Линда Маккарти - IT-безопасность - стоит ли рисковать корпорацией?

• Никто и никогда не проводил оценку рисков.

• Политики и процедуры были неполными.

• Системы, содержащие жизненно важную информацию, [40] Highly sensitive information — буквально: «высокочувствительную информацию». Это конфиденциальная информация, раскрытие которой может нанести персональный вред, в данном случае — пациентам. — Примеч. пер. были установлены стандартным способом.

• Информация могла быть легко изменена, украдена или уничтожена без следа.

Очевидно, никто не уделил достаточно (или вовсе не уделил) внимания рискам изменения, уничтожения или кражи информации, когда ее переносили из отдельного компьютера в серверы сети. В результате оказались подвергнуты риску истории болезни.

Перенос систем с одной платформы на другую — задача не из легких. Перед оптимизацией вычислительной среды или переносом систем на новую платформу нужно проводить оценку риска. Кроме того, необходимо разрабатывать новые политики и процедуры применительно к новой среде.

Одновременно нужно обучить системных администраторов тому, как обеспечивать безопасность в новой системе.

Прежние игроки в данной истории разыграли свои карты по всем правилам. Получив большой кусок пирога, Джо и Марлен построили систему, сорвали аплодисменты и удалились. К сожалению, спроектированная ими новая сеть содержала несколько довольно больших проблем безопасности.

В реальной жизни карты, разыгранные Джо и Марлен, не являются чем-то необычным. При создании сетей вопросы безопасности часто тормозят ход работ и раздувают бюджет. Хуже того, эти вопросы не получают и доли того внимания, которое привлекают к себе большие проекты. И наконец, руководители просто не желают знать, что может случиться, если будет отсутствовать защита.

Генеральная перетряска большой компьютерной системы является ситуацией, полной неожиданных проблем с безопасностью. По меньшей мере, вы будете иметь дело с кривой нарастания опыта системных администраторов, стремящихся освоить систему с новой технологией.

В данном случае эта кривая медленного накопления опыта могла бы оказаться роковой для некоторых пациентов Rockland General. Но счастье оказалось на их стороне.

Не полагаясь на удачу в судьбе, в Rockland General должны были бы сделать следующее.

Перед тем как перенести информацию с одной платформы на другую, всегда проводите оценку риска. По своей природе одной информации присущ больший риск, чем другой. В нашем случае более рискованной информацией оказались истории болезни.

После оценки риска руководство должно было определить риск для каждого вида информации и предпринять шаги по сохранению ее в тайне. Они могли бы усилить меры по контролю доступа, ввести контроль над действиями пользователей, обнаружение вторжения и шифрование в системах с историями болезней.

Системы нужно было классифицировать по степени важности и построить их защиту, исходя из уровня риска для информации. Основными уровнями риска при такой классификации являются некритичный, критичный и особо критичный. После проведения классификации безопасность систем должна быть настроена в соответствии с политикой компании по защите информации.

Так как каждая компания имеет свой уровень развития и несет ответственность за свою информацию, то классификация и определение уровней безопасности должны проводиться исходя из конкретных условий (меняющихся от компании к компании).

В данном случае единственным человеком, кто хотя бы смутно представлял себе идею классификации систем, была Джилл. Да и то после того, как ей открыли на это глаза. Так относиться к технической поддержке компьютеров нельзя. Вы должны ясно представлять, что нужно защищать. Иначе вы не сможете убедиться в достаточности имеющегося у вас уровня безопасности.

Мы уже обсуждали это ранее (во второй главе), но нужно еще раз повторить. Стандартная установка систем порождает высокую степень риска для любой компании, в которой нет хороших политик и процедур безопасности. Установленные стандартно системы могут создать зияющие дыры в вашей сети.

Зачем оставлять приглашение хакерам, если вы можете этого не делать? Лучше внедрите правильные политики и процедуры по установке систем в вашей сети.