Линда Маккарти - IT-безопасность - стоит ли рисковать корпорацией?

В крупных компаниях многослойная структура управления часто способствует отделению руководящих сотрудников высшего уровня от руководителей более низких звеньев. В результате этого нарушаются связи. Информация, движущаяся сверху вниз, может не дойти до исполнителей. Таким же образом сообщения, посылаемые наверх, легко могут попасть не по адресу или исказиться.

Очевидно, что управляющий, менеджер или директор никогда не задумываются о том, что их сеть может стать зоной действий хакеров и попасть на следующей неделе в выпуск 60 Minutes [12] Программа новостей телекомпании CBS. — Примеч. пер. или в Hard Copy. [13] Телевизионное шоу о скандальных происшествиях. — Примеч. пер. Но пока вы не будете знать, что в действительности происходит «в окопах», ваша компания будет подвергаться риску. Добейтесь того, чтобы руководители в вашей компании оставили диктаторский стиль и спустились из заоблачной выси на землю. Налаживание каналов общения, открытых в сторону руководства, является одним из важных шагов в достижении реальной безопасности вашей сети. Рассмотрим пример…

Миссис Смит, генеральный директор и основатель Internet Software Design (ISD), превратила идею, набросанную на салфетке, в процветающую компанию. Ее компания из Силиконовой долины вошла в список преуспевающих компаний Fortune 500, осваивала новые области передовых технологий и добивалась превосходства над своими конкурентами. Работая в сфере программного обеспечения для Интернета, компания присвоила компьютерной безопасности наивысший приоритет. Миссис Смит постоянно подчеркивала свою приверженность компьютерной безопасности своему руководящему персоналу. Все хорошо знали ее прямолинейный стиль работы, и она всегда добивалась того, чего хотела. Ну, почти всегда.

Как многие руководители, отдающие распоряжения и следящие за их исполнением, миссис Смит считала, что глобальная сеть ее компании безопасна. Так было до того, пока однажды хакер не взломал финансовую сеть компании. Не замеченный обслуживающим персоналом, хакер переслал всю финансовую информацию компании на другую систему в Интернете. Когда пересылка закончилась, хакер послал по электронной почте финансовое положение миссис Смит (включая прогноз доходов) фирме Fishman & McDonald Investors.

К счастью для миссис Смит и ее компании, управляющий этой финансовой фирмы немедленно сообщил содержание электронного письма Чарльзу Уинифреду, финансовому директору миссис Смит. Это сообщение явилось первым сигналом Чарльзу о том, что безопасность сети нарушена, и у него возникло много вопросов. Чарльз хотел знать, как удалось взломать систему. Он хотел знать, почему его обслуживающий персонал не обнаружил неавторизованного доступа к информации. И конечно, он хотел выяснить, кто должен отвечать за кражу и раскрытие информации. В общем, он хотел получить ответы, и немедленно.

Чарльз считал свою финансовую сеть безопасной. В конце концов, разве не за это платят системным администраторам? Как они могли проявить такую безответственность? И почему они не заметили брешь в защите до того, как информация не была раскрыта через Интернет?

Но Чарльз забыл главный принцип распределения ответственности. В конечном счете именно руководитель его уровня несет ответственность за надежность и целостность информации в корпоративных сетях, а не системные администраторы. Финансовые аудиторы и акционеры, в частности, привлекают к ответственности именно руководящих работников. Если прогнозы доходов выставлены на общее обозрение в Интернете, то финансовые аудиторы, акционеры и репортеры служб новостей преследуют высшее руководство, а не системных администраторов.

Для лучшей иллюстрации роли руководителей в компьютерной безопасности давайте взглянем поближе на события, происходящие до и после того, как была раскрыта финансовая информация ISD.

По требованию Чарльза для проведения аудита безопасности был немедленно вызван Мартин Паттерсон, собственный эксперт ISD по безопасности. Мартин был одним из пяти сотрудников группы безопасности в ISD и, бесспорно, лучшим гуру по вопросам безопасности в компании. Он относился со всей серьезностью к любому пробелу в безопасности и всегда ставил реагирование на инциденты выше остальных своих задач. Обычно Мартин оставлял все свои дела и набрасывался на каждый инцидент, касающийся безопасности, со свирепостью питбуля.