Обзор "Средства защиты информации и бизнеса 2007" подготовлен	При поддержке

Компании стремятся защитить себя от утечек

Внутренние инциденты часто приводят к утечке персональных или конфиденциальных данных. Из года в год убытки от них растут на 20-25 %. С другой стороны, растет и уровень защиты компаний. По итогам 2006 г. число российских компаний, внедривших системы защиты от утечек, выросло в 5 раз.

По оценкам аналитического центра InfoWatch, в 2006 году одна лишь экономика США потеряла более 60-65 млрд долларов вследствие утечек приватных сведений. Аппроксимируя этот результат в глобальном масштабе, можно утверждать, что общемировой ущерб от этих инцидентов составляет около 500 млрд долларов. Между тем, это лишь одна сторона медали, так как не учтенной осталась еще одна угроза — утечка конфиденциальной информации. Исходя из собственного опыта расследования инсайдерских инцидентов, аналитический центр InfoWatch по итогам года оценивает совокупные потери мировой экономики из-за утечки коммерческих секретов в 175 млрд долларов. Таким образом, все вместе оба вида утечек обходятся ежегодно почти в 700 млрд долларов. Однако уже в следующем году с учетом инфляции и ежегодного роста убытков на 20-25 % эта цифра может превысить 1 трлн долларов.

Но не стоит сгущать краски. На фоне всех отрицательных тенденций есть целый ряд положительных событий. Во-первых, как показало исследование «Внутренние ИТ-угрозы в России 2006», число российских компаний, внедривших системы защиты от утечек, возросло почти в 5 раз за последний год. Во-вторых, в нашей стране наконец-таки появился закон «О персональных данных». Это лишь первый, но самый трудный шаг, с помощью которого России удастся упорядочить оборот приватных сведений граждан. Таким образом, есть все основания полагать, что эффективно защититься от внутренних угроз вполне реально.

Во-первых, обеспокоенность внутренними угрозами ИБ среди российских организаций достигла апогея. Например, индекс опасности утечки информации на 50 % опережает аналогичный показатель для любой из внешних угроз. Во-вторых, госструктуры и представители частного сектора поставили на первое место утечку информации далеко не случайно. Они отчетливо осознают все отрицательные последствия этого инцидента: прямые финансовые убытки (46 %), удар по репутации (42,3 %) и потерю клиентов (36,9 %).

В-третьих, организации начинают присматриваться к своим служащим все пристальнее и пристальнее. Более 40 % респондентов уже зафиксировали за 2006 год более одной утечки, а почти 20 % — более 5 утечек. В-четвертых, доля организаций, внедривших защиту от утечек, возросла за последний год на 500 % или в 5 раз. Положительная динамика налицо и это не может не радовать.

В то же самое время говорить о массовом внедрении не приходится. Пока лишь каждый десятый внедрил эффективное решение на основе ИТ, однако девять из десяти планируют это сделать в ближайшие 2-3 года.

И, наконец, есть все основания полагать, что проникновение систем защиты от утечек на российский рынок продолжится и дальше, причем затронет абсолютно все отрасли экономики. Мы находимся на пороге экспоненциального роста данного сегмента.

Угрозы ИБ в России

По сравнению с прошлым годом несколько изменился ландшафт самых опасных угроз ИБ. На первом месте по-прежнему остается кража информации (65,8 %). Ее индекс опасности подрос на 1,8 % по сравнению с 2005 годом и на 3,8 % по сравнению с 2004 годом. На втором месте оказалась халатность сотрудников (55,1 %). Этого варианта ответа не было в прошлогоднем исследовании, поэтому не представляется возможным проследить за динамикой изменения индекса опасности этой угрозы. Тем не менее, уже сейчас можно сделать ряд выводов. Например, вирусные атаки заняли лишь третье место, набрав 41,7 % голосов. Если сравнивать с 2005 годом, то эта угроза потеряла целых 7,3 процентных пункта, а если с 2004 годом — то сразу 18,3 %. Вероятно, именно этот рейтинг опасности позволил такой угрозе, как халатность сотрудников, сразу же занять второе место в списке самых опасных угроз ИБ.

Наиболее опасные угрозы ИБ

Источник: InfoWatch, 2007

На четвертом месте оказалась угроза, которая ранее тоже не входила в предыдущие исследования — саботаж (33,5 %). Судя по всему, можно снова утверждать, что высокий рейтинг опасности саботажа обусловлен тем, респонденты постепенно теряют чувство страха перед внешними угрозами. Если в случае с халатностью служащих приводился пример снижения рейтинга вирусных атак, то в данном случае налицо потеря лидирующих позиций со стороны хакерских атак. Именно хакерские атаки занимают пятое место с 23,4 % голосов. Другими словами, за прошедший год эта угроза потеряла 24,6 %, а за 2 прошедших года — 28,6 %.

Таким образом, если пересчитать результаты предыдущего вопроса, разделив все ответы на внутренние и внешние угрозы, то легко видеть, что инсайдеры превалируют над вирусами, хакерами и спамом. Для построения следующей диаграммы в категорию внутренних угроз были отнесены, халатность сотрудников, саботаж и финансовое мошенничество, а в категорию внешних угроз вирусы, хакеры и спам. После этого суммарный рейтинг опасности каждой категории был нормирован, чтобы сумма равнялась 100 %. Отметим, что угрозы кражи информации, различных сбоев и кражи оборудования специально не были отнесены ни к одной из групп. Дело в том, что они могут быть реализованы, как изнутри, так и снаружи — или вообще без вмешательства человека (например, аппаратные сбои).

Соотношение опасности внутренних и внешних угроз ИБ

Источник: InfoWatch, 2007

Юрий Лысенко, начальник отдела ИТ-безопасности «РосЕвроБанка» комментирует: «Конечно, нельзя утверждать, что внутренние риски ИБ опаснее внешних. Однако налицо факт, что угроза со стороны служащих сегодня вызывает гораздо больше беспокойства, чем вирусы, хакеры, спам и т.д. Проблема здесь в том, что от внутренних нарушителей нельзя защититься также легко, как, например, от вредоносных программ. Внедрил антивирус — и все. А с внутренними угрозами так не получится. Это комплексная, но вполне решаемая проблема».

Исходя из полученных результатов, респонденты значительно больше обеспокоены внутренней ИБ, чем защитой от внешних угроз. Кроме того, следует учитывать, что неклассифицированные риски, например, кражу информации или оборудования, чаще всего относят к внутренним угрозам. В данном случае это не было сделано, чтобы не придавать угрозам со стороны инсайдеров дополнительного веса. Однако как показали расчеты, даже в этом случае внешние риски существенно уступают внутренним угрозам.

Внутренние угрозы ИБ

Выяснив, что самые опасные угрозы ИБ исходят изнутри организации, вполне логично изучить структуру инсайдерских рисков. Как показали результаты следующего вопроса, в списке самых опасных внутренних угроз с огромным отрывом лидирует нарушение конфиденциальности информации (70,1 %). Ближайший конкурент — искажение информации (38,4 %) — отстал на целых 31,7 процентных пункта. Другими словами, риск утечки ценной информации волнует респондентов почти в два раза больше, чем любой другой инсайдерской угрозы.

Самые опасные угрозы внутренней ИБ

Источник: InfoWatch, 2007

Между тем, индекс опасности этой угрозой в 2005 году достигал 100 %, а в 2004 году — 98 %. На первый взгляд, может показаться, что обеспокоенность респондентов утечкой конфиденциальной информации за 2006 год несколько снизилась, однако внимательный анализ обнаруживает, что это не так. Прежде всего, в варианты ответов были добавлены две новые угрозы, которые не учитывались в предыдущих исследованиях. Это саботаж (26,2 %) и мошенничество (19,3 %). Легко видеть, что эти риски заняли третье и четвертое место в списке наиболее опасных угроз, так что включение их в опросный лист было совершенно оправданным. С учетом того, что каждый респондент по-прежнему мог выбрать только три варианта ответа, представляется наиболее вероятным, что две новые угрозы оттянули часть голосов с нарушения конфиденциальности на себя.

Василий Окулесский, начальник отдела защиты информации «Банка Москвы» добавляет: «В принципе многие внутренние угрозы взаимосвязаны. Например, мошенничество подразумевает искажение информации в финансовых отчетах, а саботаж, в конечном счете, может реализоваться в нарушении конфиденциальности, краже оборудования, утрате данных. Однако сам факт, что утечки (нарушение конфиденциальности) набрали так много голосов, говорит о том, что к этой внутренней угрозе следует подходить наиболее внимательно».

Комментируя высокий индекс опасности таких угроз, как саботаж и мошенничество, следует отметить, что респонденты совершенно справедливо обратили свое внимание на эти риски. Дело в том, что среди опрошенных компаний преобладают представители крупного бизнеса. Между тем, чем больше компания, тем выше шансы совершения корпоративной диверсии или умышленного искажения финансовых отчетов. Кроме того, проблеме саботажа значительное внимание в 2006 году уделили журналисты и различные исследовательские институты. Один из респондентов во время интервью заметил, что если бы журналисты не стали акцентировать внимание проблеме ИТ-саботажа и в интернете не появились отчеты CERT, Секретной службы США и других организаций, то его компания даже не знала бы, что такие риски существуют.

Утечка конфиденциальной информации

Итак, наиболее опасной угрозой ИБ является утечка конфиденциальной информации, совершаемая инсайдерами. В этом году перед респондентами впервые поставили вопрос относительно наиболее плачевных последствий, возникающих вследствие утечек. Как оказалась, более всего респонденты озабочены прямыми финансовыми убытками (46 %). На втором месте — ухудшение имиджа и общественного мнения (42,3 %), а на третьем — потеря клиентов (36,9 %).

Наиболее плачевные последствия утечки

Источник: InfoWatch, 2007

Олег Смолий, главный специалист управления по обеспечению безопасности ВТБ, на первое место поставил бы потерю репутации: «Дело в том, что доброе имя нельзя создать в короткий срок, имея даже очень много денег. Организации тратят годы на то, чтобы сделать свою торговую марку узнаваемой, развивают лояльность марке со стороны клиентов. Между тем, всего одна утечка может разом перечеркнуть долгие годы усилий»

Кроме того, респонденты озабочены снижением конкурентоспособности (25,2 %) организации, что является скорее следствием целого ряда других негативных последствий утечки. Между тем, лишь каждый десятый (10 %) упомянул среди наиболее плачевных последствий юридические издержки и судебное преследование, что свидетельствует о неразвитости правоприменительной практики в России. Напомним, что в 2006 году в России был принят закон «О персональных данных», который вступил в силу в феврале 2007 года и создал все предпосылки для того, чтобы компания, допустившая утечку, могла быть привлечена к ответственности. Тем не менее, эксперты сомневаются, что одно лишь наличие правильного закона поможет положить конец незаконному обороту персональных данных. Чтобы достичь успеха, необходимо еще вынести несколько судебных решений, наказывающих те организации, которые допускают утечки.

На следующем этапе исследования аналитический центр InfoWatch предложил респондентам указать самые распространенные каналы утечки информации. Распределение ответов представлено ниже. Заметим, что наибольшей популярностью среди инсайдеров пользуются мобильные накопители (86,6 %), электронная почта (84,8 %) и интернет (82,2 %). По сравнению с 2005 годом первые две позиции не поменялись, а вот интернет потеснил с третьего места сетевые пейджеры, который в 2006 году набрали только 74,5 % процентных пункта и заняли четвертое место.

Каналы утечки

Источник: InfoWatch, 2007

Между тем, особое внимание на себя обращает существенно возросший рейтинг опасности печатающих устройств. В 2006 году он составил 60,9 %, в то время как в 2005 году был лишь 34 процентных пунктов. Дополнительные вопросы респондентам, указавшим на этот канал утечки, помогли выяснить, что многие организации уже имеют достаточно зрелую систему ИТ-безопасности, которая либо включает средства фильтрации исходящего сетевого трафика, либо ограничительные меры по доступу к внешним сетям. Что же касается принтеров и других печатающих устройств, то они остаются непокрытыми, поэтому инсайдеры переключают свой взор именно на них.

Наконец, одним из самых важных моментов исследования стал вопрос о количестве утечек конфиденциальной информации, которые респонденты допустили в течение 2006 года. Как в 2005 и 2004 годах, лидером оказалось стандартное «Затрудняюсь ответить», так как слишком многие респонденты еще не используют специализированных решений для выявления утечек. Однако положительный сдвиг уже налицо: если в 2004 году затруднения возникли у 67 %, в 2004 году — у 62 %, то в 2006 году уже лишь у 44,8 % всех опрошенных организаций.

Количество утечек

Источник: InfoWatch, 2007

«Респонденты откровенно заявили, что утечки все-таки происходят из их организаций. Причем если почти половина еще действительно не знает об этом, так как не использует никаких средств защиты, то 13,7 %, которые заявили — утечек не было, выглядят чересчур самонадеянно. Особенно на фоне того, что только 10,5 % респондентов используют специализированные средства защиты» — комментирует этот вопрос Владимир Скиба, начальник отдела информационной безопасности ФТС России.

Столь же позитивным выглядит тот факт, что существенно возросла доля респондентов, достаточно точно ответивших о количестве утечек. Так, практически каждый четвертый (24 %) сообщил, что его компания допустила от 1 до 5 утечек. В 2005 году об этом заявили лишь 7 % организаций. Далее, почти каждый восьмой (12,9 %) сообщил, что его компания зафиксировала от 6 до 25 утечек за год. Этот показатель вообще возрос с 0 % в 2005 году до 12,9 % в 2006 году. Другими словами, у респондентов появилась возможность фиксировать утечки или наблюдать результаты утечек во внешней среде организации. В завершении точно такая же динамика наблюдается у группы, заявившей о более чем 25 утечек. В 2005 году ни один респондент не выбрал данный ответ, а в 2006 году это сделали уже 4,6 %.

Остановимся теперь на довольно любопытном ответе — «ни одной утечки не было». Доля этих респондентов сократилась с 31 % в 2005 году до 13,7 % в 2006 году. Судя по всему, за прошедшие 12 месяцев организации осознали, что точно так же подвержены внутренним угрозам и постоянным утечкам, как и весь остальной бизнес. Если раньше респонденты просто заявляли, что у них нет утечек, не основывая свое мнение на каких-либо логических доводах, то теперь эта уверенность испарилась. Многие из тех респондентов, которые входят в 13,7 % без утечек, уже установили комплексные системы внутренней ИБ. Однако к этой теме мы вернемся в одной из следующих глав.

Средства защиты

Среди наиболее популярных средств ИБ за последний год не произошли значительных изменений. По-прежнему пальму первенства удерживают антивирусы (98,6 %), межсетевые экраны (73,9 %) и контроль доступа (50,8 %). Сразу отметим, что небольшое снижение индекса использования антивирусных средств (со 100 % до 98,6 %) было неизбежно вследствие существенного расширения базы респондентов. В то же самое время на четвертом месте оказались программы защиты от спама, которые за 2006 год прибавили 13,5 % и достигли отметки 30,5 процентных пунктов.

Далее в рейтинге наиболее популярных средств ИБ находятся системы обнаружения и предотвращения вторжений (23 %) и системы защиты от утечек (10,5 %). Последний факт необходимо отметить отдельно, так как средства внутренней ИБ впервые опередили популярную технологию VPN (7,5 %). Заметим, что опросный лист специально не уточнял, какие именно средства защиты от утечек могут использоваться у респондентов, так что в этот пункт вошли самые разнообразные меры: фильтры исходящего почтового трафика интернета, комплексный контроль над рабочим станциями, блокирование USB- и других портов, мониторинг выводимых на печать документов и т.д.

Средства ИБ

Источник: InfoWatch, 2007

«Использование различных систем для защиты от внутренних нарушителей действительно становится все более популярным. Однако я хочу предостеречь организации, которые просто пытаются быстро затыкать дыры. Например, раз и отключили USB-порты на рабочих станциях, два и начали фильтровать исходящую почту. Проблема в том, что к внутренним угрозам надо подходить комплексно. Т.е. техническими средствами взять под контроль все каналы утечки, а административными — ограничить доступ к тем, которые контролировать невозможно» — высказывает свое мнение Дмитрий Мананников, директор по ИТ-безопасности СДМ-банка.

Таким образом, использование средств защиты от утечек всего за один год возросло практически в пять раз: с 2 % до 10,5 %. Можно сделать вывод, что начинают сбывать прогнозы, сделанные еще в исследовании «Внутренние ИТ-угрозы в России 2004». Так, около 80 % респондентов в 2004 и 2005 годах планировали внедрять системы защиты от утечки в ближайшие два-три года. На основании этих данных аналитический центр InfoWatch еще три года назад прогнозировал взрывной рост рынка внутренней ИБ, что сейчас и происходит. Например, компания InfoWatch по результатам 2006 года увеличила число своих клиентов в 3 раза, а оборот — в 2 раза. Более того, топ-менеджмент фирмы отмечает растущий интерес к системам защиты от утечек со стороны ведущих системных интеграторов и представителей, в том числе, среднего бизнеса.

Тем не менее, уровень проникновения в 10,5 % нельзя считать удовлетворительным на фоне той угрозы, которую представляют собой внутренние нарушители и утечки конфиденциальной информации. На протяжении двух лет аналитический центр InfoWatch опрашивал респондентов относительно препятствий на пути внедрения системы защиты от утечек. В результате подавляющее большинство организаций затруднялось ответить. Эксперты InfoWatch списывали это на психологическую неготовность российского бизнеса к борьбе с инсайдерами.

Препятствия на пути внедрения защиты от утечки данных

Источник: InfoWatch, 2007

Итак, наиболее сложным препятствием на пути внедрения защиты от утечки является психологическая неготовность (25,4 %). За ней следуют бюджетные ограничения (20,6 %), нехватка квалифицированного персонала (17,5 %), отсутствие технологических решений (14,8 %) и стандартов (12,2 %).

По сравнению с результатами прошлого года, следует отметить ряд тенденций. Во-первых, в 2006 году только 5,7 % затруднились ответить на вопрос. В 2005 году этот показатель был на уровне 18 %. Так что за прошедшие 12 месяцев респонденты, как минимум, обратили свое внимание на проблему внутренней ИБ и изучили препятствия на пути реализации эффективных мер противодействия. Во-вторых, доля организаций, указавших на «отсутствие технологических решений», снизилась за 2006 год с 29 % до 14,8 %, а за последние два года вообще на 43,2 % (с 58 % до 14,8 %). Оба этих достижения следует приписать на счет грамотному информированию бизнес-сообщества средствами массовой информации, а также эффективной просветительской политике поставщиков.

Между тем, если говорить о нехватке персонала и бюджетных ограничениях, то за 2005 год существенных изменений в этих показателях не происходило. Таким образом, респонденты по-прежнему оказываются психологически не готовыми к внедрению эффективных решений для защиты от внутренних нарушителей. Тем не менее, уже достигнутый уровень проникновения в 10,5 % являет собой положительную динамику.

На следующем этапе аналитический центр InfoWatch предложил респондентам определить наиболее эффективные пути защиты от утечек. Речь здесь идет о тех решениях, которые представляются организациям наиболее адекватными и приемлемыми для решения проблемы внутренней ИБ, но по ряду причин (см. выше), не используемых респондентами на практике.

Наиболее эффективные пути защиты от утечки

Источник: InfoWatch, 2007

Наиболее эффективным средством являются комплексные информационные продукты (44,8 %). Эта мера лидирует вот уже на протяжении трех лет, поэтому можно смело утверждать, что именно в этом направлении будет происходить наибольший рост рынка внутренней ИБ в ближайшие годы.

Далее следуют организационные меры (25,3 %), тренинги персонала (21,6 %) и ограничение связи с внешними сетями (18,1 %). Таким образом, можно рассчитывать, что после преодоления психологических препятствий и бюджетных ограничений финансовые ресурсы, выделяемые на защиту от утечек, будут распределяться как раз в этих долях. Однако наибольшая часть бюджета придется на комплексные продукты на основе ИТ.

Этот вывод косвенно подтверждают результаты последнего вопроса, в котором аналитический центр InfoWatch предложил респондентам определить свои планы на ближайшие 2-3 года. Согласно распределению ответов, девять из десяти (89,9 %) организаций планируют внедрить в ближайшие три года ту или иную систему защиту от утечек.

Планы по внедрению защиты от утечек на ближайшие 3 года

Источник: InfoWatch, 2007

Наибольшим вниманием респондентов пользуются комплексные решения (32,8 %), средства мониторинга интернет-трафика (23,9 %) и системы мониторинга рабочих станций (18,6 %). Замыкает цепочку лидеров система мониторинга электронной почты (14,6 %). Ее некоторое запоздание может объясняться тем, что часть организаций уже использует фильтры исходящих сообщений.

***

За последние три года внутренние угрозы ИБ ничуть не утратили своей актуальности. По-прежнему наибольшую обеспокоенность респондентов вызывают кража конфиденциальной информации, халатность сотрудников, но теперь в этот ряд еще добавился информационный саботаж. Сравнение индексов обеспокоенности внутренними и внешними угрозами ИБ показывает, что именно инсайдерские риски превалируют в списке наиболее опасных угроз. Более того, наибольший рейтинг опасности приходится на утечку конфиденциальной информации. Как показало исследование, респонденты очень хорошо осведомлены о негативных последствиях этих инцидентов: прямых и косвенных финансовых убытках, долгосрочном ущербе для репутации, потере клиентов и трудности в привлечении новых.

Если говорить о предотвращении утечек, то положительная динамика налицо. Каждая десятая организация уже использует те или иные средства защиты, хотя о по-настоящему массовом внедрении можно говорить в перспективе только ближайших трех лет. Что же мешает бизнесу и госструктурам начать внедрять защиту от утечек прямо сейчас? Оказывается, респонденты психологически не готовы пойти на такой шаг. Правда, девять из десяти планируют установить системы внутренней ИБ уже в ближайшие 2-3 года. Таким образом, тенденция налицо, причем если в прошлом году можно было говорить о ее малых темпах, то сегодня темпы уже впечатляющие: за 2006 год число респондентов, внедривших продукты на основе ИТ, возросло на 500 %.

Алексей Доля