Линда Маккарти - IT-безопасность - стоит ли рисковать корпорацией?

Вы не поверите тому количеству случаев, когда я «обнаруживала» проблемы, о которых раньше уже докладывалось (и не раз), но которые никогда не решались. Конечно, их решение назначалось на какой-либо день, но каким-то образом этот день никогда не наступал.

Риск сам по себе со временем не исчезнет. Напротив, он использует такую передышку для того, чтобы вырасти в размерах и сделаться более сложным. Если вы откладываете решение проблемы безопасности потому, что у вас нет средств в этом квартале, то вы будете платить гораздо больше в более поздний срок. Представьте себе затраты S&B Systems в том случае, если хакер нащупает обнаруженное мной незащищенное место и перекроет сбыт всей их продукции.

Подход «плыви или тони» к обучению вопросам безопасности никогда не приносил плодов. Ожидать того, что ваши новые администраторы средств безопасности дойдут до всего сами, — это жестоко и неэффективно.

Будет мало пользы от назначения нового администратора средств безопасности, если вы не дадите ему обучения, необходимого для работы. В идеале вы, конечно, можете нанять опытного специалиста. Но это нелегко сделать. Профессионалы в области обеспечения безопасности пользуются большим спросом. Как сообщает ZDNet, [50] ZDNet — информационный портал (сервер, сеть) корпорации Ziff-Davis Inc. — Примеч. пер. недостаток в персонале данной профессии будет составлять по прогнозу на ближайшие годы 50 000-75 000 человек. Их оклады уже возросли за 2001 год на 50 процентов — верный признак надвигающейся их нехватки.

Чувствуя отчаяние работодателей, некоторые предприимчивые хакеры пытаются выставлять себя на рынок рабочей силы как экспертов по обеспечению безопасности, заявляя, что их криминальное прошлое свидетельствует об их опытности. Министерство обороны США имеет давнее знакомство с хакерами, стоившее ему 25 миллиардов долларов, потерянных из-за 22 000 атак только в 1999 году. Сегодня Министерство обороны открыто принимает на работу хакеров-«белых шляп» [51] "White hat" hackers — по аналогии с положительными героями вестернов, носившими белые шляпы. Эти бывшие хакеры занимаются тестированием защиты систем, созданием поисковых систем по отслеживанию хакеров по электронному следу и т. д. — Примеч. пер. . Хотя его подход к «черным шляпам» менее открыт, есть сообщения о том, что им делались предложения гражданам других государств (таким, как русский хакер Верс). [52] В российской прессе весной-летом 2001 года сообщалось об истории некоего хакера по кличке Верc, которого сотрудники американского посольства уговаривали взломать интернет-сайт www.fsb.ru, чтобы получить доступ к хранящейся там информации. Утверждалось, что бдительный хакер Верс не пошел на поводу у американцев, а доложил о попытках его вербовки владельцам вышеуказанного сайта. — Примеч. пер.

При безнадежной нехватке действительно квалифицированных профессионалов, которая сопровождается стремлением хакеров замаскироваться под экспертов в области безопасности, у вас остается лишь один выбор — самим вырастить собственного эксперта.

Используйте этот список для определения того, подвергается ли ваша компания риску из-за применяемого ей аутсорсинга и/или состояния процедур проведения аудита. Можете ли вы поставить «Да» против каждого его пункта?

— Проводятся ли аудиты клиентских подключений (экстранет) на регулярной основе?

— Существует ли официально оформленная архитектура подключения клиентов (экстранет) к вашей сети?

— Существует ли официальная политика, четко определяющая, когда, почему и каким образом должны разрешаться подключения экстранет?

— Требуется ли разрешение руководства на перевод экстранет в онлайновый режим?

— Требуется ли проведение аудита безопасности перед тем, как перевести экстранет в онлайновый режим?

— Имеется ли в вашей компании официальная политика проведения аудита?

— Имеются ли в вашей компании процедуры проведения аудита для тестирования безопасности в письменной форме?

— Находится ли в рабочем состоянии программное обеспечение для проведения аудита, установленное на всех платформах?

— Обеспечивается ли необходимое финансирование приобретения необходимых инструментов проведения аудита?