31 июля 2013 г.

Ищите цели среди компаний с менее недоверчивыми руководителями служб безопасности

Скандал с программой PRISM и, похоже, бесследно затерявшимся в «чистом» терминале аэропорта Шереметьево Эдвардом Сноуденом заставил пересмотреть свои базовые взгляды на безопасность во интернете не только граждан, но и бизнес.
То, что американские спецслужбы помогают американским же компаниям улучшать свое положение на мировом рынке, пишут давно часто. Естественно, что тотальный сбор данных во всемирной сети не мог не коснуться деловой информации – смешно было бы думать, что невод, заброшенный в интернет, имеет специально настраиваемые ячейки, задерживающие мелкую рыбешку сообщений граждан и пропускающий без помех косяки бизнес-информации.
На англоязычном сайте крупнейшего немецкого издания «Шпигель» появилась очень интересная и показательная статья о тревогах малого и среднего бундес-бизнеса, связанных с весьма вероятным попаданием коммерческих секретов в руки американских друзей немецких спецслужб, а от них – прямо к конкурентам за океаном. Пессимизма немецким бизнесменам добавила информация о каком-то уж слишком тесном сотрудничестве их государственной внешней разведки BND с американцами, в описании которой наиболее часто используется слово «рвение».
На своих курсах я всегда говорю о том, что мнение о необходимости режима коммерческой тайны только для крупного и крупнейшего бизнеса является не только ошибочным, но и опасным. Гиганты вроде американской AMD или российского «Фосагро», о краже секретов в которых я писал в своих постах, эту неприятность переживут. А вот для сегмента СМБ утечка технологий, наработок или клиентской базы может оказаться катастрофой, поскольку очень часто уникальность используемого «ноу-хау» - главный, а иногда и единственный их реальный актив. Именно поэтому значительное количество арбитражных дел в России, связанных с нарушением исключительного права на секреты производства, касается компаний именно этого сегмента экономики.
Примерно к такому же горькому выводу пришли и коллеги из мюнхенской консалтинговой компании Corporate Trust, которые отметили, что только одна из четырех немецких компаний сегмента СМБ имеет ИТ-стратегии безопасности, а большинство ограничивается при защите данных межсетевым экраном и антивирусной защитой, чего явно недостаточно для противодействия профессиональным хакерам, не говоря уже о Агентстве национальной безопасности США.
Немецкое Управление по защите конституции считает, что промышленный шпионаж наносит экономике Германии ежегодный ущерб от 30 до 60 млрд евро, но точную цифру не знает никто – бизнес отнюдь не горит желанием раскрывать сведения о кражах информации. Главных причин для этого две: опасение привлечь повышенное внимания хакеров к «хромым уткам», пострадавшим от взлома или кражи, и, следовательно, имеющими реальные уязвимости в системе защиты, и возможная потеря клиентов, узнавших об утечке.
В выше упомянутой мною статье рассказывается о Маркусе Штаудингере, эксперте по ИТ-безопасности семейной инжиниринговой компании Gustav Eirich со 150-летней историей. Много лет настаивавший на необходимости использования шифрования при передаче информации, внедривший такие средства даже на ноутбуках и смартфонах работников, работающих вне периметра (компания имеет представительства в 10 зарубежных странах, в том числе в России и СНГ), он, по его же собственным словам, выглядел в глазах коллег параноиком (ах, как все знакомо!). После откровений Сноудена о PRISM отношение коллег изменилось – секреты компании оказались защищены.
Директор по защите продуктов и ноу-хау немецкого машиностроительного объединения VDMA Райнер Глатц отмечает, что в прошлом предупреждения о возможных хакерских атаках, шпионаже малый и средний бизнес, опора германской экономики, пропускал мимо ушей. Сейчас же во многих во многих фирмах и их органах управления появилось понимание проблемы, и они думают о том, как защитить себя эффективнее.
Еще одним результатом последних событий стал рост популярности немецкихдата-центров для размещения чувствительной информации и приоритет использования национальных алгоритмов и программ шифрования, ключи которых, по мнению немецкого бизнеса, спецслужбы не получают, в отличие от продуктов компаний, находящихся в американской юрисдикции. Вырос спрос на доступ в дата-центры по оптическому волокну без использования интернета, а это тоже плюс для местных поставщиков услуг.
В статье делается справедливый вывод, что информацию можно снять с волоконного кабеля, а системы шифрования периодически взламываются и 100-процентую безопасность обеспечить нельзя. Штаудингер отмечает:. «Мы знаем, что есть остаточный риск. Но повышение уровня мер защиты заставит потенциальных злоумышленников искать более легкие цели среди компаний с менее недоверчивыми руководителями служб безопасности».
В заключение - еще одно занятное сообщение из Германии, касающееся той же проблемы. Как сообщает Н.Храмцовская, 16 июля 2013 года министр внутренних дел Германии Ханс-Петер Фридрих, выступая перед Парламентской контрольной комиссией, занимающейся контролем за деятельностью спецслужб, призвал граждан Германии самим серьезнее относиться к защите персональных данных. Он, в частности, сказал, что «следует уделять больше внимания программам шифрования и антивирусным программам, ведь технические возможности для шпионажа существуют и будут применяться». Граждане откликнулись. Доктор Ульрих Кампфмайер, специалист в области делопроизводства и архивного дела, захотел «поддержать прекрасную инициативу» и направил письмо лично министру, воспользовавшись сервисом государственных услуг на сайте министерства внутренних дел, в котором поставил простые и четкие вопросы:
      Какие (бесплатные) программы шифрования можно использовать, чтобы ни федеральная разведывательная служба, ни военная контрразведка, ни другие специальные службы не могли расшифровать данные?
      Какого поставщика мобильных устройств следует выбрать, чтобы ни федеральная разведывательная служба, ни военная контрразведка, ни другие специальные службы не могли прослушать телефонные переговоры?
      Какие программы следует установить, чтобы можно было обнаруживать и полностью удалять с компьютера внедрившиеся в него государственные программы слежения (немецкие или иностранные)?
Автор запроса попросил, чтобы по каждому вопросу было предложено несколько вариантов, а все рекомендованные программы были проверены и разрешены к распространению Федеральным ведомством по безопасности в сфере информационных технологий.

Интересно, будет ли ему направлен ответ? В Германии с порядком строго.

2 комментария:

  1. > Автор запроса попросил, чтобы по каждому вопросу было предложено несколько вариантов

    Как в итоге ответ, направили?

    ОтветитьУдалить
  2. Да, очень оперативно, но не информативно ;-)
    http://rusrim.blogspot.ru/2013/07/blog-post_1891.html

    ОтветитьУдалить