IT-оборона

Менеджер по развитию бизнеса компании Cisco Systems и автор книги «Обнаружение атак» Алексей Лукацкий убежден, что большинство российский компаний слишком небрежно относится к проблемам безопасности собственных сетей.

Связано это как с недооценкой опасности, так и с желанием сэкономить в той сфере, где любая экономия чревата серьезными последствиями. Компьютерные угрозы год от года становятся только серьезнее, а в сферу интересов хакеров попадает все больше отечественных предприятий.

— С какими ключевыми проблемами сталкиваются российские компании при эксплуатации своих сетевых решений?

— Первая и основная проблема — это вирусы. Любая антивирусная компания сталкивается с тем, что антивирусы всегда обновляются уже после появления вирусов. Поэтому, когда антивирусные вендоры говорят о том, что уже через час после начала новой эпидемии разработали антивирус и всех спасли, то на самом деле это миф. Такая оперативность не решает проблему заказчика, так как обновление нужно еще доставить клиенту. Именно поэтому, несмотря на то что 99 процентов компаний используют антивирусные программы, сейчас это проблема номер один с точки зрения наносимого ущерба.

Вторая актуальная проблема — утечка информации. Если ценные данные «уходят» из налоговой инспекции, Банка России, то что говорить о частных компаниях? Это, скорее, внутренняя, чем внешняя проблема: зачастую утечка происходит по вине сотрудников, которые хорошо знают, где что плохо лежит и кому это можно продать. И третья проблема, особенно актуальная для операторов связи, — это атаки на инфраструктуру извне, которые приводят к невозможности для клиента получить сервис, за который заплачены деньги. При этом особая опасность таких атак в том, что они направлены не на одного-двоих клиентов, а на всю инфраструктуру оператора, который может обслуживать десятки тысяч человек.

— Как вы оцениваете средний уровень защищенности отечественных предприятий?

— Как это ни печально, но достаточно низко. Этим летом мы запустили бесплатный сервис freescan. ru для российских компаний, который позволяет анализировать защищенность ресурсов от атак извне через Интернет. Уже 1??800 компаний воспользовались этой услугой, и не было ни одной, у которой не было бы тех или иных дыр в защите. Это лишний раз иллюстрирует, что проблемы есть и они достаточно серьезные.

Основная причина — непонимание или недооценка предпринимателями информационных угроз, так как до сих пор считается, что хакеры — это школьники и студенты, которые не в состоянии нанести серьезный ущерб. Хотя последние исследования показывают, что ущерб от информационных атак серьезнее, чем даже от техногенных и экологических катастроф. Известны случаи банкротства компаний в результате хакерских атак. Способствует незащищенности компаний и низкая квалификация пользователей. К тому же на большинстве предприятий нет не то что специализированных отделов по информационной безопасности, но и узких специалистов в этой теме.

Основная актуальная задача сейчас — это обучение всех сотрудников навыкам безопасной работы с информацией. Например, в компании Cisco Systems все, начиная от президента и заканчивая рядовым персоналом, постигают азы информационной безопасности. В российских компаниях зачастую на это не ­обращают внимания — хватило бы денег на автоматизацию бизнес-процессов, закупку компьютеров и прочее. Не секрет, что большинство утечек информации происходит не по злому умыслу, а из-за неаккуратности и банальной нехватки знаний.

— Какие цели обычно преследуют злоумышленники?

— Целей может быть много. Самая распространенная — это любопытство и проверка своих сил. Обычно хакерство начинается с того, что кто-то решает проверить, насколько он силен. Нередко человек, запустивший новый вирус, объявляет об этом своим коллегам, знакомым. Но наблюдается и опасная тенденция, что в последнее время все больше атак совершается ради прибыли тех, кто взламывает, или тех, кто за ними стоит. Происходит кража информации или денег.

— Судя по вашим словам, для основной массы хакеров атаки на чужие компьютерные системы — это хобби, а не профессия. Могут ли тогда эти люди представлять серьезную угрозу?

— Конечно. Они представляют собой такую же угрозу, как и автовладельцы, не умеющие водить машину. Отсутствие профессионализма в этом случае не является преградой для того, чтобы человек создал серьезную проблему. Качество заменяется количеством, и возникает эффект лавины. Из сотни атакующих хотя бы один всегда может добиться результатов.

Не секрет, что можно взломать сайт, воспользовавшись чужой программой, которая лежит в свободном доступе в Интернете. И единственной причиной, почему атаке подверглась определенная компания, будет тот факт, что с ее стороны никто не подумал о безопасности.

— Как предпринимателю определить бюджет информационной защиты? Понятно, что стоимость защиты не должна превышать стоимость информации, но как ее оценить?

— Оценить, действительно, сложно, потому что, прежде чем заниматься безопасностью информации, нужно понять стоимость бизнес-активов, а сделать это у нас непросто. Только крупные компании реально просчитывают стоимость информационных ресурсов и могут правильно определить бюджет на их защиту. В малом и среднем бизнесе обычно покупается антивирус, межсетевой экран и все. Предпринимаются точечные попытки решить проблему без учета потребности бизнеса в целом.

Конкретные суммы напрямую зависят от бизнеса компании. Если это интернет-банкинг, то сумма будет значительно большей, чем на заводе, где стоит 10 компьютеров для бухучета. Считается, что на информационную безопасность должно тратиться, в среднем, до 10 процентов IT-бюджета.

— Какие шаги, на ваш взгляд, целесообразно применять, чтобы повысить информационную защищенность своего бизнеса?

— Начинать необходимо с понимания проблемы. Если есть поддержка руководства, то все решается гораздо проще. Если поддержки нет, то администратор безопасности вынужден решать проблему по-своему, без привязки к конкретному бизнесу. Это не самый лучший вариант.

Затем необходим анализ ситуации в сети, какие приложения, протоколы работают. Нужно определить модель угроз, а потом по этой модели применять средства защиты. Любопытно, что в большинстве случаев базовая защищенность может быть достигнута за счет встроенных механизмов защиты. Оборудование серьезных вендоров, как правило, имеет встроенные системы безопасности, которые необходимо лишь настроить. Это уже будет хороший задел в плане безопасности, а потом можно подумать о приобретении дополнительных средств защиты, которые поднимут уровень защищенности конкретных бизнес-процессов.

— Всегда стоит вопрос, какое решение выбрать — аппаратное или программное? Первое дороже, но вроде бы надежнее…

— Это заблуждение, что программные решения всегда дешевле. Они требуют настройки и оптимизации, то есть больших затрат в процессе эксплуатации. Эти затраты обычно не считают, хотя они осязаемые. За два-три года нередко изначально дорогое аппаратное решение оказывается более выгодным. Поэтому крупные вендоры сейчас делают ставку на «железо», хотя программы остаются, так как одиночный компьютер или лэптоп проще защитить с помощью софта.

— Целесообразно ли вводить должность узкого специалиста по безопасности?

— В большинстве компаний эта роль возлагается на системного администратора, но это не совсем правильно: безопасностью этот сотрудник будет заниматься лишь в рабочее время, а атака может произойти в любой момент. Для крупной компании лучше вообще создать отдел информационной безопасности. И подчинить такую службу напрямую руководителю компании или совету директоров. Так как нередко решения этой службы будут противоречить интересам других подразделений.Для небольших и средних бизнесов больше подходит модель аутсорсинга, когда всем комплексом вопросов безопасности занимается сторонняя компания. Это дешевле содержания своих специалистов и гарантирует защиту 24 часа в сутки.

— Как вы видите развитие ситуации?

— Очевидно, что проблемы будут только ужесточаться. Вирусы будут появляться все чаще и распространяться все быстрее. Математически доказанный факт, что возможно появление вируса, который заразит за 15 минут все узлы в Интернете. Возможно увеличение деструктивных функций вирусов, то есть заражаться будут не отдельные сети, а целые куски Интернета. И, как я уже говорил, увеличится число атак не с хулиганскими, а с корыстными целями.

Более того, возможно появление совершенно новых типов угроз. Например, вирусы для мобильных телефонов, бортовых компьютеров в автомобилях, цифрового ТВ и прочего. Все новые технологии немедленно берутся хакерами «в разработку».— Возможно ли тогда появление новых мощных устройств защиты?

— Возможно, причем предназначенных для небольших предприятий и, соответственно, продающихся не по заоблачным ценам. Подчеркну, что для нас сейчас безопасность сосредоточена не в отдельных устройствах, а в технологиях. Гораздо эффективнее не навешивать систему безопасности на что-то, а изначально предусмотреть способ обороны, чтобы пользоваться системой было удобно и одновременно безопасно. Не секрет, что вендорам приходится искать компромисс между безопасностью и удобством. Когда пользователь видит, что ему неудобно работать, он отключает систему безопасности. Со всеми вытекающими по­следствиями. Мы надеемся, что защита будущего будет одновременно и удобной, и максимально безопасной.

http://abm.r52.ru