Обзор Средства защиты информации и бизнеса 2006	подготовлен	При поддержке

Исследование «Делойт»: Системы безопасности компаний в отрасли высоких технологий, СМИ и телекоммуникаций 2006

Роль электронной информации для отрасли высоких технологий, СМИ и телекоммуникаций (technology, media & telecommunications, ТМТ) становится все более важной. Однако переход на цифровые технологии сопряжен со значительными проблемами и рисками, включая угрозы безопасности — например, для электронных носителей информации, интеллектуальной собственности. В силу растущей зависимости от цифровой информации сектор ТМТ особенно уязвим. «Делойт» приводит результаты опроса руководителей служб безопасности компаний этой отрасли.

Информационная безопасность базируется на трех фундаментальных составляющих: конфиденциальность, целостность и доступность. Большинство компаний используют их для организации защиты от несанкционированного доступа к активам и информации, предотвращения мошенничества, хищений и непредвиденных ситуаций для бизнеса. С точки зрения сектора ТМТ, безопасность также включает в себя организацию защиты электронных носителей информации, информационных объектов, интеллектуальной собственности и услуг. Инциденты, связанные с угрозами безопасности, регулярно попадают на страницы новостей. Это свидетельствует о повышении уровня рисков в целом.

В рамках исследования систем безопасности компаний сектора ТМТ, проведенного «Делойт» в 2006 году, было уделено особое внимание тем игрокам, которые занимаются обеспечением безопасности своего бизнеса и организации защиты от атак. В опросе приняли участие 150 компании отрасли ТМТ из более 30 стран.

Представители более половины компаний-респондентов говорят о том, что в течение последних 12 месяцев их системы подверглись взломам. Что хуже, наблюдается рост масштабности и сложности атак. Согласно данным отчета, приблизительно треть взломов привела к существенным финансовым убыткам в размере до нескольких миллионов долларов США. При этом не рассматривался объем косвенных и нематериальных убытков, таких как урон репутации компании и торговой марке, простои систем и упущенная выгода.

В результате были выявлены типы угроз безопасности, которые вызывают наибольшую обеспокоенность у компаний исследуемой отрасли, а также определены ресурсы, используемые для противодействия данным угрозам. В рамках исследования были проанализированы технологии, внедряемые для повышения уровня безопасности, а также преимущества, получаемые компаниями отрасли от инвестирования в обеспечение безопасности.

Угрозы опережают инвестиции в безопасность

Отрасль ТМТ может получить значительные преимущества от использования цифровых технологий, но, вместе с тем, она наиболее подвержена рискам сбоев электронных систем и виртуальных преступлений, и эти показатели постоянно растут. Весь спектр услуг — от голосовой телефонной связи до телевизионных программ — доступен в настоящее время в цифровом виде, что делает такие услуги более уязвимыми перед атаками, вирусами и хищениями. Как следствие, компании сектора ТМТ представляют собой все более привлекательную цель для различных атак. Нередко проблемы информационной безопасности привлекают внимание руководства только после того, как система дала сбой. Однако такое отношение к собственной безопасности неприемлемо для компаний, чье благополучие зависит от возможностей производить, передавать, распространять и обмениваться информацией в цифровом виде. Инвестиции в безопасность должны стать условием обеспечения непрерывности бизнеса. Компании должны признать, что для того, чтобы противостоять совершенствующимся технологиям и стратегиям криминального мира, необходимо обратить пристальное внимание на инвестирование в системы безопасности.

Компании отрасли высоких технологий, СМИ и телекоммуникаций остаются уязвимыми перед широким кругом угроз. Для эффективного реагирования на угрозы безопасности необходимы четкие стратегии, понятные процедуры, грамотное распределение полномочий и прозрачная система отчетности. Согласно результатам исследования, компании, имеющие формализованную стратегию безопасности, подвержены компьютерным атакам и, как следствие, финансовым потерям в наименьшей степени. Многие компании, которые подверглись взлому систем, не имеют утвержденной политики информационной безопасности.

Большинство мероприятий по обеспечению безопасности, проводимых компаниями исследуемой отрасли, сводятся к базовым мерам, таким как установка сетевых защитных экранов, антивирусных приложений, фильтрация спама и создание виртуальных частных сетей. В свою очередь, меры адекватного реагирования на более изощренные угрозы отсутствуют.

Компании ТМТ больше не могут позволить себе скрывать проблемы, заниматься только частными или техническими решениями. Наличие формализованной политики безопасности и возложение соответствующих обязанностей по отдельным направлениям безопасности на уполномоченных сотрудников больше не являются второстепенными мерами, они становятся основными составляющими успешной работы бизнеса.

Внедрение, управление и оптимизация системы безопасности требует постоянного профессионального внимания, и для этого необходимы конкретные навыки и высокий уровень квалификации. Все компании отрасли ТМТ должны двигаться в направлении скорейшего создания эффективной службы безопасности с четкими системами, политиками и процедурами. Активность предприятий в этом направлении, скорее всего, будет оказывать решающее влияние на клиентов при выборе компании. Клиенты доверяют (и предоставляют свои личные данные) компаниям сектора ТМТ и, в частности, тем, кто активно использует в своей работе интернет-технологии. По мере того, как общественность все больше узнает о многочисленных угрозах безопасности и рисках, клиенты, скорее всего, будут обращаться именно к тем компаниям, для которых сохранность собственных активов и информации, а также имущества и данных клиентов имеет решающее значение. Таким образом, инвестиции в безопасность можно рассматривать как существенную стратегическую возможность для развития бизнеса.

Роль регуляторов

Развитие корпоративного управления и нормативных актов по обеспечению защиты информации стимулирует работу в области безопасности во многих компаниях сектора ТМТ. Согласно данным исследования, 74 % компаний в предстоящем году планируют уделять больше времени вопросам информационной безопасности в соответствии с требованиями нормативных актов. Только 6 % компаний полагают, что они действуют с опережением нормативных требований. Стоит отметить, что в настоящее время законодательные акты разных стран в основном регулируют вопросы конфиденциальности и отчетности на всех уровнях компании.

Необходимо обучать сотрудников

Задача управления безопасностью заключается не только в понимании того, какие технологии, программное обеспечение и политики должны быть взяты на вооружение. Это и вопрос мониторинга работы персонала, подрядчиков и прочих задействованных сторон. Все сотрудники и партнеры должны знать, на что обращать внимание, и в каких случаях поднимать тревогу. В связи с этим, компаниям необходимо прилагать все усилия, чтобы обеспечить адекватное обучение и осведомленность сотрудников всех уровней и всех подразделений. Компаниям также нужно рассмотреть возможность информирования своих клиентов о предпринимаемых мерах безопасности. Давая клиентам понять, какие действия совершаются компанией для защиты персональной информации, обеспечения безопасности и целостности, компании получают позитивную оценку и, тем самым, приумножают капитал своей торговой марки.

Враг изнутри

Как правило, компании уделяют особое внимание угрозам извне, в то время как внутренние угрозы, т.е. угрозы со стороны собственных сотрудников, могут нести в себе не менее существенные риски. Несмотря на то, что многие компании не решаются использовать средства мониторинга своих сотрудников на предмет выявления противозаконных действий, такие меры все более необходимы. Всем компаниям следует использовать программы фильтрации электронной почты, действующие не только в отношении входящих, но и исходящих сообщений, с тем, чтобы блокировать сообщения, содержащие критически важную информацию (и при необходимости предпринимать другие действия). Необходимо осуществлять строгий надзор за портативными компьютерами, персональными цифровыми помощниками (PDA), смартфонами и прочими устройствами, которые можно вынести из офиса компании. В некоторых случаях использование таких устройств нужно запретить.

Бизнес должен быть непрерывным

Недостатки в системе безопасности могут парализовать работу целых компаний — иногда на достаточно продолжительное время. Есть многочисленные примеры вирусов, компьютерных червей, хакерских атак и прочих преступных действий, устранение последствий которых стоит компаниям значительных средств, поскольку в таких условиях нарушается работа всех систем, от систем резервирования до систем поддержки принятия решений. Нет компаний, полностью защищенных от внешних атак. И это не зависит от средств и времени, потраченных на усиление собственной безопасности. По этой причине, понимание способов ответного реагирования на попытки нарушения систем является столь же важным, как и наличие комплексной системы защиты. Планирование — это ключевой элемент в обеспечении непрерывности бизнеса: информация о том, кто и что, когда и где должен сделать, помогает свести возможную катастрофу к, всего лишь, неудобствам. Очевидно, что компаниям необходимо держать в состоянии готовности резервные системы, но при этом сотрудники должны иметь представление о том, как их использовать. Таким образом, большое значение приобретают практический опыт и обучение, чтобы в случае непредвиденной ситуации сотрудники знали, как реагировать и как обеспечить по возможности бесперебойную работу предприятия. Компании должны помнить о том, что угрозы безопасности выходят далеко за рамки использования персональных компьютеров и корпоративных серверов. Системы IP-телефонии и обмена информацией, центры обработки вызовов, мобильные телефоны, персональные цифровые помощники, электронные кассовые аппараты и даже автоматизированные производственные линии потенциально уязвимы; все эти объекты необходимо учитывать при планировании восстановительных работ на случай непредвиденных и аварийных ситуаций.

У каждого свои проблемы

Каждый сектор отрасли высоких технологий, СМИ и телекоммуникаций сталкивается со специфическими проблемами безопасности. Кроме общих вопросов в области безопасности технологических компаний, отдельные сектора ТМТ сталкиваются со своими особыми проблемами и отличаются различной степенью развития.

Высокие технологии. Большинство высокотехнологичных компаний основное внимание уделяют безопасности сетей и установке межсетевых экранов для защиты своей деятельности в области НИОКР от внешних атак. Однако, как и в других секторах ТМТ, наибольшая угроза исходит изнутри. К примеру, 59 % высокотехнологичных компаний, участвовавших в исследовании, считают «сообщения по электронной почте несанкционированным адресатам, содержащие конфиденциальную информацию и/или интеллектуальную собственность» областью повышенного риска. Чтобы сохранить свои секреты, высокотехнологичные компании должны уделять больше внимания контролю доступа, контролю за электронной почтой (шифрование, сканирование и фильтрование, особенно исходящей почты) и надежной аутентификации (например, механизмы аутентификации на основе смарт-карт и жетонов).

Медиа. Перевод информации в цифровой формат имеет ряд неоспоримых преимуществ. Тем не менее, медиа-компании должны тщательно учитывать такие особенности, как выбор времени, безопасность цифровой обработки и изменение процессов. Они также должны защищать себя от новых рисков в виде возросшей уязвимости перед компьютерными взломами и кражей интеллектуальной собственности. Например, переход на хранение материалов в компьютерной сети дает компании возможность значительно усовершенствовать доступ к своим активам, но одновременно подвергает их риску заражения вирусами и пиратских атак. Эта проблема не вызывала такой обеспокоенности, пока материалы хранились на лентах в специальном помещении.

Телекоммуникации. Мир телекоммуникаций стремительно переходит с аналоговых и физических сетей на цифровые и виртуальные. В связи с этими изменениями, доступность и эффективность технологий связи стремительно растет. Телекоммуникации оказывают все большее влияние на образ жизни людей по всему миру, что выдвигает проблемы безопасности на передний план. Большинство телекоммуникационных компаний видят угрозу безопасности в дальнейшем развитии сетей беспроводного доступа (WiFi), пакетной передачи голоса (VoIP), широкополосного беспроводного доступа (WiMAX) и сетей мобильной связи третьего поколения (3G)16. При этом, половина исследованных компаний в сфере ТМТ, внедривших у себя данные технологии, не чувствуют уверенность в достаточном уровне защиты существующими мерами безопасности. Учитывая это, многие телекоммуникационные компании используют свою активность в области повышения безопасности и надежности как средство для продвижения и укрепления своей торговой марки и обеспечения ее узнаваемости. В некоторых случаях, безопасность и надежность даже оказываются решающим шагом между успехом и неудачей.

Невторостепенная проблема

До недавнего времени компании, работающие в секторе ТМТ, относились к безопасности как к второстепенной проблеме. Однако скорость развития технологий диктует другие подходы. Цифровая эпоха началась менее двадцати лет назад и затронула почти все аспекты индустрии. В результате деятельность в сфере безопасности применительно к цифровым активам, процессам и транзакциям представляет собой относительно новое явление. Теперь пришло время, когда индустрия ТМТ должна признать необходимость решительных действий.

Масштабы, изощренность атак и потенциальный ущерб от нарушений систем безопасности продолжают увеличиваться. Более половины компаний, участвовавших в исследовании, подверглись нарушению систем безопасности за последние 12 месяцев, и примерно треть данных нарушений привела к значительным финансовым убыткам в размере до нескольких миллионов долларов. Учитывая косвенные и нематериальные убытки, последствия могут быть оценены как более масштабные.

Для эффективного обеспечения информационной безопасности комании, работающие в секторе ТМТ, должны более серьезно подходить к данной проблеме. Необходимо сформировать стратегии, политики и процедуры; повысить информированность сотрудников и активизировать обучение в отношении проблем безопасности на всех уровнях организации, начиная с высшего руководства; сосредоточить больше ресурсов на борьбе с внутренними угрозами безопасности; выделить достаточный объем финансовых средств и ресурсов для предотвращения угроз безопасности; разработать и внедрить план обеспечения работы бизнеса на случай чрезвычайных обстоятельств.

Несмотря на то, что различные секторы компаний отрасли высоких технологий сталкиваются с характерными только для них проблемами, их объединяет растущая уязвимость перед атаками. Безопасность перестала быть второстепенным аспектом деятельности или проблемой, решением которой занимается департамент ИТ. Сегодня безопасность является основополагающим требованием ведения бизнеса и стратегической необходимостью.

По материалам «Делойт»