Ищите цели среди компаний с менее недоверчивыми руководителями служб безопасности

Скандал с программой PRISM и, похоже, бесследно затерявшимся в «чистом» терминале аэропорта Шереметьево Эдвардом Сноуденом заставил пересмотреть свои базовые взгляды на безопасность во интернете не только граждан, но и бизнес.

То, что американские спецслужбы помогают американским же компаниям улучшать свое положение на мировом рынке, пишут давно часто. Естественно, что тотальный сбор данных во всемирной сети не мог не коснуться деловой информации – смешно было бы думать, что невод, заброшенный в интернет, имеет специально настраиваемые ячейки, задерживающие мелкую рыбешку сообщений граждан и пропускающий без помех косяки бизнес-информации.

На англоязычном сайте крупнейшего немецкого издания «Шпигель» появилась очень интересная и показательная статья о тревогах малого и среднего бундес-бизнеса, связанных с весьма вероятным попаданием коммерческих секретов в руки американских друзей немецких спецслужб, а от них – прямо к конкурентам за океаном. Пессимизма немецким бизнесменам добавила информация о каком-то уж слишком тесном сотрудничестве их государственной внешней разведки BND с американцами, в описании которой наиболее часто используется слово «рвение».

На своих курсах я всегда говорю о том, что мнение о необходимости режима коммерческой тайны только для крупного и крупнейшего бизнеса является не только ошибочным, но и опасным. Гиганты вроде американской AMD или российского «Фосагро», о краже секретов в которых я писал в своих постах, эту неприятность переживут. А вот для сегмента СМБ утечка технологий, наработок или клиентской базы может оказаться катастрофой, поскольку очень часто уникальность используемого «ноу-хау» - главный, а иногда и единственный их реальный актив. Именно поэтому значительное количество арбитражных дел в России, связанных с нарушением исключительного права на секреты производства, касается компаний именно этого сегмента экономики.

Примерно к такому же горькому выводу пришли и коллеги из мюнхенской консалтинговой компании Corporate Trust, которые отметили, что только одна из четырех немецких компаний сегмента СМБ имеет ИТ-стратегии безопасности, а большинство ограничивается при защите данных межсетевым экраном и антивирусной защитой, чего явно недостаточно для противодействия профессиональным хакерам, не говоря уже о Агентстве национальной безопасности США.

Немецкое Управление по защите конституции считает, что промышленный шпионаж наносит экономике Германии ежегодный ущерб от 30 до 60 млрд евро, но точную цифру не знает никто – бизнес отнюдь не горит желанием раскрывать сведения о кражах информации. Главных причин для этого две: опасение привлечь повышенное внимания хакеров к «хромым уткам», пострадавшим от взлома или кражи, и, следовательно, имеющими реальные уязвимости в системе защиты, и возможная потеря клиентов, узнавших об утечке.

В выше упомянутой мною статье рассказывается о Маркусе Штаудингере, эксперте по ИТ-безопасности семейной инжиниринговой компании Gustav Eirich со 150-летней историей. Много лет настаивавший на необходимости использования шифрования при передаче информации, внедривший такие средства даже на ноутбуках и смартфонах работников, работающих вне периметра (компания имеет представительства в 10 зарубежных странах, в том числе в России и СНГ), он, по его же собственным словам, выглядел в глазах коллег параноиком (ах, как все знакомо!). После откровений Сноудена о PRISM отношение коллег изменилось – секреты компании оказались защищены.

Директор по защите продуктов и ноу-хау немецкого машиностроительного объединения VDMA Райнер Глатц отмечает, что в прошлом предупреждения о возможных хакерских атаках, шпионаже малый и средний бизнес, опора германской экономики, пропускал мимо ушей. Сейчас же во многих во многих фирмах и их органах управления появилось понимание проблемы, и они думают о том, как защитить себя эффективнее.

Еще одним результатом последних событий стал рост популярности немецкихдата-центров для размещения чувствительной информации и приоритет использования национальных алгоритмов и программ шифрования, ключи которых, по мнению немецкого бизнеса, спецслужбы не получают, в отличие от продуктов компаний, находящихся в американской юрисдикции. Вырос спрос на доступ в дата-центры по оптическому волокну без использования интернета, а это тоже плюс для местных поставщиков услуг.

В статье делается справедливый вывод, что информацию можно снять с волоконного кабеля, а системы шифрования периодически взламываются и 100-процентую безопасность обеспечить нельзя. Штаудингер отмечает:. «Мы знаем, что есть остаточный риск. Но повышение уровня мер защиты заставит потенциальных злоумышленников искать более легкие цели среди компаний с менее недоверчивыми руководителями служб безопасности».

В заключение - еще одно занятное сообщение из Германии, касающееся той же проблемы. Как сообщает Н.Храмцовская, 16 июля 2013 года министр внутренних дел Германии Ханс-Петер Фридрих, выступая перед Парламентской контрольной комиссией, занимающейся контролем за деятельностью спецслужб, призвал граждан Германии самим серьезнее относиться к защите персональных данных. Он, в частности, сказал, что «следует уделять больше внимания программам шифрования и антивирусным программам, ведь технические возможности для шпионажа существуют и будут применяться». Граждане откликнулись. Доктор Ульрих Кампфмайер, специалист в области делопроизводства и архивного дела, захотел «поддержать прекрасную инициативу» и направил письмо лично министру, воспользовавшись сервисом государственных услуг на сайте министерства внутренних дел, в котором поставил простые и четкие вопросы:

●      Какие (бесплатные) программы шифрования можно использовать, чтобы ни федеральная разведывательная служба, ни военная контрразведка, ни другие специальные службы не могли расшифровать данные?

●      Какого поставщика мобильных устройств следует выбрать, чтобы ни федеральная разведывательная служба, ни военная контрразведка, ни другие специальные службы не могли прослушать телефонные переговоры?

●      Какие программы следует установить, чтобы можно было обнаруживать и полностью удалять с компьютера внедрившиеся в него государственные программы слежения (немецкие или иностранные)?

Автор запроса попросил, чтобы по каждому вопросу было предложено несколько вариантов, а все рекомендованные программы были проверены и разрешены к распространению Федеральным ведомством по безопасности в сфере информационных технологий.

Интересно, будет ли ему направлен ответ? В Германии с порядком строго.