Линда Маккарти - IT-безопасность - стоит ли рисковать корпорацией?

Как и во многих компаниях, в InterMint не было программы обучения системных администраторов вопросам безопасности. Да, обучение выглядело сверху вполне достаточным. В компании была прекрасная программа обучения по защите информации для других сотрудников. Было даже издано пособие по выбору надежных паролей. Но не было предусмотрено ни одного занятия по безопасности для людей, настраивающих системы.

То, что Хосе был правильно обучен, было чистой случайностью. Когда Хосе только начинал работать, он обнаружил взлом системы генерального директора. В благодарность за это руководство выделило средства на обучение Хосе, чтобы он смог обеспечивать безопасность «административной» сети. [30] В данном случае сеть, в которой были собраны компьютеры высших руководителей компании. — Примеч. науч. ред. Но остальные четверо системных администраторов, обслуживающих системы юридического отдела, финансового отдела, отдела охраны и операционного зала, не получили никакого обучения.

Так как другие системные администраторы не знали, как настраивать и поддерживать безопасность, то они этого и не делали. Они оставили информацию в своих сетях открытой и доступной любому! Самым плохим было то, что электронная почта и базовые каталоги всех систем, за исключением административной, были оставлены открытыми для всех желающих их прочитать, изменить или уничтожить. К сожалению, так происходит, когда корпоративные сети поручаются системным администраторам, не имеющим опыта. Такая неопытность может вам навредить!

Из всех задач, стоящих сегодня перед системными администраторами, обучение, возможно, является задачей, которой они уделяют меньше всего времени. Перегруженные работой в условиях нехватки персонала, многие системные администраторы считают обучение пустой тратой времени, отрывающей их от более неотложных задач ежедневной технической поддержки и общих забот о рабочем состоянии сети. На самом же деле и по многим причинам обучение системных работников является важным видом технической поддержки. Если такой вид поддержки откладывается (или совсем игнорируется), то последствия могут быть ужасающими.

Несколько лет назад отдел внутреннего аудита InterMint Financial нанял меня для тестирования безопасности в офисе их компании. Работа по контракту с отделом внутреннего аудита компании является обычным делом. В состав отделов внутреннего аудита, как правило, не входят эксперты по безопасности. Поэтому эти отделы заключают контракты на выполнение работ по вопросам безопасности с экспертами, которые затем представляют отчет о рисках. В данном случае отдел аудита попросил меня взглянуть на их корпоративную сеть и представить отчет по найденным рискам.

В отличие от большинства проводимых мной аудитов, этот не был вызван какой-либо возникшей проблемой. Руководители компании хотели только убедиться в том, что уровень риска в их корпоративной сети был низким. Вначале аудит показался глотком свежего воздуха. Компания хочет провести аудит не потому, что ей нужно реагировать на возникшую проблему, а только потому, что ей нужно убедиться в отсутствии скрытых проблем!

Я начала этот аудит, как и большинство других, с просмотра сетевой схемы, чтобы понять конфигурацию сети и возможные риски. Мне нравится проводить аудит корпоративных сетей, потому что это одно из мест, в которых хакер будет искать секреты компании. Мне заплатили за то, чтобы я вычерпала всю грязь. Для этого нужно было думать как хакер. Так как я проводила аудит не сети разработчиков, то я не стала искать коды программ или результаты исследований. Вместо них я искала стратегическую информацию высшего уровня. Я делала то, что мог делать конкурент, притворившийся сотрудником компании. Я искала легкий доступ к административным системам, хранящим стратегическую информацию компании или даже личные сведения о руководителях. Так как конкуренты могут иметь такие намерения и имеют их, то системы генерального директора, директора по информационным технологиям и финансового директора нужно всегда считать потенциальными целями взлома. Для недопущения хакера к этим зонам и снижения риска должны быть приняты дополнительные меры предосторожности при установке систем и проводиться профилактический аудит.

В первый раз, когда со мной говорил руководитель внутреннего аудита Рэндалл Миллен, он подчеркнул, что хочет от меня проведения аудита безопасности с целью лишь подтвердить отсутствие риска. Мой аудит, однако, был первым случаем, когда отдел внутреннего аудита проверял безопасность корпоративной сети, поэтому я была уверена, что риск будет обнаружен. Данная компания не поразила меня особой расслабленностью в вопросах безопасности. Компании, не проводящие аудита безопасности своих сетей, не могут иметь доказательств их безопасности. Они лишь предполагают, что сети безопасны. По моему опыту, такое предположение само по себе является одним из главных рисков.