Как предотвратить утечку информации в компании

Утечка данных в бизнесе может грозить многомиллионными потерями. Менеджер ушел, прихватив с собой базу данных покупателей — готовьтесь к оттоку клиентов: возможно, он просто переманит их к конкурентам. Другой компании стали известны внутренние разработки — возможно, они первые выпустят крутой продукт по ним и соберут всю прибыль.

Давайте разберемся, как не допустить потерь. Рассказываем, как защититься от утечки данных и что делать, если она все-таки произошла.

Почему защита от утечек данных важна

Когда мы готовили статью, столкнулись с тем, что представители малого бизнеса не понимают, зачем им нужна защита от утечек данных. «Кому мы вообще нужны? С сотрудниками заключаем договор, а на почту и CRM устанавливаем пароли» — одно из распространенных мнений.

Это — то самое русское «авось». Надежда, что небольшая компания с прибылью около 100 000 рублей в месяц никому не нужна и никто не будет воровать у нее какие-то данные. А когда надежда испаряется и данные все-таки крадут, что-то делать уже поздно.

Приведем один из распространенных сценариев, по которому у вас могут украсть данные. Злоумышленники взламывают CRM и получают доступ к базе данных клиентов. Потом делают сайт точь-в-точь как у вас и регистрируют похожий адрес электронной почты. А затем рассылают клиентам предложение, от которого нельзя отказаться: например, письмо с уведомлением о скидках в 60%. Ваши клиенты переходят на сайт и оплачивают товары, думая, что покупают их у вас. Злоумышленники получают прибыль, клиенты теряют деньги, вы тонете под волной негатива. Это называется фишингом, но вам от этого не легче.

Еще один возможный сценарий — размещение ссылки на вредоносный сайт. Так же, как и в предыдущем случае, злоумышленники взламывают CRM и получают email ваших клиентов. А потом рассылают им письма со ссылкой на вредоносный сайт, который крадет пароли пользователей. Злоумышленники получат пароли и смогут, например, украсть деньги с электронных кошельков людей. А вы получите тонну негатива, потому что письмо будет якобы от вас.

Пройдемся по статистике. Cybersecurity Ventures в ежегодном официальном отчете указали, что каждые 14 секунд во всем мире происходят атаки хакеров. К 2021 году они будут происходить каждые 11 секунд, а общий ущерб от киберпреступности достигнет 6 триллионов долларов в год. А специалисты компании InfoWatch рассказали, что только за прошлый год в сеть утекло более 14 млрд конфиденциальных записей. При этом в России число утечек возросло на 40% по сравнению с прошлым годом, тогда как во всем мире только на 10%.

В прошлом году в России было много скандальных утечек — в сеть «уплывали» базы данных 30 млн автовладельцев, 20 млн налоговых деклараций, 9 млн абонентов «Билайна». И если вы не хотите, чтобы очередная хакерская атака или человеческое недомыслие коснулись вас, читайте дальше. Если продолжаете уповать на «авось», посмотрите хотя бы информацию о том, что делать в случае утечки данных.

Как предотвратить утечку коммерческих данных

Профилактика — наше все. Грамотная защита от утечек данных поможет предупредить негативные последствия, которые могут серьезно повлиять на ваших клиентов и репутацию.

Предотвращаем внутренние утечки данных

Внутренняя утечка данных — это когда ваши же сотрудники сливают информацию конкурентам или забирают с собой базы клиентов или другие данные, когда увольняются. Есть несколько способов защиты от таких недобросовестных работников.

Используйте NDA. Так называют договор о неразглашении коммерческой тайны. Сначала нужно ввести режим защиты коммерческой тайны и четко прописать, что относится к таким сведениям. А затем подписать с каждым сотрудником NDA и обязательно получить подписи работников на документах, относящихся к коммерческой тайне. А в договоре прописать ответственность работников за нарушение. Это чуть умерит пыл предприимчивых дельцов — никто не захочет таскаться по судам и выплачивать 1–2 миллиона рублей компенсации за то, что скинет какие-то данные «на сторону».

Установите DLP-систему. Это технически сложное автоматизированное решение — специальное программное обеспечение, отслеживающее попытки передачи информации посторонним. На корпоративный сервер и все устройства в офисе устанавливают программу, которая в режиме реального времени проверяет все операции и блокирует подозрительные. Например, если сотрудник попытается отправить таблицу Excel с контактами клиентов с корпоративной почты на личную. DLP-система остановит отправку и сразу уведомит о нарушении того, кто ответственен за защиту от утечек данных.

Единственный недостаток DLP-системы — то, что ее невозможно установить на все личные устройства сотрудников. Они смогут сфотографировать что-то на смартфон или записать разговор на диктофон.

Разграничивайте доступ. Один из самых простых способов обезопасить ценную информацию — разграничивать доступ к данным и давать сотрудникам только то, что им нужно для работы. Например, передавать менеджеру не всю базу, а только контакты клиентов, которых он ведет. Или настроить уровни доступа к документации — это можно сделать в CRM-системе.

Наблюдайте за сотрудниками. Это можно сравнить с DLP-системами, но на самом деле решение работает по-другому. Вы просто устанавливаете в офисе видеонаблюдение и прослушивающие устройства, а на ПК — программы для контроля всего, чем занимается сотрудник. Например, ПО для записи всего происходящего на экране. А потом можно самому просматривать и прослушивать записи, чтобы узнать о факте утечки. Это долго и дорого, но подобное решение можно использовать в качестве одного из этапов защиты. Сотрудникам будет психологически некомфортно красть данные, если они знают, что за ними наблюдают.

Дайте мотивацию. Еще один простой способ защитить коммерческие данные компании — мотивировать сотрудников на нормальную работу. Не важно чем: зарплатой, премиями, комфортными условиями труда, перспективной карьерного роста. Если сотрудники будут полностью отдаваться работе в вашей компании, у них не возникнет мысли навредить ей. Построить такую команду мечты очень сложно, но возможно.

Эти способы защиты сработают лучше, если использовать их комплексно. Например, создать нормальные условия для сотрудников, подписывать с ними NDA и дополнительно установить DLP-систему.

Предотвращаем внешнюю утечку

Внешние утечки — это когда кто-то извне ворует информацию, не связываясь с вашими сотрудниками. Например, взламывает почту или получает доступ к CRM, ворует документы из офиса. С этим тоже можно и нужно бороться.

Устанавливайте сложные пароли. Это — самое простое решение, которое часто игнорируют. И делают пароли типа «12345». Их подберет даже школьник, который играючи попытается получить доступ к почте, указанной на вашем сайте. Поэтому используйте генераторы паролей. И храните их там, куда очень сложно добраться: лучший вариант — в вашей голове.

Используйте корпоративную почту. Бесплатные почтовые агенты — не зло, но они не подходят для работы с важными коммерческими данными. Их легко взломают, особенно если этим займется хороший специалист. Купите домен и заведите корпоративную почту, арендуйте почтовый сервер у провайдера или используйте платные агенты.

Включите двухфакторную аутентификацию. Двухфакторная аутентификация — это когда чтобы зайти в систему, надо указывать не только пароль, но и другой способ идентификации, например одноразовый код из смс, уведомление на экране смартфона, отпечаток пальца. Такую защиту можно установить на почту и в некоторые CRM-системы и сервисы. Это серьезно усложнит жизнь любителям красть коммерческие данные.

Установите антивирус. Еще одно простейшее решение, которое часто игнорируют. Не скупитесь на хороший антивирус — установите его на все ПК в офисе. Он перехватит вирусы, которые «подсматривают» пароли или крадут ценные данные напрямую.

Уничтожайте документы. Безвозвратно удаляйте уже ненужные документы с серверов. А если работаете и с бумажными документами, содержащими ценные сведения, не поскупитесь на шредер. Если просто выкинуть их в мусорку, любой сможет достать их из ближайшего мусорного бака. А особо упорные — еще и из мусоровоза.

Используйте СКУД. Так называют системы контроля и управления доступом на предприятиях. Они защитят офис или производство от проникновения посторонних людей. Одно из самых простых и незатратных решений — установить шлагбаум на проходной и выдать сотрудникам именные пропуска. А еще установить видеонаблюдение: и на проходной, и на всей территории предприятия.

Подумайте о средствах сетевой защиты. Рассказывать о них можно много и долго. Если коротко, они нужны тем, кто хранит важные сведения онлайн. Среди таких есть системы контроля трафика, WAF, межсетевые экраны. У них общая цель — обеспечить легкий обмен информацией внутри компании, но полностью защитить ее от любых проникновений извне.

Используйте IRM. Это — контейнеризация каждого документа, содержащего ценные для вас сведения. Работает это так: к каждому документу привязывается информация о ключах шифрования и доступе. Даже если его украдут (например, на флешке), не смогут прочитать на своем устройстве. Внедрение такого решения обойдется дорого, но оно того стоит, если у вас на руках очень важная информация.

Сделайте шифрование дисков на ноутбуках и планшетах работников (FDE). Без специальных ключей доступа пользоваться устройством будет невозможно — даже если его украдут, все данные будут надежно защищены. Полное шифрование файловой системы особенно актуально для ноутбуков – это позволяет защитить данные от случайной кражи: например, если сотрудник забудет рабочий ноутбук в кафе или аэропорту. Подобными решениями пользуются крупнейшие корпорации типа NASA.

Вы уже догадались, что лучше использовать комплексные решения? Чтобы защита от утечек данных работала, просто установить надежный пароль недостаточно.

Что делать, если утечка уже произошла

Фактически вы ничего не сможете сделать — данные уже в руках у злоумышленников. Если вы пытались как-то их защитить, можно, например, подать на бывшего сотрудника в суд. При грамотно составленных документах и хорошем юристе вы выиграете дело и, возможно, даже сможете взыскать ущерб. Это — лучший для вас сценарий при внутренней утечке данных.
Если произошла внешняя утечка или не можете найти виновного — в принципе не знаете, к кому попали данные — остается только смириться. Конечно, можно попытаться что-то сделать: запустить в СМИ утку о том, что украденные данные бесполезны, объявить награду за поиск похитителя или предложить ему вернуть информацию за хорошее вознаграждение. Но далеко не факт, что хоть что-то из этого сработает. А кроме того, обычно все это — игры птиц крупного полета: компаний с многомиллионным ежемесячным оборотом. Малому бизнесу чаще проще смириться, чем тратить нереальные деньги на то, чтобы вернуть данные и не допустить их распространения и использования.

Что о защите коммерческих данных говорят предприниматели

Мы решили узнать, что о защите от утечек данных думают российские предприниматели. И получили интересные мнения.

Галина Камышанская, руководитель компании 42Clouds, рекомендует обращаться к надежным провайдерам. И дает рекомендации по выбору фирмы, которой можно довериться:

«Есть три нюанса, на которые надо обращать внимание.

Триал период. Тестовый период должен быть не менее недели, чтобы у вас была возможность проверить скорость работы, систему бекапирования и скорость реакции технической поддержки.

Техническая поддержка. Это один из ключевых показателей, на которые стоит обратить внимание после стоимости и скорости работы. В обязательном порядке во время тестового периода проверьте, отвечает ли следующим требованиям служба хотлайна:
— Скорость первого ответа — не более 60 сек. От этого зависит, насколько быстро специалисты реагируют на запросы и как быстро смогут устранить неполадки и защитить данные.
— Круглосуточная поддержка. Это одно из обязательных условий для безопасного хранения ваших данных. Форс-мажорные ситуации могут возникать как на стороне клиента, так и на стороне провайдера. Крайне важно своевременно отреагировать и устранить причину возникновения во избежания потери данных.
— Скорость решения задачи не более 1-х суток. Допускается скорость решения до 2-х суток, если задача касается ведения учета в вашей учетной системе. Но провайдер должен обязательно уведомить клиента, что на решение проблемы потребуется дополнительное время.
— Система бекапирования. Попросите предоставить вам копию вашей базы за позапрошлый день. Таким образом вы сможете проверить, действительно ли у них работает система бекапирования, и точно ли в случае форс-мажоров ваши данные останутся целыми. Не у всех провайдеров делаются бекапы на тестовом периоде, поэтому точно проверить это можно будет в первый оплаченный месяц.

Дополнительные инструменты защиты. Не у многих провайдеров есть индивидуальные средства защиты данных клиента. Как пример, в компании 42Clouds создается специальная «Кнопка экстренного отключения». Она очень помогает, когда к клиенту приходят «маски-шоу» с целью забрать данные. В таких случаях с помощью смс-сообщения или фактической кнопки на столе (по желанию клиента) тушится сетевой интерфейс. Сам сервер продолжает работать, но доступ к нему закрывается. Таким образом вся информация остается целой и невредимой, но доступ к ней можно получить только от самого клиента»

Илья Горбаров, СЕО digital-агентства «Атвинта», рассказал о самых простых способах защиты от утечки данных, которые часто игнорируют:

«Когда речь заходит про защиту коммерческих данных компании, нужно четко понимать, что является слабым звеном. Чаще всего слабым звеном оказываются люди. От их внимательности зависит безопасность ваших данных, а порой и коммерческий успех компании.

Давайте говорить про информацию, с которой мы имеем дело каждый день. Отбросим сложные темы типа перехвата трафика и взлома серверов специально обученными людьми.

Начинать нужно с простого — это пароли. Если у вас CRM, в которой хранятся данные тысяч ваших клиентов, и у руководителя отдела продаж с полным доступом пароль qwe123asd, у меня для вас плохие новости. Подобрать или подсмотреть такой пароль не составляет труда.

Важно не забывать про уволенных сотрудников, которых нужно лишать прав доступа к клиентской базе до увольнения, чтобы не было соблазна прихватить ее с собой. Если у вас база клиентов хранится в Excel или на Google Диске, вместо облачной CRM с разграничением прав доступа, у меня для вас тоже плохие новости. Скорее всего, ее копия уже есть у менеджеров.

Люди должны обладать минимальной компьютерной грамотностью, чтобы не открывать фишинговые сайты и подозрительные файлы в почте. У нас был случай, когда через зараженный компьютер сотрудника злоумышленники получили доступ к рекламному кабинету в Facebook и слили приличный бюджет до того, как Facebook успел его заблокировать. Деньги нам не вернули, а личный кабинет пришлось заводить новый. Потеряли мы порядка 50 000 рублей, хватило бы на зарплату среднего сотрудника.

При работе с документами Google очень важно не лениться и давать доступ не по ссылке, а расшаривать его по почте. И не забывать вычищать оттуда уволенных сотрудников. Наша невнимательность однажды привела к тому, что таблица с финансовыми данными оказалась доступна по ссылке. Узнал я об этом от знакомого, которому ее показали. Информация была за прошлые годы, но было неприятно.

И не забудьте поменять пароль по-умолчанию у вашего Wi-Fi роутера, админки сайта и… IP-видеокамер наблюдения. Поищите видео по запросу «взлом IP камер пранк», и у вас отпадут вопросы, зачем это делать»

А вы защищаете коммерческие данные компании или надеетесь на «авось»? Поделитесь своим мнением и лайфхаками по защите в комментариях!

Доступ к чужим сведениям дает значительное преимущество в конкурентной борьбе. Утечки критически важной информации ведут к крупным финансовым потерям и вредят бизнес-репутации, поэтому предприятия и организации независимо от размеров, формы собственности и рода деятельности стремятся предупреждать утечки информации. Вот лишь несколько общих рекомендаций, как обезопасить информационное пространство компании.

В чем опасность утечки информации

Конкуренты корпорации General Electric, крупнейшего в США производителя техники, украли инновационные разработки и запустили на их основе собственную продукцию. Компания General Electric понесла огромные убытки из-за утечки закрытой информации. Это очевидный пример прямого ущерба из-за потери информации.

Кроме материального ущерба утечка данных причиняет вред репутации пострадавшей компании. В результате аннулируются выгодные контракты, теряются клиенты, массово уходят квалифицированные сотрудники.

Подсчеты экспертов Ponemon Institute показали, что потери компаний от информационных утечек только в Великобритании составили 1 млн 700 тыс. фунтов. Риск пострадать от хищения информации велик для бизнеса в любом государстве независимо от состояния экономики, уровня развития технологий и прочих факторов.

Утечка сведений по вине сотрудников, или внутренние риски

Ущерб, который наносят компаниям собственные сотрудники, в разы превышает ущерб от хакерских атак. Чтобы предотвратить утечку информации из-за халатности, случайных или преднамеренных действий персонала, требуется внедрить комплекс защитных мер на разных уровнях. Сложность заключается в том, что в группу риска входят все сотрудники компании, и оказаться инсайдером может как рядовой специалист, так и топ-менеджер. Выявить и «обезвредить» потенциальных нарушителей – главная задача службы безопасности.

В самом общем виде утечки информаций делятся на преднамеренные, когда сотрудник умышленно передает конфиденциальную информацию посторонним лицам, и непреднамеренные, когда утечка происходит из-за халатности или ошибки работника.

Способы борьбы с утечками

Согласно отчету Data Breach Investigation Report, только 10% работников виновны в утечках. Но даже при таком узком «круге подозреваемых» определить, кто именно нарушил правила информационной безопасности, бывает нелегко. Для борьбы с хищением информации используют специальные инструменты и методы, которые в зависимости от целей условно делятся на две общие категории.

1. Поиск аномалий в действиях персонала

Каждый день сотрудники действуют по привычному алгоритму. На возникновение риска утечки указывает момент, когда поведение сотрудников внезапно меняется. Такой способ можно сравнить со схемой выявления мошенничества, которым пользуются банки. Если клиент живет в России и регулярно расплачивается картой за покупки в российских магазинах, то факт получения наличных денег с карты в Австралии будет расцениваться как подозрительный и приведет к блокировке операции, а также активизации службы безопасности банка.

1. Защита техники

Вторая группа методов борьбы с утечками данных направлена на то, чтобы обнаружить уязвимые процессы в компании. Критические точки работы организации, в которых может произойти хищение информации, невозможно обнаружить при помощи простого алгоритма – необходим системный анализ. Защитить информацию и усилить корпоративную безопасность помогут простые меры.

• Установка антивирусных программ. Вредоносные программы, вирусы-шпионы и вымогатели уничтожают данные, портят файлы, открывают доступ злоумышленникам к паролям и кодам. Восстановление утраченной информации обходится дороже, чем лицензионный антивирус, поэтому экономить на защитных решениях не стоит. Пиратские копии не гарантируют адекватную работу и полноценную защиту, а отсутствие актуальных обновлений не позволит вовремя обнаружить новую модификацию вируса.
• Использование межсетевого экрана. Программное обеспечение инспектирует входящий и исходящий из корпоративной сети трафик в соответствии с правилами и определяет, передать или блокировать сведения в случае нарушения политик безопасности. Таким образом, файрвол своевременно пресекает несанкционированный доступ к информации.
• Повышение квалификации пользователей. Обучающие курсы для сотрудников; разъяснение, почему рискованно загружать файлы с неизвестных адресов, публиковать сведения на сторонних ресурсах, устанавливать непроверенное программное обеспечение и другие образовательные меры помогут предупредить потери информации по незнанию работников.
• Строгое разграничение доступа персонала к базам данных и интернету. Мера включает блокировку автозапуска приложений с внешних носителей и запуска на компьютере исполняемых файлов, скачанных в интернете; настройку брандмауэра и антивируса; отслеживание перемещения общедоступных файлов внутри корпоративной сети.
• Систематическое обновление программного обеспечения. Своевременная установка обновлений на компьютере, обновление серверов, проверка и «чистка» ресурсов общего пользования обезопасит закрытую информацию от утечки.

Корректировка бизнес-процессов, выявление потенциальных инсайдеров и усиление контроля за действиями персонала в комплексе помогут снизить вероятность утечки информации.

DLP-система – комплексная защита от утечки информации

Основным рабочим инструментом для борьбы с хищением конфиденциальных сведений служат системы DLP – Data Leak Prevention, которые предупреждают утечки данных. DLP-решения для защиты корпоративной информации использует половина зарубежных и российских компаний, хотя сам подход к внедрению DLP отличается.

DLP-системы обеспечивают безопасное информационное пространство, в котором контролируют и анализируют входящий и исходящий трафик. Современные DLP-комплексы контролируют передачу файлов по интернет-протоколам, через внешние носители, мобильные устройства, Bluetooth-подключение, принтерную печать.

Чтобы облегчить задачу по мониторингу конфиденциальной документации в контролируемом трафике применяют несколько способов, например, маркировку документов или анализ содержания в документах. Практики ИБ предпочитают второй способ, так как при конвертации файла в другой формат маркировка документов нарушается.

Таким образом, результаты работы службы безопасности, а значит и сохранность закрытых сведений, напрямую зависит не только от стабильной работы техники и программного обеспечения, но и от квалификации сотрудников.

Владение информацией о противнике — один из наиболее действенных способов конкурентной борьбы на рынке. Необходимость решения проблемы утечки конфиденциальной информации связана с выживанием и успешным ведением бизнеса компании.

Владение информацией о противнике — один из наиболее действенных способов конкурентной борьбы на рынке. Необходимость решения проблемы утечки конфиденциальной информации связана с выживанием и успешным ведением бизнеса компании.

Ущерб от раскрытия конфиденциальной информации может выражаться в потере конкурентных преимуществ, упущенной коммерческой выгоде, санкциях со стороны регулирующих органов, административной и уголовной ответственности за раскрытие персональных данных, ухудшении морального климата в коллективе вследствие раскрытия информации о заработной плате работников, планируемых кадровых перестановках и т. п. Например, американская компания Victoria Secrets была оштрафована на 50 тыс. долл. за то, что не обеспечила надлежащей защиты своего Web-сайта электронной коммерции, в результате чего пострадали 560 клиентов, персональные данные которых оказались скомпрометированными.

Несмотря на то что несанкционированное раскрытие информации является во многих случаях административно и уголовно наказуемым деянием, в условиях, когда информационное законодательство РФ еще полностью не сформировано, а процессы законотворчества сильно отстают от уровня развития информационных технологий, возникают существенные трудности в обеспечении юридической защиты интересов собственников конфиденциальной информации. Однако приемлемое решение всегда существует, и поиск этого решения должен осуществляться в рамках стандартной схемы «объекты — угрозы — контрмеры».

Категорирование конфиденциальной информации

Состав сведений с грифом «конфиденциальная информация» варьируется в зависимости от предприятия и должен приводиться в «Перечне сведений ограниченного распространения», который утверждается руководителем организации. Информация, не попавшая в данный перечень, считается открытой. Опираясь на опыт защиты информации в коммерческих организациях и положения действующего законодательства, можно выделить следующие основные категории конфиденциальной информации:

• сведения, составляющие коммерческую тайну организации;
• персональные данные сотрудников организации (информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника);
• сведения, составляющие конфиденциальную информацию третьих лиц (партнеров, клиентов, подрядчиков, контрагентов);
• любые другие сведения, разглашение и/или неправомерное использование которых может нанести ущерб интересам организации.

К открытой информации относятся, например, сведения:

• содержащиеся в сообщениях и отчетах, официально опубликованных компанией в соответствии с действующим российским законодательством;
• содержащиеся в официальных пресс-релизах, а также рекламных сообщениях компании;
• опубликованные в средствах массовой информации по инициативе третьих лиц и с разрешения руководства компании;
• любая информация, не попадающая в категории, определяемые «Перечнем сведений ограниченного распространения», принятым в организации, и не являющаяся конфиденциальной по законодательству РФ.

В коммерческой организации наиболее остро стоит вопрос о защите коммерческой тайны, однако не менее важными являются сведения, составляющие конфиденциальную информацию третьих лиц, к которым могут относиться коммерческая тайна третьих лиц, персональные данные, служебная тайна и т. п., включая государственную тайну.

Важной категорией конфиденциальной информации являются персональные данные сотрудников организации. Например, в США законодательство предусматривает строгое наказание за раскрытие персональных данных граждан. Соответствующие вопросы отражены в Privacy Act и HIPPA, последний определяет наказание до десяти лет лишения свободы или 200 тыс. долл. штрафа за умышленное раскрытие персональных данных.

В нашей стране вопросы защиты персональных данных пока недостаточно хорошо проработаны как на законодательном, так и на технологическом уровне. Однако правовая база все же была заложена в законе РФ «Об информации, информатизации и защите информации».

Помимо определения состава конфиденциальных сведений, информационные ресурсы организации нуждаются также в категорировании по уровню конфиденциальности. Это позволяет ввести дифференцированный подход к реализации защитных мер. Знания о составе информационных ресурсов организации и соответствующих уровнях конфиденциальности формализуются в виде единого «Реестра информационных ресурсов организации».

Каналы утечки информации

Количество потенциальных каналов утечки информации достаточно велико. Наиболее распространенные из них относятся к категории неумышленного раскрытия информации сотрудниками по причине неосведомленности или недисциплинированности. Отсутствие представлений о правилах работы с конфиденциальными документами, неумение определить, какие документы являются конфиденциальными, и просто обычные разговоры между сотрудниками — все это может привести к рассекречиванию данных.

Умышленный «слив» информации встречается значительно реже, зато осуществляется целенаправленно и с наиболее опасными последствиями для организации.

Хорошим примером утечки конфиденциальной информации из организации из-за технической неосведомленности сотрудников может служить ситуация, возникающая вокруг повсеместно используемого текстового редактора MS Word. По данным британской компании Workshare, специализирующейся в области обеспечения защиты документов, текстовый редактор Word компании Microsoft сам по себе представляет огромную опасность. Речь идет о заложенной в нем возможности извлечения информации, вносившейся в документ по ходу его подготовки, правки и согласования, пусть даже удаленной впоследствии. Внимательный читатель, недобросовестный конкурент или мошенник могут, если не предпринять определенные меры, почерпнуть немало интересного о том, как, к примеру, варьировались по мере подготовки финального текста контракта его ключевые положения.

По данным консалтинговой компании Vanson Bourne, в целом до 31% файлов в формате Word содержат весьма «щекотливую» информацию. В некоторых компаниях дела обстоят особенно неблагополучно — до трех четвертей всех документов попадают в группу «высокого риска». Больше того, 90% компаний не имеют ни малейшего представления о том, каким именно образом уже утекает или может утекать от них закрытая и служебная информация.

Компания Microsoft выпустила специальное программное расширение для MS Word под названием Remove Hidden Data [1, 2], с помощью которого пользователь может удалить персональные данные либо скрытую информацию, которая не должна быть выявлена при просмотре документа. Однако очень немногие организации добавили соответствующие правила «зачистки» в существующие регламенты работы с документами.

Система мер по защите

С учетом множественности категорий и каналов утечки информации становится очевидно, что в большинстве случаев проблему утечки нельзя решить каким-либо простым способом, тем более избавиться от нее окончательно. Кроме того, реализация любых мер по ограничению доступа к информации или ее распространению потенциально снижает эффективность основных бизнес-процессов организации. Это означает, что требуется система организационно-технических мероприятий, позволяющих перекрыть основные каналы утечки информации с определенной степенью надежности и минимизировать существующие риски без значительного снижения эффективности бизнес-процессов. Без такой системы права на юридическую защиту интересов организации как собственника информации нереализуемы.

Система предотвращения утечки конфиденциальной информации включает в себя три основных составляющих: работу с персоналом, политику безопасности, сервисы безопасности.

Работа с персоналом

Основным источником утечки информации из организации является ее персонал. Человеческий фактор способен «свести на нет» любые самые изощренные механизмы безопасности. Это подтверждается многочисленными статистическими данными, свидетельствующими о том, что подавляющее большинство инцидентов безопасности связано с деятельностью сотрудников организации. Неудивительно, что работа с персоналом — главный механизм защиты.

Ключевые принципы и правила управления персоналом с учетом требований информационной безопасности определены в международном стандарте ISO/IEC 17799:2000 и сводятся к необходимости выполнения определенных требований безопасности, повышения осведомленности сотрудников и применения мер пресечения к нарушителям.

Основные требования

При работе с персоналом необходимо соблюдать следующие требования безопасности:

1. Ответственность за информационную безопасность должна быть включена в должностные обязанности сотрудников, включая ответственность за выполнение требований политики безопасности, за ресурсы, процессы и мероприятия по обеспечению безопасности.
2. Должны проводиться соответствующие проверки сотрудников при приеме на работу, включая характеристики и рекомендации, полноту и точность резюме, образование и квалификацию, а также документы, удостоверяющие личность. Для критичных должностей должна проверяться также кредитная история кандидата.
3. Подписание соглашения о неразглашении конфиденциальной информации кандидатом должно быть обязательным условием приема на работу.
4. Требования информационной безопасности, предъявляемые к сотруднику, должны быть отражены в трудовых соглашениях. Там же должна быть прописана ответственность за нарушение безопасности.

Повышение осведомленности

Важную роль для обеспечения информационной безопасности играет осведомленность пользователей в вопросах безопасности и правилах безопасного поведения. Согласно ст. 139 Гражданского кодекса РФ, обладатель конфиденциальной информации имеет право на правовую защиту от незаконного ее использования только при условии, что он принимает надлежащие меры к соблюдению ее конфиденциальности, поэтому правила политики безопасности и ответственность, предусмотренная за их нарушение, должны быть документированы и доведены до сведения всех сотрудников под роспись. Контроль осведомленности должен осуществляться на регулярной основе. Основную роль здесь играют HR-менеджеры организации.

Необходимо проводить обучение и контролировать знания пользователей по следующим вопросам:

• правила политики безопасности организации;
• правила выбора, смены и использования паролей;
• правила получения доступа к ресурсам информационной системы;
• правила обращения с конфиденциальной информацией;
• процедуры информирования об инцидентах, уязвимостях, ошибках и сбоях программного обеспечения и др.

Меры пресечения

В организации должен быть разработан соответствующий дисциплинарный процесс, проводимый в отношении нарушителей безопасности и предусматривающий расследование, ликвидацию последствий инцидентов и адекватные меры воздействия.

При определении мер пресечения следует ориентироваться на положения действующего законодательства. Отношения между работником и работодателем и ответственность за нарушение информационной безопасности организации регулируются прежде всего Трудовым кодексом РФ. В определенных случаях возможно применение положений Кодекса об административных правонарушениях и Уголовного кодекса.

Так, на основании ст. 192 Трудового кодекса РФ сотрудники, нарушающие требования политики безопасности организации, могут быть подвергнуты дисциплинарным взысканиям, включая замечание, выговор и увольнение с работы за неоднократное грубое нарушение дисциплины. Согласно ст. 238 Трудового кодекса РФ все сотрудники несут персональную (в том числе материальную) ответственность за прямой действительный ущерб, причиненный компании в результате нарушения ими правил политики безопасности. Сотрудник компании несет материальную ответственность как за прямой действительный ущерб, непосредственно причиненный им работодателю, так и за ущерб, возникший у работодателя в результате возмещения им ущерба иным лицам. Сотрудники несут материальную ответственность в пределах своего среднего месячного заработка (ст. 241 Трудового кодекса РФ). Согласно ст. 243 Трудового кодекса РФ, за умышленное причинение ущерба, а также за разглашение сведений, составляющих охраняемую законом тайну (служебную, коммерческую или иную), в случаях, предусмотренных федеральными законами, сотрудники компании несут материальную ответственность в полном размере причиненного ущерба.

Роль HR-менеджеров

Роль менеджеров по персоналу в обеспечении информационной безопасности организации весьма значима, хотя и не является определяющей. HR-менеджеры должны принимать участие в разработке и внедрении политик безопасности, организации обучения пользователей, контроле осведомленности и расследовании нарушений. HR-менджеры в организации также выполняют функции владельцев персональных данных сотрудников компании и несут административную ответственность за разглашение или незаконное распространение этих данных.

Политика безопасности и процедуры внутрифирменной коммуникации

Соответствующая организация процесса внутрифирменной коммуникации, позволяет избежать утечек информации и ненадлежащего ее использования. Она включает в себя определение уровней доступа к информации, механизмов контроля и функциональных ролей.

В организации должно быть разработано положение по защите конфиденциальной информации и соответствующие инструкции. Эти документы должны определять правила и критерии для категорирования информационных ресурсов по степени конфиденциальности (например, открытая информация, конфиденциальная, строго конфиденциальная), правила маркирования конфиденциальных документов и правила обращения с конфиденциальной информацией, включая режимы хранения, способы обращения, ограничения по использованию и передаче третьей стороне и между подразделениями организации.

Должны быть определены правила предоставления доступа к информационным ресурсам, внедрены соответствующие процедуры и механизмы контроля, в том числе авторизация и аудит доступа.

Ответственность за информационную безопасность организации несет ее руководитель, который делегирует эту ответственность одному из менеджеров. Обычно эти функции выполняет директор по информационной безопасности (CISO) или директор по безопасности (CSO), иногда директор информационной службы (CIO).

Решение о предоставлении доступа к конкретным информационным ресурсам должны принимать владельцы этих ресурсов, назначаемые из числа руководителей подразделений, формирующих и использующих эти ресурсы. Кроме того, вопросы предоставления доступа конкретным сотрудникам должны быть согласованы с их непосредственными руководителями.

Многие правила политики безопасности понятны сотрудникам и выполняются ими в большинстве случаев на интуитивном уровне. Остальные требуют обучения.

Жизнь по правилам

Как показывает практика, значительного ограничения утечки информации из организации можно добиться путем применения шести основных правил. Основная задача состоит в том, чтобы добиться интуитивного применения этих правил всеми сотрудниками организации.

Правило №1. Маркирование документов.

Документы (бумажные и электронные), содержащие конфиденциальную информацию, подлежат обязательному маркированию путем проставления грифа конфиденциальности в правом верхнем углу титульного листа.

Маркирование конфиденциальных документов осуществляется ответственным за их подготовку или ответственным за работу с данными документами. Маркирование сообщений электронной почты осуществляется пользователем, выполняющим отправку (распространение) данных сообщений.

В документах, содержащих конфиденциальную информацию и передаваемых третьей стороне, на обороте титульного листа в обязательном порядке должно быть «заявление о конфиденциальности».

Правило №2. Закрытое обсуждение.

Не следует обсуждать конфиденциальную информацию с посторонними лицами (или в их присутствии), с друзьями, родственниками, сотрудниками организации, не допущенными к работе с данной информацией, и т. п. Также не следует обсуждать конфиденциальную информацию в общественных местах в присутствии посторонних (не допущенных к данной информации) лиц, включая столовую и места для курения, расположенные на территории компании.

Правило №3. Шифрование информации при хранении и передаче.

Для обеспечения надлежащего уровня защиты шифрование должно применяться как при хранении, так и при передаче конфиденциальной информации. Электронный обмен конфиденциальной информацией с внешними респондентами должен вестись в зашифрованном виде, при наличии соответствующих технических возможностей.

Правило №4. Использование соглашения о конфиденциальности.

Передача сведений, содержащих конфиденциальную информацию, третьей стороне должна осуществляться только после заключения с этой стороной «Соглашения о конфиденциальности».

Правило №5. Ограничение доступа к информации.

Не хранить электронные документы, содержащие конфиденциальную информацию, в общедоступных местах, включая общие папки файловых серверов, Web, почтовые папки и т. п.

Правило №6. Информирование.

Требуется не только самим овладеть методами защиты информации, но также следить за их выполнением другими сотрудниками и вести разъяснительную работу. Обо всех фактах утечки информации следует незамедлительно сообщать своему непосредственному руководителю.

Сервисы безопасности

Сервисы безопасности используются для ограничения доступа к информации, протоколирования фактов осуществления доступа и контроля информационных потоков. Они позволяют обеспечить предупреждение, предотвращение, обнаружение и реагирование на инциденты, связанные с утечкой информации.

К числу сервисов безопасности относят аутентификацию, управление доступом, шифрование, фильтрацию контента и аудита безопасности.

Аутентификация и управление доступом

Традиционные схемы аутентификации и управления доступом во многих случаях уже не обеспечивают адекватного уровня защиты. В дополнение к ним целесообразно использовать специализированные сервисы управления правами доступа к электронным документам, которые уже начинают появляться на рынке.

Примерами соответствующих коммерческих продуктов являются Microsoft RMS (впервые появившийся в Windows Server 2003) и программно-аппаратный комплекс Sentinel RMS, производимый компанией SafeNet.

RMS (Rights Management Services, сервисы управления правами доступа) — это технология, используемая для защиты электронных документов от несанкционированного использования. Она позволяет при распространении информации определять ограничения по использованию последней. Например, автор документа может ограничить «время жизни» документа, а также возможность для определенных пользователей открывать, изменять, копировать в буфер обмена, печатать или пересылать документ. Основное отличие данной технологии от традиционных способов разграничения доступа к информации заключается в том, что права доступа и дополнительные ограничения по использованию хранятся в теле самого документа и действуют независимо от его местонахождения. Шифрование документов, реализованное в технологии RMS, не позволяет получать доступ к их содержанию каким-либо обходным путем.

Фильтрация контента

Использование RMS, конечно, не решает всех проблем. Например, эта технология не защищает от умышленного «слива» информации по электронной почте, что на практике встречается довольно часто, и заставляет руководство организации вводить правила по фильтрации исходящих из корпоративной сети сообщений по их содержанию. Анализ содержания сообщений по ключевым словам может быть достаточно эффективным, однако требует проведения серьезной работы по «тюнингу» системы фильтрации контента, так как ни одна из подобных систем не работает «прямо из коробки». Даже хорошо отлаженная система фильтрации требует постоянного внимания со стороны администратора безопасности.

Шифрование информации

Шифрование — один из наиболее надежных способов обеспечения конфиденциальности информации. Криптографические методы давно и успешно развиваются во всем мире, поэтому в настоящее время механизмы шифрования являются сильным звеном в любой системе обеспечения информационной безопасности.

Так, например, доступный и распространенный способ шифрования информации при хранении для пользователей ОС Microsoft Windows — применение встроенного в NTFS сервиса Encrypted File System (EFS). Во всех распространенных почтовых клиентах поддерживаются функции шифрования сообщений, что позволяет без дополнительных усилий производить обмен конфиденциальной информацией с внешними респондентами в зашифрованном виде.

Аудит безопасности

Последним рубежом в комплексной системе предотвращения утечки информации из организации является подсистема аудита информационной безопасности, которая позволяет оперативно обнаруживать и реагировать на нарушения безопасности, а также производить расследование инцидентов, связанных с утечкой информации. Она должна охватывать все виды событий, связанных с получением доступа к конфиденциальным данным и выполнением действий, способных привести к их несанкционированному раскрытию, включая изменение прав доступа, копирование и вывод на печать.

СУИБ

Успешная реализация намеченных подходов к предотвращению утечки информации крайне затруднительна в том случае, если в организации отсутствует действующая система управления информационной безопасностью (СУИБ), которая характеризуется прежде всего наличием работающей политики безопасности и организационной структуры, выстроенной в соответствии с этой политикой, а также наличием процессов, процедур и механизмов контроля. Основными руководящими документами в этой области могут служить международный стандарт ISO/IEC 17799:2000, который описывает 127 механизмов контроля, обеспечивающих функционирование СУИБ, а также британский стандарт BS 7799-2:2002, определяющий спецификацию СУИБ, руководство по ее использованию для создания СУИБ и прохождения процедуры сертификации.

Литература

1. В MS Word обнаружили неприятный сюрприз. http://www.cnews.ru/newtop/index.shtml?2005/01/31/173732
2. Office 2003/XP Add-in: Remove Hidden Data. http://www.microsoft.com/downloads/details.aspx?familyid=144e54ed-d43e-42ca-bc7b-5446d34e5360&displaylang=en 3. The Remove Hidden Data tool for Office 2003 and Office XP. http://support.microsoft.com/default.aspx?scid=kb;en-us;834427#4

---

Действующее информационное законодательство

Действующее информационное законодательство Российской Федерации представлено целым блоком нормативно-правовых актов самого различного уровня, начиная с Конституции, Гражданского, Уголовного и Административного кодекса РФ и заканчивая узкоспециализированными, фундаментальными источниками, регулирующими вопросы защиты информации. К последним относятся законы РФ «Об информации, информатизации и защите информации», «Об участии в международном информационном обмене», вступивший в силу с 24 декабря 2004 года «Закон о коммерческой тайне». На рассмотрении в Государственной думе в настоящее время находится еще ряд проектов законов, включая законы о защите персональной и служебной информации.

Однако большой объем актов правового регулирования и наличие основополагающих профильных нормативных актов не означают совершенства действующего законодательства в этой сфере. Сегодняшние законодательство и наука не позволяют четко отграничить информацию от других объектов права, установить ее правовую природу, обозначить круг информационных правоотношений, однозначно определить субъектный состав и содержание информационных отношений и т. д. В частности, своего скорейшего разрешения требует проблема правового регулирования оборота недокументированной информации.

---

Законодательство о защите коммерческой тайны

Предметом защиты коммерческой информации являются все свойственные предприятиям компании особенности и детали коммерческой деятельности, деловые связи, закупка сырья и товаров, сведения о поставщиках, предполагаемой прибыли, методики установления цен, результаты маркетинговых исследований, счета, договоры и т. п.

По гражданскому законодательству (ст. 139 Гражданского кодекса РФ) обладатель технической, организационной или коммерческой информации, составляющей секрет производства, имеет правовую защиту от незаконного ее использования при условии, что:

• информация имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам;
• к информации нет свободного доступа на законном основании;
• обладатель информации принимает надлежащие меры к соблюдению ее конфиденциальности.

Отношения, возникающие между субъектами гражданского общества, связанные с отнесением информации к коммерческой тайне, передачей такой информации и охраной ее конфиденциальности, регулируются законом «О коммерческой тайне». Согласно этому закону права обладателя информации, составляющей коммерческую тайну, возникают с момента установления им в отношении такой информации режима коммерческой тайны, под которым понимаются «правовые, организационные, технические и иные принимаемые обладателем информации, составляющей коммерческую тайну, меры по охране ее конфиденциальности».

---

Нормативные документы

В основе системы защиты информации лежат внутренние нормативные документы, устанавливающие ответственность и определяющие правила по защите информации, обязательные для исполнения всеми сотрудниками организации. К ним относятся: положение о коммерческой тайне; руководство по защите конфиденциальной информации; правила работы пользователей в корпоративной сети; инструкции по использованию сервисов безопасности; регламент предоставления доступа к информационным ресурсам.

Хорошей практикой является разработка и внедрение нескольких небольших документов вместо одного объемного, который все равно никто не сможет дочитать до конца и тем более запомнить все, что там написано. Можно рекомендовать следующий состав документов, ориентированных на всех сотрудников организации:

• правила работы пользователей в корпоративной сети;
• правила выбора, хранения и использования паролей;
• инструкция по защите от компьютерных вирусов;
• правила использования мобильных устройств для работы в корпоративной сети;
• правила работы в сети Internet.

Состав документов может варьироваться. При определении состава и содержания документов можно опираться на требования ISO/IEC 17799:2000.

Большинство предприятий, независимо от их размера, хранит у себя конфиденциальные данные о клиентах или сотрудниках, будь то их имена, адреса и даже номера банковских карт. Защита данной информации от злоумышленников является чрезвычайно важной задачей, требующей большой ответственности и профессионализма. Ведь утечка подобных данных может быть разрушительной не только для репутации компании, но и для ее деятельности в целом. О том, как этого избежать, нам рассказали специалисты по информационной безопасности рекламного интернет-агенства OLIT. Они дали 6 основных советов, которые помогут предотвратить утечку важной информации в любой компании и избежать дальнейшей головной боли, выраженной как денежными потерями, так и репутационными.

1. Централизованная система хранения данных

Один из лучших способов избежать утечки данных — убедиться, что конфиденциальная информация не разбросана по всем цифровым устройствам предприятия, включая смартфоны сотрудников и USB-флешки. Особенно важные данные, например банковские реквизиты, не должны храниться на ноутбуках или внешнем жестком диске во избежание их физического похищения. Лучше хранить конфиденциальную информацию централизованно в надежно защищенной базе данных, к которой будут иметь доступ только обладатели специальной учетной записи.

2. Ограниченный доступ сотрудников к конфиденциальной информации

Представь себе следующий корпоративный сценарий. Егор — сотрудник call-центра компании, отвечающий на жалобы клиентов по поводу заказов. Выполняя свои профессиональные обязанности, он должен иметь возможность просматривать учетные записи клиентов и истории их заказов. Тем не менее Егор также имеет неограниченный доступ к данным платежных карт клиентов по причине того, что штатный айтишник, раздавая учетные права, забыл ограничить ему доступ к этой информации.

И вот однажды Егор открывает неопознанную ссылку в своем электронном ящике и, послушно следуя инструкции, натыкается на фишинг. А через пару дней кто-то под учетной записью Егора крадет данные платежных карт каждого клиента компании.

Но первое, что необходимо сделать, — это предоставить каждому сотруднику доступ лишь к тем данным, которые непосредственно связаны с его должностными функциями. Таким образом, удастся поддерживать «политику эксклюзивных прав», при которой доступ к конфиденциальной информации имеет только узкий круг лиц.

3. Тренинги персонала по информационной безопасности

Как уже было сказано выше, если бы Егор смог вовремя распознать попытку фишинга, его аккаунт не был бы взломан, и информация осталась неприкосновенной. Поэтому важно обучить своих сотрудников основам кибербезопасности, чтобы в случае попытки взлома они могли не только распознать атаку, но и грамотно ей противодействовать. В данную программу обучения могут входить: способы распознавания угроз, советы по созданию и хранению паролей, правила пользования интернетом на работе, стратегия поведения в случае хакерского проникновения.

4. Работоспособность базовой системы кибербезопасности

Хоть такие элементарные средства сетевой безопасности, как антивирусы или брандмауэры, не остановят опытного хакера от взлома базы данных компании, они могут помочь минимизировать потери. Установка таких программ и их регулярное обновление необходимы, чтобы распознавать наиболее очевидные угрозы и своевременно предпринимать шаги по их нейтрализации.

5. Закрытый доступ для уволенных сотрудников

Неважно, уволился работник по собственному желанию или нет, остались вы при этом хорошими друзьями или теперь не будете здороваться, в любом случае следует лишить его доступа к любой конфиденциальной информации предприятия. Собственно, почему это важно для кибербезопасности — и так понятно, но на всякий случай напомним тебе уместную в данном случае английскую поговорку: Caution is the parent of safety.

6. Анализ существующей системы информационной безопасности

Лучший способ избежать войны — это быть к ней готовым. Эта расхожая истина в более пацифистской формулировке проецируется и на работу предприятия. Чтобы предотвратить любую кибератаку, лучше сыграть на опережение и выявить уязвимые места в собственной системе защиты. Этот процесс является чрезвычайно ответственным, а потому требует высокого профессионализма. Рекламное интернет-агенство OLIT осуществляет комплексное тестирование информационной безопасности компании, в которое входят:

— внешний анализ сети и периметра;
— тест на проникновение;
— внутреннее тестирование сети;
— поиск уязвимостей и эксплуатация;
— тестирование web-сайтов компании;
— тестирование мобильных приложений компании;
— отчет о тестировании и рекомендации.

Разумеется, лучше всего работу по защите от хакерских атак способны выполнить те, кто знаком с оборотной стороной процесса, что называется «знает врага в лицо». Поэтому агентство OLIT тесно сотрудничает с White-hacker.io, которые, как ты мог догадаться из названия, являются хакерами «наоборот» (их еще называют «белыми» хакерами). Если злоумышленник нацелен взломать твою систему безопасности для похищения ценных данных, фактически нарушая закон, то «белые» хакеры делают эту защиту максимально неприступной, используя те же навыки, но только в легитимных и благих целях. И если ты владелец небольшого бизнеса, то не стоит думать, что кибератака тебе не угрожает. Для «черного» хакера важен не объем компании, которую он собирается взломать, а количество таких компаний. В этом смысле под угрозой находятся все, так же как и все нуждаются в надежной информационной защите.

Заказать тестирование информационной безопасности→