систему защиты шифрованием конфиденциальной информации.

Интернет полностью запрещать нельзя. Поэтому, инструменты контроля сетевых каналов обычно основаны на контекстном анализе и имеют вероятностный характер. Тем не менее, поскольку Интернет больше фигурирует в случайных утечках конфиденциальных данных, даже эти средства могут существенно снизить информационные риски организации. Кроме того, необходимо строго придерживаться общей политики безопасности и использовать антивирусы, файрволы, системы фильтрации нежелательных сайтов и пр., что позволяет снизить риск хакерских атак.

Также нельзя забывать про бумажные документы. Инцидентов с ними достаточно много. И, хотя почти все они относятся к категории случайных, такие утечки могут причинить серьёзный ущерб. Контролировать данный канал техническими средствами на практике очень сложно. Уменьшить риски можно путем внедрения комплекса организационных мер, оснащение офиса необходимым оборудованием (шредерами) и повышением трудовой дисциплины сотрудников.

Отдельно можно отметить такой канал утечек конфиденциальной информации, как съемные накопители. По данным исследований он не занимает лидирующих позиций по распространенности – его доля в 2011 году составила чуть более 6%. Однако ситуация со съемными накопителями усугубляется тем, что далеко не все инциденты с ними становятся известны. Обычно публикуются только те утечки, которые связаны с разрешенным в компаниях использованием "флешек". То есть когда данные на них размещаются с ведома руководства. В то же время нередки случаи, когда сотрудники в нарушение политики безопасности копируют конфиденциальную информацию на свои личные съемные накопители, которые впоследствии теряют. Это, опять же, говорит о высокой степени необходимости внедрения DLP-систем в информационную структуру организации с возможностью контроля переноса данных на "флешки".

Остальные каналы утечки конфиденциальных данных распространены меньше. Но это не значит, что их не нужно контролировать. Так, например, доля утечек конфиденциальной информации через резервные накопители в 2011 году выросла более чем в 4 раза. Поэтому в каждом конкретном случае необходимо составлять свою модель угроз и, в соответствие с ней, принимать решение о необходимости внедрения тех или иных средств защиты. Тем более, что постепенно ситуация изменяется, в частности, постоянно увеличивается количество утечек через интернет-каналы.

Сегодня мы поговорим об утечки и средствах защиты конфиденциальной информации.

Термин конфиденциальная информация означает доверительная, не подлежащая огласке, секретная. Разглашение ее может квалифицироваться как уголовно наказуемое преступление. Любое лицо, имеющее доступ к такой информации, не имеет право разглашать ее другим лицам, без согласия правообладателя.

Конфиденциальная информация и закон

Указ президента РФ № 188 от 06.03.1997 г. определяет сведения, имеющие конфиденциальный характер. К ним относятся:

1. Сведения, относящиеся к коммерции.
2. Сведения, связанные относящиеся к служебной деятельности.
3. Врачебная, адвокатская, личная (переписка, телефонные разговоры и.т.д.) тайна.
4. Тайна следствия, судопроизводства, сведения об осужденных.
5. Персональные данные граждан, сведения об их личной жизни.

Коммерческая тайна – это информация, дающая возможность ее обладателю получить конкурентное преимущество, выгоду от представления услуг или продажи товаров. Инсайдерская информация о компании (смена руководства и.т.д.) способная повлиять на стоимость акций.

Служебная тайна – информация, имеющаяся в органах госуправления, документы имеют гриф «Для служебного пользования» и не подлежат разглашению третьим лицам.

К профессиональной тайне относится тайна следствия, адвокатская, судопроизводства, нотариальная и.т.д.

Любые персональные данные (Ф.И.О, место работы, адрес, и.т.д.), сведения о частной жизни гражданина.

Утечка такой информации может наступить в следующих случаях:

1. Неэффективное хранение и доступ к конфиденциальной информации, плохая система защиты.
2. Постоянная смена кадров, ошибки персонала, тяжелый психологический климат в коллективе.
3. Плохое обучение персонала эффективным способам защиты информации.
4. Неумение руководства организации контролировать работу сотрудников с закрытой информацией.
5. Бесконтрольная возможность проникновения в помещение, где хранится информация, посторонних лиц.

Пути утечки информации

Они могут быть организационные и технические.

Организационные каналы:

1. Поступление на работу в организацию, с целью получения закрытой информации.
2. Получение интересующей информации от партнеров, клиентов с использованием методов обмана, введение в заблуждения.
3. Криминальный доступ получения информации (кража документов, похищение жесткого диска с информацией).

Технические каналы:

1. Копирование подлинника документа закрытую информацию или его электронную версию.
2. Запись конфиденциального разговора на электронные носители (диктофон, смартфон и другие записывающие устройства).
3. Устная передача содержания документа ограниченного доступа третьим лицам, не имеющим права доступа к нему.
4. Криминальное получение информации с помощью радиозакладок, скрытно установленных микрофонов и видеокамер.

Меры по защите информации

Система защиты закрытой информации предполагает:

1. Предупреждению несанкционированного доступа к ней.
2. Перекрытие каналов утечки.
3. Регламентации работы с конфиденциальной информацией.

Служба безопасности предприятия должна организовывать практическую реализацию системы защиты информации, обучение персонала, контроль соблюдения нормативных требований.

Организационные методы

1. Разработка системы обработки конфиденциальных данных.
2. Доведение до персонала фирмы положение об ответственности за разглашение конфиденциальных документов, их копирование или фальсификацию.
3. Составление списка документов ограниченного доступа, разграничение персонала по допуску к имеющейся информации.
4. Отбор персонала для обработки конфиденциальных материалов, инструктирование сотрудников.

Технические методы

1. Использование криптографических средств при электронной переписке, ведение телефонных разговоров по защищенным линиям связи.
2. Проверка помещения, где ведутся переговоры, на отсутствие радиозакладок, микрофонов, видеокамер.
3. Доступ персонала в защищенные помещения с помощью идентифицирующих средств, кода, пароля.
4. Использование на компьютерах и других электронных устройствах программно- аппаратных методов защиты.

Политика компании в области информационной безопасности включает в себя:

1. Назначение ответственного лица за безопасность в организации.
2. Контроль использования программно-аппаратных средств защиты.
3. Ответственность начальников отделов и служб за обеспечение защиты информации.
4. Введение пропускного режима для сотрудников и посетителей.
5. Составления списка допуска лиц к конфиденциальным сведениям.

Организация информационной безопасности

Компьютеры, работающие в локальной сети, серверы, маршрутизаторы должны быть надежно защищены от несанкционированного съема информации. Для этого:

1. За эксплуатацию каждого компьютера назначается ответственный сотрудник.
2. Системный блок опечатывается работником IT службы.
3. Установка любых программ производится специалистами IT службы.
4. Пароли должны генерироваться работниками IT службы и выдаваться под роспись.
5. Запрещается использование сторонних источников информации, на всех носителях информации делается маркировка.
6. Для подготовки важных документов использовать только один компьютер. На нем ведется журнал учета пользователей.
7. Программно-аппаратное обеспечение должно быть сертифицировано.
8. Защита информационных носителей (внешние диски) от несанкционированного доступа.

Система работы с конфиденциальной информацией гарантирует информационную безопасность организации, позволяет сохранять от утечек важные сведения. Это способствует устойчивому функционированию предприятия долгое время.

Термин «утечка конфиденциальной информации», вероятно, не самый благозвучный, однако он более емко, чем другие термины, отражает суть явления, к тому же он давно уже закрепился в научной литературе и нормативных документах. Утечка конфиденциальной информации представляет собой неправомерный, т. е. неразрешенный выход такой информации за пределы защищаемой зоны ее функционирования или установленного круга лиц, имеющих право работать с ней, если этот выход привел к получению информации (ознакомлению с ней) лицами, не имеющими к ней санкционированного доступа. Утечка конфиденциальной информации означает не только получение ее лицами, не работающими на предприятии, к утечке приводит и несанкционированное ознакомление с конфиденциальной информацией лиц данного предприятия.

Утрата и утечка конфиденциальной документированной информации обусловлены уязвимостью информации. Уязвимость информации следует понимать, как неспособность информации самостоятельно противостоять дестабилизирующим воздействиям, т. е. таким воздействиям, которые нарушают ее установленный статус. Нарушение статуса любой документированной информации заключается в нарушении ее физической сохранности (вообще либо у данного собственника в полном или частичном объеме), логической структуры и содержания, доступности для правомочных пользователей. Нарушение статуса конфиденциальной документированной информации дополнительно включает нарушение ее конфиденциальности (закрытости для посторонних лиц).

Уязвимость документированной информации - понятие собирательное. Она не существует вообще, а проявляется в различных формах. К таким формам, выражающим результаты дестабилизирующего воздействия на информацию, относятся (в скобках указаны существующие варианты названий форм):

хищение носителя информации или отображенной в нем информации (кража);

потеря носителя информации (утеря);

несанкционированное уничтожение носителя информации или отображенной в нем информации (разрушение);

искажение информации (несанкционированное изменение, несанкционированная модификация, подделка, фальсификация);

блокирование информации;

разглашение информации (распространение, раскрытие).

Термин «разрушение» употребляется главным образом применительно к информации на магнитных носителях.

Существующие варианты названий: модификация, подделка, фальсификация не совсем адекватны термину «искажение», они имеют нюансы, однако суть их одна и та же - несанкционированное частичное или полное изменение состава первоначальной информации.

Блокирование информации в данном контексте означает блокирование доступа к ней правомочных пользователей, а не злоумышленников.

Разглашение информации является формой проявления уязвимости только конфиденциальной информации.

Та или иная форма уязвимости документированной информации может реализоваться в результате преднамеренного или случайного дестабилизирующего воздействия различными способами на носитель информации или на саму информацию со стороны источников воздействия. Такими источниками могут быть люди, технические средства обработки и передачи информации, средства связи, стихийные бедствия и др. Способами дестабилизирующего воздействия на информацию являются ее копирование (фотографирование), записывание, передача, съем, заражение программ обработки информации вирусом, нарушение технологии обработки и хранения информации, вывод (или выход) из строя и нарушение режима работы технических средств обработки и передачи информации, физическое воздействие на информацию и др.

Реализация форм проявления уязвимости документированной информации приводит или может привести к двум видам уязвимости - утрате или утечке информации.

К утрате документированной информации приводят хищение и потеря носителей информации, несанкционированное уничтожение носителей информации или только отображенной в них информации, искажение и блокирование информации. Утрата может быть полной или частичной, безвозвратной или временной (при блокировании информации), но в любом случае она наносит ущерб собственнику информации.

К утечке конфиденциальной документированной информации приводит ее разглашение. В литературе и даже в нормативных документах термин «утечка конфиденциальной информации» нередко заменяется или отождествляется с терминами: «разглашение конфиденциальной информации», «распространение конфиденциальной информации». Такой подход не является правомерным. Разглашение или распространение конфиденциальной информации означают несанкционированное доведение ее до потребителей, не имеющих права доступа к ней. При этом такое доведение должно осуществляться кем-то, исходить от кого-то. Утечка происходит при разглашении (несанкционированном распространении) конфиденциальной информации, но не сводится только к нему. Утечка может произойти и в результате потери носителя конфиденциальной документированной информации, а также хищения носителя информации либо отображенной в нем информации при сохранности носителя у его собственника (владельца). «Может произойти» не означает, что произойдет. Потерянный носитель может попасть в чужие руки, а может быть, и «прихвачен» мусороуборочной машиной и уничтожен в установленном для мусора порядке. В последнем случае утечки конфиденциальной информации не происходит. Хищение конфиденциальной документированной информации также не всегда связано с получением ее лицами, не имеющими к ней доступа. Имелось немало случаев, когда хищение носителей конфиденциальной информации осуществлялось у коллег по работе допущенными к этой информации лицами с целью «подсидки», причинения вреда коллеге. Такие носители, как правило, уничтожались лицами, похитившими их. Но в любом случае потеря и хищение конфиденциальной информации если и не приводят к ее утечке, то всегда создают угрозу утечки. Поэтому можно сказать, что к утечке конфиденциальной информации приводит ее разглашение и могут привести хищение и потеря. Сложность состоит в том, что зачастую невозможно определить, во-первых, сам факт разглашения или хищения конфиденциальной информации при сохранности носителя информации у ее собственника (владельца), во-вторых, попала ли информация вследствие ее хищения или потери посторонним лицам.