Проблема использования внешних носителей информации

Сегодня можно с уверенностью утверждать, что важнейшим активом любой современной компании является информация. Как и всякий критически важный актив, информация нуждается в защите, а в случае ее утечки компания несет довольно серьезные убытки.

Институт Ларри Понемона давно пытается оценить масштаб этих потерь в численном эквиваленте. По данным отчетов за 2008 год, средние убытки в результате всего лишь одного инцидента измеряются миллионами долларов. Больше всего достается американским компаниям — они теряют от утечки в среднем 6,6 млн долл. Английским и немецким организациям пока приходится не так тяжело: средний ущерб от инцидента в этих странах составил 1,73 млн фунтов стерлингов и 2,41 млн евро соответственно.

Очевидно, что для подавляющего большинства организаций данные суммы весьма существенны. Они автоматически делают проблему утечек одной из наиболее приоритетных для корпоративных служб информационной безопасности. Проблема заключается в том, что организации неправильно проводят декомпозицию угроз — они защищаются от тех каналов утечки, которые на деле являются не слишком критичными.

Пожалуй, самым простым примером является всеобщая ориентация рынка на защиту от так называемых внешних угроз — вредоносного ПО, спама или хакерских вторжений. Конечно, эти угрозы никуда не исчезают, однако, по данным Ponemon Institute (для США), на них приходится не более 7% всех инцидентов. Оставшиеся 93% утечек вызваны действиями инсайдеров — сотрудников с санкционированным доступом к конфиденциальной информации.

В этом смысле различные мобильные носители являются едва ли не идеальным каналом утечки. Они далеко не всегда контролируются службой безопасности (в отличие, например, от электронной почты) и обладают достаточной емкостью, чтобы вместить все интересующие данные.

Варианты решения

Прежде чем думать о вариантах защиты информации на съемных носителях, организация должна решить, стоит ли их вообще применять. Превышает ли коммерческая выгода от использования флэшек (flash memory sticks), смартфонов и прочих мобильных устройств те риски утечек, которые при этом возникают?

Судя по всему, большинство компаний не хотят лишать сотрудников такого удобного средства поддержки и ускорения бизнес-процессов. Их вполне можно понять — ведь без использования флэшек не всегда можно провести презентацию или поработать дома. Как следствие, такие радикальные варианты, как отсутствие физических портов или специальные аппаратные заглушки на них, сегодня применяются сравнительно редко и в основном не организацией в целом, а только ее отдельными подразделениями, имеющими дело с наиболее коммерчески ценной или конфиденциальной информацией. Современные предприятия предпочитают использовать более эффективные и удобные программные средства защиты информации.

Средства разграничения доступа

На следующей ступени эволюции средств защиты находятся системы контроля доступа пользователей к портам компьютера, принтерам, а также к локальным подключениям смартфонов и КПК. В отличие от физических мер, полностью блокирующих доступ, они позволяют более тонко разграничивать доступ, причем делать это централизованно: с помощью интегрированной консоли управления офицер безопасности определяет, каким пользователям предоставить доступ к тем или иным локальным портам, на каких компьютерах и на какое время. Кроме того, такие системы могут поддерживать workflow-механизмы, предоставляющие пользователю доступ к той или иной операции по его запросу.

Если система контроля запрещает пользователю доступ к тому или иному порту, интерфейсу или принтеру в конкретный момент времени — угроза утечки информации отсутствует. В противном случае утечка возможна, однако ее последствия можно минимизировать с помощью механизмов теневого копирования. Данный функционал (кстати, он реализован далеко не во всех представленных на рынке продуктах) позволяет сохранить копию всей передаваемой информации в централизованной базе данных. Таким образом, офицер безопасности всегда может проверить, какая информация покинула корпоративную информационную систему и по каждому из возможных локальных каналов передачи данных.

В ряде современных систем контроля доступа к локальным портам и подключениям реализована полезная возможность определения политик, зависящих от типа передаваемых данных. Данная функция предполагает, например, что можно разрешить передавать на съемные носители файлы Microsoft Word, но запретить данную операцию для файлов PDF. То есть система не только отслеживает операцию передачи, но и фильтрует типы передаваемых по локальным каналам данных.

DLP-системы

Отмеченная выше особенность роднит системы контроля доступа со следующим классом систем защиты данных—– решениями сегмента DLP (Data Leak Prevention). По определению ведущего отраслевого эксперта в этой области Рича Могулла (Rich Mogull), именно глубокий анализ информационного содержимого исходящих данных является главной характеристикой DLP-систем. Подобные решения определяют легитимность той или иной операции на базе технологий контентной фильтрации.

Перспективы DLP-систем весьма многообещающи, именно поэтому практически все ведущие игроки рынка информационной безопасности активно инвестируют в развитие этого направления. Другое дело, что уровень качества их современной реализации пока не позволяет говорить о всеобъемлющем контроле информации, передающейся по локальным портам на мобильные носители. И тому есть несколько причин.

Во-первых, необходимо отметить, что современный уровень технологии контентной фильтрации не позволяет полностью избежать ошибок ложного распознавания содержимого данных — так называемых ложноположительных (false positive) и ложноотрицательных (false negative) срабатываний. В итоге уровень точности систем контентной фильтрации редко превышает 80-85%.

Во-вторых, глубокий контентный анализ — весьма ресурсоемкий процесс. Когда вы отправляете письмо по электронной почте, DLP-система перехватывает его в сети и анализирует на уровне SMTP-сервера с достаточной для этой задачи производительностью. Если же информация копируется локально, такой подход неприменим, поскольку информация в принципе не попадает в сеть.

В результате создателям DLP-систем приходится идти на компромисс: либо пересылать теневые копии информации на сервер и потом получать по ней вердикт, либо анализировать информацию локально. В первом случае оказывается значительная нагрузка на сеть и возникают длительные задержки (представьте, что будет, если вы копируете на съемный носитель фильм в формате High Definition), а во втором — страдает качество анализа, поскольку персональному компьютеру не хватает мощности для данного вида обработки либо он работает по более простым и менее надежным алгоритмам.

Третья причина, ограничивающая применение DLP-систем для контроля локальных портов, тесно связана с первой. Дело в том, что из-за требований к контентной фильтрации DLP-системы изначально были спроектированы как шлюзовые решения, а потому их агентские компоненты еще не достигли достаточного уровня зрелости. Да, они умеют фильтровать данные, однако контроль всего разнообразия различных портов и каналов потенциальной утечки данных, а также гибкость локальных политик DLP-систем на endpoint-компьютерах находятся пока на более низком уровне, чем в случае хорошо развитых шлюзовых систем контроля контента сетевых коммуникаций.

IRM-системы

Кроме систем разграничения доступа и DLP-систем существует еще один способ защиты, о котором специалисты почему-то часто забывают. Речь идет о системах класса IRM (Information Rights Management), которые никак не ограничивают использование съемных носителей, однако существенно снижают вероятность утечек.

Работа типичной IRM-системы строится на базе двух механизмов: меток конфиденциальности и шифрования. Каждый защищаемый с помощью IRM файл помещается в шифрованный контейнер вместе со специальной меткой, определяющей права доступа к нему. Суть IRM состоит в том, что даже если такой контейнер попадет за пределы сети, то без прав доступа к документу он будет совершенно бесполезен.

С точки зрения контроля информации, перемещаемой на съемных носителях, данная схема практически эквивалентна принудительному шифрованию экспортируемых на съемные носители данных, которое часто встречается в системах контроля доступа к портам и периферийным устройствам. Решения класса IRM разрешают экспорт конфиденциальной информации только в зашифрованном виде, что позволяет всегда защитить компанию от случайных утечек, но редко — от утечек спланированных. Добавим, что эффективность IRM-систем существенно зависит от количества «помеченных» файлов и интенсивности их модификаций пользователем. На практике данное требование эквивалентно классификации всех корпоративных данных, что является достаточно трудоемкой задачей.

Дата добавления: 2014-01-05