Один из дней прошедшего в октябре в Питере форума GIS DAYS был посвящен вопросам кибербезопасности. Наиболее интересным было выступление одного из ведущих экспертов Алексея Лукацкого с интригующим названием: «Как получить результат при минимуме затрат».
Алексей привел примеры разных подходов, которые можно встретить в бизнесах, впервые внедряющих инструменты информационной защиты. Одни идут от требований регулятора. Если, скажем, компания подпадает под действие одного только Закона о защите персональных данных — принимаем все меры по защите этих данных и дальше спим спокойно. Другие ориентируются на мнение ИТ-департамента: что ИТ-директор сочтет нужным защищать, то защищать и будем. Третьи же решают проблему хаотично, вообще без какого-либо руководящего принципа. И лишь изредка можно встретить наиболее разумный и экономичный подход: подход от недопустимого события.
Докладчик привел пошаговый алгоритм, который, на наш взгляд, будет как нельзя более кстати тем, кто начал всерьез задумываться об информационной безопасности своего бизнеса.
Шаг 1. Собрав руководителей подразделений, составить перечень всех угроз, которым может подвергнуться ваш бизнес со стороны ИТ.
Шаг 2. Рассортировать угрозы по трем категориям в зависимости от оценки события, которое может произойти при осуществлении угрозы:
- в пределах допустимого,
- нежелательно,
- недопустимо.
И дальше работать только с угрозами недопустимых событий. По опыту работы эксперта с большим количеством компаний, таких угроз обычно выявляется 3–5, в исключительных случаях — до 7. Для каждого бизнеса недопустимые события будут свои.
Шаг 3. Составить таблицу, в которой каждому недопустимому событию будет соответствовать сценарий реализации, целевые ИТ-системы и техническая возможность злонамеренного действия (см. Пример 1).
Первые три столбца заполняет бизнес, и только четвертый находится в области компетенций ИТ-подразделения.
В тех случаях, когда злоумышленники находятся вне компании, при постановке киберзащиты ИТ-специалистам полезно задуматься над двумя вопросами:
- Через какие точки злоумышленник может проникнуть в ИТ-систему компании?
- Каким путем он может после проникновения подобраться к ключевым подсистемам, чтобы реализовать недопустимое событие?
Соответственно, аналитическая таблица будет выглядеть как Пример 2.
Проанализировав по предложенному алгоритму недопустимые события, можно начинать практическое внедрение средств защиты. По оценкам А. Лукацкого, болевые точки бизнеса относительно киберугроз составляют обычно порядка 15% от всей ИТ-инфраструктуры.
Наконец,
последний шаг: практическая проверка того, насколько хороша выстроенная защита. Можно привлекать подрядчиков, которые, играя «за хакеров», протестируют информационную систему на наличие «дырок» для проникновения. Но многое можно сделать и собственными силами.
Например, в одной из компаний после обучения персонала правилам кибергигиены, группа айтишников и специалист по ИБ устроили необычный экзамен. Они рассылали сотрудниками письма. Письма имели важное или соблазнительное содержание: предложение приобрести что-то с баснословной скидкой, требование срочно зайти на ресурс якобы налоговой службы и т.п. Но при этом имели ряд подозрительных признаков: необычный адрес отправителя, нестандартно выглядящая ссылка, по которой предлагалось кликнуть. Обычно через такие письма со ссылками и происходит львиная доля злоумышленных проникновений в ИТ-систему компании. Но в нашем случае клик по ссылке и рабочее место, с коНедопустимое событие Сценарии реализации Целевые системы Техническая возможность злонамеренного действия Точки входа Путь до критической подсистемы торого он был произведен, просто фиксировались счетчиком. В результате кликов оказалось в разы больше, чем сотрудников в компании! После разбора полетов люди стали относиться к письмам со ссылками совсем иначе, и повторные тесты показали действительно высокую бдительность персонала.
Юрий Пахомов