Линда Маккарти - IT-безопасность - стоит ли рисковать корпорацией?

Прием на должность эксперта по безопасности неподходящего сотрудника может подвергнуть риску всю компанию, особенно если ее руководство недостаточно разбирается в этих вопросах и не знает, за какие промахи эксперт по безопасности должен отвечать. Начальник Фреда, кажется, совсем этого не знал, Я думаю, что он даже не понимал риска.

А риск в JFC был существенным. Из-за плохой конфигурации вы даже не могли сказать, не украл ли хакер конфиденциальную информацию для продажи конкуренту. Также нельзя было сказать, не оставил ли он за собой «троянского коня», «червя» или вируса, которые бы могли позднее заразить информацию JFC и ее клиента — McConnell.

Что касается внешних подключений, то было невозможно сказать, где сеть начинается и где кончается. Если вы работаете в JFC и хотите иметь внешнее подключение, то вам просто надо обратиться к Фреду. Фред лично разрешал все подключения и хранил информацию о них в неструктурированном файле. Поэтому нельзя было получить каких-либо отчетов по соединениям, и в файле невозможно было чего-либо найти, В общем, сплошная неразбериха.

Несколько дней у меня ушло на составление итогового отчета для руководства JFC. Я немного задержалась с его оформлением, так как хотела уместить множество факторов риска в пару страниц. Эти риски вызывались неправильной организацией разрешения внешних подключений, слабой политикой брандмауэрной защиты, плохой разработкой политик и процедур и недостатками общей конфигурации системы. В отчете также указывалось на слабое обучение, неэффективное руководство и невозможность проследить внешние подключения. Я вручила отчет Дорис и уехала. Теперь устранение этих проблем стало ее обязанностью.

В данном случае проблема была обнаружена до возможного нанесения ущерба. Конечно, обнаружить такие проблемы во время профилактического аудита безопасности соседних систем удается не во всех компаниях. Многие из них вообще не беспокоятся об аудитах безопасности — ни о профилактических, ни о каких-либо еще.

Сотрудники, подобные Фреду и Дэйву, существуют в действительности. Ни один из них не думает о высших интересах компании. Поэтому и необходимы основные политики, процедуры и средства контроля для защиты компании от простых ошибок, которые буквально могут разрушить ее. Без учета этих факторов общая картина начнет терять очертания.

Как показывает случай с JFC, такая потеря очертаний может случиться очень быстро. JFC является растущей компанией. Их формула нового лекарства скоро позволит опередить конкурентов. Что, если хакер, взломавший Drug10, был промышленным шпионом, работающим на конкурента? А может быть, иностранное правительство надеется достать передовую технологию для доморощенных компаний. Если верить Майклу Андерсону (Michael Anderson), бывшему агенту Министерства финансов, в настоящее время работающему в группе советников в Национальном центре по расследованию экономических преступлений, [22] National White Collar Crime Center (NW3C) — другой вариант перевода: Национальный центр по расследованию преступлений, совершаемых «белыми воротничками». — Примеч. пер. то даже дружественные державы оказываются не такими дружественными в вопросах промышленного шпионажа. По его данным, стало известно, что французы ставили «жучки» как в салоны самолетов первого класса, так и в роскошные номера отелей, в которых предпочитали останавливаться руководители американских корпораций. Другими серьезными игроками в промышленном шпионаже считаются японцы, израильтяне и множество бывших агентов КГБ.

Правильно настроенный брандмауэр, безопасная конфигурация системы и механизмы обнаружения (компоненты безопасности, отсутствующие в Drug10) образуют первую линию обороны и закрывают дверь перед промышленным шпионажем, конкурентами и другими противниками.

При разработке нового продукта мы все стараемся держаться хотя бы на несколько шагов впереди стаи. Но волки могут быть ближе от ваших пяток, чем вы думаете. В своей книге «Информационная война: хаос на электронном суперхайвэе» [23] Information Warfare: Chaos on the Information Superhighway. Winn Schwartau. «Суперхайвэй» некоторые переводчики заменяют более понятным «автобан». — Примеч. пер. Уинн Швартау замечает: «Когда-нибудь вы станете (если уже не стали) жертвой информационной войны… Если не вчера или сегодня, то обязательно завтра».