www.romver.ru / Полный список статей / ИТ-безопасность: никто не готов к новым угрозам

IT-bezopasnost': nikto ne gotov k novim ugrozam. Tak li vse ser'ezno i kakovi pri4ini?

Vmesto vvedenia privedem sleduu6ee, neskol'ko 6okiruu6ee soob6enie, ves'ma arko illustriruu6ee to polojenie del, kotoroe mi imeem s komp'uternoy bezopasnost'u (zdes' i dalee v rabote vospol'zuemsa materialami, opublikovannimi v otkritoy pe4ati):

• Novost' pod nazvaniem «IT-bezopasnost': nikto ne gotov k novim ugrozam». Kompania Ernst&Young provela ejegodniy global'niy opros IT-rukovoditeley o problemax informacionnoy bezopasnosti. Kak okazalos', propast' mejdu ugrozami IT-bezopasnosti i tem, 4to delaetsa dla za6iti ot nix, stala e6e 6ire. Kompania Ernst&Young vipustila o4erednuu, vos'muu, versiu svoego ejegodnogo ot4eta "Global Information Security Survey 2005". V oprose prinali u4astie vis6ie ispolnitel'nie lica bolee 1,3 tis. kommer4eskix i gosudarstvennix organizaciy v 55 stranax mira, vklu4aa Rossiu. Osnovnuu massu respondentov sostavili direktora informacionnix slujb (CIO) i otdelov IT-bezopasnosti (CSO). Naibolee ob6im i, pojaluy, samim zna4imim vivodom iz etogo issledovania avilos' to, 4to propast' mejdu ugrozami IT-bezopasnosti i tem, 4to delaetsa dla za6iti ot nix, stala e6e 6ire. Drugimi slovami, riski, vizvannie postoannim razvitiem biznesa vo vsem mire, evolucioniruut tak bistro, 4to specialisti po IT-bezopasnosti ne uspevaet adekvatno otreagirovat' na nix. Eksperti kompanii Ernst&Young pos4itali etu tendenciu nastol'ko vajnoy, 4to daje vklu4ili slova "Ot4et o ras6irau6eysa propasti" ("Report on Widening Gap") v nazvanie svoego issledovania.

4estno govora, v eto ne xo4etsa verit'. Poprobuem provesti sobstvennoe issledovanie i kakim-libo sposobom ocenit', a naskol'ko vse deystvitel'no ujasno. Esli je na6i opasenia podtverdatsa, popitaemsa otvetit' na vopros, a 4to je mi protivopostavlaem «ras6irau6eysa propasti», 4to mi delaem, 4tobi adekvatno otreagirovat' na riski IT-bezopasnosti. S etoy cel'u rassmotrim osnovu osnov IT-bezopasnosti – komp'uternuu bezopasnost'.

Tol'ko fakti i ni4ego bol'6e.

V ka4estve kriteria ocenki ekspluatacionnoy (real'noy) bezopasnosti sistemnogo sredstva celesoobrazno rassmatrivat' koefficient ego gotovnosti obespe4ivat' za6itu informacii v processe ekspluatacii. Togda v ka4estveosnovnix parametrov za6iti sleduet rassmatrivat' intensivnosti otkazov i vosstanovlenia sredstva za6iti.

• Pod «otkazom» sredstva za6iti ponimaetsa obnarujenie uazvimosti sistemnogo sredstva (naprimer, eto mogut bit' o6ibki v realizacii OS, liboprilojeniy), kotoraa potencial'no mojet privesti k nesankcionirovannomu dostupu k informacii.
• Pod intensivnost'u otkazov sredstva za6iti (intensivnost'u obnarujenia uazvimostey sredstva za6iti) ponimaem intensivnost' obnarujenia v nem uazvimostey v edinicu vremeni.
• Pod intensivnost'u vosstanovlenia sredstva za6iti posle otkaza (obnarujenia uazvimosti) ponimaem intensivnost' ustranenia v nem uazvimostey v edinicu vremeni.

Sna4ala rassmotrim statistiku obnarujenia uazvimostey v OS. Proillustriruem polojenie del nekotoroy podborkoy novostey, opublikovannix v otkritoy pe4ati:

• (Novost' ot 02.12.2005).Nesover6enstvo operacionnix sistem i programmnogo obespe4enia — edva li ne glavnaa pri4ina kolossal'nogo u6erba, nanesennogo mirovoy ekonomike komp'uternimi zloumi6lennikami. Bol'6instvo xakerskix atak stanovitsa vozmojnimi iz-za nali4ia uazvimostey v su6estvuu6ix OS i PO. V Seti poavlaetsa vse bol'6e vredonosnogo koda, kotoriy ispol'zuet ix dla proniknovenia v komp'uteri, vipolnenia zaprogrammirovannix deystviy i dal'ney6ego svoego rasprostranenia. Statistika pokazivaet, 4to koli4estvo uazvimostey rastet god ot goda. S odnoy storoni, eto svazano s tem, 4to god ot goda rastet koli4estvo PO, a s drugoy, s tem, 4to sey4as uazvimosti i6utsa namerenno, kak xakerami, tak i kompaniami proizvoditelami PO i OS. Pervie presleduut kriminal'nie celi — ispol'zovat' «diru» dla polu4enia dostupa k 4ujim informacionnim resursam, vtorie — 4tobi ne isportit' svou reputaciu i obezopasit' informacionnie resursi svoix klientov.

Po dannim mi2g ejegodno xakerami vzlamivaetsa do 90% setey predpriatiy.

Dinamika rosta obnarujennix uazvimostey predstavlena na ris.1.

* — za 7 mesacev

Ris.1. Dinamika rosta obnarujennix uazvimostey

• (Novost' ot 12.01.2006). V minuv6em (2005) godu v OS Windows bilo viavleno 812 «dir» (issledovania US-CERT). Specialisti iz McAfee otme4aut, 4to iz 124 «dir», obnarujennix v Windows XP Professional na sayte Secunia (Security Provider), 29 tak i ostalos' ne ustranennimi, 4to dalo kompanii osnovanie prisvoit' Windows status kriti4eski opasnoy OS.
• (Novost' ot 10.10.2006). Korporacia Microsoft v ramkax ejemesa4nogo obnovlenia svoix programmnix produktov namerena na etoy nedele vipustit' odinnadcat' pat4ey. Kak soob6aetsa v predvaritel'nom uvedomlenii, v operacionnix sistemax Windows razli4nix versiy viavleni 6est' uazvimostey. Nekotorie iz nix oxarakterizovani kak kriti4eski opasnie i mogut ispol'zovat'sa zloumi6lennikami s cel'u vipolnenia na udalennix komp'uterax proizvol'nix destruktivnix operaciy. 4etire diri naydeni v ofisnix prilojeniax. Po krayney mere, odna iz nix polu4ila status kriti4eski opasnoy. Krome togo, Microsoft vipustit zaplatku dla .NET Framework.
• (Novost' ot 07.11.2006). Microsoft rasprostranila preduprejdenia o tom, 4to vo vsex operacionnix sistemax Windows, krome Server 2003, obnarujena o4en' opasnaa uazvimost', kotoraa k tomu je uje aktivno ispol'zuetsa zloumi6lennikami. Uazvimost' zatragivaet mexanizm Microsoft XML Core Services 4.0, kotoriy tesno svazan s XMLHTTP 4.0 ActiveX Control. Uazvimost' pozvolaet atakuu6emu polu4it' polniy kontrol' nad sistemoy i komp'uternimi resursami. Po slovam predstaviteley kompanii, eksploit dla etoy uazvimost' mojet rasprostranat'sa pri pomo6i spama i storonnix saytov. V samoy Microsoft nikak ne oxarakterizovali opasnost' baga, odnako specialisti po bezopasnosti iz kompanii Secunia oxarakterizovali uazvimost' kak "ekstremal'no opasnuu". V Microsoft poka ne vipustili ispravlenia dla etoy uazvimosti.
• (Novost' ot 20.02.2007). Kompania Microsoft opublikovala svoi ejemesa4nie bulleteni bezopasnosti. Na etot raz v nix vo6li 12 pat4ey, ispravlau6ie 20 uazvimostey. I odin iz nix uje prednazna4en dla novoy operacionnoy sistemi Windows Vista. Ee uazvimost' naxoditsa v mexanizme za6iti ot vredonosnix kodov, kotoriy mojet pozvolit' vipolnenie udalennogo koda.
• (Novost' ot 02.03.2007) V operacionnoy sisteme Windows Vista, postupiv6ey v 6irokuu prodaju 30 anvara, obnarujena odna iz pervix uazvimostey. Diru v sisteme User Account Control obnarujili specialisti kompanii eEye. Iz soobrajeniy bezopasnosti podrobnaa informacia ob uazvimosti ne razgla6aetsa. Izvestno li6', 4to zadeystvovat' ee mojet lokal'niy pol'zovatel' s cel'u povi6enia urovna sobstvennix privilegiy v sisteme. Vpro4em, udalenniy zloumi6lennik takje mojet vospol'zovat'sa bre6'u v tom slu4ae, esli uje imeet dostup k komp'uteru. Kompania eEye proinformirovala korporaciu Microsoft o dire e6e 19 anvara, odnako pat4a poka vipu6eno ne bilo…
• (Novost' ot 10.01.2007). Microsoft ostavila Word pod ugrozoy. Microsoft vipustila ejemesa4noe obnovlenie bezopasnosti, zakriv6ee 10 uazvimostey, vklu4aa kriti4eskie v Office i Windows. Odnako ser'eznie "diri" tipa "zero-day" v tekstovom redaktore Word ostalis' nezakritimi. Xakeri vposlednie mesaci udelali povi6ennoe vnimanie nezakritim uazvimostam vMicrosoft Word i Microsoft Excel dla provedenia uzkonacelennix atak. Obi4no ixjertva polu4aet elektronnoe pis'mo sinficirovannim vlojeniem itekstom vtele pis'ma, zamanivau6im otkrit' eto vlojenie. Vkonce pro6logo goda bilo naydeno mnojestvo uazvimostey ofisnogo paketa Microsoft tipa «zero-day», toest' oni stanovilis' izvestnimi xakeram e6e dovipuska sootvetstvuu6ego pat4a proizvoditelem. Pri4em mnogie izetix «dir» obnarujivalis' ina4inali aktivno ekspluatirovat'sa xakerami srazu posle vixoda ejemesa4nogo obnovlenia bezopasnosti softvernogo giganta, 4to govorit oprisposoblenii komp'uternix prestupnikov kgrafiku vipuska pat4ey. Eksperti instituta SANS zaavlaut, 4to kovsem «zalatannim» v4era uazvimostam, krome kak v Excel, su6estvuut eksployti. Minimum 3uazvimosti Word ostautsa nezakritimi, dla ixispol'zovania varsenale xakerov takje est' eksployti. Vozmojno, 4to dannaa problema budet re6ena spomo6'u vneo4erednogo obnovlenia bezopasnosti Microsoft. Pokaje pol'zovatelam ostaetsa bit' bditel'nimi ine otkrivat' vlojenia formatov Word vpis'max otnedoverennix lic.

Vozmojno, 4to podobnoe polojenie del kasaetsa tol'ko odnogo konkretnogo sistemnogo sredstva. Otnud'. Podtverdim skazannoe:

• (Novost' ot 08.06.2005) Naru6enie konfidencial'nosti informacii – samaa bol'6aa vnutrennaa IT-ugroza":

1. "Veli4ina u6erba ot deystviy xakerov raznitsa. Esli po 2003 godu issledovateli bolee-menee pri6li k ob6emu mneniu i opredelilis', 4to summa sostavlaet 17 mlrd. dollarov, to po 2004 godu ocenki sover6enno raznie. Po dannim issledovatel'skoy kompanii Datamonitor, mirovoy ekonomi4eskiy u6erb ot xakerskix atak - avnix i skritix - mojet dostignut' 155,5 mlrd. dollarov. Po mneniu ekspertov, ejegodno xakerami vzlamivaetsa do 90% setey predpriatiy;
2. Odin iz osnovnix elementov bezopasnosti - eto operacionnaa sistema komp'utera. Britanskie issledovateli iz gruppi mi2g naibolee bezopasnimi platformami s4itaut Apple Mac OS X i otkrituu versiu UNIX - BSD (Berkeley Software Distribution). Operacionnie sistemi Linux i Microsoft Windows, naprotiv, bili priznani slabo za6i6ennimi. Svoi vivodi specialisti mi2g sdelali, proanalizirovav 235 tis. uspe6nix xakerskix atak, provedennix vo vsem mire s noabra 2003 po oktabr' 2004 goda;
3. Sredi komp'uterov pod upravleniem OS Linux vzlomannimi okazalis' 65%, pod upravleniem Windows - 25%.

Sledua dannoy novosti, poavlaetsa nadejda na to, 4to vse-taki mojno otiskat' te OS, kotorie mojno otnesti k bezopasnim? No vot o4erednaa novost':

• (Novost' ot 15.03.2007). Apple ustranila po4ti polsotni uazvimostey v Mac OS X. Kompania Apple vipustila o4erednoe kompleksnoe obnovlenie dla operacionnoy sistemi Mac OS X. Komplekt obnovleniy Security Update 2007-003 soderjit zaplatki dla 45 uazvimostey v razli4nix komponentax operacionnoy sistemi. Diri, v 4astnosti, ustraneni v adre programmnoy platformi, modulax ColorSync, CoreGraphics, ImageIO, a takje setevoy podsisteme Mac OS X. Neskol'ko pat4ey zakrivaut uazvimosti v produktax storonnix proizvoditeley, v 4astnosti, pleere Adobe Flash Player, servere MySQL i OpenSSH. Uazvimosti imeut razli4nuu stepen' opasnosti. Bol'6instvo dir mogut bit' ispol'zovani kiberprestupnikami s cel'u provedenia DoS-atak ili povi6enia sobstvennix privilegiy v sisteme. Odnako neskol'ko uazvimostey teoreti4eski obespe4ivaut vozmojnost' polu4enia nesankcionirovannogo dostupa k udalennomu komp'uteru i posleduu6ego vipolnenia na nem proizvol'nogo vredonosnogo koda.

Teper', v neskol'kix slovax, ob intensivnosti ispravlenia uazvimostey v OS. Na na6 vzglad, ves'ma pokazatelen sleduu6iy primer. Obratimsa k publikacii K.Kasperski «Obzor eksploytov» v jurnale «Xaker» ot dekabra 12(96) 2006, sm. str.60-65. Privedem bez kommentariev neskol'ko viderjek iz etoy stat'i «Prosto porazitel'no, kak giganti komp'uternoy industrii reagiruut na soob6enia ob o6ibkax, kotorie oni ne mogut ispravit'. 22 oktabra 2004 goda osnovatel' gruppi Argeniss Information Security i ee CEO v odnom lice – Cesar Cerrudo obnarujil ser'ezney6uu o6ibku v Windows, o 4em tut je soob6il v Microsoft. No ta prodoljila vipuskat' diravie operacionnie sistemi, a dla uje su6estvuu6ey zaplatka otsutstvuet i po sey den'». Sleduu6aa viderjka «…sistema ne prepatstvuet remapingu sekcii s atributami 4tenia/zapisi, 4to pozvolaet lubomu lokal'nomu pol'zovatelu proniknut' na uroven' adra…». Dalee «Po zaavleniu Argeniss Research Team, uazvimosti podverjeni W2K (do W2K SP4) i XP (do XP SP2) i ne podverjeni Server 2003 i Vista beta 2». 4to je nam, kak potrebitelam, rekomenduet avtor etoy stat'i «Oficial'noy zaplatki ot Microsoft do six por net, i vse, 4to nam ostaetsa – eto migrirovat' na Server 2003 ili Vista, v kotorix ogrexi proektirovania bez li6nego 6uma bili ustraneni (no, kak izvestno, ispravlaa odnu o6ibku, Microsoft dobavlaet desatok novix; Vista – eto ne variant, a vot nad perexodom na Server 2003 mojno podumat')».

4udovi6no, kriti4eskaa uazvimost' su6estvuet bolee dvux let i ne ispravlaetsa proizvoditelem. V eto trudno poverit'! Odnako, isxodniy kod eksployta dla dannoy uazvimosti, v podtverjdenie skazannomu, avtor privel v svoey stat'e. Zametim, 4to opisannaa ataka ne tak i kriti4na – v rezul'tate zapuska eksployta uvidim «siniy ekran». Odnako sam avtor zaavlaet, 4to eto li6' odin iz primerov, i su6estvuet vozmojnost' realizacii inix vozdeystviy na komp'uter.

Nebol'6oe issledovanie.

Na osnovanii privedennogo vi6e issledovania, mojem sdelat' neute6itel'niy vivod o tom, 4to uazvimosti sistemnix sredstv ejegodno obnarujivautsa desatkami (pri4em, obratim vnimanie, k uazvimosti sistemnogo sredstva mogut privodit' i o6ibki v prilojeniax, 4to opredelennim obrazom xarakterizuet arxitekturnie re6enia po realizacii za6iti etix sredstv), a ix ustranenie (ispravlenie arxitekturnix o6ibok i o6ibok programmirovania) mojet sostavlat' mesaci, a to i godi. Provedem nebol'6oe issledovanie i popitaemsa otvetit' na vopros, a kak je vse eto skazivaetsa na urovne ekspluatacionnoy bezopasnosti sistemnogo sredstva. Naskol'ko je ono real'no za6i6eno?

Dla ocenki ekspluatacionnoy (real'noy, ili istinnoy) bezopasnosti sistemnogo sredstva mojet bit' postroena matemati4eskaa model' s ispol'zovaniem apparata teorii massovogo obslujivania (po analogii s tem, kak eto delaetsa v teorii nadejnosti, ved', v kone4nom s4ete, primenitel'no k sredstvu za6iti informacii,nadejnost' – eto svoystvo sredstva obespe4ivat' za6itu informaciiv te4enie zadannogo promejutka vremeni).Privedem primer prostey6ey matemati4eskoy modeli. Budem s4itat', 4to potoki obnarujenia uazvimostey – otkazov sredstva za6iti, i process ix ustraneniaavlautsa puassonovskimi (opisivau6imi naibolee slu4aynie sobitia), pri4em uazvimosti ustranautsa po o4eredi (ne odnovremenno – budem ispol'zovat' model' s odnim obslujivau6im priborom), po mere ix obnarujenia (navernoe, imenno v etom sostoit nekaa «grubost'» dannoy matemati4eskoy modeli, odnako, na praktike, v bol'6instve slu4aev, podobnoe upro6enie umestno, esli re4' idet ob odnom sistemnom sredstve, osobenno v predpolojenii, 4to intensivnost' obnarujivaemix uazvimostey i vrema ix ustranenia razrabot4ikom neveliki – v protivnom slu4ae i analizirovat'-to ne4ego). V dannix predpolojeniax,veroatnost' togo, 4to v luboy moment vremeni ob&ekt za6i6en (opredelaetsa tem usloviem, 4to 4islo ne ustranennix uazvimostey ravno 0) mojno ocenit' po sleduu6ey prostey6ey formule:

dla razli4nix zna4eniy intensivnostey obnarujenia uazvimostey (zna4enia intensivnostey obnarujenia uazvimostey zadani v edinicax: 4islo/god, a intensivnost' ustranenia uazvimostey – os' absciss, zadani v 1/nedela – za skol'ko nedel' v srednem ustranaetsa odna uazvimost'), rass4itannie s ispol'zovaniem na6ey matemati4eskoy modeli, privedeni na ris.2.

Na etom risunke sleduet obratit' vnimanie na videlennuu punktirnuu pramuu (na ris.2 imeet krasniy cvet). Ona xarakterizuet, 4to v luboy moment vremeni ob&ekt za6i6en s veroatnost'u 0,5. Eto ozna4aet, 4to v luboy moment vremeni sistemnoe sredstvo libo za6i6eno, libo net. Vse zna4enia, raspolagaemie nije etoy pramoy, xarakterizuut sleduu6ee svoystvo sredstva za6iti – sistemnoe sredstvo skoree ne za6i6eno, 4em za6i6eno, raspolagaemie vi6e etoy pramoy – sistemnoe sredstvo skoreeza6i6eno, 4em ne za6i6eno.

Rassmotrim gipoteti4eski ideal'niy slu4ay – v srednem obnarujivaetsa odna uazvimost' v god (zelenaa krivaa na ris.2). Eta zavisimost' nam interesna s to4ki zrenia togo, kak vliaet na ekspluatacionnuu bezopasnost' intensivnost' ustranenia uazvimostey. Vidim, 4to podobnoe vlianie ves'ma zametno. Iz ris.2 sleduet, 4to esli v srednem uazvimost' (v 4astnosti, o6ibka programmirovania) ispravlaetsa razrabot4ikom za 1 mesac, to polu4aem v na6em gipoteti4eski ideal'nom slu4ae, 4to v luboy moment vremeni ob&ekt za6i6en li6' s veroatnost'u menee 0,92. A 4to takoe 0,92 – eto ozna4aet, 4to prakti4eski v luboy moment vremeni sistemnoe sredstvo neza6i6eno s veroatnost'u blizkoy k 10% (a ved' mi rassmatrivaem gipoteti4eski ideal'nuu situaciu), t.e. okolo 10% rabo4ego vremeni sistemnoe sredstvo neza6i6eno. A 4to takoe 1 mesac na ustranenie o6ibki v slojnom sistemnom sredstve, ego potrebuetsa tol'ko testirovat' posle vnesenia ispravlenia ne men'6e mesaca, ina4e srazu stalkivaemsa s problemami nadejnosti (otkazoustoy4ivosti) i korrektnosti funkcionirovania sistemnogo sredstva. A ved' etot mesac vklu4aet v seba posle obnarujenia uazvimosti zloumi6lennikom: polu4enie ob etom informacii proizvoditelem, sobstvenno ustranenie uazvimosti, v toy ili inoy mere krupnomas6tabnoe testirovanie sistemnogo sredstva posle ispravlenia, polu4enie obnovlenia potrebitelem i vnedrenie obnovlenia v sistemnoe sredstvo. Mesac dla vipolneniapodobnoy sovokupnosti usloviy – eto o4en' malo!

Ris. 2. Rezul'tati modelirovania

A teper' posmotrim na krivuu sinego cveta (intensivnost' obnarujenia uazvimostey - 10 v god), opredelim veroatnost' togo, 4to v luboy moment vremeni sistemnoe sredstvo za6i6eno v predpolojenii, 4to paketi obnovleniy poavlautsa 1 raz v mesac, polu4aem menee 0,2. No togda, o kakoy bezopasnosti mojet idti re4' v principe, esli tol'ko 20% rabo4ego vremeni komp'uter za6i6en (a ved' 10 uazvimostey v god eto daleko ne predel dla sovremennix sistemnix sredstv)!

Vot vam i koli4estvennaa ocenka togo, v kakoy mere «ras6iraetsa propast'» - mi rabotaem prakti4eski na neza6i6ennix komp'uterax!

A ved', navernoe, celesoobrazno predpolojit', 4to pri obrabotke konfidencial'noy informacii doljno vipolnat'sa uslovie:

Mi, kone4no je, ne nastaivaem na etom zna4enii, privedennom li6' v ka4estve primera. Odnako soglasites', nel'za je obrabativat' konfidencial'nuu informaciu v predpolojenii, 4to 10%(ili bolee) rabo4ego vremeni komp'utera informacia ne za6i6aetsa.

Samiy ujasniy vivod, kotoriy mi mojem sdelat' v rezul'tate na6ego issledovania, sostoit v tom, 4to podobniy uroven' bezopasnosti dla slojnogo sistemnogo sredstva, kotorim avlaetsa sovremennaa universal'naa OS, daje gipoteti4eski nedostijim (posmotrite na krivuu zelenogo cveta, predstavlennuu na ris.2). 4to je delat'? A vozmojno tol'ko odno re6enie – ispol'zovat' dobavo4nie sredstva za6iti informacii, pri4em, jelatel'no te iz nix, kotorie pozvolaut protivodeystvovat' atakam na uazvimosti OS, svazannie s arxitekturnimi nedostatkami sistemnix sredstv i o6ibkami programmirovania v sistemnom i prikladnom PO! Vozmojno, 4itatel' predlojit inie recepti?

4to je mi protivopostavlaem «ras6irau6eysa propasti»?

A vot teper', samoe interesnoe. Ranee mi videli, 4to v mire «b'ut trevogu» i tomu est' ves'ma veskie pri4ini. Rabota na neza6i6ennix komp'uterax 4revata, i, k sojaleniu, ne tol'ko (a vozmojno, i ne stol'ko) potencial'noy ugrozoy xi6enia konfidencial'noy informacii. V etom slu4ae poavlaetsa ugroza vivedenia iz stroa ne tol'ko otdel'nix komp'uterov, no i celikom korporativnix setey!

Ponevole xo4etsa uznat', kak mi-to reagiruem na slojiv6uusa situaciu.

A dla otveta na etot vopros, prejde vsego, obratimsa k odnomu interesnomu issledovaniu:

· (Novost' ot 18.10.2006). Rossiyskiy rinok sredstv za6iti informacii segodna razvivaetsa dovol'no dinami4no. Pri etom v na6ey strane otme4aetsa zna4itel'noe ejegodnoe uveli4enie koli4estva zaregistrirovannix prestupleniy v sfere komp'uternoy informacii. Sleduet otmetit', 4to svi6e 99% pravonaru6eniy sover6aetsa umi6lenno. Nesmotra na to, 4to problema informacionnoy bezopasnosti s kajdim godom stanovitsa vse ostree, nekotorie promejuto4nie rezul'tati issledovania "Sredstva za6iti informacii ot nesankcionirovannogo dostupa", provodimogo jurnalom "Informacionnaa bezopasnost'/Information Security" (kompania "Grotek") nosat paradoksal'niy xarakter. Bol'6aa 4ast' opro6ennix (39,8%) s4itaut, 4to ote4estvennie kompanii i organizacii ves'ma neoxotno idut na uveli4enie rasxodov na informacionnuu bezopasnost' (sm. diagrammu, ris.3). Dla sravnenia: v bol'6instve zarubejnix kompaniy, zatrati na informacionnuu bezopasnost' sostavlaut v srednem okolo 15% ot budjeta informacionnix texnologiy kompaniy.

Ris. 3. Rezul'tati issledovania

4to obuslovlivaet podobnoe otno6enie k IT-bezopasnosti – neponimanie problemi, bezotvetstvennost', neznanie vozmojnix putey re6enia? 4estno govora, u avtora net otveta na etot vopros.

No rinok est' rinok. Est' spros, budet i predlojenie. Dostato4no poznakomit'sa s tem, kak pozicioniruut vozmojnost' primenenia sertificirovannoy po trebovaniam bezopasnosti OS Windows XP Professional nekotorie postav6iki uslug v oblasti za6iti informacii:

«Primenenie sertificirovannoy OS Microsoft pozvolaet legal'no obrabativat' na klientskix rabo4ix mestax konfidencial'nuu informaciu, za6i6aemuu v sootvetstvii s zakonodatel'stvom Rossiyskoy Federacii.

Preimu6estva ispol'zovania sertificirovannoy OS:

• effektivniy mexanizm nastroyki parametrov bezopasnosti operacionnoy sistemi;
• otsutstvie neobxodimosti ustanovki dopolnitel'nix sertificirovannix «nalojennix» sredstv za6iti informacii i, kak sledstvie:
• povi6enie skorosti, ustoy4ivosti obrabotki informacii;
• snijenie stoimosti za6i6ennogo avtomatizirovannogo mesta;
• snijenie trebovaniy k ob&emu znaniy administratora bezopasnosti;
• periodi4eskoe obnovlenie operacionnoy sistemi vmeste s dopolnitel'nimi «opciami bezopasnosti»;
• vipolnenie trebovaniy normativnix dokumentov, reglamentiruu6ix primenenie za6i6ennix avtomatizirovannix sistem».

Ne pravda li, sledua rezul'tatam issledovaniy, privedennim na ris.3, mojem sdelat' vivod, 4to podobnoe re6enie problem informacionnoy bezopasnosti na segodna6niy den' budet vostrebovannim!

Samim, na na6 vzglad, 6okiruu6im v pozicionirovanii podobnogo re6enia avlaetsa sleduu6ee «snijenie trebovaniy k ob&emu znaniy administratora bezopasnosti». No nel'za je otricat' o4evidnoe, 4to bez sootvetstvuu6ey kvalifikacii lic, otve4au6ix za re6enie zada4 za6iti informacii, effektivno eti zada4i re6eni bit' ne mogut. Kvalifikacia – eto je osnova osnov, osobenno v takoy slojno oblasti znaniy, kak informacionnaa bezopasnost'!

Provedenie sertifikacionnix ispitaniy (proverka funkcionala) sistemnogo sredstva, dau6ee pravo legal'no obrabativat' na klientskix rabo4ix mestax konfidencial'nuu informaciu – eto, bezuslovno, xoro6o. No pri 4em je zdes' vse ostal'noe - kvalifikacia administratorov bezopasnosti, otsutstvie neobxodimosti ustanovki dopolnitel'nix sertificirovannix «nalojennix» sredstv za6iti informacii, prizvannix re6at' sover6enno inie zada4i, v 4astnosti, zada4i povi6enia urovna ekspluatacionnoy bezopasnosti sistemnogo sredstva. A kak e6e obespe4it' effektivnuu za6itu?

4to je nam ojidat', budet li preodolevat'sa slojiv6iysa krizis v IT-bezopasnosti v na6ey strane (ina4e, kak krizisom, otno6enie k IT-bezopasnosti, proillustrirovannoe na ris.3, nazvat' slojno).

Obratimsa k stat'e «Skol'ko stoit ute4ka na samom dele?», opublikovannoy 16.03.07 na sayte www.cnews.ru, k kotoroy predstavlenointeresnoe issledovanie.

V issledovanii "2006 Annual Study — Cost of a Data Breach", provedennom Ponemon Institute (bilo opro6eno 9 tis. 4elovek), respondenti rasskazivali, kak oni postupili bi s proviniv6eysa kompaniey. Viasnilos', 4to podavlau6ee bol'6instvo grajdan (59%) libo uje otkazalos' ot uslug nenadejnoy firmi (pod «proviniv6eysa» v stat'e ponimaetsa kompania, ne obespe4ivau6aa doljnogo urovna IT-bezopasnosti), libo sobiraetsa prervat' sotrudni4estvo v blijay6em budu6em, 4to proillustrirovano na ris.4.

Isto4nik: Ponemon Institute, 2006

Ris.4. Deystvia klienta v slu4ae komprometacii privatnix dannix

Kak otme4aetsa v stat'e, dla kommer4eskix predpriatiy imenno otno6enie klientov za4astuu avlaetsa glavnoy cel'u. Esli loal'nie klienti rasserjeni i pokidaut kompaniu ili daje perexodat k konkurentam, to dela takoy kompanii pla4evni, poetomu naibol'6iy u6erb prinosat otnud' ne pramie i kosvennie ubitki na viavlenie i ustranenie ute4ek, a snijenie privlekatel'nosti torgovoy marki ili uxud6enie reputacii.

Na na6 vzglad, rano ili pozdno, no rukovoditeli predpriatiy osoznaut stol' o4evidnuu istinu, 4to IT-bezopasnost' segodna igraet ves'ma zametnuu rol' v biznese luboy kompanii, i k ee obespe4eniu na predpriatii neobxodimo otnosit'sa o4en' ser'ezno. V protivnom slu4ae vozmojni neobratimie posledstvia dla luboy kompanii. Doverie klientov legko poterat', trudno vernut'!