Линда Маккарти - IT-безопасность - стоит ли рисковать корпорацией?

Если я вам скажу, что установлю на вашей системе безопасную конфигурацию, то как проверить, что я именно так и сделаю? Если конечная ответственность за систему лежит на вас, то потрудитесь отслеживать, как вам оказывается обещанная помощь. Используйте случай приобрести опыт по настройке безопасности, наблюдая за реальным выполнением процедур. Если у вас не было возможности присутствовать при этом, то хотя бы решительно спросите специалиста, все ли он (она) сделал в соответствии с планом. Из-за ограничений по времени, наложения приоритетов решения проблем и просто спешки не всегда нужно надеяться, что люди сделают то, что они собирались сделать.

Никогда не считайте, что проблемы безопасности решены, не проверив действительного положения.

Это и так известно всем, но для еще большей ясности: Никогда в жизни не подключайте незащищенный сервер базы данных к Интернету! (Если, конечно, вы не задумали в дальнейшем ходить от двери к двери в униформе вашей компании и торговать энциклопедиями…)

Используйте этот список для определения того, что делается в вашей компании для контроля внешних подключений. Можете ли вы поставить «Да» напротив каждого пункта?

— Участвует ли руководство в процессе утверждения внешних подключений?

— Отслеживает ли кто-либо (предпочтительнее, кто-либо важный) внешние подключения?

— Знает ли руководство, сколько сотрудников компании и подрядчиков имеет внешние подключения?

— Выключены ли ненужные сетевые службы?

— Оценивается ли необходимость всех внешних подключений перед их утверждением?

— Проводятся ли в вашей компании профилактические аудиты для поддержания контроля над внешними подключениями?

— Обеспечивается ли достаточное обучение сотрудников, отвечающих за безопасность?

— Имеются ли процедуры по отключению соединений при прекращении работы сотрудников и подрядчиков?

— Существуют ли политики и процедуры для внешних подключений?

— Существуют ли политики и процедуры для установки брандмауэров?

— Существуют ли политики и процедуры для установки клиентских подключений (экстранет)?

— И что самое главное: отслеживается ли выполнение политик и процедур, связанных с подключениями?

Сегодня в насыщенной различными видами связи деловой среде внешние подключения стали такой же частью бизнес-структуры, как телефоны, круглосуточная доставка и межофисные низкие перегородки. На то, что ваш партнер расставил все средства защиты, просто так полагаться нельзя. Уверенность можно получить только при наличии безопасной архитектуры, правильного ее воплощения и тестирования.

McConnell Drugs поверила в то, что JFC расставило все необходимые средства защиты — средства, которые защитили бы информацию как JFC, так и McConnell Drugs. Такое доверительное рукопожатие могло бы привести к уничтожению информации и репутации McConnell, a JFC могла бы завершить свой путь в суде. Сотрудники McConnell легко могли бы «скачать» плохой файл, содержащий «троянского коня», «червя» или вирус.

Если вы все еще не знаете, какой разрушительной может быть атака вируса, то вы счастливчик. Исследование CSI 2002 года показало, что 85 процентов респондентов обнаруживали вирусы. Это неудивительно, если принимать во внимание скорость, с какой новые его «штаммы» распространяются. Как говорится в «Обзоре направлений развития атак» ("Overview of Attack Trends"), опубликованном CERT, «программы-вирусы, подобные Code Red, распространяются самостоятельно до состояния глобального насыщения менее чем за 18 часов». А ущерб? Computer Economics [26] Независимая исследовательская организация, предоставляющая аналитическую информацию руководителям в сфере ИТ и бизнеса. — Примеч. пер. сообщила, что общий удар, нанесенный Code Red и его «двоюродным братом» Code Red II по американской экономике, оценивается в 2 миллиарда долларов.

Внешние подключения представляют собой большую проблему и ими трудно управлять. Знаете ли вы, сколько модемных подключений имеется в вашей компании? Разрешено ли вашим инженерам устанавливать модемы в лаборатории, в которой хранится исходный код вашей программы? Если вы не можете ответить на эти вопросы, то вас может ожидать большой сюрприз.

К сожалению, даже компании с серьезными юридическими и моральными намерениями контролировать доступ часто оказываются одураченными. Аудит безопасности одной такой организации (большой больницы, где стремились закрыть доступ к конфиденциальным файлам пациентов) обнаружил в ней 75 неразрешенных модемов. Почти в каждом случае врач или администратор, обладающие достаточной пробивной силой, находили обходный путь вокруг политики, предусмотренной для внешних соединений. Для того чтобы быть полезными, политики безопасности должны быть применимы к каждому без исключений. Политики с правилами, которые легко «объехать», не стоят даже бумаги, на которой они написаны.