22 октября, понедельник 23:19
Bankir.Ru

Объявление

Свернуть
Пока нет объявлений.

От глухих - слепым: майские тезисы

Свернуть
X
  • Фильтр
  • Время
  • Показать
Очистить всё
новые сообщения

  • От глухих - слепым: майские тезисы

    России будут искать внутренних врагов
    В России и частным компаниям, и государственным органам важнее защитить информацию от своих сотрудников, чем от хакеров
    В конце апреля СМИ сообщили о том, что в результате невнимательности японских военных, запустивших на своих компьютерах программу «Уини», в Интернет попало более двухсот секретных документов. По мнению IT-специалистов частных компаний и госорганов, в России – вопреки распространенному заблуждению – такое невозможно. Они в один голос говорят, что и для бизнеса, и для ведомств внутренние угрозы намного актуальнее внешних, и в этом заключается коренное отличие российского IT-рынка от западных. В то же время многие российские компании продолжают работать по старым стандартам безопасности, не уделяя внутренним угрозам достаточного внимания. В результате государство склоняется к идее ужесточить требования по IT-безопасности для наиболее чувствительных отраслей – в первую очередь для банков.
    В результате инцидента японская армия выпустила в «большой мир» сведения о размещении своих сухопутных подразделений, почтовой переписке и банковских операциях. По мнению IT-специалистов российских государственных организаций, для России внешние угрозы, связанные с неправомерным доступом к информации, – взлома сетей, перехвата информации – практически неактуальны, и этим наша страна в корне отличается от США или Европы. «У них многие процессы построены на удаленном доступе – и в госорганах, и в частном бизнесе. Достаточно вспомнить, что Интернет «вырос» из военных разработок, – сказал RBC daily специалист по IT-безопасности одного из российских ведомств. – Поэтому взлом сетей госорганов США в некоторых случаях может привести к доступу во внутренние сети этих организаций». Когда же в России газеты писали, что хакеры взломали сайт ФСБ и якобы получили доступ к служебным базам данных – знающие люди просто смеялись. «У российских государственных организаций интернет-сайт – это отдельный сервер плюс пара рабочих станций, – говорит собеседник RBC daily. – Да, сайт можно взломать – но за пределы поддерживающего этот сайт сервера никуда попасть нельзя просто физически». Что же касается армейских информационных систем, то в большинстве своем они созданы на основе исключительно отечественных разработок – как в элементной базе, так и в программном обеспечении. Поэтому не только доступ, но и работа в таких системах с использованием «гражданских» средств и программ невозможны.
    «Выбор средств защиты в государственном секторе предопределен действующими руководящими документами Гостехкомиссии, которые обязывают ведомства защищать информацию в соответствии с жесткими требованиями государства, – сказал RBC daily начальник отдела продвижения решений компании «Информзащита» Михаил Савельев. – Это прежде всего относится к средствам защиты информации от несанкционированного доступа, межсетевым экранам, средствам криптографической защиты». Для этого рынка основным критерием выбора того или иного продукта становится наличие соответствующего сертификата. Кроме того, отмечает он, до сих пор действует установленный в 1997 г. запрет на физическое подключение внутренних сетей органов государственной власти к сети Интернет. «ФСБ и ФАПСИ было дано поручение разработать средства безопасного доступа к внешним сетям, и запрет должен был действовать до окончания этих работ, – говорит Михаил Савельев. – Однако никаких средств до сих пор не разработано, и в госорганах по-прежнему остается «глухой» запрет».
    Так же разительно отличается от Запада ситуация в российском бизнесе. Западный бизнес практически весь построен на удаленном доступе, так как он позволяет экономить деньги. Ведь электронная транзакция стоит на порядки дешевле работы «живой» операционистки. Поэтому, прежде всего в США и Западной Европе, так распространен, в частности, интернет-банкинг – когда клиент может управлять своим счетом из любой точки мира. России же, по мнению IT-экспертов, до этого еще очень далеко. «Кроме того, на Западе огромные объемы внутренней информации компаний циркулируют через сети общего доступа – это необходимо для принятия решений менеджментом среднего звена, – говорит специалист поIT-безопасности. – Но у нас другой стиль ведения бизнеса – все решения принимаются либо одним человеком, либо очень узкой группой людей. Среднее звено совершенно несамостоятельно – это лишь исполнители. Поэтому никакой стратегической информацией, касающейся принятия решений, они не обладают. А у многих директоров предприятий компьютеры в кабинете стоят просто как предмет мебели – они им просто не нужны». Некоторые компании ограждают себя от внешних угроз, строя свои сети по тому же принципу, что и ведомства. Например, в Сбербанке защита сетей от внешних взломов гарантирована тем, что на три с лишним тысячи компьютеров центрального аппарата приходится около 150 специальных «интернет-киосков», отделенных от внутренней сети. Для связи с внешним миром используются несколько машин, работающих под старыми, а потому очень «трудными» для современных вирусов операционными системами, которые «перекладывают» электронную почту между внешней и внутренней сетью.
    Однако разделение внешних и внутренних сетей практикуют далеко не все. Большинству компаний это просто не нужно, поскольку они не видят для себя сколько-нибудь серьезных угроз извне. «Процент внешних злоумышленников очень низкий. Промышленный шпионаж как таковой у нас практически не развит, внешние взломы просто некому заказывать, – сказал RBC daily сотрудник компании ТНК-ВР. – Кроме того, из открытых источников о любой компании можно узнать гораздо больше. Поэтому намного актуальнее внутренние угрозы». Причем и тут редко имеет место злой умысел – скорее небрежность или невежество. «Иногда, чтобы не терять время, люди не утруждают себя зашифровкой служебных писем, – говорит представитель ТНК-ВР. – Но, как правило, главная опасность – заражение вирусами по незнанию и неумелые пользователи-«экспериментаторы». Это мнение разделяют многие российские компании – и это отчетливо проявляется в развитии российского рынка продуктов IT-безопасности. По словам Михаила Савельева, общий объем рынка средств информационной безопасности в России вырос с 25 млн долл. в 2000 г. примерно до 110 млн в 2003 г., а прогноз на 2004 год составляет 140 млн долл. Сейчас рынок поделен между средствами защиты от внешних и внутренних угроз примерно пополам. Раньше эта пропорция составляла примерно 70 на 30 в пользу средств защиты от внешних угроз, в основном за счет антивирусных средств. «Если раньше все были сосредоточены на внешней защите, то сейчас акцент смещается на внутренние угрозы, – сказала RBC daily менеджер по развитию бизнеса в России, СНГ и странах Балтии компании Internet Security Systems Оксана Тихонова. – До недавних пор люди думали, что достаточно поставить антивирус – и можно спасть спокойно. Теперь приходит понимание, что одного этого недостаточно».
    В ответ на желание контролировать своих работников производители программного обеспечения предлагают соответствующие продукты. «В последнее время модной темой стали средства контроля содержимого электронной почты и посещаемых пользователем веб-сайтов, – говорит Михаил Савельев. – Это скорее средство защиты от внутренних угроз. Во-первых, оно помогает предотвратить утечку конфиденциальной информации и, во-вторых, повышает производительность сотрудников, регламентируя их доступ к не связанным с работой интернет-ресурсам». Кроме того, такие средства на Западе помогают компаниям избежать судебного преследования в случае рассылки с их серверов оскорбительных писем или сообщений сексуального характера. Впрочем, для нас практика таких преследований пока неактуальна. «Рынок средств контроля содержимого растет примерно на 100% в год, – отмечает представитель «Информзащиты». – Во всяком случае, так было последние два года, когда мы стали заниматься этой темой. В 2003 г. объем российского рынка таких средств составил порядка 1,5 млн долл.». Пока российские покупатели таких продуктов – в основном банки и крупные коммерческие структуры – воспринимают их как средство тотального контроля над персоналом. А для того, чтобы избежать конфликта с Конституцией и Уголовным кодексом, гарантирующими и защищающими тайну переписки, работодатель предлагает работникам подписать соглашение, оставляющее за компанией право контроля информации.
    Впрочем, понимание важности внутренних угроз есть не у всех российских компаний. Например, по мнению специалистов в области IT-безопасности, российские банки уделяют информационной безопасности недостаточно внимания. По их оценке, из более чем тысячи действующих российских банков IT-защитой на должном уровне занимаются считанные единицы. Причем далеко не во всех банках физически разведены информационные сети, сети, имеющие выход в платежную систему, и Интернет. «В силу сложившейся традиции в большинстве банков и компаний службами безопасности руководят бывшие сотрудники силовых структур, – говорит эксперт по IT-безопасности. – Естественно, что первоочередное внимание они уделяют тому, что хорошо знают и чему их научили много лет назад: обеспечить безопасность периметра. Телекамеры, системы наблюдения – вот с чем они работают». Участники рынка признают, что запоздалый пересмотр стандартов безопасности – общая проблема не только российских банков, но и всех отраслей бизнеса. Однако если большинство компаний предоставлены в этой сфере сами себе, то к банковской сфере государство проявляет повышенный интерес. По некоторым данным, в настоящее время ЦБ принимает активное участие в разработке более жестких требований к системам информационной безопасности банков.
    Отдел экономики
    Антон Попов, 11.05.2004
    Постоянный адрес статьи: http://www.rbcdaily.ru/news/market/i...04/05/11/54578

Пользователи, просматривающие эту тему

Свернуть

Присутствует 1. Участников: 0, гостей: 1.

Обработка...
X