Риски утечки информации

Размещено на http://www.allbest.ru/

Риски утечки информации

Введение

Утечка информации является серьезной опасностью для многих предприятий. Она может произойти в результате умысла третьих лиц или по неосторожности сотрудников. Умышленная организация утечки совершается с двумя целями: первой из них становится нанесение ущерба государству, обществу или конкретному предприятию, эта цель характерна для проявлений кибертерроризма; второй целью является получение преимущества в конкурентной борьбе.

Непреднамеренная утечка происходит чаще всего по неосторожности сотрудников организации, но также может привести к серьезным неблагоприятным последствиям. Создание системы защиты информационных активов от утраты в компаниях всех типов должно осуществляться на профессиональном уровне, с использованием современных технических средств. Для этого необходимо иметь представление о каналах утечки и способах блокировки этих каналов, а также о требованиях, предъявляемых к современным системам безопасности.

Информационные данные

безопасность информационный актив

Все информационные данные делятся на две основные группы:

1. Подлежащие защите в соответствии с федеральными законами;

2. Подлежащие защите в соответствии с внутренней политикой организации.

К первым относятся данные, содержащие государственную тайну и иные сведения, предусмотренные федеральными законами. Это персональные данные сотрудников и клиентов, защищаемые в соответствии с Законом «О персональных данных». Их бесконтрольное распространение может нанести ущерб личности и ее безопасности. К этой группе сведений относится и банковская тайна, которая охраняется на основании закона «О банках и банковской деятельности», и некоторые другие. Утечка этих сведений способна привести к финансовому ущербу для клиентов, который может быть переложен на виновника в регрессном порядке.

При работе организации со сведениями, содержащими государственную тайну, находящимися, например, в некоторых государственных контрактах, требуется соблюдение специальных режимов защиты информации, это предусмотрено законом «О государственной тайне». Соответствие системы безопасности организации требованиям, предъявляемым к работе с такими сведениями, подтверждается лицензией, выдаваемой органами ФСБ. Ее должно получать большинство компаний, участвующих в тендерах. Для ее получения система мер защиты от утечек будет проверена на соответствие всем требованиям аттестационным центром. Порядок выдачи лицензии регулируется Постановлением Правительства № 333.

Коммерческая и профессиональная тайна организации, представляющая интерес для ее конкурентов, охраняется в соответствии с нормами Гражданского и Трудового кодекса и внутренними нормативно-правовыми актами компании. Чаще всего она представляет интерес для конкурентов компании, которые могут использовать ее в борьбе за преимущества на рынках сбыта, но может она иметь и самостоятельную ценность для преступных группировок.

Создание ситуации для хищения информации или само преступление преследуются в соответствии с Уголовным кодексом, в котором содержится статья 183 «Незаконные получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну».

Понятие утечки и перехвата информации

С точки зрения терминологии необходимо различать утечку информации и ее перехват. Перехват - это незаконный способ овладения сведениями с использованием технических средств. Утечка информации - это ее утрата при распространении по каналам связи и физическому пространству по всем типам причин, включая и перехват, и перенаправление. Намеренно созданная утечка информации по техническим каналам предполагает установку на пути ее распространения различных устройств, осуществляющих ее перехват.

Этот термин применяется чаще в профессиональной сфере, на практике под данным определением понимаются все типы утечек, основанные и на человеческом, и на техническом факторе. Неправомерный акт записи сведений, содержащих охраняемую законом тайну, на внешний носитель и вынос его за пределы корпоративного пространства является наиболее распространенным способом хищения. Современные DLP-системы настраиваются сейчас в основном на опасности, исходящие от корпоративного пользователя, а не от внешнего проникновения.

К примеру, в 2008 году 76 миллионов персональных карточек покинули стены Национального архива США. К этому похищению хакеры отношения не имеют, причиной утечки стал обыкновенный человеческий фактор. В конце 2008 один из жестких дисков перестал работать. На нем хранилась информация о ветеранах армии США. Сотрудники архива решили отправить диск подрядчику на ремонт, не уничтожив хранящуюся на диске информацию, хотя резервная копия данных была сделана. Подрядчик признал диск не пригодным к ремонту и отправил его обратно, также, не озаботившись уничтожением данных.

В итоге, информация о ветеранах армии и специальных подразделений, участвовавших в различных операциях, включая последние кампании, оказалась в свободном доступе. А это прямая угроза, как жизням отставных военных, так и их семьям.

Организации в зоне риска

Исходя из вышеприведенных критериев защищаемых данных, различаются несколько типов субъектов предпринимательского оборота, находящихся в основной зоне риска утечки информации. Это:

· коммерческие и некоммерческие, научные и иные организации, работающие со сведениями, составляющими государственную тайну, например, выполняющие государственный заказ;

· организации, обладающие сведениями, которые могли бы быть необходимыми преступным сообществам для совершения террористических актов, или являющиеся по своей природе целью террористических атак;

· организации, работающие на рынке финансовых услуг, обладающие данными о счетах и финансах своих клиентов, номерах их банковских карт;

· организации, работающие с большими массивами персональных данных, которые часто становятся добычей хакеров и поступают на открытый рынок;

· организации, использующие в своей работе новые технологии;

· любые организации, работающие на конкурентных рынках, на которых имеющаяся информация о технологиях, рынках, клиентах, стратегиях, контрактах станет методом для достижения преимущества в борьбе за клиента;

· организации, в отношении которых существуют споры о переделе собственности, или являющиеся целями рейдерских атак. В этом случае хищение важных сведений может стать основанием для проверок или подачи судебных исков.

Всем им необходимо в максимальной степени использовать доступные способы предотвращения утечки информации, так как ущерб в этом случае может быть причинен не только непосредственно юридическому лицу, но и неопределенно широкому кругу лиц. В ряде случаев за непринятие мер защиты компания может быть привлечена к ответственности. Каждый канал утечки информации должен быть проанализирован с точки зрения определения его безопасности и максимально защищен.

Каналы утечки информации

Выделяются четыре основных группы технических способов организации утечки информации:

· визуальные, позволяющие перехватывать или копировать сведения, отражающиеся в визуальной форме, это документы, информация, выведенная на экран монитора компьютера;

· акустические, позволяющие перехватывать ведущиеся в помещении переговоры или разговоры по телефонам;

· электромагнитные, позволяющие получать данные, выраженные в виде излучения электромагнитных волн, их дешифровка может также дать необходимые сведения;

· материальные, связанные с анализом предметов, документов и отходов, возникших в результате деятельности компании.

В каждом случае использования технического канала утечки конкурентами применяются самые современные способы получения и обработки сведений, и само знание о наличии таких возможностей должно помочь снизить уровень риска. Для полного снятия опасности необходима коммуникация с профессионалами, которые смогут определить наиболее ценные массивы данных, являющиеся целью для возможных атак, предложить полный комплекс средств защиты.

Визуально-оптические средства:

Если экран монитора или часть лежащих на столе документов можно увидеть через окно офиса, возникает риск утечки. Любой световой поток, исходящий от источника информации, может быть перехвачен. Для борьбы с этим способом необходимо применять в большинстве случаев простые технические средства:

· снижение отражательных характеристик и уменьшение освещенности объектов;

· установка различных преград и маскировок;

· использование светоотражающих стекол;

· расположение объектов так, чтобы свет от них не попадал в зону возможного перехвата.

Но существует и более типичный риск утечки видовой информации: вынос документов из помещения для их фотографирования, иные формы копирования, скриншоты экранов баз данных, содержащих важные сведения, и другие способы. Основные меры борьбы с этими рисками относятся исключительно к административно-организационной сфере, хотя существуют программные средства, которые, например, не дают возможности сделать скриншот данных, выводимых на экран монитора.

Акустические каналы:

Информация, существующая в форме звука, наиболее незащищена от перехвата и утечки. Звук, который находится в ультрадиапазоне (более 20 тысяч герц), легко распространяется. Если на его пути окажется преграда, звуковая волна вызовет в ней колебания, и они будут считаны специальными устройствами. Это свойство звука должно быть учтено уже на стадии проектировки здания или офиса, где расположение помещений архитекторами должно продумываться так, чтобы исключить утечку информации. Если этот способ нереализуем, необходимо обратиться к техническим средствам и использовать для отделки помещения звукоотражающие материалы, например, пористую штукатурку. Для оценки степени защищенности используются стетоскопы.

Если не удается добиться максимального звукопоглощения, могут быть применены генераторы шума, которые можно установить по периметру не защищенных от прослушивания основных стен здания или в переговорных.

Утечка акустической информации возможна также с использованием диктофонов при проведении переговоров. Для выявления их наличия используются специальные устройства. Установка приборов снятия голосового сигнала на телефонные аппараты (жучков) сейчас практически не применяется, используется перехват цифрового трафика другим способом, в том числе через телефонного оператора или через Интернет-провайдера. Эту степень риска тоже стоит учитывать, возможно, путем создания специальных инструкций о той конфиденциальной информации, которая может быть обсуждаема в телефонных переговорах.

Электромагнитные каналы:

Представляет опасность также перехват информации, содержащейся в побочных электромагнитных излучениях. Электромагнитные волны, распространяясь в пределах электромагнитного поля на небольшом расстоянии, также могут быть перехвачены. Они могут исходить:

· от микрофонов телефонов и переговорных устройств;

· от основных цепей заземления и питания;

· от аналоговой телефонной линии;

· от волоконно-оптических каналов связи;

· из других источников.

Перехватить и расшифровать их не представляет сложности для современных технических средств.

Технологии позволяют подключать закладные устройства ПЭМИН (термин расшифровывается как «побочные электромагнитные излучения и наводки») непосредственно к цепям питания или же установить в мониторе или корпусе компьютера, при этом они через внутренние подсоединения к платам могут перехватывать данные:

· выводимые на экран монитора;

· вводимые с клавиатуры;

· выводимые через провода на периферийные устройства (принтер); записываемые на жесткий диск и иные устройства.

Способами борьбы в этом случае станут заземление проводов, экранирование наиболее явных источников электромагнитного излучения, выявление закладок или же использование специальных программных и аппаратных средств, позволяющих выявить закладки. Но информация, передаваемая по сети Интернет, является доступной для перехвата. Здесь борьба с ее хищениями может осуществляться и аппаратными, и программными техническими средствами.

Материальные каналы:

Обыкновенные производственные отходы могут стать ценным источником данных. Химический анализ отходов, покидающих пределы контролируемой зоны, может стать источником получения важнейших сведений о составе продукции или о технологии производства. Для разработки системы борьбы с этим риском необходимо комплексное решение с использованием в том числе и технологий переработки отходов.

Все вышеперечисленные способы утечки информации (кроме материального) требуют территориальной доступности источника для похитителя, зона работы обычного устройства перехвата звуковой или визуальной информации не превышает нескольких десятков метров. Установка закладных устройств для съема электромагнитных излучений и акустических колебаний должна потребовать прямого проникновения на объект. Также необходимо знание его планировки, это может потребовать вербовки сотрудника. При том, что большинство помещений оснащено камерами видеонаблюдения, эти способы сейчас применяются в крайне редких случаях.

Наиболее же серьезную опасность несут современные способы хищения с использованием возможностей сети Интернет и доступа с ее помощью к архивам данных или голосовому трафику.

Способы предотвращения утечки информации

Для эффективной защиты от всех вышеприведенных способов утечки необходима разработка системы мер безопасности, в которую входят две основные группы действий и мероприятий: административные и организационные меры, технические и программные меры. И первая и вторая группы мероприятий перед их внедрением требуют обязательного консультирования с профессионалами, особенно если компания имеет намерение получить лицензию на работу с государственной тайной. Применяемые технические средства должны быть сертифицированы и допущены к обороту на территории РФ, недопустимо в целях защиты информации использовать или не опробованные, или запрещенные, относящиеся к категории «шпионских». Защита информации должна основываться только на правовых методах борьбы. Система безопасности должна проектироваться комплексно, опираясь как на базис на организационные меры. Все ее элементы должны составлять единый комплекс, контроль над работоспособностью которого должен быть возложен на компетентных сотрудников.

Принципы построения систем защиты. Административно-организационные меры

За их соблюдение должен нести ответственность руководитель компании, а также один из его заместителей, в чьем ведении находится служба безопасности. Почти 70% от общей степени безопасности сведений зависит именно от административно-технических мер, так как в деятельности служб коммерческого шпионажа использование случаев подкупа сотрудников встречается гораздо чаще, чем использование специальных технических средств хищения сведений, требующих высокой квалификации и раскрытия информации третьим лицам, непосредственно не участвующим в конкурентной борьбе.

Разработка документации

Все нормативно-правовые акты организации, посвященные защите коммерческой тайны и иных сведений, должны соответствовать самым строгим требованиям, предъявляемым к аналогичным документам, необходимым для получения лицензии. Это связано не только с тем, что они наиболее проработаны, но и с тем, что качественная подготовка этого типа документации даст в будущем возможность защиты позиции компании в суде при возникновении споров об утечке информации.

Работа с персоналом

Персонал является наиболее слабым звеном в любой системе защиты информации от утечек. Это приводит к необходимости уделять работе с ним максимальное внимание.

Для компаний, работающих с государственной тайной, предусмотрена система оформления допусков. Иным организациям необходимо принимать различные меры для обеспечения ограничения возможности работы с конфиденциальными данными.

Необходимо составить перечень сведений, составляющих коммерческую тайну, и оформить его в качестве приложения к трудовому договору. При работе с информацией, содержащейся в базе данных, должны быть разработаны системы допуска.

Необходимо ограничить все возможности копирования и доступ к внешней электронной почте.

Все сотрудники должны быть ознакомлены с инструкциями о порядке работы со сведениями, содержащими коммерческую тайну, и подтвердить это росписями в журналах. Это позволит при необходимости привлечь их к ответственности. Пропускной режим, существующий на объекте, должен предполагать не только фиксацию данных всех посетителей, но и сотрудничество только с охранными предприятиями, которые также соответствуют всем требованиям безопасности.

Технические средства предотвращения утечек

Инженерные

Эта категория средств защиты применяется в рамках реализации планировочно-архитектурных решений. Они представляют собой устройства, физически блокирующие возможность проникновения посторонних лиц к охраняемым объектам, системы видеонаблюдения, сигнализации, электронные замки и другие аналогичные технические приспособления.

Аппаратные

К ним относятся измерительные приборы, анализаторы, технические устройства, позволяющие определять места нахождения закладных приборов, все, что позволяет выявить действующие каналы утечки информации, оценить эффективность их работы, выявить значимые характеристики и роль в ситуации с возможной или произошедшей утратой сведений.

Среди них присутствуют индикаторы поля, нелинейные локаторы, аппаратура для проверки аналоговых телефонных линий. Для выявления диктофонов используются детекторы, которые обнаруживают побочные электромагнитные излучения, по тому же принципу работают детекторы видеокамер.

Программные

Это наиболее значимая группа, так как с ее помощью можно избежать проникновения в информационные сети посторонних лиц, блокировать хакерские атаки, предотвратить перехват информации. Среди них необходимо отметить специальные программы, обеспечивающие системную защиту информации. Это DLP-системы, наиболее часто применяемые для создания механизмов комплексной информационной безопасности. DLP (Data Leak Prevention, системы предотвращения утечек данных) обеспечивают полную защиту от утраты конфиденциальной информации. Сегодня они настраиваются в основном на работу с угрозами внутри периметра, то есть исходящими от пользователей корпоративной сети, а не от хакеров. Системы применяют широкий набор приемов выявления точек утраты или преобразования информации и способны блокировать любое несанкционированное проникновение или передачу данных, автоматически проверяя все каналы их отправки. Они анализируют трафик почты пользователя, содержимое локальных папок, сообщения в мессенджерах и при выявлении попытки переправить данные блокируют ее. Программные технические средства могут решать отдельные проблемы, а могут и обеспечивать комплексную безопасность компьютерных сетей.

Криптографические

Эта категория обеспечивает алгоритмы шифрования всей информации, которая передается по сетям или хранится на сервере. Даже при утрате она не будет представлять интерес для гипотетического конкурента. Комплексное применение всего диапазона методов защиты может быть избыточным, поэтому для организации систем защиты информации в конкретной компании нужно создавать собственный проект, который окажется оптимальным с ресурсной точки зрения.

Размещено на Allbest.ru