СУЛАВКО А. Е., аспирант

Сибирская государственная автомобильно-дорожная академия,

ТЕХНОЛОГИИ ЗАЩИТЫ ОТ ВНУТРЕННИХ УГРОЗ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ *

Аннотация. Выявлены недостатки существующих средств защиты от внутренних угроз информационной безопасности . Описаны используемые в современных системах защиты подходы к распознаванию конфиденциальной информации в информационном потоке и их эффективность, а также основные требования таким системам. Обозначены возможные направления будущих исследований с целью повышения эффективности средств борьбы с внутренними угрозами.

Ключевые слова: информационная безопасность, внутренние угрозы, контентный анализ, контекстная фильтрация, защита от утечки конфиденциальной информации.

Введение. На сегодняшний день наибольшую угрозу информационной безопасности (далее ИБ) представляют внутренние злоумышленники. С каждым годом данная угроза все возрастает. Времена, когда руководители предприятий боялись атак хакеров и вирусов теперь в прошлом. Конечно, данный класс угроз по сей день несет в себе большую опасность, но более всего компании обеспокоены именно из-за потери, утечки корпоративной информации и персональных данных. Об этом говорят результаты практически любых исследований в области информационной безопасности, проводимых в рамках различных проектов (рисунки 1, 2).

Рисунок 1. Наиболее опасные угрозы ИБ по мнению респондентов

* Работа выполнена в рамках реализации программы «Научные и научно-педагогические кадры инновационной России на годы», контракт № П215 от 22.07.09г.

По результатам исследования «ИНСАЙДЕРСКИЕ УГРОЗЫ В РОССИИ ’09» (рисунок 1), проведенного аналитическим центром российской компании Perimetrix видно, что угрозы, исходящие изнутри компании, в сумме дают больший рейтинг опасности, чем угрозы, исходящие извне.

Рисунок 2. Соотношение опасности внутренних и внешних инцидентов ИБ

Такая ситуация наблюдается не только в России. По данным технических отчетов INFORMATION SECURITY BREACHES SURVEY 2006 и 2008, внутренние инциденты также превалируют над внешними. За последние годы существенно увеличилось опасение внутренних инцидентов представителями малого и среднего бизнеса (рисунок 2). Утечки терпят не только представители бизнеса, но и государственные учреждения по всему миру. Об этом свидетельствуют результаты глобального исследования InfoWatch (рисунок 3).

Рисунок 3. Распределение инцидентов по типу организации

Из представленных материалов видно, что сегодня вопрос о борьбе с внутренними угрозами стоит более остро, чем вопрос о борьбе с внешними. Следует отметить, что наиболее опасной угрозой на сегодня является утечка конфиденциальных данных (рисунок 1).

Средства и методы борьбы с внутренними угрозами. Чтобы эффективно бороться с внутренними угрозами, необходимо выявить недостатки существующих средств защиты в этой области. Можно выделить несколько типов систем обеспечения внутренней безопасности.

Системы мониторинга и аудита являются хорошим средством при расследовании инцидентов. Современные системы аудита позволяют регистрировать практически любые действия пользователей. Недостатком этих систем является отсутствие возможности предотвращения утечки, т. к. для этого нужна система реагирования на события и принятия решений, распознающая какая последовательность действий несет угрозу, а какая нет. Ведь если ответной реакции на нарушение не последует сразу, последствий инцидента не избежать.

Системы сильной аутентификации служат для защиты от несанкционированного доступа к данным. В их основе лежит двух- или трехфакторный процесс аутентификации, в результате которого пользователю может быть предоставлен доступ к запрашиваемым ресурсам. Такие средства могут защитить информацию от “непосвященного” сотрудника, но не от инсайдера , который и так имеет доступ к охраняемой информации.

Средства шифрования носителей. Данный класс программ защитит от утечки информации при потере носителя или ноутбука. Но, если инсайдер передаст носитель вместе с ключом, на котором зашифрована информация другой стороне, то такой метод защиты будет бесполезен.

Системы выявления и предотвращения утечек (Data Leakage Prevention , DLP). Данные системы также называют системами защиты конфиденциальных данных от внутренних угроз (далее, системы защиты от утечек). Эти системы контролируют каналы утечки данных в реальном времени. Существуют комплексные (покрывающие много каналов утечки) и точечные (покрывающие определенный канал утечки) решения. Данные системы используют проактивные технологии, благодаря чему, не только регистрируют факт нарушения ИБ, но и предотвращают саму утечку информации. Конечно, качество такого контроля напрямую зависит от способностей системы отличать конфиденциальную информацию от не конфиденциальной, т. е. от используемых алгоритмов контентной или контекстной фильтрации. Большинство современных систем защиты от утечек имеют функции шифрования носителей и файлов (такие системы также называют Information Protection and Control (IPC)). Они могут использовать защищенные хранилища данных, в частности криптоконтейнеры, которые при доступе к файлу учитывают не только ключ шифрования, но и различные факторы, такие как уровень доступа пользователя и т. д.

На сегодняшний день системы защиты от внутренних угроз - это единственное решение, позволяющее предотвратить утечки в реальном времени, контролируя действия пользователей и процессов производимые с файлами и способное распознавать конфиденциальную информацию в информационном потоке. Чтобы определить уязвимое место в защите, предоставляемой такой системой, необходимо более детально рассмотреть их основные функции и возможности, а также методы, используемые этими системами для осуществления контентной/контекстной фильтрации.

Все существующие методы распознавания конфиденциальной информации в совокупности основаны на синтезе нескольких принципиально различных подходов.

Поиск сигнатур. Наиболее простой метод контентной фильтрации - поиск в потоке данных некоторой последовательности символов. Иногда запрещенную последовательность символов называют «стоп-словом». Техника работает только на точные срабатывания и легко обходится простой заменой символов в анализируемом тексте.

Поиск регулярных выражений (метод масок). С помощью некоторого языка регулярных выражений определяется «маска», структура данных, которые относятся к конфиденциальным. Чаще всего данный метод используется для определения персональных данных (ИНН, номера счетов, документов и т. д.). Недостаток метода в наличие большого количества ложных срабатываний, также метод совершенно не применим к анализу неструктурированной информации.

Метод цифровых отпечатков. С эталонной информации снимается «отпечаток» при помощи хеш-функции. Далее отпечаток сравнивается с фрагментами анализируемой информации. Недостаток в том, что при использовании хеш-функции технология работает только на точные совпадения. Существуют алгоритмы, позволяющие незначительные изменения анализируемой информации по сравнению с эталонной (не более 20%-30%). Данные алгоритмы закрыты разработчиками систем защиты от утечек.

Системы защиты от внутренних угроз также характеризуются соответствием ряду дополнительных требований (критериев принадлежности к системам защиты от утечек). Основные требования к этому классу систем защиты были выдвинуты исследовательским агентством Forrester Research:

 многоканальность (способность осуществления мониторинга нескольких каналов утечки данных);

 унифицированный менеджмент (наличие унифицированных средств управления политикой ИБ, возможность анализа событий по всем каналам мониторинга с созданием подробных отчетов);

 активная защита (система должна не только обнаруживать, но и предотвращать нарушение ИБ);

 сочетание контентного и контекстного анализа (в данном случае к контекстному анализу помимо меток следует относить анализ активности пользователя и приложений).

Как видно, в представленные требования не входит проверка того, кто именно в определенный момент работает под текущей учетной записью.

На сегодняшний день существует достаточно много систем защиты от утечек и продуктов, близких по функциональности к ним. Основные характеристики и функции некоторых решений (было решено взять 10 наиболее популярных) представлены в таблице 1.

У систем защиты от утечек, представленных на рынке, отсутствует возможность идентификации пользователя по “типовому портрету работы в системе”. В существующие решения не позволяют установить, кто на самом деле находится за компьютером. Для этого необходимо прибегать к видеонаблюдению, что не всегда возможно на практике.

Первые системы защиты от утечек в основном использовали методы контентной фильтрации. Но их эффективность оказалась низкой, т. к. на практике такие методы дают достаточно большой процент ошибок первого и второго рода. По данным компании Gartner, в отчете Hype Cycle of Information Security за 2007 год, предельная надежность любых существующих методов контентной фильтрации составляет 80%, а за последние годы существенных изменений в сторону увеличения эффективности таких алгоритмов не произошло. Таким образом, максимальная вероятность правильного распознавания конфиденциальной информации с помощью алгоритмов контентной фильтрации в информационном потоке (документе, файле, трафике и т. д.) на сегодняшний день не превышает 0.8 . И эта вероятность может быть достигнута при использовании всех перечисленных подходов к анализу контента (регулярные выражения, сигнатуры, лингвистические методы и т. д.). Такой показатель является низким (гораздо ниже, чем заявляемые разработчиком характеристики) и не удовлетворяет требованиям информационной безопасности.

Таблица 1 – Основные функции систем защиты от внутренних угроз

Системы защиты от утечек второго поколения используют контейнерный анализ. Этот подход подразумевает однозначное определение конфиденциальной информации в потоке по атрибуту файла (метке). Но, не смотря на кажущийся детерминизм , такая система будет принимать правильное решение при условии верной категоризации данных, произведенной ею предварительно при помощи существующих методов. Но все существующие методы категоризации (вероятностные, лингвистические и т. д.) также основаны на методах контентной фильтрации (контентного анализа), которые, как было упомянуто выше, далеки от совершенства. Необходимо предусматривать и разрабатывать процедуры расстановки меток на новые и входящие документы, а также систему противодействия переносу информации из помеченного контейнера в непомеченный и расстановки меток при создании файлов “с нуля”. Все это является очень сложной задачей, к тому же зависимой от задачи анализа контента. Как видно, концепция детерминистской фильтрации не может применяться отдельно от контентной, и от методов фильтрации контента не избавиться даже теоретически.

Новое поколение систем защиты от утечек (ИАС РСКД, информационно-аналитические системы режима секретности конфиденциальных данных) обещает избавиться от недостатков контентных и контекстных методов, используя каждый из них в том случае, где он наиболее эффективен. Но сочетание двух несовершенных и зависимых технологий не может произвести существенного улучшения.

Заключение. Резюмируя приведенную выше информацию, можно заключить, что, несмотря на большое количество имеющихся алгоритмов выявления конфиденциальной информации, все они не эффективны. Актуализация проблемы внутренних угроз вызвана незащищенностью от них организаций и отсутствием эффективного решения по борьбе с ними. Практически на всех предприятиях используются программные и/или аппаратные средства защиты, которые предназначены для борьбы с внешними угрозами (антивирусы, брандмауэры, IDS и т. д.) и достаточно эффективно с ними борются. Что касается средств защиты от внутренних угроз (системы защиты от утечек), то только очень незначительная часть компаний их использует (рисунок 4), хотя необходимость в этих средствах объективно существует. Рынок информационной безопасности еще не может предложить полноценного решения для эффективной защиты корпоративной информации, и существующие решения не дают достаточного уровня защиты, при этом их стоимость высока (приблизительно 100 – 500 тыс. $ стоит лицензия на 1000 компьютеров).

Рисунок 4. Самые популярные средства ИБ

Необходимо совершенствовать технологии контентной фильтрации, разрабатывая новые методы выявления конфиденциальной информации, концептуально меняя подходы к ее распознаванию. Целесообразно распознавать не только смысловое содержание текста, но и его авторство . Благодаря идентификации автора текста (при пересечении этим текстом периметра организации), набранного пользователем и содержащего конфиденциальную информацию, становится возможным выявить злоумышленника. Данный подход может быть реализован при использовании методов контентного анализа совместно с биометрическими методами идентификации пользователя по клавиатурному почерку. Учитывая не только статические характеристики текста (смысл), но и динамику ввода текста, становится возможным идентификация автора текста с высокой вероятностью.

14.03.2008 Владимир Безмалый

Сегодня во всем мире ущерб, причиняемый атаками внутренних злоумышленников (инсайдеров), уже давно превышает ущерб от внешних атак. Поэтому защита от внутренних угроз уже стала необходимостью. Именно этой проблеме и посвящена данная статья.

Для начала приведем несколько фактов.

В США зарегистрирована одна из самых крупных утечек персональных данных. Один из инцидентов, с участием печально известной фирмы ACS, просто поражает масштабами: его жертвами стали почти 3 млн. человек. В аналитическом центре InfoWatch подсчитали, что ACS могла уже многократно окупить систему защиты от утечек. Но компания упорно не желает принимать меры даже после нового инцидента (http://www.infowatch.ru/threats?chapter=147151398&id=207732805 .)

Около 80% потерь, связанных с нарушением информационной безопасности, вызывается утечкой конфиденциальной информации из-за внутренних угроз: саботажа, хищения данных, неосторожных действий сотрудников («Защита конфиденциальности и целостности информации - ключ к эффективному развитию бизнеса» (http :// infowatch . ru / )).

243 тыс. детей, их родителей и опекунов Лос-Анджелеса находятся под угрозой кражи персональной информации. Виной тому - пропавший из Службы социальной помощи детям Los Angeles County Child Support Services ноутбук (http://www.infowatch.ru/about?chapter=150661442&id=207732792 ).

О подобных фактах мы узнаем практически ежедневно. Поэтому защита от внутренних угроз выходит на первое место. Для возможного анализа проблемы внутренних угроз, прежде всего, необходимо ответить на ряд базовых вопросов:

Почему вы хотите защищаться от внутренних угроз?

Как выглядит потенциальный нарушитель?

Какие ресурсы вы готовы потратить на защиту от внутренних угроз?

Ответ на вопрос «зачем внедрять систему защиты от внутренних угроз?» вовсе не так очевиден, как может показаться на первый взгляд. Рассмотрим возможные варианты ответов на этот вопрос, см. Таблицу 1.

Таблица 1. Цели и методы внедрения системы защиты от внутренних угроз

Соответствие требованиям нормативных стандартов

Во многих странах в банковской сфере, биржах, финансовых институтах существуют очень жесткие законодательные требования, невыполнение которых может повлечь за собой отзыв лицензии. В основе большинства требований лежат принципы стандартов ISO, Базельских соглашений.

Для компаний, которые хотят торговать своими акциями на международных биржах, стоит учитывать дополнительные требования. Так, например, Нью-Йоркская фондовая биржа попадает под действие акта Сарбаниса-Оксли 2002 года, регламентирующего управление информационной системой компаний, выставляющих свои ценные бумаги на торги.

В России в последнее время особое значение приобрел Закон "О защите персональных данных", который требует принятия мер по неразглашению конфиденциальной частной информации граждан. Аналогичный закон готовится к принятию на Украине.

В разных странах за последнее время был принят целый ряд законодательных мер:

European Union Data Protection Directive - директива Евросоюза о защите данных;

Insurance Portability and Accountability Act (HIPAA) - закон о преемственности страхования и отчетности в области здравоохранения;

Sarbanes-Oxley Act of 2002 (SOX) - акт Сарбаниса-Оксли;

US Patriot Act ;

Gramm-Leach Bliley Act (GLBA) - закон Грэма-Лича-Блилей;

California SB 1386 - закон штата Калифорния SB 1386;

Basel II - Базельское соглашение по капиталу в странах OECD (Organization for Economic Co-operation and Development - организация экономического сотрудничества и развития).

Законодательные акты зарубежных стран в области внутренней безопасности

European Union Data Protection Directive

DPD (Data Protection Directive) - директива о защите данных, принятая в Евросоюзе в 1995 году. Данная директива предназначена для защиты персональной идентифицирующей информации Personal Identifiable Information (PII). Директива обязывает каждое государство, которое входит в Евросоюз, принять собственный закон о защите персональных данных, совместимый с рекомендациями Организации экономического сотрудничества и развития (OECD) от 1980 года (в состав OECD входит 30 стран: Австралия, Австрия, Бельгия, Канада, Чехия, Дания, Финляндия, Франция, Германия, Греция, Венгрия, Исландия, Ирландия, Италия, Япония, Корея, Люксембург, Мексика, Нидерланды, Новая Зеландия, Норвегия, Польша, Португалия, Словакия, Испания, Швеция, Швейцария, Турция, Великобритания, США; Украина и Россия не входят). Кроме того, данная директива вводит классификацию личных данных (медицинские, финансовые и т.д.). Каждая категория данных требует дополнительных мер безопасности.

Среди рекомендаций OECD необходимо отдельно отметить Security Safeguards Principle 11 (Принцип гарантированной безопасности №11), требующий, чтобы персональные данные были защищены разумными средствами безопасности от таких угроз, как утрата или неавторизованный доступ, разрушение, использование, модификация или разглашение.

Data Protection Directive значительно жестче соответствующих законодательных актов США. Например, данная директива требует защиты персональной идентифицирующей информации как клиентов компании, так и сотрудников, что не требуется в рамках законодательства США.

Нарушение этой директивы может привести к наступлению как гражданской, так и уголовной ответственности, включая большие штрафы, а в некоторых странах даже лишение свободы.

Basel II Accord

Базельское соглашение по капиталу Basel II Capital Accord вступило в силу с конца 2006 года в большинстве стран, входящих в состав OECD. Данное соглашение требует от финансовых институтов считать кредитные, производственные и рыночные риски для того, чтобы быть уверенным, что имеющихся сбережений хватит для покрытия этих рисков. Риски Basel II Accord включают и риски ИТ-безопасности.

Sarbanes-Oxley Act of 2002

Sarbanes-Oxley Act of 2002 (SOX) - акт Сарбаниса-Оксли. Этот акт принят в США в 2002 году в связи с корпоративными скандалами, которые имели место в таких компаниях как Enron и WorldCom. Акт возлагает ответственность на генеральных, исполнительных и финансовых директоров, CEO и CFO, которые обязаны провести сертификацию своих компаний на предмет полноты финансовой отчетности. Несовместимость с Актом может стоить до 5 млн. долларов для физических лиц и до 25 млн. - для юридических. Уголовная ответственность за несовместимость с этим актом в США - до 20 лет лишения свободы.

Широкое толкование этим актом термина «активы» включает и цифровые активы, то есть исходные коды, торговые соглашения, записи пациентов и любую другую информацию, разглашение которой может нанести ущерб стоимости акций компании. А, следовательно, оценка рисков является неотъемлемой частью акта Сарбаниса-Оксли.

HIPAA

Health Insurance Portability and Accountability Act, HIPAA - закон США о преемственности страхования и отчетности в области здравоохранения был принят в 1996 году. Данный закон преследует две основные цели:

Упростить осуществление транзакций в сфере здравоохранения путем использования стандартной кодовой классификации и уникальных медицинских идентификаторов (unique health identifiers);

Защитить конфиденциальность информации о здоровье пациента.

Раздел данного закона, относящийся к приватности HIPAA Privacy Rule, определяет административные, физические и технические меры, которые включают стандарты для сохранения приватности защищенной электронной медицинской информации, Electronic Protected Health Information (EPHI).

Положения HIPAA, касающиеся приватности, вступили в силу в апреле 2003 года. Крупные организации обязаны были обеспечить совместимость с ними до апреля 2005, а небольшие компании - до апреля 2006 года.

Понятно, что обеспечить выполнение всех требований закона без учета предотвращения утечек по каналам связи и на уровне рабочих мест практически невозможно.

Gramm-Leach Bliley Act

Gramm-Leach Bliley Act (GLBA) - закон Грэма-Лича-Блилей предназначен для защиты информации заказчика, полученной или используемой финансовыми организациями США, от кражи, неавторизованного доступа или злоупотребления.

Положения данного закона требуют от финансовых компаний разработать, внедрить и применять всестороннюю письменную политику ИТ-безопасности, которая подразумевает использование административных, технических и физических мер защиты непубличной информации. Таким образом, сюда относятся номера счетов, детали финансовых операций, номера кредитных карт и т.д.

Несовместимость с GLBA Safeguard Rule карается штрафами и лишением свободы на срок до 5 лет.

Другие

Другие регулятивные акты США (SEC 17A-4, US Patriot Act, Check 21, Government Paperwork Elimination Act) также во многих случаях требуют использования продуктов для предотвращения утечек и других средств обеспечения ИТ-безопасности, хотя и не так явно, как рассмотренные выше.

Исходя из сказанного выше, можно отметить, что модель защиты от внутренних ИТ-угроз уже заложена в международные стандарты и внедрять ее нужно таким образом, чтобы она могла пройти аудит на соответствие международным стандартам. В этом случае при разрешении конфликтной ситуации между эффективностью и соответствием стандартам выбор делается в пользу соответствия стандартам, в ущерб эффективности. Хотя на Украине ситуация пока обратная.

Вместе с тем стоит отметить, что ни один регулирующий документ не рекомендует не только конкретные продукты, а даже тип продуктов, обеспечивающих защиту. Кроме того, часть угроз допускается устранять не техническими, а организационными мерами.

Сохранение информации

Данная цель возникает чаще всего после случая утечки конфиденциальных данных. В данной ситуации руководство компании не связано определенными стандартами, а хочет построить защиту информационной системы, исходя из собственного понимания и имеющихся средств. В этом случае внедрение технических средств для усиления эффективности сопровождается организационными мероприятиями, направленными на работу с персоналом.

В таком случае в набор организационных мероприятий входят инструктажи и тренинги, адаптация к новым условиям, подписание трудовых соглашений, должностных инструкций и прочих документов, регламентирующих использование ресурсов информационной системы.

Стоит учесть, что в этом случае на защиту информации работает и психологический фактор. Ведь зная о контроле со стороны руководства, многие потенциальные внутренние нарушители политики безопасности откажутся от своих намерений.

Следовательно, внедрение подобной системы должно сопровождаться гласными мероприятиями, а реализация политики внутренней безопасности должна быть введена приказом за подписью первого лица в организации.

Вместе с тем стоит понимать, что конкретные технологические решения по защите информации лучше не афишировать, чтобы не спровоцировать атаки, направленные на противодействие конкретным решениям.

Выявление источников и каналов утечки информации

Данная цель становится приоритетной для руководства организации, если оно осведомлено о регулярных утечках конфиденциальной информации из системы. Если основной целью организации становится выявление источников и каналов утечки, то задачи будут совсем другими.

В данном случае внедрение необходимо проводить, используя противоположный предыдущему поход, то есть не открытый, с акцентом на сборе доказательств. Как правило, при этом установка программного обеспечения маскируется под обновление антивируса или другой системы безопасности.

Важной частью такого внедрения является сбор доказательств. Ведь выявить источник утечек - это только малая часть работы. Нужно собрать доказательства, чтобы иметь возможность наказать злоумышленника в рамках действующего законодательства. В каждой стране юридическая база процесса сбора доказательств своя. Однако общим является то, что сбор цифровых доказательств (журналы логов, копии писем и т.д.) строго регламентирован законом. Однако стоит понимать, что даже собрав доказательства, вы сможете доказать вину не конкретного человека, а его «цифровой копии» (почтовый ящик, IP-адрес, учетная запись). Доказать, что эти конкретные цифровые идентификаторы использовались в данный момент времени конкретным человеком - весьма сложно. Учитывая презумпцию невиновности, доказательство вины конкретного человека должен предоставить работодатель. Доказать вину человека и однозначно связать его с цифровой «копией» могут системы видеонаблюдения, биометрические системы аутентификации или системы строгой аутентификации на базе аппаратных ключей или смарт-карт.

Создание конкурентного преимущества

Чаще всего эта цель ставится предприятиями, которые получают информацию третьих компаний - аудиторскими компаниями, консультационными компаниями, call-центрами, компаниями, которые оказывают услуги перевода и т.д.

В данном случае внедрение производится открыто, однако средства контроля внедряются таким образом, чтобы в любой момент компания могла предоставить клиенту информацию обо всех действиях с его данными.

Комплекс технических средств и правил

После выбора цели проекта компания должна описать весь комплекс технических средств и правил, которые применяются в компании.

Права пользователей

Часто в компании, которая поставила цель создать технологическую инфраструктуру защиты от внутренних ИТ-угроз, отсутствует политика стандартизации процессов, которые происходят на рабочих местах пользователей. Кроме того, часть пользователей обладает правами локальных администраторов. Как правило, это пользователи операционных систем Windows 9x и владельцы ноутбуков. Это также означает, что на рабочих местах хранятся копии документов, содержащих конфиденциальную информацию.

Помимо этого, на рабочих местах может быть установлено потенциально опасное программное обеспечение, например программы синхронизации с мобильными устройствами, программы шифрования, файловые менеджеры, которые могут проводить операции с временными файлами Windows и т.д.

Квалификация пользователей

Стоит отметить, что с каждым годом пользователи становятся все более высококвалифицированными. Ведь имея дома компьютер с доступом в Internet, а то и локальную сеть, они могут приобрести потенциально опасные для информационной сети навыки. Как правило, сегодня обычный пользователь может инсталлировать программы, выходить в Internet по мобильному телефону, передавать информацию в зашифрованном виде, пользоваться мобильными устройствами хранения информации и т.д.

Средства защиты

Сегодня к мерам по защите информации от внутренних угроз компании относят использование технических средств контроля доступа к ресурсам (Internet, электронная почта, USB), а также сигнатурную контентную фильтрацию (как правило, это специальным образом настроенный антиспам-фильтр). Однако стоит понимать, что эти методы позволяют противодействовать либо неопытным, либо неосторожным пользователям.

Стоит помнить, что сигнатурная контентная фильтрация легко обходится либо удалением «опасных» слов, либо примитивным кодированием, т.е. заменой символов одной кодировки (западноевропейской) другой (кириллической). Легко заметить что слова «секретно» и «ce кpe тно » читаются одинаково, в то время как во втором слове выделенные буквы набраны в западноевропейской кодировке. Более того, кто или что может мешать заменить букву «о» на цифру «0» или букву «s» на цифру «5»? А сигнатурный анализатор просто пропустит это слово как нераспознанное.

Вместе с тем следует понимать, что принцип «запретить все» неприменим, так как сотрудникам необходимо продолжать работать.

То есть нужно учесть, что, с одной стороны, компании нуждаются в упорядочении системы хранения конфиденциальной информации, а с другой - во внедрении более эффективной системы защиты от внутренних угроз.

Положение о конфиденциальной информации в электронном виде

После определения цели защиты конфиденциальной информации, которая хранится в корпоративной сети в электронном виде, от внутренних угроз, важно понять, что именно мы собираемся защищать.

Таким образом, в компании необходимо принять документ (например, «Положение о конфиденциальной информации»), который позволит однозначно категорировать информацию по степени конфиденциальности. Вместе с тем необходимо провести категорирование групп пользователей по степени разрешенных действий с данной информацией. Скорее всего, такое положение о конфиденциальности у вас уже существует для бумажных документов. Теперь нужно адаптировать данное положение к электронным документам, т.е. дать определение жизненному циклу документа (определить, кем и при каких условиях создается документ, модифицируется и уничтожается), а также регламентировать работу с такими отсутствующими у бумажных документов понятиями, как копия документа, часть документа и т.д.

Контентное категорирование

В процессе разработки «Положения о конфиденциальной информации» (далее Положение) необходимо отметить виды информации, которые запрещено отправлять по электронной почте. Практически во всех компаниях существует стандартный набор документов, который запрещено отправлять по электронной почте.

При этом нужно учесть, что существует набор информации, которую одно подразделение может отправлять, а другое - нет. В качестве примера можно привести письма, в которых упоминаются первые лица компании. Такие письма может рассылать лишь служба по связям с общественностью, а письма с упоминанием банковских реквизитов - бухгалтерия и т.д. При этом стоит отметить, что в каждой компании будут свои нюансы.

В Положении необходимо предусмотреть регламент использования конфиденциальных документов, описание системы хранения подобных документов и организации доступа к ним.

Кроме того, следует предусмотреть ведение «журнала» работы с подобными документами, в котором требуется отражать основание для обращения к документу, цель использования и т.д. В данном случае ведение журнала облегчено тем, что многие операции могут производиться в автоматическом режиме. Подобный способ ведения журнала в разных источниках называется по-разному. Кроме термина «журналирование» можно встретить термин «логирование». Хотя фактически это один и тот же процесс.

В положении должно быть отмечено, что никакой администратор не может изменять информацию в журнале своей работы, чтобы предотвратить возможные противоправные действия.

Классификация информации по уровню конфиденциальности

Конфиденциальную информацию можно разнести по следующим категориям (пример):

«СТРОГО КОНФИДЕНЦИАЛЬНАЯ» - к данной категории относится информация, являющаяся конфиденциальной в соответствии с требованиями действующего законодательства (банковская тайны, персональные данные), а также информация, ограничения на распространение которой введены решением руководства организации (коммерческая тайна), разглашение которой может привести к тяжким финансово-экономическим последствиям для организации вплоть до банкротства (нанесению тяжкого ущерба жизненно важным интересам его клиентов, корреспондентов, партнеров или сотрудников);

«КОНФИДЕНЦИАЛЬНАЯ» - к данной категории относится информация, не отнесенная к категории «СТРОГО КОНФИДЕНЦИАЛЬНАЯ», ограничения на распространение которой вводятся решением руководства организации в соответствии с предоставленными ему, как собственнику (уполномоченному собственником лицу) информации, правами, разглашение которой может привести к значительным убыткам и потере конкурентоспособности организации (нанесению ущерба его клиентам, корреспондентам, партнерам или сотрудникам);

«ОТКРЫТАЯ» - к данной категории относится информация, обеспечения конфиденциальности (введения ограничений на распространение) которой не требуется.

Иногда в компании вводят больше уровней конфиденциальности. Однако следует понимать, что чрезмерное увеличение числа категорий влечет за собой увеличение числа документов и усложнение системы защиты.

Однако надо учесть, что, так как в организации каждый день создается множество документов, без механизма их автоматической или полуавтоматической классификации реестр уже через некоторое время потеряет свою актуальность.

Метки документов

Необходимо обратить особое внимание на организацию процесса пометки конфиденциальных документов. Каждый конфиденциальный документ должен содержать метку, по содержанию которой контролирующие программы могли бы определить степень его конфиденциальности и категорию пользователей, которые могут проводить с ним потенциально опасные операции - публикацию в Internet, копирование на сменные носители, переименование, отправку по электронной почте и т.п. Технические и организационные методы установки меток выбирает заказчик. Если все защищаемые документы хранятся исключительно в формате программ Microsoft Office, то в качестве метки может использоваться запись "конфиденциально" в соответствующих полях свойств документов. Некоторые производители систем документооборота используют программные метки и специальные форматы файлов. Однако самый распространенный и простой способ присваивания меток - именование файлов по специальной маске. Например, первые 10 символов - тематическая группа, к которой относится документ (название клиента, рабочей группы, подразделения, отрасли и т.д.), затем знак подчеркивания, затем 20 символов для описания документа, снова знак подчеркивания и восьмизначная дата в формате YYYYMMDD.

Следует обратить внимание на то, что процесс внедрения процедуры именования файлов - не какая-то разовая акция, а постоянная работа по обучению персонала именовать файлы именно таким образом. Необходимо понимать, что, кроме организационных методов (закрепление приказом только такой формы именования, поддержка способа именования руководством и инструктаж новых сотрудников), надо привлечь и технические средства. Самый простой технический способ внедрения этой процедуры - разрешать выкладывать на файловый сервер, класть в корпоративное хранилище или публиковать в корпоративной сети только те файлы, которые именованы по заранее утвержденному шаблону. Со временем все файлы, которые прошли через электронную почту, файловые серверы, хранилище данных и корпоративную сеть, будут называться правильно.

После того, как все файлы документов будут названы по такой маске, документы будут автоматически попадать в поле зрения контролирующих систем и перехватываться при запрещенных действиях пользователя не только средствами контентной фильтрации, но и мониторами, действующими на основании политик. В отличие от контентной фильтрации, этот метод дает практически 100% гарантиии. Это удобно и при ведении визуального контроля, ведь даже в очереди на печать можно сразу увидеть конфиденциальные документы. К тому же не будет лишним еще раз напомнить пользователю при открытии файла, что документ конфиденциален.

Хранение информации

После того, как реестр конфиденциальных документов будет создан, можно приступить к организации их хранения. Во многих компаниях организационными и техническими методами запрещено хранить на рабочих станциях конфиденциальную информацию. Как правило, такие данные хранятся на специальных клиент-серверных или web-приложениях (корпоративных порталах, хранилищах документов, бизнес-приложениях, справочно-нормативных базах, системах документооборота, ERP и т.д.), которые позволяют разделить права пользователей и защитить информацию от попыток сохранить в несанкционированном месте. Несмотря на то, что защита таких данных является многоуровневой (уровни аппаратной платформы, СУБД, приложения), тем не менее, риски утечки такой информации с рабочих станций существуют.

Способы хранения конфиденциальной информации

Прежде всего, в организации необходимо обеспечить защиту от утечки информации следующих типов:

Сводная информация;

Конфиденциальные документы;

Интеллектуальная собственность.

Сводная информация

Структурированные данные в формате базы данных электронных таблиц могут быть отнесены к сводной информации. В качестве примера можно привести информацию о продукции, ценах, финансовую информацию и т.д., которая, безусловно, представляет ценность для конкурентов. Вместе с тем, сюда же можно отнести и персональную информацию, которую компания обязана защищать по закону. В случае хищения подобного типа информации злоумышленнику важно сохранить ее полноту, достоверность и структуру. В противном случае ее цена упадет. Отдельным случаем является «заказ» на хищение конкретных данных, а не всей информации. Однако такой вариант встречается гораздо реже, так как предполагает конкретного заказчика.

Интеллектуальная собственность

К интеллектуальной собственности может быть отнесена любая информация в электронном виде, обеспечивающая конкурентные преимущества компании, например шаблоны документов, должностные инструкции, описание бизнес-процессов компании, сведения об изобретениях и т.д. Эта информация может храниться в любом месте и в любом виде. Ценными являются не только сами документы, но и их фрагменты, черновики и т.д.

Неструктурированная информация

Хищение документов, содержащих неструктурированную информацию, также может привести к различным потерям. Защита от утечек подобной информации крайне затруднена.

Одним из вероятных путей утечки информации, с использованием санкционированного доступа, являются клиентские приложения. Большинство используемых рабочих станций - компьютеры на платформе Intel. Хранение информации в незашифрованных временных файлах, встроенная в операционную систему возможность копирования информации в буфер (операции Copy и PrintScreen), наличие многих каналов ввода-вывода (дискеты, CD-R, USB, Wi-Fi, Bluetooth и т. д.) делают рабочую станцию весьма опасным устройством для реализации внутренних ИТ-угроз. Таких угроз практически нет при использовании тонких клиентов.

Локальные копии

Еще одним потенциальным источником утечки информации являются копии информации на мобильных устройствах. Сегодня часть сотрудников проводит большую часть времени вне офиса. При этом для работы необходимы копии служебных документов, в том числе конфиденциальных. Следует помнить, что закрытие всех портов ввода-вывода на ноутбуках осуществить достаточно сложно технически, а кроме того это затруднит работу мобильным пользователям, ведь они должны использовать как сменные носители, так и коммуникационные порты.

Основные направления защиты

Так как внутренним нарушителем может быть любой сотрудник компании, который имеет доступ к информации, методы защиты необходимо планировать так, чтобы соблюсти баланс доступности для легального пользователя и в то же время обеспечить защиту от утечки.

Защита документов

Для защиты электронных документов применяются те же методы, что и для работы с бумажными. В этой области активно используется шифрование документов, применение специальных форматов файлов, которые запрещают сохранение в другом формате, редактирование и копирование содержимого в буфер Windows.

Защита каналов утечки

На сегодня самым эффективным средством является контроль выноса физических носителей с территории компании. Уже сегодня во многих компаниях запрещено вносить на территорию сотовые телефоны и фотоаппараты. Однако носители информации делаются все меньше, флэш-память встраивается в часы и плееры, так что такой контроль становится все менее эффективным. Следовательно, контролировать информацию необходимо до того, как она будет скопирована.

Мониторинг (аудит) действий пользователей

Для защиты от внутренних утечек информации крайне важно не только, кто получил доступ к файлу, но и что именно он делал с документом, ведь разные люди будут использовать документы по-разному. При этом для соблюдения правил внутренней безопасности в первую очередь важно контролировать те действия, которые могут привести к утечке. Это:

Перемещение документа, как единого целого;

Копирование информации из документа;

Изменение документа с целью обмана следящих систем.

К первой группе можно отнести копирование файла на сменные носители, отправку по почте, публикацию в Internet, печать.

Ко второй - копирование информации из документа в буфер Windows, копирование временного файла Windows и т.п.

К третьей группе - переименование файла или изменение его расширения, сохранение файла под другим именем, сохранение в другом формате, архивирование, кодирование и шифрование.

Операция с конфиденциальной информацией, которая недопустима для данного пользователя, должна либо блокироваться, либо сведения о такой операции должны поступать в службу безопасности. При этом система внутренней безопасности должна быть настроена так, чтобы пользователь (его руководитель) узнавали, что он пытается совершить запрещенную операцию, либо чтобы эта информация была доступна только сотруднику службы информационной безопасности.

Классификация внутренних нарушителей

Пользователи, которые допускают утечку конфиденциальной информации, будучи к ней официально допущенными, могут быть классифицированы по нескольким критериям:

Злоумышленники;

Проявляющие халатность;

Действующие по заказу;

Действующие в собственных интересах;

Охотники за конкретной информацией;

Ворующие все, что можно.

Для составления прогноза действий конкретного нарушителя его поведение нужно правильно классифицировать.

Внутренних нарушителей можно разделить на следующие категории (см. Таблицу 2):

Неосторожные;

Подвергшиеся манипуляции;

Саботажники;

Нелояльные;

Мотивируемые извне.

Таблица 2. Мотивы внутренних нарушителей

Нарушители по типу могут быть подразделены на незлонамеренных и злонамеренных.

Незлонамеренные нарушители

В свою очередь незлонамеренные нарушители подразделяются на:

жертв манипуляции;

неосторожных.

Неосторожные (проявляющие халатность)

Такие пользователи нарушают правила из лучших побуждений. Чаще всего они выносят информацию для работы с ней дома, в командировке и т.д. Ущерб от таких утечек может быть не меньшим, чем от промышленных шпионов. Против таких нарушителей эффективны простые технические средства - фильтрация контента исходящего трафика и менеджеры устройств ввода-вывода.

Жертвы манипуляции

Все чаще для манипулирования сотрудниками используется «социальная инженерия». Например, добросовестный сотрудник по просьбе злоумышленника может "для надежности" продублировать почтовое сообщение, содержащее конфиденциальную информацию, на открытый почтовый ящик.

Другим примером манипуляции может служить сотрудник, начальник которого - злоумышленник, отдавший этому сотруднику преступный приказ.

Злонамеренные сотрудники

Отдельной группой являются злонамеренные сотрудники, осознающие, что они наносят вред компании, в которой работают. По мотивам действий их можно разделить на:

Саботажников;

Нелояльных;

Мотивируемых извне;

Саботажники (обиженные сотрудники)

Саботажники чаще всего стремятся нанести вред компании в силу личных мотивов. Чаще всего таким мотивом является недооценка их роли в компании. Ключевым в поведении таких нарушителей является то, что, во-первых, такие сотрудники не собираются покидать компанию, а во-вторых, целью саботажника является нанесение вреда, а не похищение информации. То есть такие люди стремятся к тому, чтобы руководство не узнало, что утечка произошла по их вине и, столкнувшись с технической невозможностью нанести вред, они направят свои усилия на уничтожение или фальсификацию иной информации.

Нелояльне сотрудники

Чаще всего нелояльные сотрудники стараются унести максимально возможное количество информации, зачастую даже не подозревая о ее истинной ценности.

Сюда же можно отнести и тех сотрудников, которые, решив сменить место работы, еще не сообщили об этом начальству. Чаще всего нелояльные сотрудники не скрывают факта хищения.

Однако максимальную опасность представляют не эти два типа нарушителей, а мотивированные извне. Ведь если потенциальный злоумышленник может заранее найти покупателя на информацию и тогда его дальнейшая работа, благосостояние, а иногда и жизнь напрямую зависят от полноты и актуальности похищенной информации.

Нарушители, мотивированные извне

Мотивированные извне - это сотрудники, цель которым определяет заказчик похищения информации. К этому типу сотрудников относят внедренных, то есть специально устроенных на работу для похищения информации, и завербованных, то есть сотрудников, изначально лояльных, но впоследствии подкупленных или запуганных. Опасность этого типа нарушителей заключается в том, что в случае технических ограничений на вынос информации за пределы корпоративной информационной сети "работодатели" могут снабдить их соответствующими устройствами или программами для обхода защиты.

Другие типы нарушителей

В эту классификацию не включены сотрудники, передающие с целью выгоды внутреннюю корпоративную информацию, которая может повлиять на стоимость акций компании. В нашей стране этот вид нарушений пока не приобрел актуальность. Но только пока. Пресечь утечку такой информации техническими средствами невозможно.

Нетехнические меры защиты от внутренних угроз

Психологические меры

Если основная цель внедрения - выявить действующий канал утечки, то необходимо в первую очередь внедрять средства контентной фильтрации почты и мониторинга пользователей.

Если же система защиты от внутренних пользователей внедряется открыто, то ознакомление сотрудников с новыми регламентами, ознакомление с попытками выноса запрещенной информации за пределы компании поможет предотвратить хищение информации незлонамеренными сотрудниками.

Организационные меры

Права локальных пользователей

Не стоит думать, что самые совершенные программно-аппаратные решения могут решить все проблемы утечки информации. Время от времени будут предприниматься попытки обойти такое программное обеспечение, следовательно, необходимо максимально усложнить задачу взломщика. В первую очередь - лишить пользователей прав локальных администраторов на их рабочих местах. Однако эта простая мера до сих пор не реализована в большинстве компаний. Выходом может служить локализация рабочих мест, на которых нельзя забрать права локальных администраторов, и размещение их в отдельной подсети.

Однако необходимо понимать, что это временное решение и постепенно нужно отбирать у сотрудников права локальных администраторов.

Стандартизация программного обеспечения

Редко в какой компании существует список программного обеспечения, допущенного к установке на рабочие станции. Причем очень часто составляющие его специалисты не задумываются о том, что некоторое программное обеспечение из этого списка может быть использовано для противоправных действий.

После составления такого списка необходимо устанавливать (изменять) программное обеспечение на рабочих станциях (серверах) только в соответствии с утвержденными правилами.

Регламентация процессов обслуживания и осуществления модификации аппаратных и программных ресурсов автоматизированных систем

Ввод в эксплуатацию новых рабочих мест и все изменения в конфигурации технических и программных средств имеющихся рабочих мест должны осуществляться только установленным порядком согласно "Инструкции по установке, модификации и техническому обслуживанию программного обеспечения и аппаратных средств ПК".

Эта инструкция призвана регламентировать функции и взаимодействие подразделений по обеспечению безопасности при проведении модификаций и обслуживании программного обеспечения и технических средств, и должна содержать следующие положения.

Все изменения конфигурации технических и программных средств защищенных рабочих станций (PC) и серверов (различных уровней защищенности в соответствии с "Положением о категорировании ресурсов автоматизированной системы (АС)") должны производиться только на основании заявок руководителей структурных подразделений организации либо заявок начальника ИТ, согласованных с начальником службы защиты информации.

Право внесения изменений в конфигурацию аппаратно-программных средств защищенных рабочих станций и серверов АС должно быть предоставлено уполномоченным сотрудникам (могут быть отданы соответствующими приказами) определенных подразделений:

В отношении системных и прикладных программных средств, а также в отношении аппаратных средств - уполномоченным сотрудникам отдела ИТ;

В отношении программно-аппаратных средств защиты - уполномоченным сотрудникам службы защиты информации;

В отношении программно-аппаратных средств телекоммуникации - уполномоченным сотрудникам службы (отдела) связи (телекоммуникации).

Изменение конфигурации аппаратно-программных средств защищенных рабочих станций и серверов кем-либо, кроме уполномоченных сотрудников перечисленных подразделений, должно быть ЗАПРЕЩЕНО.

Право внесения изменений в конфигурацию аппаратно-программных средств PC AC организации, не требующих защиты, может быть предоставлено как сотрудникам отдела ИТ (на основании заявок), так и сотрудникам подразделений, в которых они установлены, на основании распоряжений начальников данных подразделений.

После составления списка программного обеспечения необходимо гарантировать его установку на все рабочие станции и ограничить запуск других программ без участия администратора. Принцип "все, что не разрешено - запрещено" в этом случае должен соблюдаться неукоснительно. Это избавит компанию от проблем с утечками через злонамеренных нарушителей в будущем.

Специфические решения

К специфическим решениям можно отнести решения, принимаемые в каждом конкретном случае. Ведь предусмотреть все возможные утечки, а тем более способы защиты - невозможно.

Работа с кадрами

Необходимо постоянно работать с пользователями. Обучение сотрудников, инструктаж новичков и временных пользователей поможет предотвратить утечки. Любое копирование информации на сменный носитель должно вызывать вопросы коллег - ведь лояльные сотрудники пострадают вместе с компанией.

Стоит понимать, что высокая компьютерная квалификация пользователей не всегда является плюсом. В западной литературе встречается термин overqualified - приблизительно его можно перевести как "слишком квалифицированный". Излишняя квалификация в компьютерных навыках является более серьезным недостатком, чем квалификация недостаточная. Ведь научить недостающим навыкам можно всегда, а как заставить человека забыть уже имеющиеся?

Выявление "специалистов-любителей" возможно во время традиционной аттестации. Стоит добавить в опросник вопрос "Как снять зависший процесс в Windows?" и провести разъяснительную работу с теми, кто начнет ответ со слов: "Нажать одновременно клавиши Ctrl, Alt и Del". Ведь правильный ответ на этот вопрос для большинства пользователей - "Вызвать системного администратора" (если, конечно, пользователь и администратор находятся недалеко друг от друга).

Хранение физических носителей

В настоящее время еще одним каналом утечки информации является вынос носителей с резервными копиями с территории предприятия.

Сегодня используется несколько способов устранения этого канала утечки.

Первый из них - анонимизация носителей, т.е. сотрудники, имеющие физический доступ к носителям, не знают, какая информация на нем записана. Те же сотрудники, которые знают, какая информация записана, не имеют доступа к хранилищу носителей.

Второй способ - шифрование информации при резервном копировании, поскольку расшифровка вынесенной информации потребует некоторого времени и вычислительной мощности. Безусловно, здесь работают все технологии хранения ценных вещей - замки, открывающиеся только двумя ключами, находящимися у разных сотрудников, несколько уровней доступа и т. д. С развитием технологий радиоидентификации (RFID), возможно, появятся системы автоматического оповещения о попытках вынести за пределы хранилища носители, в которые для этой цели будут внедрены радиометки.

Уровни контроля информационных потоков

Системы контроля информационных потоков позволяют контролировать информационные потоки в трех режимах:

Режим архива;

Режим сигнализации;

Режим активной защиты.

Режим архива

В этом режиме система контроля лишь протоколирует действия пользователей, архивируя журналы операций с конфиденциальной информации и содержимое информационных потоков. Архивы анализируются на предмет наличия в них фактов о нарушении политики информационной безопасности, либо по регламенту (каждый вечер, каждую пятницу и т.д.), либо по запросу о расследовании инцидента.

Преимуществом этого режима контроля является нетребовательность к вычислительным ресурсам и управление временем сотрудника службы информационной безопасности. Сотрудник отдела информационной безопасности сам определяет время для анализа архива. Его рабочее время, занятое анализом архива, не превышает нескольких часов в месяц.

Недостатком этого режима является невозможность предотвращения утечки.

Режим сигнализации

Фактически мы имеем расширенный режим архива. В этом режиме перед сохранением информации в архив действие или сообщение проверяется на предмет соответствия политике информационной безопасности. В случае выявления запрещенного действия/сообщения, сотрудник отдела информационной безопасности получает на свое рабочее место сообщение. В зависимости от уровня нарушения политики информационной безопасности, сотрудник отдела информационной безопасности принимает решение реагировать немедленно, либо отложить принятие мер.

Преимуществом этого способа является возможность немедленно реагировать на события.

Недостатком этого режима является также невозможность предотвращения утечек, а для сотрудника службы ИБ - необходимость постоянно находиться в режиме on-line.

Этот режим нередко используется для тестовой эксплуатации системы перед переходом к режиму активной защиты.

Режим активной защиты

Этот режим позволяет активно вмешиваться в информационные процессы, блокировать опасные операции безвозвратно или до их разрешения сотрудником отдела информационной безопасности.

Преимуществом данного режима является возможность блокирования попыток нарушить политику информационной безопасности, предотвращение утечек.

Недостатком этого режима является необходимость постоянного присутствия сотрудника службы информационной безопасности для разбора спорных случаев и ложных срабатываний. На сегодня максимальная достоверность используемых технологий не превышает 90%, поэтому в режиме активной защиты на сотрудника службы ИБ ложится ответственность за оперативное решение спорных вопросов. Кроме того, недостатком такого режима является высокая требовательность к ресурсам, особенно при обработке on-line потоков. Приходится резервировать каналы и наращивать вычислительную мощность, чтобы обеспечить минимальную задержку писем и сообщений в Internet.

Заключение

По состоянию на сегодня внутренние нарушители представляют едва ли не большую опасность, чем внешние, ведь злоумышленником может быть любой сотрудник компании, от обычного пользователя до руководителя высшего ранга. И решение задачи защиты информации от несанкционированного воздействия внутренних пользователей невозможно только организационными, или только техническими методами защиты. Лишь комплексное применение этих методов способно принести результат.

Литература

Законодательные акты Европы и США в сфере ИТ-безопасности http://www.infowatch.ru/threats?chapter=150685169&id=170278262 .

Персональные данные клиентов и сотрудников, коммерческая тайна, переписки и много другое - являются важнейшей для бизнеса информацией, доступ и использование которой должен быть строго регламентирован внутри компании. К сожалению, от мошенничества, сговора, использования производственных мощностей в личных целях и промышленного шпионажа никто не застрахован. Вопросы защиты внутренней информации должны включать в себя как разработку документации, процедур регулирования, так и внедрение технических средств защиты. Данная программа, разработана компанией InfoWatch, познакомит слушателей с основными направлениями деятельности по обеспечению корпоративной защиты информации от внутренних угроз, нормативно-правовой базой, регламентирующей данную деятельность, задачами по сохранности информации, инструментов, технологий и методик их применения для достижения данных целей. Программа проводится с использованием технологий компании в оборудованной для этой цели лаборатории.

• Режим занятий Занятия по понедельникам (19:00-22:00) и средам (19:00-22:00)
• Выдаваемый документ Удостоверение о повышении квалификации
• Реализующее подразделение
• Направление подготовки
• Место проведения занятий г. Москва, ул. Таллинская д. 34 и офис компании InfoWatch

Поступление

Целевая группа

Документы для приема

Оригинал и копия паспорта или документа, заменяющего его

Оригинал и копия документа об образовании и квалификации или справка об обучении для лиц, получающих высшее образование

Оригинал и копия документа об изменении фамилии, имени, отчества (при необходимости)

1. Теоретические основы корпоративной защиты от внутренних угроз. Информация и информационные потоки. Внутренние и внешние угрозы ИБ. Модели угроз ИБ. Классификация нарушителей корпоративной ИБ. Особенности оценки ущерба.

2. Нормативно-правовые аспекты корпоративной защиты от внутренних угроз. Системы DLP и требования по информационной безопасности. Категорирование информации в РФ. Юридические вопросы использования DLP-систем: личная и семейная тайны; тайна связи; специальные технические средства. Меры по обеспечению юридической значимости DLP (Pre-DLP). Обзор практики право применения при расследовании инцидентов, связанных с нарушениями режима внутренней информационной безопасности (Post-DLP).

3. Административно-организационные аспекты корпоративной защиты от внутренних угроз. Формирование процессов и процедур аудита ИБ. Обследование корпоративных информационных систем. Состояние корпоративной информации. Инструменты и технологии обеспечения корпоративной защиты от внутренних угроз. Критерии эффективности проекта по обеспечению корпоративной защиты от внутренних угроз. Препятствия реализации проектов по обеспечению корпоративной защиты от внутренних угроз.

4. Защита корпоративной информации с использованием автоматизированной системы контроля информационных потоков. Назначение системы IW Traffic monitor (IW TM). Контролируемые каналы передачи данных. Архитектура продукта IW TM. Технологии анализа детектируемых объектов. Задачи и принципы работы дополнительных модулей системы IW Device monitor (IW DM) и IW Crawler.

Преподаватели

Андрей Зарубин

Руководитель отдела обучения и контроля качества сервиса АО «ИнфоВотч», MBA, SixSigma Black Belt.

Угрозы информационной безопасности: обзор и оценка
Комплексная защита информации на предприятии

Классификация угроз информационной безопасности: внешние и внутренние

Анализ актуальных угроз конфиденциальной информации, на основе которого строится система информационной безопасности предприятия и осуществляется организация защиты информации , начинается с понимания и классификации этих угроз. В настоящий момент теория информационной безопасности рассматривает несколько классификаций информационных рисков и угроз защиты информации . Мы остановимся на генерализированном разделении угроз информационной безопасности интеллектуальной собственности организации на две категории – внешние и внутренние угрозы. Данная классификация предусматривает разделение угроз по локализации злоумышленника (или преступной группы), который может действовать как удалённо, пытаясь получить доступ к конфиденциальной информации предприятия при помощи сети интернет, либо же действовать посредством доступа к внутренним ресурсам IT-инфраструктуры объекта.

В случае внешних атак, преступник ищет уязвимости в информационной структуре, которые могут дать ему доступ к хранилищам данных, ключевым узлам внутренней сети, локальным компьютерам сотрудников. В этом случае злоумышленник пользуется широким арсеналом инструментов и вредоносного программного обеспечения (вирусы, трояны, компьютерные черви) для отключения систем защиты, шпионажа, копирования, фальсификации или уничтожения данных, нанесения вреда физическим объектам собственности и т.д. Внутренние угрозы подразумевают наличие одного или нескольких сотрудников предприятия, которые по злому умыслу или по неосторожности могут стать причиной утечки конфиденциальных данных или ценной информации. Рассмотрим эти категории рисков информационной безопасности подробнее.

Внешние угрозы информационной безопасности

Доклад Всемирного экономического форума «Глобальные риски 2012» (“Global Risks 2012”) рассматривает кибератаки как одну из основных угроз мировой экономике. По вероятности наступления, кибератаки входят в пятёрку наиболее вероятных глобальных угроз на 2012 год. Такое заключение Всемирного экономического форума свидетельствует о высокой актуальности и значительной опасности электронной преступности. В документе приводится также график роста официально признанных инцидентов киберпреступности с указанием значительного увеличения потерь от таких преступлений на примере США:

Следует отметить, что доклад Pricewaterhouse Coopers за 2011 год, в соответствии с данными которого был построен этот график, оперирует только официально признанными фактами электронных преступлений, равно как и официально объявленными цифрами убытков – реальная картина выглядит ещё более удручающей. Причём не только в США, эта тенденция является общемировой.

Итак, кибератаки сегодня – давно не голливудский миф, это реальная и серьёзная опасность информационной инфраструктуре, интеллектуальной и физической собственности государственных и коммерческих объектов. Наиболее распространённой и разнообразной по методам исполнения формой киберпреступности является использование вредоносного ПО. Такие угрозы представляют прямую опасность конфиденциальности и целостности информационных ресурсов организации. В атаках с использованием вредоносных кодов и приложений используются уязвимости информационных систем для осуществления несанкционированного доступа к базам данных, файловой системе локальной корпоративной сети, информации на рабочих компьютерах сотрудников. Спектр угроз информационной безопасности, вызванных использованием вредоносного программного обеспечения чрезвычайно широк. Вот некоторые примеры таких угроз защиты информации :

• Внедрение вирусов и других разрушающих программных воздействий;
• Анализ и модификация/уничтожение установленного программного обеспечения;
• Внедрение программ-шпионов для анализа сетевого трафика и получения данных о системе и состоянии сетевых соединений;
• Использование уязвимостей ПО для взлома программной защиты с целью получения несанкционированных прав чтения, копирования, модификации или уничтожения информационных ресурсов, а также нарушения их доступности;
• Раскрытие, перехват и хищение секретных кодов и паролей;
• Чтение остаточной информации в памяти компьютеров и на внешних носителях;
• Блокирование работы пользователей системы программными средствами

Внутренние угрозы информационной безопасности

Большинство инцидентов информационной безопасности связано с воздействием внутренних угроз – утечки и кражи информации, утечки коммерческой тайны и персональных данных клиентов организации, ущерб информационной системе связаны, как правило, с действиями сотрудников этой организации. В классификации внутренних угроз в первую очередь можно выделить две большие группы – совершаемые из корыстных или других злонамеренных соображений, и совершаемые без злого умысла, по неосторожности или технической некомпетентности.

Итак, преступления сотрудников, способных причинить вред сохранности интеллектуальной и коммерческой собственности организации (их принято называть «инсайдерами») можно разделить на категории злонамеренного инсайда и непредумышленного инсайда. Злоумышленным инсайдером могут стать:

• Сотрудники, затаившие злобу на компанию-работодателя («обиженные»). Такие инсайдеры действуют исходя из мотивов личной мести, причин для которой может быть масса – от увольнения/понижения в должности до отказа компании предоставить статусные атрибуты, например, ноутбук или расширенный соцпакет.
• Нечистые на руку сотрудники, стремящиеся подзаработать за счёт компании-работодателя. Такими инсайдерами становятся сотрудники, использующие секретные информационные ресурсы компании для собственной выгоды. Базы данных клиентов, интеллектуальная собственность компании, состав коммерческой тайны – такая информация может использоваться инсайдером в личных интересах, либо продаваться конкурентам.
• Внедрённые и завербованные инсайдеры. Самый опасный и самый трудно-идентифицируемый тип внутренних злоумышленников. Как правило, являются звеном преступной цепочки или членом организованной преступной группы. Такие сотрудники имеют достаточно высокий уровень доступа к конфиденциальной информации, ущерб от их действий может стать фатальным для компании.

Злонамеренные инсайдеры представляют определённую опасность для информационной системы и конфиденциальных данных, однако вероятность злоумышленных инцидентов ничтожно мала по сравнению с утечками информации, совершаемыми по неосторожности или вследствие технической безграмотности сотрудников. Да, увы, это так – львиная доля всех инцидентов информационной безопасности на объекте любой сложности является следствием непредумышленных действий сотрудников. Возможностей для таких утечек информации множество: от ошибок ввода данных при работе с локальными сетями или интернетом до утери носителя информации (ноутбук, USB-накопитель, оптический диск); от пересылки данных по незащищённым каналам связи до непредумышленной загрузки вирусов с развлекательных веб-сайтов.

Информационная безопасность и защита информации на предприятии: комплексный подход

Традиционные средства защиты (антивирусы, фаерволы и т.д.) на сегодняшний день не способны эффективно противостоять современным киберпреступникам. Для защиты информационной системы организации требуется комплексный подход, сочетающий несколько рубежей защиты с применением разных технологий безопасности.

Для защиты от внешних интернет угроз информационной безопасности отлично зарекомендовали себя системы предотвращения вторжений на уровне хоста (HIPS) . Правильно настроенная система даёт беспрецедентный уровень защищённости, близкий к 100%. Грамотно выработанная политика безопасности, применение совместно с HIPS других программных средств защиты информации (например, антивирусного пакета) предоставляют очень высокий уровень безопасности. Организация получает защиту практически от всех типов вредоносного ПО, значительно затрудняет работу хакера, решившего попробовать пробить информационную защиту предприятия, сохраняет интеллектуальную собственность и важные данные организации.

Защита от внутренних угроз также требует комплексного подхода. Он выражается в выработке должных политик информационной безопасности, введением чёткой организационной структуры ответственных за информационную безопасность сотрудников, контроле документооборота, контроле и мониторинге пользователей , введении продвинутых механизмов аутентификации для доступа к информации разной степени важности. Степень такой защиты зависит от объективных потребностей организации в защите информации. Далеко не всем объектам требуется дорогостоящая DLP-система, дающая неплохие результаты по защите данных предприятия от утечек, но требующая сложнейшей процедуры внедрения и пересмотра текущих механизмов документооборота. Оптимальным выбором для большинства компаний станет введение функционала защиты от утечек данных, контроле документооборота и мониторинг действий пользователей локальной сети организации. Такое решение является недорогим, простым в развёртывании и эксплуатации, но весьма эффективным инструментом информационной безопасности.

Сегодня большинство организаций принимают меры по защите от угроз «извне». Соответствующие средства контроля доступа и защиты от проникновения в корпоративную информационную среду широко представлены на рынке и активно используются для предотвращения действий злоумышленников. При этом по-прежнему острой и до сих пор нерешенной во многих организациях проблемой остается защита от внутренних угроз – как от действий инсайдеров, которые умышленно похищают информацию или наносят злонамеренный ущерб корпоративной информационной системе, так и от непреднамеренных действий сотрудников, приводящих к инцидентам в системе информационной безопасности. Например, подключение в сеть и работа на зараженных вирусами компьютерах. При этом внутренний пользователь обычно имеет широкие права в сети и разрешение на доступ к большому числу конфиденциальных корпоративных ресурсов и приложений, и в результате страдает вся корпоративная информационная система.

Многие компании, специализирующиеся на решениях защиты информационных систем, предлагают сегодня средства контроля и управления доступом в корпоративную сеть с автоматизированных рабочих мест сотрудников компании на основе решения Cisco Network Admission Control (СNAC). О возможностях применения таких решений для защиты от внутренних угроз информационной безопасности рассказывают эксперты компании TopS BI.

Как работают средства NAC, какие задачи они помогают решать?

Можно выделить несколько последовательных этапов в процессе контроля и управления доступом сотрудника в корпоративную сеть, которые автоматически выполняются средствами Cisco Network Admission Control.

Первое, это аутентификация пользователя – выполняется проверка, имеет ли пользователь права доступа в сеть. При парольной защите, наиболее распространенной сегодня, сотрудник вводит свои данные, и система контролирует существование такого пользователя, правильность его пароля и пр. – хорошо всем известная процедура, с которой начинают работу в информационной системе большинство сотрудников.
Вторая фаза – это проверка, имеет ли компьютер пользователя право доступа в сеть, соответствует ли автоматизированное рабочее место (АРМ) сотрудника корпоративной политике безопасности. Система автоматически проверяет, какие патчи приложений, какие антивирусы установлены на компьютере пользователя, актуальны ли антивирусные базы, установлено ли необходимое дополнительное программное обеспечение для защиты АРМ, в соответствии с принятой в компании политикой безопасности.

Если машина не соответствует политике безопасности, система отказывает пользователю в доступе к информационным ресурсам и приложениям компании, рабочая станция пользователя изолируется от сети и направляется в так называемый карантин. После этого на машину пользователя устанавливаются, вручную администратором или автоматически, необходимые обновления операционной системы, антивирусные базы и пр. И только после того как компьютер «вылечат», сотруднику предоставляется доступ в сеть. Таким образом, зараженный компьютер не может принести вреда ресурсам сети, и предприятие решает проблему защиты от подключения в сеть зараженных рабочих станций. Это очень важно для крупных организаций, в которых практикуется «мобильность» сотрудников, и менеджеры часто работают вне офиса, используя ноутбуки и подключаясь к сетям с низким уровнем доверия, где высок риск незаметного для пользователя заражения его компьютера.

Наконец, последняя фаза – инспекция. Фактически машина может заразиться каким-то неизвестным вирусом уже после того, как прошел этот цикл аутентификации, карантина, установки антивирусов и пр., и сотрудник начал работу в сети. Существует продукт Cisco Security Agent, который помогает обнаружить подозрительную активность на компьютере пользователя. На этой фазе решения Cisco NAC – дополнительный компонент корпоративной системы предотвращения вторжений, объединяющей установленные антивирусы, средства мониторинга сети, обнаружения вторжений, регистрации инцидентов, средства анализа активности в сети (например, продукт CS-MARS) и прочие.

Таким образом, повышается защита корпоративной сети, надежность ее работы, снижаются расходы на администрирование информационной системы и устранение последствий ее заражения вредоносным программным обеспечением.

Кроме того, эти решения помогают бороться с «хаосом» в компьютерной инфраструктуре компании, вовремя устанавливать на машины сотрудников необходимые обновления системного программного обеспечения и защитных систем. В этом смысле очень эффективным может быть использование решений Cisco по контролю доступа совместно с решениями по управлению АРМ. Например, мы в своих проектах успешно применяем решения Altiris, которые обеспечивают удаленное централизованное администрирование АРМ, автоматическое "распространение" на компьютеры сотрудников программного обеспечения (в том числе обновлений ПО), инвентаризацию аппаратного и программного обеспечения компьютеров, контроль использования сотрудниками программного обеспечения и другие функции управления АРМ.

Каким образом реализуется автоматизированная проверка компьютера сотрудника на соответствие политике безопасности? Нужно устанавливать на каждый компьютер специальные программные агенты? Как проверяется компьютер «гостя» - делового партнера, клиента, которому дается право на подключение к сети компании?

Основной компонент решения Cisco – это сервер политик Cisco Access Control Server (ACS) (или другой сервер, поддерживающий NAC), который «отвечает» за проверку состояния установленного на машине пользователя программного обеспечения, его соответствия политике безопасности и дальнейшее разрешение/запрещение доступа в сеть. ACS поддерживает записи локальных и внешних баз политик безопасности, используя атрибуты, определенные как поставщиком, так и типом приложения. Каждая база данных имеет одну или несколько политик, содержащих заданные администратором правила – параметры состояния компьютера пользователя, определяющие уровень соответствия политикам безопасности. ACS сервер обеспечивает передачу запросов к этим базам политик и ответов по состоянию компьютера пользователя, формируя так называемый системный символ состояния (system posture token SPT), на основании которого продолжается или прерывается цикл авторизации. При этом возможны различные варианты реализации проверки компьютера.

Первый вариант – когда компьютер принадлежит сотруднику компании, и на него заранее установлены программные агенты для автоматизированного контроля и удаленного управления АРМ. Это может быть программный агент Cisco Trust Agent, который при включении компьютера соберет и передаст в ACS информацию о наличии и версиях антивирусного программного обеспечения и другого контролируемого ПО. Сisco Trust Agent предоставляет также информацию о версии операционной системы и установленных обновлениях. Если решение NAC используется совместно с ПО Altiris, функции проверки компьютера могут исполнять «агенты» системы Altiris. После проверки компьютера сервер Cisco ACS определяет статус состояния этой машины, в соответствии с которым либо направляет компьютер в карантин для последующего «лечения», либо продолжает процесс авторизации.

Программные агенты Cisco и Altiris напрямую взаимодействуют с приложениями, установленными на компьютере, без участия пользователей.

Второй вариант – проверка компьютера, на котором не установлены программные агенты системы. Действительно, в отличие от сотрудников, которые обязаны следовать корпоративным правилам, деловые партнеры компании, заказчики и поставщики этим правилам не подчиняются, но им нередко предоставляется доступ к корпоративным приложениям, и их компьютеры могут представлять серьезную угрозу. В данном случае используется несколько другая реализация NAC. Пользователь подключается к определенной зоне корпоративной сети, где его компьютер инспектируется (либо сервером Altiris Security Expression, либо сервером аудита Cisco). Далее, в зависимости от результата, пользователю предоставляется доступ в сеть или предлагается возможность установить на компьютер необходимое недостающее ПО безопасности. Можно реализовать вариант, когда в случае несоответствия компьютера политике безопасности компании, гостю предложат возможность установить агент Altiris, который уже «самостоятельно», в автоматическом режиме установит необходимое ПО и доведет состояние компьютера до требуемого, согласно политикам доступа в сеть.

Для реализации процедур контроля и управления доступом достаточно решений Cisco. Какую роль здесь играет ПО Altiris? Зачем тратить усилия на интеграцию этих систем?

Конечно, для реализации решений Cisco NAC нет необходимости во внедрении системы Altiris. Мы предлагаем совместное использование этих решений организациям, которые уже применяют продукты Altiris для управления вычислительной инфраструктурой, и предприятиям, которые ставят цели построения централизованно управляемой и безопасной компьютерной сети. Здесь интеграция Cisco NAC и Altiris дает ряд дополнительных преимуществ.

Исторически продукты Altiris создавались для решения задач мониторинга и централизованного управления компьютерами пользователей. Программное обеспечение Altiris Client Management Suite позволяет автоматизировать типовые операции по обслуживанию АРМ: вести администрирование компьютеров сотрудников, устранять сбои, устанавливать обновления программного обеспечения в удаленном режиме; создать и поддерживать в актуальном состоянии учетную базу по наличию и использованию программно-аппаратных средств АРМ. Это дает возможность повысить оперативность и эффективность работы ИТ-службы, снизить стоимость обслуживания компьютерной инфраструктуры, стандартизировать аппаратные и программные средства и оптимизировать управление жизненным циклом оборудования и ПО. Наши заказчики из различных отраслей успешно используют эти решения для управления ИТ-инфраструктурой, вот некоторые примеры проектов: Евросеть , Джи Эм-АВТОВАЗ , Нижфарм , ИМПЭКСБАНК и другие .

Понятно, что продукты Altiris в сравнении с решениями Cisco NAC предоставляют более широкие возможности по управлению программным обеспечением, установленным на компьютере пользователя, и по автоматизированному «лечению» компьютера, поскольку удаленное распространение обновлений ПО – одна из «традиционных» функций Altiris. Cisco NAC такие возможности не предоставляет: пользователь должен обращаться в ИТ-службу или самостоятельно приводить свой компьютер в соответствие нормам, получив ссылку на ресурс, содержащий необходимое ПО, и указания по необходимым действиям. Кроме того, продукты Altiris существенно повышают управляемость инфраструктуры, делают ее «прозрачной» для администраторов.

Агенты Cisco и Altiris «работают» со всеми типами компьютеров, операционных систем, аудируют наличие антивирусного ПО любого производителя?

Установка Cisco Trust Agent доступна для компьютеров под управлением операционных систем Windows и Red Hat Linux и служит для проверки настольных компьютеров, ноутбуков и КПК. Агенты Altiris могут быть установлены на ПК под управлением ОС Windows (включая Windows Mobile), RedHat Linux, MacOS.

Проверка состояния приложения безопасности возможна в случае, если производитель этого приложения поддерживает технологии Cisco NAC (в настоящее время около 250 разработчиков внедряют механизмы NAC в свои продукты, включая ведущих производителей антивирусного программного обеспечения).

Защищает ли NAC от всех внутренних вторжений?

Решение Cisco NAC направлено, в первую очередь, на руководство действиями пользователей, которые подвергают опасности корпоративную информационную систему. Кроме того, Cisco предлагает решение Cisco Security Agent (CSA), которое полностью регулирует политику безопасности на рабочем месте и предотвращает несанкционированные действия. Например, обеспечивает защиту от получения инсайдерами доступа к ресурсам, работать с которыми они не имеют права. В системе CSA прописываются правила, на основе которых отслеживается активность действий сотрудника на его компьютере, и если фиксируется, например, незаконная попытка получения доступа к каким-то ресурсам, система определенным образом реагирует на эти действия, либо блокируя доступ в сеть, либо отсылая сообщение администратору по безопасности. Заметим, что некоторые функции CSA может взять на себя и сервер Altiris.

Использование Altiris и CSA увеличивает возможности защиты. Например, с помощью этих решений можно заблокировать копирование информации на флэш-карты и другие съемные носители.

Конечно, все действия злоумышленников система не предотвращает, как и любое техническое средство защиты. Тут необходимо помнить также о том, что помимо технических инструментов необходимо выстраивать эффективный комплекс организационных мер обеспечения безопасности, обучать сотрудников правилам обращения с паролями и конфиденциальной информацией, разрабатывать мероприятия по предотвращению действий инсайдеров и пр.

Какие программно-аппаратные средства необходимы для внедрения продуктов Cisco NAC, какова примерная стоимость решения?

Cisco предлагает два подхода внедрения NAC. Первый – создание комплексной NAC-архитектуры (NAC Framework) – предполагает построение всей сетевой инфраструктуры на базе решений Cisco, в том числе применение коммутаторов, маршрутизаторов и другого сетевого оборудования Cisco. Если предприятие изначально использует оборудование Cisco для построения корпоративной сетевой инфраструктуры, внедрение Cisco NAC не потребует больших вложений: клиент NAC-архитектуры Cisco Trust Agent – бесплатный, оплачивать приходится Access Control Server, который стоит порядка 8 тыс. долл., и работы по внедрению решения.

Если предприятию придется менять сетевое оборудование на продукты Cisco, затраты, естественно, многократно возрастут. Предлагается альтернативный подход – выделенное устройство NAC (NAC-Appliance), при котором нет специальных требований к сетевому оборудованию. Данное решение характеризуется тем, что устройство NAC-Appliance контролирует все стадии NAC. Этот же программно-аппаратный комплекс обеспечивает и организацию карантинной зоны. Сложность внедрения такого решения ниже по сравнению с использованием NAC-Framework.

Какие существуют конкурентные решения, какими преимуществами обладает решение от Cisco?

На сегодняшний день архитектура Cisco NAC занимает лидирующее положение на рынке подобных систем. Однако решение от Cisco далеко не единственное, более трех десятков различных поставщиков предлагают свои системы управления контролем доступа в сеть. В основном это крупные производители компонентов ИТ-инфраструктуры, такие как HP, Nortel, Juniper и др., а также целый ряд софтверных компаний, в том числе Microsoft с архитектурой Network Access Protection (NAP).

Основным конкурентом Cisco NAC является архитектура, разрабатываемая группой Trusted Network Connect (TNC) как открытый отраслевой стандарт защищенного доступа в сеть. Группа TNC объединила большое количество производителей NAC, не готовых мириться с доминирующим положением Cisco на этом рынке.

Отдельно нужно отметить инициативы компании Microsoft и ее архитектуру Network Access Protection. Первые элементы данной архитектуры были озвучены Microsoft в 2004 году с появлением Windows 2003 Server, с тех пор стандарт развивался и претерпел ряд изменений. Сегодня компоненты Microsoft NAP встраиваются в ОС Windows Vista. Среди основных недостатков NAP можно отметить жесткую привязку к ОС Windows, а также неприменение собственных возможностей сетевого оборудования в процессе управления доступом. Между компаниями Cisco и Microsoft достигнута договоренность о тесном сотрудничестве в создании интегрированного решения Cisco NAC/NAP. В то же время, не так давно была анонсирована интеграция NAP c открытой архитектурой TNC.

Cisco NAC имеет ряд уникальных возможностей, которые выгодно отличают его от конкурентов. Благодаря развитой партнерской программе Cisco, данное решение поддерживается и интегрируется с продуктами более 60 производителей. Кроме того, технология Cisco NAC позволяет организовать различные типы защищенного доступа в сеть: доступ в ЛВС через коммутатор, маршрутизатор, а также через беспроводную сеть.

Компаниям каких отраслей и сфер деятельности наиболее актуально внедрение Cisco NAC?

Тут, на наш взгляд, большее значение имеет даже не отрасль или сфера деятельности компании, а принятые в ней политики организации работы персонала и политики безопасности. Понятно, что при «жесткой» политике ИБ, запрещающей доступ в корпоративную систему с устройств, полностью не контролируемых администратором ИБ, решения Cisco NAC не будут актуальны. Вообще, решение интересно, прежде всего, крупным организациям, со сложной инфраструктурой, объединяющей сотни компьютеров сотрудников, и с политикой безопасности, предусматривающей работу в корпоративной сети «мобильных» пользователей. Например, есть организации, в которых у многих сотрудников вообще нет постоянного рабочего места в офисе: сотрудник работает большую часть времени «на выезде», а приезжая в офис, садится на любое свободное место и подключается к сети.

Информационные партнеры мастер-класса