CSO

25 мая 2018 года регулирующий акт Евросоюза «Общие положения о защите данных» (General Data Protection Regulation, GDPR) вступает в силу в полном объеме, он касается любой компании в мире, занимающейся обработкой и хранением персональных данных лиц, проживающих в ЕС. Новый акт предоставляет людям больше прав касательно управления их персональными данными (Personally Identifiable Information, PII), осуществляемого компаниями. Также он предусматривает крупные штрафы за его неисполнение и нарушение конфиденциальности данных – до 4% годового дохода компании. Кроме того, компании должны в течение 72 часов предоставлять отчеты об утечках данных. (См. подробную информацию о данном регулирующем акте в «Требованиях, нормативных сроках и фактах “Общих положений о защите данных (GDPR)"».) 

Даже если вы не ведете бизнес с ЕС, вероятнее всего, новый закон окажет влияние на стандарты обеспечения глобальной безопасности в перспективе. Поэтому компании, работающие в ЕС или с данными, на которые распространяется действие GDPR, пытаются быстро и заблаговременно обеспечить соответствие этому документу. Службам безопасности необходимо будет убедиться в том, что данные, идентифицирующие личность, надлежащим образом защищены и соответствующие процедуры отчетности имеются.

По словам Брайана Вечи, технического евангелиста компании Varonis, которая специализируется на разработке систем по контролю и управлению правами доступа к распределенным файловым ресурсам, большинство компаний совсем не готовы к работе в новых условиях. Есть американские компании, которые подпадают под действие этого нового документа о конфиденциальности лишь потому, что кто-то из ЕС подписался на их информационную рассылку. И если в вашей организации имеются персональные данные гражданина одной из 28 стран – членов Сообщества, то этот акт касается и вас.

GDPR не определяет каких-либо конкретных средств управления защитой данных, которые должна использовать организация. Компания может сама определять необходимые средства обеспечения безопасности собранных данных, конфиденциальности и управления рисками.

GDPR не определяет каких-либо конкретных средств управления защитой данных, которые должна использовать организация. Компания может сама определять необходимые средства обеспечения безопасности собранных данных, конфиденциальности и управления рисками.

Оливье ван Хуф, менеджер по предварительным продажам в Европе бельгийской компании Collibra, разрабатывающей ПО, считает, что GDPR начинается с управления данными: «Вы должны установить платформу управления данными прежде, чем вы действительно сможете начать защищать данные. Это значительно больше, чем просто техническая защита данных. Большинство организаций начинают с рассмотрения своих бизнес-процессов, затем переходят к рассмотрению логических процессов, используемых при сборе данных, и затем – к самим физическим данным. GDPR – это также понимание того, что данные действительно принадлежат личности. Вы же в действительности лишь размещаете у себя эти данные».

Что GDPR подразумевает под персональными данными?

Определение персональных данных в GDPR значительно шире, чем ранее существовавшие. Оно включает в себя любую информацию, касающуюся конкретного человека, будь то личные, публичные или профессиональные данные. Это не только имена, адреса и финансовая информации, но и все то, что может идентифицировать личность (например, IP-адреса, идентификация пользователей при регистрации для входа в систему, данные биометрической идентификации, данные о географическом местоположении, видеоматериалы, статистика лояльности клиента, посты и фото в социальных сетях).

Обеспечение соответствия GDPR означает, что вы не только должны обеспечивать защиту большего числа видов данных в будущем, но и затрачивать больше усилий на идентификацию существующих данных.

Страны, затрагиваемые GDPR, должны будут идентифицировать в силу своих возможностей информацию, которая не отслеживалась или не индексировалась ранее. Например, записанный звонок в службу поддержки клиентов, возможно, необходимо будет локализовать, защитить, отследить и внести в отчет.

Каковы новые права пользователей в сфере персональных данных?

Документально оформленное добровольное согласие лица на использование информации должно даваться каждым человеком (или его официальным представителем). Согласие должно однозначно определять собираемые данные, цель их использования и длительность их хранения. Пользователи могут отозвать свое согласие в любое время и отправить запрос на удаление их персональных данных (при условии, что они укажут обоснованную причину).

В соответствии с GDPR физические лица могут также контролировать, что происходит с их персональными данными. Они могут рассчитывать на исправление фактических ошибок, видеть, какая информация о них хранится, и даже экспортировать ее для своего персонального просмотра и использования. Эти важные права являются новыми для большинства организаций.

Большинству компаний сначала просто нужно понять, какие положения GDPR у них уже выполняются. Им необходимо выяснить, где хранятся эти данные и подпадают ли они под действие GDPR. Затем им необходимо обеспечить их защиту по принципу минимальных привилегий и отслеживание их изменений. Компания Varonis так и делала с самого начала. Она специализируется не только на поиске данных, но и на определении, кто к чему имеет доступ и нужен ли им доступ к этим данным. Прежние нормативные документы, касающиеся защиты данных, требовали обеспечивать защиту данных от доступа извне. Теперь их необходимо лучше защищать изнутри, поскольку статья 25 GDPR гласит, что данные должны быть защищены по принципу минимальных привилегий намеренно и по умолчанию. И вы не можете сделать это, не понимая, где они находятся и кто может получить к ним доступ.

Каким образом GDPR влияет на структуру служб безопасности?

GDPR дает определение многочисленных функций участников процесса, прописывает правила и обязанности каждого из них. Субъект данных – это лицо, чьи персональные данные собираются. Управляющий данными – это организация, собирающая данные. Обработчик – это организация, обрабатывающая данные по поручению управляющего данными. Управляющие и обработчики обязаны вести письменный учет того, какие данные были собраны, каким образом они были собраны, как они были использованы, когда они были удалены.

Службам безопасности предстоит не только защищать данные от традиционных угроз, но и делать это так, чтобы процесс был прозрачным, документально оформленным и пригодным для возможного использования в отношении большого количества субъектов данных, и все это при строгом обеспечении безопасности данных. Каждому члену службы компьютерной безопасности необходимо разъяснить методы обеспечения соответствия требованиям GDPR.

Многие предприятия-участники, частные и государственные, должны иметь ответственного за защиту данных (data protection officer, DPO). Руководитель по защите данных должен обладать техническими знаниями или иметь персонал для защиты данных и обеспечения преемственности бизнеса. В ЕС считают, что позиция DPO настолько важна, что разработали отдельный, подробный 18-страничный документ о данной позиции.

Может показаться, что позиция по защите данных больше всего подходит руководителю информационной безопасности, однако руководитель по защите данных должен четко понимать требования к конфиденциальности и обеспечению соответствия, что обычно лучше понимают директора по вопросам конфиденциальности (chief privacy officer, CPO) или другие защитники конфиденциальности, однако они могут не понимать технической стороны вещей. В малом бизнесе все может закончиться назначением «наиболее подходящего» работника в качестве управляющего данными или даже выбором внешнего руководителя по защите информации. В любом случае GDPR требует, чтобы такой руководитель был независимым аудитором соответствия требованиям и был доступен для субъектов данных, для организации, следующей предписаниям данного акта, и для инспекторов GDPR.

Ван Хуф отмечает, что большинство европейских компаний уже наняли директоров по защите данных.

Отчеты о защите и обработке данных должны храниться и предоставляться для текущих и регулярных проверок не только аудиторам, но и субъектам данных. Каким образом организация обеспечит доступ к отчетам для индивидуальной частной проверки и в то же время защитит их от несанкционированного просмотра? Потребуется ли для каждого отдельного субъекта новая система сопровождения управления идентичностью и контроля доступа с учетом того, что потенциально возможных субъектов данных миллионы? Может ли организация соответствовать требованиям GDPR, просто распечатывая личные отчеты и рассылая пользователям бумажные копии? Это важные моменты, которые должны проработать директора по защите данных, руководящий состав и служба безопасности.

Национальные органы управления защитой данных

Каждая страна – член Сообщества имеет национальный орган управления защитой данных (data protection authority, DPA). DPA несут ответственность за установление соответствия и проведение в жизнь соответствующих законов на национальном уровне, но обязаны быть независимыми даже от контроля со стороны собственного национального правительства.

Страны – члены Сообщества могут иметь один или более органов управления. Каждая организация может выбрать один DPA, который контролирует соответствие GDPR для организации в целом. Единый надзорный орган имеет возможность контролировать обработку и защиту данных, обеспечиваемые в других странах-членах. Критики справедливо отмечают, что компании, работающие в нескольких странах – членах Сообщества, могут выбрать для работы наиболее гибкий DPA подобно тому, что они уже сегодня делают для снижения налогов и организационной независимости.

DPA созданы в рамках предыдущего закона ЕС о защите данных, но были значительно усилены в регулирующем акте. DPA фактически являются официальными государственными регулирующими и надзорными органами в структуре GDPR. Орган управления защитой данных помогает принимать решения в правовых вопросах и может расследовать деятельность компаний в случае нарушений и приостанавливать работу управляющих данными и обработчиков, несущих юридическую ответственность за нарушения GDPR, и определять штрафные санкции. Кроме того, он решает, может ли организация передавать данные за пределы ЕС, и если да, то какие механизмы защиты следует применить. В конкретной организации основным лицом, поддерживающим связь с DPA, вероятно, будет руководитель по защите данных.

Если субъект данных понимает, что произошло нарушение, он может связаться либо с DPO, либо с DPA, который был выбран данной компанией и контакты которого были переданы субъекту. На практике это может быть очень неудобно, поскольку DPO или DPA компании, управляющей данными или обрабатывающей их, может не находиться в той же стране.

Об утечках данных следует сообщать незамедлительно

Об утечках персональных данных следует сообщать немедленно или по крайней мере в течение 72 часов в единый надзорный орган – DPA. Лица, которых это коснулось, должны быть оповещены, если ожидаются негативные последствия. Однако если эти данные соответствующим образом зашифрованы или обезличены и эта критичная защита не была взломана, то людей оповещать не следует.

Службы безопасности, вероятно, будут испытывать больше давления, поскольку должны убедиться в том, что все персональные данные надлежащим образом зашифрованы или обезличены. Ранее шифрование в основном было направлено на защиту портативных устройств. Обеспечение соответствия GDPR, скорее всего, приведет к большому спросу на еще большее шифрование данных во всей компании.

Также службы безопасности будут подвергаться повышенному давлению из-за необходимости быстрее, чем раньше, определить, явилась ли утечка данных событием, требующим отчетности. 72 часа – слишком малое время для многих организаций, особенно если пытаться понять, может ли какой-либо факт предотвратить необходимость сообщать об утечке затронутым субъектам данных или в прессу.

Как подготовиться

Любой сотрудник компаний, подпадающих под действие GDPR, занятый сбором, хранением, обработкой данных, уже должен знать основы регулирующего акта. Необходимо сформировать группы людей, которые будут заниматься подготовкой к введению GDPR в действие и обеспечением его выполнения. Наиболее важные сотрудники должны пройти обучение по GDPR с проверкой их знаний. При необходимости назначьте или наймите сотрудника, ответственного за обеспечение соответствия данных требованиям GDPR.

Оцените готовность вашей компании выполнить требования GDPR (например, персонал, инструменты и процессы), отметив области, требующие наибольшего внимания. Простое определение имеющихся данных, уже соответствующих требованиям GDPR, будет серьезной первоначальной задачей. Большинство компаний столкнутся с необходимостью создать новые системы для отслеживания изменений данных в соответствии с нормами GDPR или изменить существующие системы.

Заранее определите, что вашей компании придется делать в случае утечки персональных данных. С кем вы будете связываться? Какую информацию вы должны передать? Кто определяет, следует ли уведомить субъектов данных?

GDPR – это новый стандарт по защите конфиденциальности персональных данных. Он призван дать субъектам данных больше возможностей по контролю данных и обеспечить прозрачность операций и защиту. Это отличная вещь для защиты конфиденциальности, но масса работы для тех, кто должен выполнять требования этого акта.

***

Многие компании видят в GDPR лишь еще одну обузу, дополнительные расходы. Но, может быть, следует его рассматривать как возможность? Часто бывает, что компании собирают данные в течение длительного времени и даже не уверены, нужны ли они им. А GDPR заставит их пересмотреть причину сбора этих данных, срок их хранения, способ их обработки. Это шанс оптимизировать не только данные, но и работу, связанную с этими данными.

− Roger A. Grimes. How to protect personally identifiable information under GDPR. CSO. August 14, 2017

Регулирующий акт Евросоюза «Общие положения о защите данных» (General Data Protection Regulation, GDPR) вступит в силу 25 мая 2018 года и кардинально изменит способы сбора и использования персональных данных, поэтому европейские (и не только) компании должны полностью пересмотреть свои механизмы обработки клиентской информации. Подчеркнем, что эти требования распространяются и на многие российские компании, которые могут даже и не подозревать об этом; например, отечественный интернет-магазин может оказаться «оператором» клиентских данных посетившего его гражданина ЕС, а потому должен надлежащим образом обрабатывать, хранить и защищать их. Мы попросили специалистов отечественных ИТ-компаний пояснить, кого может реально коснуться закон в России.

Кому следует задуматься?

Андрей Янкин, заместитель директора центра информационной безопасности компании «Инфосистемы Джет», считает, что для большинства российских компаний данная тема не актуальна, но есть организации, которым все же пришлось озаботиться данным вопросом. В первую очередь это «дочки» западных организаций, а также компании, имеющие филиалы в Евросоюзе или предоставляющие сервисные услуги европейским потребителям. Последняя категория не подпадает напрямую под GDPR, но их клиентам необходимо выполнять требования регулятора, и они требуют того же от поставщиков услуг.

«Нормы GDPR конкретно коснутся тех, кто так или иначе работает со странами Европы. Это финансовые компании, технологические, медиа- и телеком-компании, фармацевтические, транспортные, интернет-магазины», – отмечает Тимур Аитов, заместитель генерального директора группы компаний «Программный Продукт» и заместитель председателя подкомитета по платежам и информационной безопасности ТПП РФ. К примеру, система «Платон», в которой зарегистрировано около 2 млн личных кабинетов, сразу подпадает под действие GDPR. В сфере внимания окажутся и те, кто намерен предоставлять свои товары и услуги в странах Европейской экономической зоны: использует для их описания европейские языки, ведет заметный (агрессивный) маркетинг в ЕЭЗ, осуществляет мониторинг поведения европейцев, анализируя его с целью подготовки прогнозов, выявления предпочтений и т. п.

По мнению Антона Боженко, архитектора управления пресейла и прототипирования центра компетенций Больших Данных компании «Техносерв», закон коснется еще и тех компаний, которые ведут регистрацию пользователей веб-ресурсов, используют адресный или интернет-маркетинг, обрабатывают большие объемы персональных данных. Например, это могут быть не только транспортные и финансовые компании, но и туроператоры или социальные сети.

Анастасия Казакова, специалист по связям с государственными органами «Лаборатории Касперского», рекомендует обратить внимание на два ключевых момента, которые подскажут, попадает ли компания под действие закона: сфера применения GDPR и определение «персональных данных» и их «обработки». Сфера применения охватывает практически все случаи, когда деятельность компании распространяется не только на территорию ЕС, но и на ее граждан.

Говоря о втором пункте, стоит отметить, что GDPR существенно расширяет определение персональных данных – теперь это любая информация, которая может прямо или косвенно идентифицировать пользователя (имя, фамилия, адрес и т. д.). Более того, закон выделяет особую категорию персональных данных – sensitive personal data, куда входят биометрические данные, указание расовой, религиозной и этнической принадлежности, философские взгляды, членство в профсоюзных и иных некоммерческих ассоциациях, данные о здоровье и сексуальной ориентации. Для обработки таких данных GDPR вводит еще более строгие правила.

«Можно выделить три типа организаций, которых коснется GDPR», – говорит Руслан Вагизов, исполнительный директор ICL Services. В первую очередь это организации, у которых есть представительства в ЕС, а также компании, которые реализуют свои товары гражданам ЕС. К третьей группе относятся организации, использующие при реализации товаров валюту и язык одной из стран ЕС, адаптирующие под них свои продукты, проводящие маркетинговые акции для европейских потребителей, отслеживающие их потребительские предпочтения. По этим критериям под действие GDPR могут, например, попасть нефтегазовые, фармацевтические, медицинские и ИТ-компании.

Какие действия точно надо предпринимать, а от чего можно воздержаться?

«Стоит отметить, что и сами европейские компании пока слабо понимают, что именно необходимо делать для соответствия законодательству. Из-за этого множество проектов в области безопасности поставлено на паузу», – подчеркивает Янкин. Нет полного понимания того, как гармонизировать эти активности с новыми требованиями GDPR. Пока можно однозначно говорить о том, что необходимо выстраивать риск-ориентированный подход к ИБ, строить систему менеджмента ИБ. В целом в этом нет ничего нового, но для многих компаний GDPR – это стимул для выхода на новый уровень зрелости по данным направлениям.

Боженко согласен с тем, что требования закона предполагают наличие организованного процесса использования данных – он должен включать сбор, обработку, хранение, защиту и уничтожение. Стоит обратить внимание на полноту процесса, степень его соответствия закону, уровень реализации и контроля за его исполнением. При этом важной его частью является возможность удаления персональных данных («право на забвение»). Причем удаление персональных данных из системы должно осуществляться без потери ее работоспособности.

Что касается защиты информации, то явное указание на методологию в законе отсутствует. Российские компании защищают персональные данные в соответствии с Федеральным законом № 152-ФЗ «О персональных данных» и используют методологию защиты информации, построенную на базе международного стандарта ISO/IEC 27001. В связи с этим возможно использование существующих мер по защите персональных данных и для данных граждан Евросоюза. Однако при оценке защищенности данных граждан ЕС стоит учесть, что трактовка понятия «персональные данные» в GDPR несколько шире, чем в российском законодательстве, они могут включать информацию, которая неявно указывает на физическое лицо – например, к ним могут относиться онлайн-идентификаторы или сookies.

«Можно самостоятельно пройти короткий тест или вообще на время «забыть» о проблеме GDPR. Однако при таком подходе возникают риски – возможная потеря репутации, огромные штрафы и пр.», – считает Аитов. Штрафы за нарушение требований GDPR могут достигать 20 млн евро или 4% годовой выручки компании. Помимо этого, каждая страна Евросоюза может установить дополнительные санкции. Самый очевидный шаг – при малейших сомнениях обратиться к консультантам, хотя ряд положений GDPR до сих пор не вполне однозначно трактуется самими экспертами.

«Для законной обработки данных существует несколько оснований, – говорит Казакова. – Одним из них является получение недвусмысленного и ясно выраженного согласия от пользователя. При запросе такого согласия оператор должен простым и понятным языком изложить цель обработки данных, а также указать на право пользователя отозвать это согласие впоследствии и потребовать от оператора удаления данных». Кроме того, операторы должны сделать процессы обработки персональных данных прозрачными: GDPR обязывает компании предоставлять сведения об обработке и передаче данных третьим лицам по запросу пользователей или правомочных органов. Более того, данные должны быть представлены в структурированном формате для простой перезаписи.

Как указывает Вагизов, очень многое зависит от того, как в организации сейчас построены процессы обработки персональных данных. Однако в качестве отправной точки можно порекомендовать руководство «Подготовка к GDPR за 12 шагов» («Preparing for the GDPR: 12 steps to take now»), разработанное британским регулятором в области защиты данных.

Некоторые из этих рекомендаций будут актуальны только для британских компаний, но в любом случае они помогут сформировать общую картину и понять, на что обратить внимание.

Какие ИТ-решения могут быть полезными?

«Отдельные провайдеры облачных сервисов уже предлагают решения, которые соответствуют требованиям нового законодательства, ведь во многом GDPR «заточен» именно на облака и соцсети», – говорит Аитов. При собственной же разработке ИТ-решений действовать придется по принципу «семь раз отмерь» и советоваться с юристами. Причем это относится к разработке всех политик, процедур и всех информационных систем организации.

По словам Янкина, с точки зрения технических средств защиты информации необходимо прежде всего учитывать те риски, которые выявляет для себя компания. Однако уже сейчас можно говорить о том, что GDPR вызовет рост на рынке шифрования и обезличивания данных, так как такие технологии защищают компанию от необходимости разглашать информацию о компрометации систем, тем самым снижая репутационные риски.

«Текст закона не предполагает обязательного внедрения каких-либо решений и инновационных продуктов», – подчеркивает Боженко. Его требования направлены на развитие процессов управления данными в организациях и усиление взаимодействия между подразделениями ИТ и ИБ. Для повышения уровня автоматизации при приведении ИТ-процессов в соответствие требованиям GDPR следует обратить внимание на решения класса Data Governance. Наличие полной и актуальной информации о данных, местах их размещения, методах обработки и правах доступа поможет в практической реализации требований закона.

Казакова, напротив, полагает, что инновацией GDPR является то, что закон заставляет операторов не только перестроить организационные процессы, но и существенно пересмотреть техническую сторону работы компании. Для этого GDPR вводит принципы Privacy by Design и Privacy by Default. Иными словами, ИТ-процесс должен стать таким, чтобы конфиденциальность персональных данных была обеспечена по определению и по умолчанию. Например, GDPR говорит о проведении псевдонимизации и шифровании персональных данных, внедрении механизмов для обеспечения конфиденциальности, целостности, доступности и устойчивости систем обработки данных, об обеспечении способности систем своевременно восстанавливать доступ к персональным данным в случае инцидента, при проведении регулярного тестирования.

Какой подход следует избрать?

«Пока не сформировалась четкая практика приведения процессов обработки данных в компаниях в соответствие требованиям GDPR, я бы рекомендовал заняться требованиями по сбору согласий на обработку, выстраиванию каналов взаимодействия с субъектами персональных данных, – говорит Янкин. – Эти направления деятельности вполне понятны всем, кто занимался, например, вопросами соответствия российским требованиям по защите персональных данных. К тому же стоит пересмотреть свою систему менеджмента ИБ и управления рисками».

Как полагает Боженко, в первую очередь необходимо выявить виды обрабатываемой информации (из защищаемых законом), цели и последовательность процессов их обработки, а также существующие методы их защиты. После этого надо разработать комплексный план мероприятий по реализации требований закона. Комплекс мероприятий должен затрагивать зоны ответственности ИТ-подразделений и подразделений информационной безопасности. Именно по этой причине так важно с самого начала проекта обеспечить участие в нем руководителей уровня CIO и CISO.

«Для начала ИТ-директору полезно написать красочную «страшилку» и отправить руководству», – рекомендует Аитов. Адаптация к нормам GDPR – это огромная и длительная работа, которая ляжет на службы ИТ, ИБ, корпоративных юристов.

Европейцы от контроля за нормами GDPR отступать не намерены, и огромные штрафы появились неслучайно. Обстановка в мире непростая: поводы со стороны GDPR могут быть использованы в том числе для «наказания» крупных отечественных представителей бизнеса – конкуренцию никто не отменял. Однако неприятности могут возникнуть у компании любого размера.

GDPR как свод законов – это заметный вызов для самих стран европейской экономической зоны именно потому, что нормы закона получили прямое действие в отношении всех стран.

Миллениалы – люди в возрасте от 20 до 35 лет – занимают все больше рабочих мест по всему миру. По результатам исследования, проведенного в 2015 году американским Исследовательским центром Пью (Pew Research Center), к числу миллениалов относится по крайней мере один из трех работников. По данным PwC, к 2020 году половина мировой рабочей силы будет состоять из представителей этой демографической группы.

Термин «миллениалы» служит для обозначения группы людей с определенными особенностями. Перечислим некоторые из них. Миллениалы любят общение в социальных сетях. Они ценят хорошие впечатления от использования приложений. Они гибко подходят к выполнению рабочих задач. Если ожидания миллениалов не оправдываются, они предпочитают не оставаться на месте, а идти дальше. В будущем эти особенности будут определяющими для сферы труда. Существующим стратегиям сетевой безопасности многих организаций предстоит пройти серьезное испытание.

Рассмотрим три ключевых фактора, влияющих на корпоративную безопасность и имеющих непосредственное отношение к поведению миллениалов.

Социальные сети

Блокировать или не блокировать? Этим вопросом задаются многие руководители, когда речь заходит об использовании сотрудниками социальных сетей на рабочем месте.

Поставщик программного обеспечения для управления кадрами CareerBuilder провел исследование, в ходе которого были опрошены работодатели на территории Северной Америки. 37% из них полагают, что социальные сети являются одним из основных факторов, снижающих производительность работы. Социальные сети занимает четвертое место после мобильных телефонов и обмена сообщениями (55%), Интернета (41%) и разговоров на рабочем месте (39%). Три из четырех работодателей заявили, что из-за отвлекающих факторов в день теряется два часа и более.

С точки зрения сетевой безопасности социальные сети являются одним из каналов передачи вредоносных программ и атак с применением социальной инженерии. Какое количество ссылок, которыми делятся пользователи, понятия не имея об их содержании, ведет на зараженные веб-сайты? Даже если сотрудники используют социальные сети профессиональным образом, их друзья и члены списка контактов не обязательно делают то же самое.

Запретить или ограничить доступ к социальным сетям на уровне сети достаточно легко. Статические фильтры URL-адресов в составе программного обеспечения Web Filtering могут блокировать или отслеживать определенные URL-адреса. С помощью фильтрации по категориям можно заблокировать целую группу веб-сайтов. Однако это не означает, что ИТ-директора должны немедленно заняться блокировкой социальных сетей на рабочем месте.

Более эффективен комплексный подход к обеспечению сетевой безопасности. Для начала необходимо сформировать четкую программу работы с социальными сетями и обучения персонала. Например, сотрудники отдела сбыта должны иметь представление об угрозах безопасности и деловых рисках, связанных с входом в учетные записи социальных сетей во время нахождения на рабочем месте.

Наиболее важным элементом стратегии безопасности является надежная многоуровневая инфраструктура безопасности. Не следует всецело рассчитывать на то, что сотрудники не сделают ни одного неверного движения после входа в свои учетные записи в социальных сетях.

Многоуровневая система безопасности – лучшая защита

В настоящее время широко распространены системы безопасности, состоящие из нескольких уровней, направленных на обеспечение безопасности данных, устройств и пользователей. Такие многоуровневые системы позволяют обнаружить атаки, источниками которых являются разные уровни: сети, приложения, устройства или пользователи, – и остановить их распространение. Также эти системы эффективно справляются с защитой от угроз разных типов.

Приток сотрудников, принадлежащих к поколению миллениалов, способствует изменению рабочих процессов. В этих условиях перед ИТ-директорами стоит задача пересмотра способов настройки каждого уровня защиты.

Возьмем, к примеру, вопрос использования личных устройств на рабочем месте. Согласно исследованию, проведенному McKinsey, примерно в 80% организаций сотрудникам разрешено использовать личные устройства для подключения к корпоративным сетям. ИТ-отделам приходится реагировать на растущие требования сотрудников, касающиеся поддержки личных устройств с доступом к таким корпоративным приложениям, как электронная почта и календарь. Эта тенденция, получившая название концепции использования сотрудниками собственных устройств (Bring Your Own Device, BYOD), приводит к появлению новых угроз безопасности.

В частности, в обязанности директоров по ИТ входит обеспечение безопасности на уровне устройств. Первый шаг на этом пути – защита самих устройств посредством разработки определенной структуры межсетевых экранов, средств защиты от вредоносного ПО, решений для управления мобильными устройствами (Mobile Device Management, MDM) и путем обеспечения непрерывного внесения исправлений. Кроме того, с культурой BYOD связана такая угроза безопасности корпоративной сети, как взлом принадлежащих сотрудникам интеллектуальных устройств со слабой защитой паролем. В организации необходимо внедрить правила, требующие использования надежных паролей.

Также можно задействовать функцию идентификации типов устройств, которая будет ограничивать доступ к некоторым областям сети через хуже защищенные устройства, например через мобильные телефоны. Кроме того, следует принять меры по обеспечению безопасности сеансов – например, путем запрета на посещение пользователями небезопасных веб-сайтов.

Аналогичным образом следует обеспечить защиту пользовательского уровня в целях устранения набирающих силу рисков, связанных с внутренними угрозами. Как правило, необходимость соблюдать баланс между безопасностью и удобством делает этот уровень наиболее сложным в управлении. Существует множество способов проверки подлинности, предназначенных для идентификации пользователей сети и развертывания разных уровней доступа. Важными мерами являются обучение персонала и повышение грамотности сотрудников.

Контроль теневых ИТ-ресурсов

Термин «теневые ИТ-ресурсы» обозначает использование приложений и служб, нередко облачных, которые не одобрены организацией. Неподконтрольность таких ресурсов представляет собой угрозу безопасности и усложняет управление.

Рассмотрим следующий случай. Сотрудник открывает файл с помощью смартфона. Существует вероятность того, что телефон сделает копию этого файла и эта копия впоследствии в ходе регулярно выполняемого автоматического резервного копирования поступит в несанкционированное интернет-хранилище. Что мы видим? Защищенные корпоративные данные были перемещены в небезопасное расположение. К переносу конфиденциальных корпоративных данных в небезопасное расположение могут также привести многие приложения для совместного использования, которым отдают предпочтение миллениалы.

Маловероятно, что запрет на использование персоналом несанкционированных устройств и приложений остановит людей. В силу повсеместного распространения смартфонов сотрудники будут пользоваться социальными сетями и личными облачными приложениями независимо от требований корпоративной политики. Для решения этой проблемы могут оказаться более эффективными другие меры: обучение пользователей и развертывание таких технологий, как шифрование данных, контроль доступа и отслеживание трафика.

В целом можно сказать, что к появлению теневых ИТ-ресурсов приводит неудовлетворенность сотрудников решениями, одобренными организацией. Директора по ИТ могут не справиться с тем, чтобы предотвратить использование сотрудниками альтернативных приложений, например, для совместной работы. Однако они могут держать ситуацию под контролем, учитывая потребности сотрудников.

— Александр Мормуш, менеджер по работе с клиентами, Fortinet

Регулирующий акт Евросоюза «Общие положения о защите данных» (General Data Protection Regulation, GDPR) стал одним из самых строгих законов, касающихся защиты персональных данных. Директива вступит в силу 25 мая 2018 года и кардинально изменит способы сбора и использования персональных данных, поэтому европейские (и не только) компании должны полностью пересмотреть свои механизмы обработки клиентской информации. Старый подход «лучше заплатить штраф, чем выполнять требования закона» здесь не работает, поскольку регулирующие органы получат право накладывать крупные штрафы за серьезное нарушение акта — вплоть до 20 млн евро (примерно 1,5 млрд руб.) или 4% годового дохода компании.

Основные положения GDPR включают право на забвение, непрерывную защиту персональных данных, гарантии конфиденциальности, целостности и доступности данных, оповещения о несанкционированном доступе к данным в течение 72 часов, принцип минимизации данных, передачи и переноса данных. При этом понятие «персональные данные» определено широко и включает в себя все данные, относящиеся как к установленной личности, так и к тем пользователям, чью личность можно установить.

Как повлияет GDPR на российский бизнес

В связи с экстерриториальностью, акт GDPR создает риск крупных штрафов и для российских компаний. Даже если граждане ЕС не являются клиентами или партнерами бизнеса, автоматический сбор данных (например, cookies) уже считается мониторингом персональной активности. По сути, под регулирование GDPR попадают любые интернет-компании. Сырьевые, крупные промышленные и финансовые компании должны соблюдать GDPR, поскольку имеют филиалы в странах ЕС. Отдельной строкой проходят транспортные компании: РЖД, «Аэрофлот», S7 Airlines и другие, реализующие онлайн-продажи билетов. Такие компании хранят и обрабатывают данные граждан ЕС. Кроме того, регламентированная GDPR обязанность раскрывать информацию о нарушении конфиденциальности может нанести репутации компании не меньший ущерб, чем штрафы.

Какие меры следует предпринять бизнесу

Для выполнения требований GDPR организации должны внедрить самые эффективные и строгие практики управления данными и политики безопасности. Важный первый шаг в этом направлении – понять, где и как компания собирает, использует и хранит персональные данные (на серверах организации или в облаке), какие системы используют эти данные и кто имеет к ним доступ. Некоторые CIO считают, что приложениями управлять относительно несложно, а основную проблему представляют неструктурированные данные, которые легко распространяются по внутренним системам и рабочим ноутбукам и поэтому часто «утекают» в чужие облака и клиентские устройства.

Казалось бы, с точки зрения выполнения требований GDPR легче управлять структурированными данными приложений, однако быстрое увеличение числа приложений на крупных предприятиях резко усложняет управление этими данными. К тому же крупные предприятия должны обеспечить соблюдение требований GDPR и для неструктурированных данных, хранящихся на серверах, в системах электронной почты и на клиентских устройствах. Это крайне сложная задача, поскольку почти 80% всех используемых в бизнесе данных приходится на неструктурированные. Возможно ли обеспечить соответствие требованиям GDPR в типичной современной компании, где для управления данными применяются различные, никак не интегрированные между собой продукты? Это трудная задача, но вполне осуществимая.

Единая платформа управления данными – эффективное решение проблемы

Многие организации выбрали стратегию консолидации на одной унифицированной платформе управления данными. Такая платформа дает четкую картину всех приложений и неструктурированных данных компании, помогает обеспечить соответствие ключевым принципам GDPR, а при необходимости – продемонстрировать соблюдение требований законодательства регулирующим органам.

Если платформа выполняет все процессы управления данными, то ИТ-отдел может создать контентный индекс всех данных компании, тогда как при использовании нескольких отдельных продуктов это зачастую сделать невозможно. Такой индекс создаст прочный фундамент для политик управления информацией и предоставит CIO общую картину данных и контроль над ними, которые нужны для выполнения самых строгих требований по защите персональных данных.

Интегрированный подход дает полное представление в масштабе организации о том, где находятся персональные данные, поэтому становится возможным оптимизировать контроль над доступом к данным, консолидировать усилия по обеспечению информационной безопасности и выделить среди них приоритетные. В то же время организация сможет предоставить информацию по соблюдению законодательства. Кроме того, автоматизируется применение политик сохранения информации для всего ландшафта данных, а значит, резко сокращаются риски, связанные с клиентскими устройствами.

Анализ данных гарантирует, что конфиденциальные данные получат необходимый уровень защиты, а если произойдет нарушение конфиденциальности, то удастся намного быстрее оценить последствия этого инцидента. Если данные будут испорчены, необходимо их быстрое восстановление внутри ИТ-инфраструктуры организации или в облаке, а также оперативное оповещение о нарушении конфиденциальности.

Использование существующих ИТ-процессов для консолидации данных

Может показаться, что для консолидации всех данных организации на одной унифицированной платформе потребуется большое количество изменений в существующем ИТ-ландшафте, создание новых процессов и подсистем и дополнительные инвестиции. Но это не совсем так. Дело в том, что в каждой организации уже присутствуют ИТ-процессы, которые работают со всеми или почти со всеми данными, – это процессы создания резервных копий и архивов. Они могут быть разрозненными или централизованными, использовать различные технологические решения, но они есть в том или ином виде. Для решения задач, описанных выше, достаточно посмотреть на эти процессы шире, добиться их унификации, использовать единые современные инструменты для их реализации. И создаваемый единый репозиторий архивов и резервных копий вполне будет выполнять задачи контроля, анализа и управления данными предприятия.

До вступления в силу GDPR осталось меньше года, и организациям необходимо за оставшееся время обеспечить соответствие требованиям этого закона. Главное препятствие на пути обеспечения требований GDPR – медленное внедрение новых бизнес-процессов и технологий в компаниях. Хотя еще есть время для исправления ситуации, проблема осложняется тем, что сейчас компании пытаются успеть выполнить требования директивы, часть из которых нечетко сформулирована и нуждается в серьезной технологической экспертизе.

До первого прецедентного случая трудно прогнозировать применение GDPR по отношению к российским компаниям. Ясно одно: защита и менеджмент данных в этом году снова станут ключевым вопросом для ИТ-директоров крупнейших российских компаний.

– Андрей Вышлов, глава представительства Commvault в России

Большие Данные, включающие в себя информацию о конкретных людях, нуждаются в особой защите, однако правовых норм, регулирующих оборот данных именно этой категории, пока нет, как нет и юридически обоснованного понятия Больших Данных. Такая ситуация чревата рисками для предприятий. При этом ответственность за инциденты с персональными данными обычно несут ИТ-директора и руководители корпоративных служб информационной безопасности. В ближайшей перспективе в нашей стране могут появиться правовые нормы, регулирующие процессы обработки Больших Данных на предприятиях. Но снимут ли они остроту проблемы или добавят ИТ-директорам новых хлопот, пока не ясно.

Интернет-омбудсмен Дмитрий Мариничев: «В отрасли пока нет четкого понимания того, кому, собственно, принадлежат Большие пользовательские данные: государству, бизнесу, гражданам?»

Вопросов по теме хранения, использования и защиты Больших Данных, содержащих персональную информацию, пока больше, чем ответов. Так считают участники дискуссии, которая развернулась на форуме BIG DATA 2017, организованном издательством «Открытые системы». Как отметил российский интернет-омбудсмен Дмитрий Мариничев, в отрасли пока нет четкого понимания того, кому собственно принадлежат Большие пользовательские данные: государству, бизнесу, гражданам? А поскольку уже есть случаи утечки и несанкционированного использования таких данных, то очевидно, что их оборот необходимо регулировать. Однако непонятно, где провести границы госконтроля и как минимизировать нагрузку на бизнес. В значительной степени эта неразбериха объясняется отсутствием консенсуса по базовым понятиям. Если с определением персональных данных ситуация в целом довольно прозрачна (на то есть 152-ФЗ), то с Большими Данными – ясности нет никакой. Некоторые эксперты считают, что сам этот термин еще не устоялся.

«Это скорее технический и маркетинговый термин, а потому Большие Данные нельзя вводить в область правового регулирования. Но из этого не следует, что Большие Данные, как они понимаются многими экспертами, существуют в абсолютном правовом вакууме. Поскольку многие данные, обрабатываемые средствами аналитики, могут рассматриваться как персональные, регулированию они подлежат», – убежден юрист НИУ ВШЭ Александр Савельев.

Другие специалисты вообще отрицают существование Больших Данных как предмета для регулирования.

Заместитель директора по технологическому развитию ФРИИ Сергей Алимбеков: «Никаких Больших Данных нет. Есть просто данные. Какая разница, много их или мало»

«Никаких Больших Данных нет. Есть просто данные. Какая разница, много их или мало. Они есть, и их можно использовать для разных целей», – полагает заместитель директора по технологическому развитию ФРИИ Сергей Алимбеков.

Эту точку зрения разделяет и директор департамента универсальных платформ данных IBS Сергей Золотарев: «Мы давно решили для себя, что Больших Данных нет. Технически мы можем работать сегодня с любыми типами данных и в любом режиме».

Отрицающие само понятие Больших Данных эксперты одновременно поддерживают идею о необходимости регулирования просто данных. Эта необходимость уже перезрела, считает Алимбеков. А Золотарев подчеркивает, что именно вопрос прикладного использования данных сейчас ставится во главу угла и бизнесом, и государством, провозгласившим курс на цифровую экономику.

Владимир Журавлев, заведующий кафедрой УЦ «Информзащита», считает, что вопрос, как отделить Большие Данные от персональных, весьма актуален, поскольку бизнес может попасть под весьма жесткое законодательство. Он напомнил, что всего лишь за несоответствие письменной формы согласия на обработку персональных данных требованиям ФЗ-152 «О персональных данных» организация может быть оштрафована на 75 тыс. руб.

Вероятно, в перспективе вопросы регулирования оборота Больших Данных, содержащих персональные сведения, все же найдут свое решение, а ключевые, но не формализованные на данный момент понятия станут юридически значимыми. Как заявил эксперт по защите персональных данных и информационной безопасности DHL Express Алексей Мунтян, сейчас уже не стоит вопрос, будет или нет регулироваться оборот Больших и персональных данных. Это уже происходит.

Мунтян напомнил, что в январе 2017 года Еврокомиссия опубликовала план подготовки нового документа, посвященного электронным коммуникациям – E-privacy Regulation. И в нем явно и четко поднимается проблема регулирования Больших Данных.

«ЕК предлагает синхронизировать и гармонизировать новый европейский документ по защите персональных данных General Data Protection Regulation, который вступит в силу в мае 2018 года, с актом E-privacy Regulation. В этой связи там впервые обсуждаются такие термины, как метаданные, данные, касающиеся взаимодействия пользовательских устройств и технической инфраструктуры сервис-провайдеров. Фактически ЕС уже стоит на пороге регулирования Больших Данных в сфере электронных коммуникаций. Но этим дело не ограничится – это только первый шаг в регулировании Больших Данных», – заявил представитель DHL.

Российские регулирующие органы о ситуации, конечно, осведомлены, поэтому нам стоит ожидать аналогичных законодательных инициатив, считают эксперты.

Большинство из них приветствуют появление новых правил на строящейся дороге к цифровой экономике, но призывают сделать их эффективными.

Директор Российской ассоциации электронных коммуникаций Сергей Плуготаренко: «Российский рынок не готов к исполнению законов, регулирующих работу с Большими Данными»

Активную позицию заняли компании, оперирующие персональными данными миллионов своих клиентов. Это телекоммуникационные операторы и интернет-компании, опасающиеся излишней зарегулированности оборота данных со стороны государства. Ведь слишком жесткие правила вынудят их инвестировать избыточные средства в инфраструктуру обработки данных. Недавно «ВымпелКом», «МегаФон», МТС, «Ростелеком», Mail.Ru Group и «Яндекс» задумались о создании саморегулируемой организации под рабочим названием «Ассоциация Больших Данных». Представители перечисленных компаний уже ведут соответствующие переговоры. Они также выступают за открытость ассоциации для участников других отраслей – финансовой, страховой и пр.

Директор Российской ассоциации электронных коммуникаций Сергей Плуготаренко считает, что российский рынок не готов к исполнению законов, регулирующих работу с Большими Данными, в случае если они несут в себе какие-то новые ограничения. В интервью ТАСС он заявил, что обсуждать целесообразно лишь подходы к сбалансированному законодательству, стимулирующему переход к цифровой экономике и одновременно способному предотвращать негативные последствия от непрофессиональной или незаконной обработки Больших и персональных данных.

Для принятия таких сбалансированных правил необходим диалог между регулятором и отраслевым профессиональным сообществом. Это позволит заблаговременно донести до властей мнение бизнеса по вопросам регулирования Больших Данных, которые могут быть признаны персональными.

После того как Эдвард Сноуден рассказал миру, что трафик Интернета массово «прослушивается» спецслужбами, специалисты по безопасности начали призывать к тотальному шифрованию всей Всемирной паутины. С тех пор прошло четыре года, и похоже, переломный момент уже миновал.

Численность сайтов, поддерживающих HTTPS – передачу сообщений HTTP по соединениям, шифруемым с помощью протокола SSL/TLS, – за прошедший год резко выросла. Переход на шифрование имеет целый ряд преимуществ, так что если ваш сайт еще не поддерживает HTTPS, сейчас самое время переключиться.

По данным, собранным браузерами Google Chrome и Mozilla Firefox, сегодня шифруется больше половины трафика WWW – передаваемого как на компьютеры, так и на мобильные устройства. Основная его часть приходится на долю крупных сайтов, но все же по сравнению с предыдущим годом прирост составил более 10%.

А судя по результатам февральского исследования миллиона самых посещаемых сайтов, 20% из них поддерживают HTTPS, тогда как в августе прошлого года таковых было лишь 14%. Таким образом, менее чем за полгода произошел впечатляющий рост на 40%.

Ускорение перехода на HTTPS происходит по ряду причин. Часть прежних помех теперь преодолеть проще, уменьшились затраты и появились дополнительные стимулы, способствующие смене протокола.

Влияние на быстродействие сайта

Одно из традиционных сомнений по поводу HTTPS – мнение, что шифрование будет дополнительно нагружать сервер и замедлять загрузку страницы. Ведь шифрование обычно уменьшает быстродействие системы, значит, и HTTPS должен быть медленнее.

Но сегодня благодаря развитию серверного и клиентского программного обеспечения негативное влияние шифрования TLS на производительность будет пренебрежимо малым, если вообще будет.

После того как в 2010 году в Google перевели на HTTPS сервис Gmail, в компании отметили увеличение нагрузки на серверные процессоры на 1%, увеличение расхода памяти в расчете на соединение на 10 Кбайт и повышение сетевых накладных затрат менее чем на 2%. При этом не понадобилось ни дополнительных серверов, ни специализированного оборудования.

Но малозначительное влияние на серверную часть – это еще не все: просмотр сайта со включенным HTTPS на самом деле происходит быстрее. Причина в том, что современные браузеры поддерживают HTTP/2 – обновление для протокола HTTP, которое во многом улучшает характеристики быстродействия.

Хотя в официальной спецификации HTTP/2 шифрование не является обязательным, разработчики браузеров в своих реализациях протокола требуют обязательной криптографической защиты. Таким образом, если вы хотите, чтобы сайт стал загружаться у ваших пользователей значительно быстрее по HTTP/2, на нем необходимо включить HTTPS.

Денежный вопрос

Раньше серьезной преградой считались затраты на получение и возобновление цифровых сертификатов, необходимых для поддержки HTTPS, и неспроста. Во многих мелких компаниях и некоммерческих организациях воздерживались от перехода на HTTPS именно по этой причине, и даже в крупных корпорациях с большим числом сайтов и доменов могли из-за финансовых соображений сомневаться в необходимости внедрять протокол шифрования.

Но сегодня это уже не проблема, по крайней мере для сайтов, которым не нужны SSL-сертификаты высокой надежности (Extended Validation, EV). Появившийся в прошлом году некоммерческий удостоверяющий центр Let's Encrypt предоставляет SSL-сертификаты с проверкой домена (Domain Validation, DV) бесплатно и в рамках полностью автоматизированного процесса.

С точки зрения криптографии и уровня защищенности разницы между сертификатами DV и EV нет. Разница лишь в том, что для последнего требуется более строгая верификация запрашивающей организации и имя владельца отображается в адресной строке браузера рядом с индикатором защищенности сайта.

Бесплатные сертификаты TLS также предлагают своим клиентам некоторые операторы сетей доставки контента и провайдеры облачных сервисов, в том числе CloudFlare и Amazon. Сайты, хостинг которых осуществляется на платформе Wordpress.com, тоже по умолчанию доступны по HTTPS с бесплатными сертификатами, в том числе когда для них используются собственные домены.

Нет ничего хуже, чем плохая реализация

Когда-то браться за внедрение HTTPS было по-настоящему рискованно. Из-за плохой документации, поддержки слабых алгоритмов и библиотек шифрования, а также постоянного появления все новых видов атак была высока вероятность того, что установленная вами реализация HTTPS окажется уязвимой. А плохой HTTPS – это даже хуже, чем его отсутствие, поскольку он создает у пользователей ложное чувство защищенности.

Перечисленные проблемы сегодня частично решаются. Появились сайты вроде Qualys SSL Labs с бесплатной документацией по оптимальным методикам использования TLS, а также средства тестирования, позволяющие обнаруживать ошибки настроек и слабые места в существующих инсталляциях средств поддержки протокола. Есть онлайн-ресурсы по оптимизации характеристик TLS.

«Головная боль» из-за смешанного контента

Если HTTPS-сайт загружает внешние ресурсы – изображения, видеоролики и скрипты JavaScript по незашифрованным соединениям, то браузеры при его открытии будут выдавать предупреждения о небезопасном контенте. А поскольку многие сайты пользуются внешними средствами (например, системами комментирования, счетчиками посещений и переходов, рекламными платформами и т. п.), их веб-мастера нередко медлят с переходом на HTTPS из-за проблемы смешанного контента.

Однако в последние годы больше сторонних сервисов, в том числе рекламные сети, начали поддерживать HTTPS. Подтверждение того, что данная проблема уже не настолько актуальна, как когда-то, – переход большого числа медиасайтов на HTTPS, притом что многие из них зависят от рекламных доходов.

Веб-мастера могут найти незащищенные ресурсы на своих сайтах с помощью заголовка Content Security Policy, CSP. Обращения к таким ресурсам можно либо блокировать, либо переадресовывать на HTTPS на лету. Чтобы избежать проблем со смешанным контентом, можно также воспользоваться протоколом HTTP Strict Transport Security, HSTS.

Среди других возможностей – использование сервисов наподобие CloudFlare, действующих в качестве прокси между пользователем и тем веб-сервером, на котором размещен сайт. CloudFlare шифрует веб-трафик между конечным пользователем и своим прокси-сервером, даже когда соединение между ним и хостинг-провайдером не шифруется. Таким образом, защищается только половина маршрута, но это все равно лучше, чем ничего, и позволяет предотвратить перехват и вмешательство в трафик в сети вблизи пользователя.

HTTPS улучшает защищенность и укрепляет доверие

Одно из главных преимуществ HTTPS в том, что он защищает пользователей от атак «человек посередине» (man-in-the-middle, MitM), которые можно устраивать в скомпрометированных и незащищенных сетях. Взломщики пользуются методами MitM для хищения конфиденциальной информации и внедрения вредоносного контента в трафик WWW.

Более того, некоторые операторы зон доступа Wi-Fi и даже некоторые провайдеры Интернета пользуются методами MiTM для внедрения рекламных объявлений и различных сообщений в незашифрованный пользовательский веб-трафик. HTTPS позволяет предотвратить это – даже если внедряемый контент не является вредоносным, у пользователей может создаться впечатление, что этот контент является частью посещаемого ими сайта.

«Бойкот» в Google из-за отсутствия HTTPS

В 2014 году Google начала учитывать поддержку HTTPS при формировании результатов поиска: сайты, доступные по этому протоколу, получают преимущество. Влияние этого конкретного атрибута на позицию в результатах поиска сейчас незначительно, но в дальнейшем в Google планируют увеличить его вес для ускорения перехода на HTTPS.

Активно подталкивают к переключению на HTTPS и разработчики браузеров. Свежие версии Chrome и Firefox отображают предупреждения, когда пользователи пытаются вводить пароли или данные по кредитным картам на страницах, открытых по незащищенным соединениям.

В Chrome сайтам, не использующим HTTPS, запрещено использовать геолокацию, получать доступ к датчикам движения и ориентации, а также к кэшу приложений. Разработчики Chrome даже собираются со временем заставить браузер отображать индикатор «Небезопасный сайт» при открытии любых сайтов без шифрования.

Перспективы

«Мы уже проделали довольно большую работу, разъясняя, почему всем следует пользоваться HTTPS, – говорит Иван Ристич, бывший руководитель Qualys SSL Labs, автор книги «Пуленепробиваемые SSL и TLS». – Главное, что браузеры постоянно подталкивают владельцев сайтов переключаться благодаря предупреждениям и другим новшествам».

По словам Ристича, кое-какие помехи еще остаются, особенно когда сайту нужно работать с унаследованными системами и сторонними сервисами, еще не поддерживающими HTTPS. Но сегодня стимулов переходить на шифрование все же больше, и один из них – стремление не остаться в стороне от тенденции массового переключения на HTTPS.

Готовящийся к утверждению стандарт TLS 1.3, который еще на этапе черновика был реализован разработчиками Chrome и Firefox и активируется в них по умолчанию, дополнительно упростит освоение HTTPS. В новой версии протокола больше нет поддержки старых, незащищенных криптографических алгоритмов, а потому допустить ошибку, из-за которой конфигурация системы окажется уязвимой, станет гораздо труднее. Кроме того, TLS 1.3 существенно повышает быстродействие благодаря более простому механизму квитирования (Handshake).

Но имейте в виду: из-за того что HTTPS теперь прост во внедрении, им легче злоупотреблять, поэтому важно разъяснять пользователям, какие именно возможности технология обеспечивает, а какие – нет.

Люди обычно больше доверяют сайту, если видят изображение желтого «замочка», который служит в браузере указателем поддержки HTTPS. Но поскольку сертификаты сегодня можно получить легко, злоумышленники пользуются этим и создают вредоносные HTTPS-сайты.

Важно понимать, что присутствие «замка» и HTTPS на самом деле ничего не говорит ни о надежности сайта, ни о том, кто им владеет, подчеркивают эксперты по безопасности.

Организациям еще предстоит столкнуться со злоупотреблениями HTTPS, и им, скорее всего, придется начать инспектировать соответствующий трафик в локальных сетях, поскольку за зашифрованными соединениями может скрываться вредоносный код.

– Lucian Constantin. It's time to turn on HTTPS: the benefits are well worth the effort IDG News Service. March 14, 2017

— Александр Лямин, генеральный директор Qrator Labs

Третий лишний?!

Само по себе наличие шифрования не дает гарантии конфиденциальности. Исключительно важны еще и практики его применения, аутентификации сторон и способов обмена ключами и сертификатами. По незнанию это часто превращается в «Театр безопасности» (когда целью проводимых мероприятий заявляется повышение безопасности, но по факту не делается ничего для ее достижения — Прим. ред.).

И в качестве примера можно привести Keyless SSL Cloudflare с последующей массивной утечкой п ользовательских критичных данных: Cloudflare изобретал новый способ сделать SSL «безопасней» — Keyless SSL, но в итоге огромный массив пользовательских данных утек в сеть, потому что шифрование и безопасность могут быть только сквозными. В противном случае возникают риски, которые в данном случае и реализовались.

— Алексей Лукацкий, бизнес-консультант по безопасности, Cisco

Может ли переход к HTTPS обусловить возникновение новых (сопутствующих) рисков ИБ для предприятий и организаций? Какие это риски?

Рекомендация перейти на HTTPS (и обязательно на старшие версии TLS, а не на уязвимый SSL) полезна, но у шифрования есть и другая сторона.

Шифрование создает иллюзию защищенности, когда все внимание уделяют шифрованию в канале передачи данных, но совершенно забывают про шифрование данных в местах их хранения. Очень часто злоумышленники крадут ценные данные именно в процессе их хранения, а не передачи. Спецслужбы, о которых говорил (и о которых умолчал) Сноуден, тоже получают доступ к интересующим их данным не в процессе передачи через Интернет, а в процессе хранения на серверах, находящихся в юрисдикции спецслужб.

К тому же шифрованием стали активно пользоваться и злоумышленники, скрывая свою деятельность от мониторинга или просто в недобрых целях (например, шифровальщики TeslaCrypt или CryptoWall). Контролировать такие шифрованные потоки информации очень сложно.

— Андрей Янкин, руководитель отдела консалтинга центра информационной безопасности компании «Инфосистемы Джет»

Как соотносится с политикой импортозамещения переход российских организаций к использованию зарубежных алгоритмов шифрования HTTPS и услуг удостоверяющих центров? Какие риски для отечественных предприятий могут возникать в связи с этим?

То, что данные в Интернете все еще передаются в открытом виде — архаизм родом из 1980-х годов. Затянувшийся переход на IPv6 не позволил решить этот вопрос на уровне глобальной архитектуры Сети. Поэтому инициативы крупных игроков, таких как Google, по распространению HTTPS — очень важны. Миллионы владельцев сайтов, обрабатывающих персональные данные, финансовые транзакции и другую конфиденциальную информацию, настолько далеки от мира информационной безопасности, что «инициативы снизу» тут ожидать не приходится.

Однако, как и любая технология, шифрование порой из спасителя превращается в убийцу. Несмотря на существующее мнение, что серьезные затраты на получение и возобновление цифровых сертификатов, необходимых для поддержки HTTPS ушли в прошлое, шифрование остается ресурсоемкой операцией, которая для обычного веб-ресурса, не связанного с колоссальными объемами вычислений, характерных для Google, на порядок превосходит заявленный 1% дополнительных процессорных мощностей. В нашей практике был случай многоступенчатой DDoS-атаки на сайт финансового учреждения (мы проводили работы в банке и оперативно подключились к отражению нападения). Несколько волн атак были отбиты, но в итоге злоумышленники направили на сайт вал запросов от устройств Интернета вещей, которые настолько перегрузили сервера терминации SSL, что сайт перестал отвечать легитимным пользователям. В итоге удалось «закидать шапками» DDoS. То есть перевести значительные виртуальные мощности других боевых информационных систем на обслуживание шифрования HTTPS. Риски такого характера стоит учитывать еще на уровне проектирования систем.

Что же касается использования российских криптоалгоритмов на сайтах для широкого круга пользователей, то пока что оно затруднено из-за отсутствия в распространенных ОС криптобиблиотек, реализующих российскую криптографию. Даже сайты госуслуг используют западную криптографию, потому что в противном случае каждому пользователю пришлось бы устанавливать специализированное ПО, возникли бы проблемы при открытии сайтов с мобильных устройств и т.п. Потенциально, конечно, возможны проблемы. Но предложение на этом рынке столь велико, что до сих пор проблем не возникало. В конце концов, при худших сценариях можно использовать российский корневой удостоверяющий центр и предлагать добавить его в доверенные российским пользователям. Это будет проще, чем переходить на российскую криптографию.

Если говорить о возможном наличии «закладок» в иностранных криптобиблиотеках, используемых для организации HTTPS, то эти риски государство пока, видимо, готово принимать для областей, не связанных с защитой государственных секретов. Для рядовых «гражданских» сайтов эта проблема стоит еще менее остро.

Незащищенные филиалы

Блестящий облик штаб-квартиры компании, оборудованной самыми современными компьютерами, вполне подходит на роль привлекательной рекламной картинки вашего корпоративного сайта. Но все мы знаем, что большая часть повседневной работы крупных организаций выполняется в удаленных филиалах – маленьких, плохо оснащенных и недоукомплектованных. Кроме того, многие сотрудники с удовольствием используют Интернет для работы из дома. Зачастую такие удаленные работники становятся причиной нешуточной головной боли для технических специалистов, отвечающих за безопасность активов компании. Попытаемся прояснить возникающие сегодня угрозы и возможные пути их устранения.

Домашним офисам требуется помощь

Домашний офис – настоящее минное поле с точки зрения безопасности. Подключенные домашние устройства контролируются в гораздо меньшей степени. Поэтому у каждой организации должны быть политики, процедуры и инструкции по использованию корпоративных ресурсов за пределами офиса.

Часто уязвимым местом для атаки становится скромный домашний маршрутизатор. Пользователям необходимо сменить присваиваемое по умолчанию имя admin, задать надежный пароль и контролировать своевременное обновление прошивки маршрутизатора. А организациям следует поощрять удаленных работников, следящих за безопасностью своих маршрутизаторов.

Ваши устройства могут вас подвести

Впрочем, в обновлении нуждаются не только маршрутизаторы: любое домашнее устройство может стать лазейкой для желающих проникнуть в рабочую машину, если вы принесете ее домой.

«Однажды я беседовал с сотрудником морской полиции, который расследовал взлом ноутбука одного морского офицера через портативный компьютер его дочери», – признался Эндрю Хей, возглавляющий в компании DataGravity ИТ-службу и службу безопасности.

Опасности маленького офиса

Но если большинству людей понятно, что дома нужно принимать соответствующие меры предосторожности, то сотрудникам филиалов и удаленных офисов угрожает гораздо более серьезная опасность – ведь люди полагают, что находятся «на работе», а значит, защищены. В действительности же все обстоит совсем не так. «Конечно, корпоративная ИТ-служба должна следить за всем, что происходит в офисе, но в большой сети такой контроль может оказаться весьма проблематичным, не говоря уже об удаленных филиалах», – подчеркнул руководитель направления глобальных угроз компании Trend Micro Джон Клэй.

Во многих случаях филиалы оказываются брошенными на произвол судьбы: у подавляющего числа крупных предприятий имеются отличные решения и специалисты, следящие за их большими сетями, что же касается филиалов, то их оснащение ограничено брандмауэрами и антивирусным программным обеспечением.

Дилемма персонала

Проблема укомплектованности небольших офисов заключается в том, что от технических специалистов на местах требуется умение работать самостоятельно и без какого-либо присмотра. То есть фактически человек, занимающийся поддержкой небольшого офиса, принимает на себя еще и функции руководителя. А это приводит к неэффективным затратам времени с точки зрения технического специалиста, может вызвать недовольство и работодателя, и сотрудника и стать причиной текучки кадров на данной позиции, может также появиться ощущение, что сотрудники вымогают завышенную зарплату.

Пренебрежение безопасностью

«В результате мерами безопасности многие начинают пренебрегать, – заметил Джошуа Крамбо, директор компании PeopleSec, которая занимается проверкой в филиалах персональной, физической и кибербезопасности и зачастую обнаруживает ее несоответствие принятым стандартам. – Компьютеры в удаленных филиалах защищены, как правило, хуже, чем в штаб-квартире. Не раз мне приходилось наблюдать отсутствие защиты BIOS, повторное использование паролей локального администратора и размещение сетевых разъемов в местах общего пользования».

Но и это еще не все. «Физической безопасности здесь уделяют меньше внимания, чем в головном офисе, – добавил Крамбо. – Для атакующего не составляет никакого труда зайти в помещение и подключиться к сетевому оборудованию. Я лично много раз приходил в удаленные филиалы и подключался к их локальной сети без какого-либо разрешения».

Централизованное управление

Чтобы навести порядок, необходимо использовать программное обеспечение, позволяющее контролировать ситуацию и внедрять политики безопасности удаленно. ИТ-службам рекомендуется выбирать решения, управляемые централизованно и поддерживающие типовые шаблоны, поскольку тогда упрощаются настройка конфигурации и безошибочное развертывание соответствующих средств на всех узлах. Кроме того, это облегчает своевременное обновление компонентов безопасности и их администрирование.

Повседневная поддержка сетей филиалов предполагает наличие не только удаленного доступа, но и автоматизации. Автоматизируя как можно больше процессов и выстраивая инфраструктуру, позволяющую осуществлять удаленную настройку конфигурации, вы сможете следить за всем, что происходит в филиалах.

Машинный контроль

Внешнее управление и интеллектуальные системы мониторинга, осуществляющие контроль за сетевым оборудованием, заметно укрепляют безопасность сетей филиалов даже при отсутствии там технического персонала. То же самое относится и к физической инфраструктуре.

Интеллектуальные системы управления используют массив датчиков, защищающих удаленные сети от несанкционированного проникновения, от природных и техногенных катастроф. Сигнал тревоги подается при открытии дверей и в случаях, когда возникает риск затопления оборудования. Большинство предприятий захотят, очевидно, добавить к этому автоматическое управление энергоснабжением и переадресацию в случае чрезмерного повышения температуры, влажности и при наличии других факторов риска.

Мобильная автоматизация

Аналогичным образом централизованное управление и автоматизацию следует применять и к мобильным устройствам. Обычно такие средства следят за тем, какие приложения устанавливаются на устройстве, и могут при необходимости блокировать установку программного обеспечения, тем самым защищая устройства.

Вы можете обучить персонал всему, что сочтете нужным, внедрить на местах необходимые политики и процедуры, но без удаленного контроля и управления мобильными устройствами компании риск возникновения слабого звена, открывающего возможность к совершению вредоносных действий в корпоративной сети, остается слишком высок.

Хранение данных в целости и безопасности

Помимо автоматизации, эксперты предлагают использовать целый ряд специальных технологий, обеспечивающих безопасность удаленной работы. И особое значение они придают шифрованию связи: «Дистанционная работа несет в себе определенные риски, поскольку вам приходится искать способы подключения к домашней системе. И такая точка подключения становится еще одним слабым звеном».

Облачные решения и приложения очень часто используются для связи удаленных офисов с корпоративной системой, но это порождает целый клубок проблем с безопасностью. Поэтому организациям необходимо иметь план восстановления данных SaaS с использованием решений автоматического резервного копирования, предлагаемых независимыми игроками.

Облако средств безопасности

У облачных сервисов тоже имеются уязвимые места, но существуют сетевые и облачные инструменты, помогающие блокировать атаки. Предприятиям нужно перестать использовать только те средства, которые развернуты на их собственной территории. Конечно, выход за рамки физического брандмауэра сопряжен с определенными рисками, но, когда компания перемещает межсетевой экран в сеть, в облако, у нее появляется возможность защищать корпоративные активы вне зависимости от того, где находятся ее сотрудники.

Интеграция функций безопасности с сетями филиалов – использование элементов SD-Security, встроенных в SD-WAN, – позволяет значительно улучшить управление и разгрузить сотрудников ИТ-службы.

Проблемы вне технической сферы

Технические решения – далеко не единственный и даже не лучший способ поддержания безопасности. Нужно понимать, что филиалы находятся в невыгодном положении. «Если официальная связь поддерживается через систему онлайн-обучения независимо от конкретного местоположения, то формально можно рапортовать о прохождении обучения всеми сотрудниками, – указал Том Пендергаст, разрабатывающий в компании MediaPro стратегию в области безопасности, конфиденциальности и соблюдения нормативных требований. – Но есть ведь еще и неформальная сторона: обсуждение недавних фишинговых атак, нового видео об Интернете вещей, а также личное общение с руководством и ИТ-специалистами. Всего этого филиалы лишены».

Кто там на земле?

Присутствие в филиале человека, имеющего в своем послужном списке упоминание о кибербезопасности, помогает повысить общую культуру безопасности организации даже при отсутствии на местах соответствующих ИТ-специалистов, работающих полный рабочий день.

Закрепление функций приема и установки средств безопасности за сотрудником филиала может оказаться весьма полезным. Причем сотрудник не обязательно должен быть ИТ-специалистом. Это может быть офис-менеджер или представитель каких-то других подразделений – продаж, маркетинга, поддержки клиентов и т. д. Подготовка соответствующих средств в этом случае проводится в центральном офисе, а их развертывание на месте выполняется человеком, о котором только что шла речь.

***

В конечном итоге риски, связанные с удаленными офисами, должны заставить персонал ИТ-службы сосредоточиться на поставленных целях. Профессионалам в области безопасности нужно обеспечить сохранность активов компании, а для этого им следует поменьше думать о домашней среде и сконцентрироваться на оконечных узлах подключения к корпоративной сети.

Риски компьютерной безопасности касаются каждого конечного пользователя и не зависят от применяемых ими систем. Ваш персонал может подключаться к корпоративной системе из разных мест. Задача заключается в том, чтобы обеспечить безопасность взаимодействия между вашими системами и всеми авторизованными и неавторизованными оконечными узлами, через которые происходит регистрация. В большинстве случаев в удаленных офисах не появляются существенные новые риски, а лишь акцентируются уже существующие, связанные с облаком.

– Josh Fruhlinger.How to keep branch offices as secure as corporate HQ. CSO. January 23, 2017

Как и в предыдущие годы, инцидентов с утечками данных в 2016-м было с лихвой. Специалисты Information Security Forum, международной ассоциации по вопросам кибербезопасности и управления информационными рисками, опубликовали свой прогноз главных тенденций в области информационной безопасности на 2017 год.

«Прошедший год определенно «оправдал ожидания», – признает Стив Дербин, управляющий директор ISF. – Была масса разнообразных утечек, одна другой крупнее, мы буквально не успевали перевести дух. Мы всегда готовы к чему-то подобному, но реальные масштабы спрогнозировать никогда не удается».

Как полагают в ISF, нынешний год будут характеризовать следующие четыре тенденции в области угроз безопасности: неконтролируемые риски, связанные с Интернетом вещей и распространением сетевых соединений; стремительный рост «киберпреступлений в виде сервиса» – предоставления цифровых «услуг» криминальными синдикатами; рост правовых рисков, связанных с необходимостью выполнять новые нормативные акты; хакерские атаки все чаще будут направлены на подрыв репутации брендов и доверия к ним.

Темпы развития и масштабы кибератак продолжают расти, создавая угрозу целостности и репутации организаций, отмечают в ISF. В 2017 году ландшафт угроз станет более сложным – атаки будут целенаправленными, чтобы бить по уязвимым местам конкретной цели с учетом имеющихся средств защиты. Киберпространство сегодня – непаханое поле возможностей для хакеров-активистов, террористов и прочих представителей криминалитета, готовых сеять хаос, мошенничать, красть информацию, разрушать корпорации и свергать правительства. Поэтому необходимо готовиться к нападениям, заручившись надежными сведениями о ландшафте угроз. Только будучи тщательно подготовленными, организации всех размеров смогут справляться с непредвиденными инцидентами безопасности любого масштаба.

Тенденции из четверки, обозначенной ISF, – не взаимоисключающие. Они могут комбинироваться, порождая еще более серьезные угрозы.

Всеобщая «соединенность» и Интернет вещей создают неконтролируемые риски

На подходе – гигабитные мобильные соединения, с появлением которых начнут стремительно развиваться Интернет вещей и новые классы приложений, обрабатывающих огромные объемы данных о местонахождении, погоде, работе промышленного оборудования и т. п. Поскольку сетевые соединения сегодня обходятся дешево и широко распространены, появилась возможность повсеместно размещать датчики – формируется глобальная экосистема встроенной электроники, которую практически невозможно полноценно защитить.

Проблемы, связанные с приватностью и доступом к данным, – не единственные следствия: экспоненциально вырастет ландшафт вероятных угроз.

В нынешнем году необходимо открыть глаза на новые опасности, подчеркивают в ISF. Речь идет о повсеместных устройствах для сбора информации, в которых изначально не предусматривались защитные механизмы. Некоторые из них можно взломать относительно легко. На сегодня уже были попытки, в частности в США, убедить производителей предусматривать в подобных системах какую-либо защиту, но мешают, во-первых, проблема затрат, во-вторых, сам факт того, что такие устройства специально предназначены для соединения с сетями.

Во многих организациях не представляют себе современных масштабов применения устройств с выходом в Интернет и внедряют решения Интернета вещей без должных мер безопасности и управления рисками. Разумеется, никто не ведет речь о том, что организациям нужно вообще отказаться от таких решений, но следует знать, где именно используются соединенные устройства и к каким данным у них есть доступ, чтобы принимать соответствующие меры безопасности.

Беспокойство прежде всего вызывает критически важная инфраструктура. Если говорить о технике «умных» городов, системах управления производственными процессами и т. д. – все они базируются на Интернете вещей. Нужно понимать, какие возможные последствия это влечет. Целиком все защитить невозможно, но и избавляться от встроенных систем не нужно. Необходимо внедрить средства безопасности, которые позволят реагировать и сдерживать как можно больше угроз. Нужно реалистично взглянуть на доступные возможности в области управления применением устройств Интернета вещей.

«Киберпреступления в виде сервиса» от криминальных синдикатов набирают рост

Уже несколько лет преступные синдикаты работают подобно стартапам. И, как другие успешные стартапы, они становятся более зрелыми и расширяют свои возможности. В наступившем году появятся еще более сложные преступные иерархии, партнерства и иные структуры по аналогии с корпоративным миром. Будет происходить диверсификация – освоение новых рынков и превращение киберпреступной деятельности в ходовой товар во всем мире.

«Мы с самого начала говорим о киберпреступности как о предприятиях, стартапах, – указывает Дербин. – Сейчас происходит их взросление. Они переместились из «гаражей» в офисные здания с типичной корпоративной инфраструктурой. Они приобрели невероятное мастерство в областях, где мы не справляемся, – взаимодействие, обмен информацией, сотрудничество с партнерами для восполнения пробелов в своих умениях».

У киберпреступников уже давно есть заказчики. Некоторые организации, предоставляющие эти услуги, выросли из традиционных криминальных структур, другие занимаются исключительно киберпреступлениями, специализируясь в различных областях – от написания вредоносов до хостинга, тестирования, оказания курьерских услуг и т. д.

Их интересуют любые способы получения прибыли, в том числе путем кражи интеллектуальной собственности или личных данных, констатируют в ISF. Если на какую-то информацию есть спрос, ее будут собирать.

К услугам киберкриминала могут прибегать даже правительства, и в ISF предвидят, что вследствие этой тенденции инциденты безопасности станут более частыми и разрушительными, чем раньше.

Новые законы создают правовые риски

В ISF уверены, что объемы скомпрометированных и похищенных данных в 2017 году вырастут. Сегодня утечки начинают обходиться организациям всех размеров гораздо дороже – нужно тратиться как на очистку сетей и оповещение клиентов, так и на судебные разбирательства с участием партнеров пострадавшей компании.

Под давлением общественного мнения правительства начнут вводить более строгие законы о защите данных, что приведет к новым, непредвиденным издержкам.

Доверие и репутация бренда становятся мишенями атак

В нынешнем году объектами кибератак будут становиться не только личные данные, под угрозой также конфиденциальная информация компаний и критически важная инфраструктура. Влияние новой тенденции на организацию будет зависеть от способности ее специалистов распознавать угрозы безопасности и принимать контрмеры.

Атаки станут более организованными и изощренными, риски для репутации компаний вырастут, подчеркивают в ISF. Мишенями киберпреступников и хакеров-активистов станут репутация брендов и доверие клиентов, партнеров и поставщиков. Ставки поднимутся, речь уже идет не только о краже персональной информации. Регулярными станут атаки на тщательно охраняемые секреты компаний и критически важную инфраструктуру.

Специалисты сходятся во мнении, что самым слабым звеном систем информационной безопасности в организациях остаются люди, но эту ситуацию можно изменить. Люди могут стать самой мощной силой контроля безопасности, уверены в ISF, но для этого придется переосмыслить отношение к защите информации и принципы соответствующего обучения.

Нужно не просто разъяснять сотрудникам обязанности по обеспечению безопасности и реагированию на инциденты – надо добиваться того, чтобы в привычку вошло осмысление вероятных последствий для безопасности практически всех действий работника.

Сегодня пора осознать тот факт, что люди могут перестать быть самым слабым звеном в цепочке обеспечения безопасности, объясняют в ISF. Они могут, напротив, стать самым сильным звеном, если обеспечить более полное понимание принципов использования ИТ людьми, психологии поведения человека.

Чтобы добиться желаемого, нужно знать всевозможные риски, с которыми сталкиваются сотрудники различных уровней, и адаптировать рабочие процессы, внедрив в них соответствующие процедуры обеспечения безопасности, заключают в ISF.

– Thor Olavsrud. 4 information security threats that will dominate 2017. CIO. December 29, 2016

Вы завалены работой? Это еще цветочки: в нынешнем году забот у ИТ-специалистов станет куда больше, когда широкое применение получат блокчейн, Интернет вещей, а также приложения дополненной и виртуальной реальности.

Интернет вещей – теперь всерьез

Возможно, «год реального запуска рынка Интернета вещей» кто-то все еще считает традиционной отраслевой шуткой, вроде «победы Linux на настольных компьютерах» или «абсолютной защищенности Java». Но, так или иначе, 2017-й действительно способен стать годом, когда маркетинговый ажиотаж вокруг Интернета вещей утихнет, сменившись реальным развитием рынка.

Идея «соединенных» устройств – вещей, которые исторически не имели соединения с Интернетом, а потом обзавелись такой функцией, далеко не нова. Но ее нынешние применения – умные автомобили, дома и радикальная оптимизация управления промышленными процессами – являются по-настоящему революционными, заставляющими поверить, что будущее уже на пороге.

Главной проблемой еще с тех времен, когда Интернет вещей был только замыслом, остается безопасность. Общепринятых стандартов защиты устройств Интернета вещей пока практически нет, хотя кандидатов хоть отбавляй, и производители, похоже, не стараются заботиться о безопасности соединенных вещей, так же как и более традиционных оконечных устройств вроде ноутбуков и смартфонов.

Естественно, безопасность от этого серьезно страдает. Пусть даже взломанное устройство Интернета вещей само по себе большой угрозы не представляет, его весьма просто подключить к огромному ботнету, что недавно продемонстрировали создатели зомби-сети Mirai, в которую объединили цифровые видеорегистраторы, камеры наблюдения и другие слабозащищенные IoT-устройства. Эта армия ботов сумела обеспечить перебои с доступом к Интернету по всем Соединенным Штатам путем атаки на регистратора доменных имен Dyn.

Для предотвращения подобных инцидентов нужно решить непростые задачи, отмечает аналитик Зевс Керравала: «Для защиты IoT необходимы развитые средства контроля сетевого доступа, действующие в режиме реального времени системы слежения за работой приложений, механизмы защищенной аутентификации наподобие PPSK, поддержка детализированных политик безопасности для граничных устройств, а также интегрированные инструменты отчетности и мониторинга».

Аналитики Forrester Research прогнозируют, что в 2017 году будут скомпрометированы более 1,5 млн устройств Интернета вещей.

Интернет вещей – как платформа для множества новых технологий или как инструмент совершения новых разрушительных кибератак – неизбежно «встряхнет» индустрию ИТ.

Читайте далее: Бурное развитие дополненной и виртуальной реальности

Нынешний год принес настоящий шквал инцидентов, связанных с информационной безопасностью, – от массового фишинга с использованием налоговой информации, брешей в WordPress, компрометации корпоративной электронной почты и DDoS-атак до подозрений во «взломе» президентских выборов.

При этом нет оснований полагать, что в 2017-м ситуация улучшится – все может стать только хуже с учетом того, что злоумышленники продолжают развивать навыки социальной инженерии, находят новые способы подсовывать вредоносы, взламывать уязвимые базы данных и с помощью мобильных технологий проникать в корпоративные сети и аккаунты частных лиц.

Своими прогнозами на 2017 год поделились два эксперта по кибербезопасности – Мэтт Диркс, глава компании Bomgar, создавшей ПО удаленного администрирования, и Скотт Миллис, директор по технологиям компании Cyber adAPT, поставляющей защитные средства для мобильных устройств.

Также мы попросили поделиться своими прогнозами представителей известных российских компаний из сферы информационной безопасности.

1. Пароли «повзрослеют»

DDoS-атака, поразившая внушительную часть Интернета во второй половине октября, стала возможной из-за того, что на устройствах Интернета вещей не меняли пароли, установленные по умолчанию. Чем и воспользовались взломщики. Не надейтесь, что вы защищены: подумайте, сколько пользователей в вашей организации могут иметь простые, расхожие или давно не менявшиеся пароли! В 2017 году вырастет популярность надежных сервисов управления паролями, поскольку в компаниях наконец осознают, насколько велика вероятность взлома.

Пока ненадежные пароли остаются нормой, у экспертов по ИТ-безопасности будут сложности с защитой критически важной инфраструктуры, «соединенных» устройств и систем с удаленным доступом, причем проблема не только во внешних угрозах.

Более эффективное управление паролями поможет и в борьбе со злоумышленниками-инсайдерами. Оптимальный способ – внедрить решение, которое будет защищенно хранить пароли так, что они останутся неизвестными самим пользователям, и регулярно выполнять проверку и ротацию.

«Речь идет о службах хранения учетных данных, – поясняет Диркс. – В идеале пользователь вообще не будет знать свой пароль – он автоматически создается таким сервисом и каждую неделю меняется. Хакеры прежде всего рассчитывают на человеческую лень и небрежность. Если им серьезно затруднить задачу подбора пароля, они скорее выберут другую мишень, а не будут тратить силы на взлом более сложной защиты».

2. Будет усилена защита привилегированных пользователей

Хакерам нужен доступ с большим числом полномочий, поэтому они чаще пытаются получить верительные данные привилегированных пользователей – сисадминов, глав компаний, поставщиков систем. Сегодня средств безопасности, защищающих важнейшие для бизнеса компании системы, приложения и данные, уже недостаточно. В 2017 году в организациях начнут надежнее защищать не только системы, но и самих привилегированных пользователей – их «поставят на учет», будут следить за их действиями и блокировать доступ к системам, которые им не требуются для работы.

«У нас были клиенты, которые полагали, что достаточно предоставить пользователям и внешним поставщикам доступ по VPN – и проблема защиты решена, – говорит Диркс. – При этом их не волновало, к каким ресурсам могли обращаться пользователи по VPN. Управление привилегиями – это как лифт, на котором вы можете попадать только на определенные этажи в зависимости от своего уровня доступа. Система управления привилегиями жестко ограничит вас в возможностях, особенно если вы пытаетесь что-то взломать. Если у меня есть действующий пароль и мои права позволяют попасть на первый и седьмой этаж, а я нажимаю кнопку “6”, система не только заблокирует действие, но и предупредит кого следует».

Проблему не решить без участия поставщиков услуг обучения – от них требуется подробно разъяснить все опасности, особенно с учетом роста численности мобильных сотрудников, которые нередко ради удобства доступа готовы принести в жертву приватность и личные данные, полагая, что об их безопасности позаботятся провайдеры сторонних сервисов и разработчики приложений.

«Поколение “цифровых аборигенов” с легкостью отдает личные данные в обмен на доступ к приложениям, услугам связи, информации, чем, естественно, пользуются злоумышленники, – предостерегает Диркс. – Пользователи готовы довериться разработчикам приложений и операторам сервисов, считая себя защищенными. Добавьте сюда нехватку навыков и дефицит специалистов по безопасности, массовый переход на мобильные приложения, стремительное развитие методов взлома – и катастрофа не за горами. По нашему прогнозу, прежде чем положение начнет исправляться, все станет еще хуже».

3. Продолжатся поиски виноватого

«Пугающая тенденция, которую мы наблюдаем, – пользователи уже не ставят под сомнение то, что атака произойдет, они лишь задаются вопросом, когда это случится, – говорит Диркс. – По сути, они как будто сдаются на милость нападающих, смиряясь с тем, что их побьют, и при этом лишь интересуются, насколько сильно. Меня это просто ужасает».

С распространением Интернета вещей и все более широким использованием сервисов безопасности станет сложнее выявлять ответственных за брешь и источник нарушения безопасности. Кто именно отвечает за защиту, сопровождение и обновление различных технологий? Еще хуже, когда к внутренним системам подключают уязвимый продукт, для которого вообще не предусмотрен механизм устранения ошибок. А о защите некоторых устройств Интернета вещей не заботятся, так как это просто никому не приходит в голову.

«С внедрением устройств Интернета вещей, средств автоматизации и облачных сервисов становится непонятным, кто именно отвечает за безопасность всех этих разнородных систем: производитель устройства Интернета вещей, поставщик услуг безопасности, внутренний отдел ИТ, конечные пользователи? – продолжил Диркс. – Вы защищены лишь настолько, насколько защищено ваше самое уязвимое устройство или соединение».

Когда безопасность нарушается, в том числе с прорывом через несколько уровней защиты, вопрос о том, кто несет за это ответственность и кто должен принимать контрмеры, неизбежно вызовет жаркие дебаты и приведет к перекладыванию вины.

Избежать поиска козла отпущения можно, если обеспечить открытый обмен информацией между ИТ- и бизнес-руководителями, чтобы последние были в курсе возможных угроз, способов защиты, а также сложностей и ограничений, имеющихся в организации.

«Отчасти проблема в том, что директора по безопасности и даже ИТ-директора – любые руководители, отвечающие за киберзащиту, – либо “невидимы”, когда делают свою работу хорошо, либо сразу оказываются под огнем, – добавляет Диркс. – Подготовив оптимальные политики, процедуры и меры безопасности, вы можете оставить их внедрение отделу ИТ. Но, если они оказываются неэффективными, поскольку вы не понимаете потребностей бизнеса, бюджетных ограничений и требований, пользы от вас никакой».

4. Вырастет лавина программ-вымогателей

Начиная с 1 января 2016 года в подразделении Security Response корпорации Symantec регистрируют в среднем по 4 тыс. атак программ-вымогателей в день, это на 300% больше, чем в 2015-м, судя по отчету Symantec Internet Security Threat Report 2016.

В большинстве организаций, чтобы оградить себя от таких угроз, пользуются защитными системами с низкими накладными расходами – межсетевыми экранами и антивирусами или системами предотвращения вторжений. Но этих инструментов недостаточно, и нынешние показатели нарушений безопасности говорят о том, что механизмы распознавания и реагирования на инциденты нуждаются в улучшении.

С учетом того, что атакующие активно пользуются социальной инженерией и социальными сетями, чтобы компрометировать пользователей на ответственных должностях и таким образом добираться до данных, потребность во всестороннем обучении по теме безопасности сегодня как никогда актуальна.

«Если в политиках и технологиях безопасности не учитывать эти векторы атаки, программы-вымогатели продолжат просачиваться в сети, – говорит Миллис. – Также могут быть сложности с распознаванием. Атакующий может находиться в корпоративной сети месяцами, переходя окольными путями от среды к среде, а если у вас системы защиты сети, периферии, оконечных устройств и данных изолированы друг от друга, это может ограничивать возможности распознавать сложные атаки, предотвращать их и вовремя на них реагировать».

Можно добавить, что такие поверхности атаки, как инфраструктура и платформы в виде сервиса, а также Интернет вещей, еще достаточно новы, а потому в организациях не успели определиться с оптимальными способами их защиты.

5. «Время опоздания» сильно не изменится

Время опоздания – временной промежуток между успешной атакой и ее обнаружением жертвой – в 2017 году меньшим не станет. В экстремальных случаях время опоздания может достигать двух лет и стоить компании миллионных потерь.

Почему так долго? Ответ до неприятного простой: распознаванию признаков уже идущей атаки не уделяется достаточного внимания. Когда наступила эпоха вредоносов, поставщики систем безопасности и их заказчики справедливо задались целью не допустить злоумышленников в сеть, и целая отрасль быстро сфокусировалась на двух основных задачах: «глубокая оборона», или создание многоуровневой защиты, максимально затрудняющей проникновение извне, и «распознавание вредоносов», проявившееся в своего рода гонке вооружений по созданию механизмов стопроцентно надежного распознавания.

Технологии реагирования и восстановления совершенствовались, благодаря чему появилась возможность устранять повреждения очень быстро. Но эти технологии не помогают сократить время опоздания, если, конечно, при ликвидации атаки не находят еще какие-то вредоносы или случайно не наталкиваются на аномалии.

Сегодня специалисты по безопасности пользуются протоколами работы сетевых устройств для поиска свидетельств атаки, но хранение и обработка гигантских объемов информации, которые для этого нужны, – дороги и неэффективны.

«Потребность в огромных хранилищах данных и мощных аналитических движках породила индустрию средств управления информацией и событиями безопасности (SIEM), – говорит Миллис. – SIEM – отличный инструмент проведения экспертизы постфактум, но для идентификации уже происходящей атаки он неэффективен. Сейчас мы и еще некоторые компании разрабатываем продукты, специально предназначенные для анализа сетевого трафика в чистом виде, чтобы выявить признаки атаки. Если атакующих можно будет находить максимально быстро после того, как они преодолели периферийную защиту или обошли ее, будучи инсайдерами, то время опоздания радикально сократится».

6. Мобильные устройства будут становиться точкой входа все чаще

В 2017 году как минимум один крупный прорыв безопасности на предприятиях будет совершен с использованием мобильных устройств, а скорее всего, таких инцидентов будет больше. Согласно докладу Ponemon Institute, экономический риск от мобильных утечек данных для предприятия может достигать десятков миллионов долларов, и 67% организаций, участвовавших в опросе, сообщили о случаях утечки, ставшей следствием использования служащими мобильных устройств для доступа к конфиденциальной информации компании.

Люди и их мобильные устройства сегодня перемещаются слишком много и слишком быстро, поэтому стратегии ИТ-безопасности старого образца перестают быть столь эффективными. К тому же обладатели мобильных устройств считают, что вольны делать на них что угодно, чем, естественно, пользуются злоумышленники.

«Многие пользователи полагают, что смогут сохранить приватность, имея постоянный защищенный доступ одновременно к корпоративным и личным сервисам, – делится Миллис. – И к тому же многие убеждены в том, что это не они виноваты в нарушениях безопасности. Если они могут обойти “безопасность” ради своего удобства, они это сделают. Директора по ИТ, по безопасности и главы компаний признают: подобное отношение – серьезное препятствие для осуществления корпоративных стратегий безопасности, которое нельзя преодолеть, передавая электронную почту и данные календарей по SSL на единственную санкционированную компанией платформу».

Могут возникнуть сложности из-за мобильных платежей. Сервис «платежа по селфи» MasterCard и система Intel TrueKey – это только верхушка айсберга. Биометрическую информацию нужно защищать так же тщательно, как финансовые и личные данные. Чтобы внушить эту мысль, нужны обучение и инструктаж.

«Неплохо было бы, если бы операторы Wi-Fi выводили на экран что-то вроде предупреждения, которое есть на сигаретных пачках, – полагает Миллис. – Скажем, такого типа: “Внимание! Данное общедоступное соединение не защищено, и информация, которой вы по нему обмениваетесь, может быть перехвачена и использована злоумышленниками для хищения ваших активов, личных данных и приватных сведений”».

7. Интернет угроз?

Атак, совершаемых с использованием уязвимостей Интернета вещей, будет становиться все больше, в связи с чем будет расти потребность в стандартах различных мер безопасности. В 2016 году специалисты по безопасности сообщили о 47 найденных ими новых уязвимостях в 23 устройствах 21 производителя.

Можно еще раз напомнить о массированной DDoS-атаке, совершенной в октябре 2016 года на крупнейшие сайты мира, включая Twitter, Netflix, Reddit и сайты британского правительства, которая была организована с помощью ботнета Mirai из незащищенных устройств Интернета вещей.

«Сегодня много говорят о распространении “умных” устройств как о свидетельстве роста влияния Интернета вещей, – отмечает Диркс. – Но, если устройство может соединяться с сетью, это еще не делает его “умным”. Многие из них сделаны предельно простыми, по принципу “включил и забыл”, а у каких-то есть встроенные функции, о которых пользователь даже может не знать, как у маршрутизаторов в ботнете Mirai. Многим в голову не приходит защищать подобные вещи, хотя они, будучи подключенными к Интернету, доступны всему миру».

Проблема не ограничивается малыми потребительскими устройствами или соединенными домами и автомобилями, и дело даже не в вероятности очередной DDoS-атаки. Гораздо большие опасения вызывают возможные атаки на крупные инфраструктурные системы – например, на электрическую сеть, авиационную и железнодорожную электронику.

«Меня не столько беспокоит то, что мой “соединенный” душ начнет произвольно включать горячую и холодную воду, сколько достаточно большая вероятность крупного взлома магистральных электросетей или транспортных систем в 2017 году, – признается Диркс. – Ведь речь по сути идет о “безголовом” Интернете вещей, технологиях из 1950-1960-х, которые до сих пор применяются в основе этих важнейших инфраструктурных систем и практически не защищены».

Проблема в том, что люди в основном не воспринимают эти системы как что-то подобное современным устройствам Интернета вещей, полагает Миллис: «Устройства Интернета вещей считаются чем-то современным, а потому не подверженным тем же ограничениям, что и более старые технологии. Но если подумать, разве это так? Смартфон – самое распространенное в мире устройство с выходом в Интернет, а устройств Интернета вещей будет на порядки больше, чем смартфонов. В некоторых организациях благоразумно забегают вперед и пытаются защитить устройства Интернета вещей. Сегодня вся активность в этом отношении опять сводится к предотвращению атак, но мы уверены в том, что любое устройство и любое соединение можно скомпрометировать. Возможность сократить время опоздания и защитить устройства Интернета вещей зависит от способности определить факт компрометации как можно быстрее и с максимальной достоверностью».

– Sharon Florentine. 2017 security predictions. CIO. November 30, 2016